NOTICIA

Así pueden espiar tus grupos de WhatsApp, pero aprovechar este fallo no es nada sencillo

enero 10, 2018 - NOTICIA

WhatsApp ha sido, tradicionalmente, la aplicación de mensajería instantánea que más críticas ha recibido por su falta de seguridad. En 2011 una vulnerabilidad podía dejar conversaciones al descubierto, en 2012 los problemas continuaban… Hasta que en 2014 llegó la solución a la mayoría de las preocupaciones con el cifrado de extremo a extremo, cuyo despliegue total finalizó en abril de 2016. Sin embargo, acaban de conseguir burlar este sistema y no ha sido fácil.

En el Real World Crypto Symposium celebrado ayer en Zurich (Suiza), un grupo de criptógrafos de la Universidad Ruhr de Bochum (Alemania) han encontrado un fallo que permite saltarse el cifrado de extremo a extremo en los grupos.

El cifrado de extremo a extremo no impide la entrada no autorizada de nuevos miembros en grupos privados, según los expertos

Concretamente, permite introducir a nuevas personas en un grupo privado de WhatsApp incluso sin el permiso del administrador, que en principio sería el único con el poder de controlar el acceso a la conversación. El invitado inesperado, por tanto, podría recibir a partir de ese momento los nuevos mensajes que se vayan generando, algo que socava la confianza en la seguridad de la aplicación según declaraciones de los investigadores citadas por Wired.

La confidencialidad del grupo se rompe tan pronto como el miembro no invitado puede obtener todos los nuevos mensajes y leerlos. […] Si escucho que hay encriptación de extremo a extremo para ambos grupos y comunicaciones entre dos partes, eso significa que se debe proteger contra la adición de nuevos miembros. Y si no, el valor de la encriptación es muy poco.

No es tan fácil: se necesitaría acceso a los servidores de WhatsApp

El fallo de seguridad descubierto por los investigadores es preocupante, sin duda, pero explotarlo no resulta nada sencillo. Su aprovechamiento quedaría limitado a individuos con acceso a los servidores de la compañía, como empleados de la propia WhatsApp, piratas informáticos avanzados o autoridades gubernamentales a las que se les haya brindado un acceso por alguna clase de requerimiento legal.

Una vez un atacante dispusiese de acceso, podría tomar el control de cualquier grupo creado en la aplicación, registrar los mensajes de sus diferentes miembros, sus números de teléfono e incluso camuflar su entrada en la conversación, que según el funcionamiento del servicio sería notificada como la unión al grupo de cualquier otro usuario.

Un atacante podría recopilar los mensajes y datos de un grupo a partir de su entrada, pero no podría acceder al historial

En un artículo que los investigadores han titulado como «Más es menos: sobre la seguridad integral de grupos de chats en Signal, WhatsApp y Threema», ya que también se han ocupado de investigar la seguridad de esas otras dos aplicaciones, sin encontrar errores de calado, explican las implicaciones de la vulnerabilidad.

Las debilidades descritas permiten al atacante A, que controla el servidor WhatsApp o puede romper la seguridad de la capa de transporte, tomar el control total sobre un grupo. Entrar en el grupo, sin embargo, deja trazas ya que esta operación aparece en la interfaz gráfica de usuario. El servidor WhatsApp puede utilizar el hecho de que puede reordenar y soltar mensajes en el grupo de forma sigilosa.

De este modo, puede almacenar en caché los mensajes enviados al grupo, leer primero su contenido y decidir en qué orden se envían a los miembros. Además, el servidor WhatsApp puede reenviar estos mensajes a los miembros individualmente de tal manera que una combinación sutilmente escogida de mensajes puede ayudarle a cubrir las huellas.

Estando así la situación, se rompería la premisa de que un cifrado de extremo a extremo no expone la información ni siquiera con un servidor comprometido, aunque esa protección no se haya roto. A priori solamente un administrador puede invitar a un nuevo miembro, pero WhatsApp no emplea ningún sistema de autenticación para gestionar esas invitaciones que sus propios servidores no puedan suplantar. Por eso, con tener su control, es posible llevar a cabo el ataque logrando que el teléfono de cada participante comparta automáticamente sus claves secretas de cifrado.

En WhatsApp reconocen el hallazgo de los investigadores, pero le restan importancia

Alex Stamos, director general de seguridad de Facebook, compartía hace unas horas en Twitter el artículo de Wired en el que se hacían amplio eco del descubrimiento de estos criptógrafos de la Universidad Ruhr de Bochum iniciando un hilo de tuits con diferentes matizaciones.

Para el ejecutivo, el titular «Los defectos de seguridad de WhatsApp podrían permitir que se colasen intrusos en chats grupales» resulta aterrador. Pero, asegura, «no hay una forma secreta de entrar en los chats de los grupos de WhatsApp» señalando que como apunta el propio texto los integrantes de un grupo verían un mensaje anunciando la entrada de un nuevo miembro.

En WhatsApp, se notifica a los miembros existentes de un grupo cuando se agregan personas nuevas. WhatsApp está diseñado para que los mensajes de grupo no puedan enviarse a usuarios ocultos y proporciona múltiples maneras para que los usuarios puedan confirmar quién recibe un mensaje antes de que se envíe.

WhatsApp ha examinado el informe cuidadosamente. Seguir el plan del investigador requeriría un cambio en la forma en que WhatsApp proporciona una característica popular llamada enlaces de invitación de grupo, que se utilizan millones de veces al día.

Stamos también dijo que podría existir un modo de proporcionar esta funcionalidad —la de los enlaces de invitaciones, la causante de que no exista un fuerte mecanismo de autenticación a la hora de invitar a grupos— con más protecciones, pero asegura que no está claro.

El responsable de seguridad se escuda en que notificaciones y avisos revelarían al intruso

Finalmente, el responsable de Facebook, compañía propietaria de WhatsApp, resume la controversia y las dudas generadas afirmando que «las notificaciones claras y las múltiples formas de comprobar quién está en su grupo evitan las escuchas silenciosas». Aunque lo deseable sería que no fuese el usuario quien tuviese que darse cuenta de la entrada de intrusos, sino que el propio sistema lo impidiese de cualquier manera, por muy sofisticado que sea el método para conseguirlo. «El contenido de los mensajes enviados en los grupos de WhatsApp sigue estando protegido por el cifrado de extremo a extremo», concluyó Stamos.

En Genbeta | El director del FBI sobre la encriptación de los dispositivos: «es un problema urgente de seguridad pública»