¿Qué posibilidades hay de que alguien intercepte mis conversaciones de Whatsapp?

Voy a tratar de resumir determinadas cuestiones básicas en un post (bastante complicado) pero lo intentaremos, permitidme unos minutos más de lectura.

Es momento de felicitación navideña y Whatsapp echa humo. También volvemos a tener noticias de colegas y familiares de los que, desde hace un año, es decir, la Navidad anterior, no volvimos a tener noticias. Seamos sinceros, por si algún@ todavía piensa lo contrario: tus mensajes de felicitación de Navidad no son de interés para nadie pero sí determinadas conversaciones, cuestiones personales, profesionales y/o políticas que se tratan y envían por este medio (punto a punto, END-to-END). Esto nunca debería hacerse, primero, por sentido común y prudencia (sé que pido demasiado) y segundo, por política de seguridad: no distribuir ni publicar en grupos (recomiendo, tampoco con un solo interlocutor) contenido sensible, personal, secreto que no deba ser divulgado y/o conocido. Whatsapp no identifica (aunque esté asociado a una línea de teléfono con un titular que presumimos) así única podremos estar 100% seguros de quién puede ser el punto, “END,” aunque lo presumamos y, lo que es más peligroso, que uso posterior le dará a esa información (aunque no sea de mala fe).

Volvemos a la cuestión: Whatsapp, una aplicación de uso comercial gestionada por terceros, ¿Es segura? (Considérese su aplicación también, con otras especificaciones y funcionalidades técnicas, para cualquier otra herramienta de mensajería instantánea de uso comercial en el que no hayamos firmado una cláusula por parte del proveedor de este servicio que diga: “Sus comunicaciones NO van a ser cedidas ni entregadas a los actores judiciales para la persecución del delito”).

Primero. Desde el punto de vista técnico. Seré muy breve. La informática es segura, siempre y cuando incorpore determinados servicios que mantengan las tres patas básicas de seguridad con respecto a un contenido, mensaje o servicio: confidencialidad, integridad y disponibilidad. Pero ¿Qué es esto?

Confidencialidad, que nadie pueda acceder al contenido del mensaje; integridad, que no pueda ser alterado, modificado o borrado y disponibilidad, aquello que NO ocurre el día 31, o mejor dicho, 1 de enero a las 00:01 horas con Whatsapp cuando millones de personas de forma simultánea, en vez de disfrutar del momento, tratan de mandar, por milésima vez, una felicitación a otra persona o punto para decirle: ¡Feliz año nuevo! Y el servicio se cae, deja de estar disponible.

El sistema de cifrado punto a punto (End to End) aporta una capa segura de cifrado, el canal a través del cual viajan los mensajes de seguridad va cifrado. Pero, a su vez, el propio texto también incorpora un sistema de cifrado lo que, ante cualquier interceptación legal (o ilegal), hace que se le presente el contenido al interceptador como una cadena de texto alfanumérico sin sentido, en vez de poder acceder de forma íntegra al texto que escribimos, texto denominado plano, legible. Es decir, el interceptador se quedaría a dos velas. Esto es lo que pasa cuando interceptamos comunicaciones cifradas sin la clave del receptor.

Los mecanismos de cifrado usados son el de intercambio de clave asimétrica de Diffie- Hellman, el sistema AES 256 y el SHA 256 de autenticación de forma que solo el receptor de tus mensajes conoce la clave para descifrar tu mensaje.

Pudiera ser que, por algún complejo proceso técnico forense con acceso al propio dispositivo móvil, y dado que las claves de cifrado son transferidas dentro del proceso de establecimiento de comunicación de Whatsapp, en teoría, los técnicos postulan que debería ser posible su descifrado, tratando de encontrar las claves de cifrado.

Hoy por hoy, intentar revertir el proceso de cifrado mediante la averiguación de las claves de descifrado por fuerza bruta, a las bravas, es un proceso que puede llevar decenas de años gracias a la robustez del cifrado empleado.

Entonces, ¿Es segura la aplicación? Técnicamente, sí.

Segundo. Uso responsable. El mayor riesgo es el componente humano.

Tenemos la mala costumbre de compartir información sensible y/o confidencial que no debe ser divulgada o conocida por terceros y, para más I.N.R.I., se hace vía mensajería instantánea. Nuestro interlocutor puede ser de “confianza” pero no controlamos el uso posterior de esa información. Aunque no se haga de mala fe, puede ser reenviada o compartida con terceros, ahora ya desconocidos hasta que cae en manos inadecuadas.

Si encima compartimos en grupos información que nos pueda comprometer, el riesgo se multiplica exponencialmente. Aunque podemos conocer el número de teléfono de quién está en el grupo no podemos saber con certeza a quien pertenece el terminal y si es de uso o acceso compartido con terceros. Intentar averiguar de dónde proviene la filtración solo es posible si acudimos a quien lo ha publicado.

¿Puede una autoridad gubernativa, agentes policiales o actores judiciales interceptar una comunicación? Como se ha hecho de toda la vida con las líneas telefónicas, la Ley de Enjuiciamiento Criminal autoriza mediante resolución judicial su intervención y registro. Pero, obviamente, existen unas limitaciones que son los principios jurídicos generales de especialidad, idoneidad, excepcionalidad, necesidad y proporcionalidad de la medida (que no se pueda adoptar otra menos gravosa para los derechos fundamentales del investigado y que la investigación y buen curso se puedan ver gravemente comprometidos sino se usa esta medida).

¿Con este escenario, qué es lo que queda?

En cuanto alguien oye campanas sobre la existencia de una posibilidad de acceder a un dispositivo para la obtención de información de forma remota, sin acceso físico se habla de backdoors o puertas traseras. El único método que ahora permitiría la obtención remota de contenido de whatsapps es, teniendo acceso físico al terminal del investigado (de forma remota es posible pero necesito 10 posts para ello), instalar el famoso troyano que registre los mensajes de Whatsapp capturando pantallazos (cutre, pero es lo que hay) y los remita al tercer dispositivo que escucha.

Entonces, nuestras conversaciones son seguras. No se puede luchar contra la tecnología ¿O sí…?

El GCHQ (Government Communications Headquarters, Cuartel General de Comunicaciones del Gobierno), es uno de los tres servicios de inteligencia del Reino Unido. Una de sus principales funciones incluye la inteligencia de señales, que supone la monitorización, intercepción y descifrado de datos, sobre todo en la lucha contra el terrorismo y el crimen organizado.

En uno de los papers generados sobre el taller de Criptografía 2018 sobre cifrado y vigilancia, celebrado hace unas semanas, el GCHQ propone que servicios que funcionan sobre apps de mensajería instantánea cifrada, como pueden ser Apple, Facebook’s y su Messenger, WhatsApp, Signal, Wire o Wickr WhatsApp y Signal, en determinados casos, por investigaciones de relevancia y gravedad, de forma judicial, habiliten a FCS para acceder a mensajes de comunicaciones cifrados.

En este grupo de trabajo Cripto 2018 se plantea el famoso debate ético de que todos deben estar sometidos al imperio de la Ley, incluso quienes gestionan servicios que incorporan elementos necesarios para la seguridad de los dispositivos informáticos y sus aplicaciones. Se exige la colaboración con las autoridades cuando la adopción de esta medida esté justificada por criterios de proporcionalidad, gravedad, etc (como hemos visto) como el terrorismo, homicidios, secuestros, tráfico de drogas, etc. delitos graves.

Las empresas tecnológicas afirman que la creación de excepciones técnicas, backdoors, descifrado de claves, etc. puede comprometer la seguridad del servicio y eso va en contra del propio servicio. Al caso, es que las autoridades están luchando cada vez con más fuerza ante los vacíos de impunidad de los que gozan determinados malos al utilizar estas herramientas.

Si hemos visto que las comunicaciones van cifradas. Entonces ¿Qué piden estos del GCHQ? ¿Puertas traseras malignas o de otra dimensión, al estilo Stranger Things?

No. El GCHQ no propone la ruptura del cifrado sino una vuelta al sistema tradicional (si es que lo retro, al final, se acaba imponiendo), introduciendo a un tercero en la conversación, como se ha hecho durante décadas con las escuchas telefónicas en las que los intervinientes en una comunicación, emisor y receptor, no se “coscaban” de que un tercero, el investigador, estaba a la escucha.

¿Qué puede hacer un proveedor de servicios como Whatsapp que gestiona las protecciones adecuadas que ayuden para garantizar la autorización y otras funciones de gestión de identidades y de accesos?

Añadir un tercero más, otro punto, otro “END” que en vez de intervenir en la conversación, simplemente “escuche”. Cuando se cambia de terminal o de número, por ejemplo, Whatsapp te indica que cambia la clave de un usuario y requieren una verificación. También te avisan cuando un dispositivo ha sido manipulado por un tercero, si la conversación no es segura o cuando alguien se ha unido a la conversación. Lo que propone el GCHQ es que Whatsapp intervenga en el intercambio de claves en el establecimiento de la comunicación, manipulándolo, de modo que no salga el mensaje de advertencia “XXX se ha unido a la conversación”, que en este caso sería “La policia se ha unido a la conversación” (no debe molar nada esta notificación).

La controversia está en manos ahora de los proveedores de mensajería que, requeridos en determinadas circunstancias, deberán elegir si mantener el secreto de las comunicaciones y acabar engrilletados por delito de resistencia y desobediencia o colaborar, como hacen y han hecho las operadoras de telefonía de toda la vida.

En resumen, ¿Me pueden interceptar mis mensajes Navideños o acabarán siendo publicados por terceros? Parece que muy pronto va a depender ya de Whatsapp y del uso responsable de la información que transmites por estos canales, acordándote de la mejor fórmula, que perdura y perdurará por los tiempos: “lo que no quieras que se sepa, no lo digas y, menos, por escrito”.

TAMBIÉN TE PUEDE INTERESAR...

Tus mensajes de WhatsApp no están bien cifrados: pueden espiarte desde una wifi: