Más de 350 millones de personas utilizan WhatsApp. A diario, la popular aplicación de mensajería líder es «testigo» de conversaciones privadas sin que los usuarios sean conscientes realmente de si su conversación puede ser interceptada o espiada. No es algo complicado y así lo han demostrado dos ingenieros españoles.
Jaime Sánchez,
del Centro de Seguridad de una multinacional de telecomunicaciones, y
Pablo San Emeterio, experto en seguridad de Optenet, son
contundentes: «
WhatsApp
es muy vulnerable porque se preocupa más de la usabilidad que
de la seguridad y espiar los mensajes no es complicado».
Si la Agencia Nacional de Seguridad estadounidense
(NSA) accedió supuestamente a datos privados de los usuarios de
gigantes como Yahoo,
Google o Facebook
con la excusa de preservar la «seguridad nacional» en detrimento
del
derecho
a la privacidad,
¿quién nos dice que no pueden acceder a nuestros mensajes de
WhatsApp?
No hay que olvidar que «toda
conversación de mensajería puede ser interceptada»,
aseguran ambos expertos, quienes recuerdan cómo Google ya advirtió
que no puede garantizar la total privacidad a sus usuarios de Gmail.
WhatsApp tampoco y menos aún con los fallos
en seguridad que presenta,
tal y como estos dos españoles detallan en su investigación
presentada en el reciente congreso de seguridad informática y
hacking más antiguo de España, «NoConName».
Cuando un usuario se registra en WhatsApp
por primera vez recibe una clave de los servidores. A partir
de este momento, cada vez que el cliente acceda al servicio, para que
WhatsApp sepa que se trata del usuario verdadero, le solicita un
código de autorización que el cliente debe calcular generando una
serie de operaciones matemáticas con, entre otros datos, la
contraseña que recibió al darse de alta y el código temporal que
el servidor le envía en ese momento. Si después de realizar estas
operaciones, el código que obtiene el cliente es igual al que ha
calculado el servidor, le deja acceder al servicio». Este proceso,
implica que la clave original sólo se utiliza para poder obtener
contraseñas temporales que sólo se utilizan por cada sesión.
El primer error de WhatsApp está en cómo utiliza
el algoritmo cifrado que usa, RC4, que tiene mucho tiempo y su uso
está desaconsejado porque se sospecha que ya está completamente
roto por agencias de inteligencia. Este se basa en utilizar
siempre la misma clave,
por lo que es mucho más fácil de atacar. Es decir, una aplicación
de mensajería instantánea segura debería
utilizar una clave por mensaje para que nadie logre descifrar la
información.
Sin embargo, WhatsApp utiliza la misma combinación secreta
para todos sus mensajes.
Por ello han creado una aplicación que refuerza en
tres niveles la seguridad de la «app»:
WhatsApp
Privacy Guard,
que si nada falla estará lista el próximo mes de diciembre.
