Otro recordatorio de que si desea una seguridad o privacidad perfecta en línea, no debe esperar que cada campana y silbato de la conveniencia tecnológica esté a mano.
Se ha demostrado que la aplicación de mensajería encriptada de extremo a extremo WhatsApp filtra metadatos a medida que los usuarios escriben URL dentro de los chats, de una manera que podría, al menos en teoría, ofrecer una ruta para que un adversario sofisticado obtenga la dirección IP de un usuario.
Es casi seguro que el comportamiento es el resultado de una función de conveniencia que la aplicación de mensajería ofrece a su base de usuarios principal al ofrecer una vista previa de las URL dentro de los chats a medida que escriben. Para ser claros, aquí no se filtran datos de mensajes reales. Los chats todavía están encriptados e2e. WhatsApp sigue siendo una opción de mensajería segura para los usuarios principales.
Pero en algunos casos, la aplicación también podría filtrar el agente de usuario y la versión de Android, así como los metadatos de la dirección IP, a través de esta ruta. Esto es según un desarrollador externo, @mulander, quien identificó y marcó el problema a través de Twitter. También ha publicado un breve resumen de los hallazgos sobre Noticias de piratas informáticos.
Mulander dice que se encontró con el comportamiento porque él mismo aloja su correo electrónico y blog, y notó que llegaban las solicitudes GET de WhatsApp, carácter por carácter, mientras miraba los registros de su software de servicio web.
Otros que se unieron a la discusión en Twitter dijeron que pudieron reproducir exactamente el comportamiento.
“La información que la aplicación está filtrando actualmente es: la dirección IP, la versión de Android y la versión de WhatsApp del teléfono que usa la persona que ingresa la URL, la URL exacta que se ingresa y la hora exacta en que ocurre cada pulsación de tecla”, nos dijo Mulander.
“No es posible para [WhatsApp] para obtener la vista previa y no filtrar la dirección IP del solicitante (y es bueno que no hagan la solicitud en nombre del usuario, ya que eso significaría que conocen el contenido del mensaje, lo cual no es el caso). ”
Pero sugiere que WhatsApp podría tartamudear estas solicitudes GET para ocultar (aunque sea un poco) el momento en que un usuario está escribiendo una URL. En lugar de obtenerlo carácter por carácter en tiempo real, lo que filtra la cadencia de escritura y, potencialmente, otra información no deseada, por ejemplo, una segunda URL o algunas palabras ingresadas por error después de la primera URL sin estar separadas por un espacio.
También argumenta que WhatsApp podría deshabilitar las vistas previas del sitio web de forma predeterminada, aunque una aplicación convencional no puede funcionar de manera realista al proteger las funciones centradas en la conveniencia de sus usuarios, dado que, como regla general, es poco probable que esos usuarios puedan descubrir tales funciones en su propio; ergo, necesitan (y esperan) que se les ofrezca comodidad.
Y es, después de todo, la comodidad de WhatsApp lo que ha ayudado a que la mensajería de cifrado e2e sea accesible para tantos usuarios de aplicaciones convencionales. Lo que es algo bueno. Sin embargo, la aplicación de mensajería propiedad de Facebook actualmente no ofrece ninguna forma de deshabilitar la función de vista previa del sitio web dentro de WhatsApp, y eso parece una pena.
Si ofreciera una opción, los usuarios con preocupaciones específicas, o un nivel de amenaza muy alto, podrían al menos optar por cerrar el riesgo de fuga de metadatos a través de una ruta de URL escrita.
En ausencia de tal opción, supongo que una solución manual es no escribir URL en sus chats de WhatsApp. O para usar una aplicación de mensajería alternativa (e2e) que no ofrece vistas previas del sitio web cuando desea enviar direcciones URL a los contactos.
Por ejemplo, la aplicación de mensajería Signal, cuyo protocolo cifrado de extremo a extremo también usa WhatsApp, no filtra metadatos porque no obtiene vistas previas de URL.
Este también es el comportamiento esperado para esa otra aplicación de mensajería dado el enfoque más completo de Signal en la seguridad sobre la comodidad general. (Y la base de usuarios de Signal tampoco se acerca al tamaño de WhatsApp).
El punto es: las opciones de seguridad son como los caballos para los cursos.
“Tenga en cuenta que no considero que esto sea una falla de alta seguridad”, enfatiza Mulander sobre las solicitudes GET de WhatsApp. “Sí, están filtrando información, pero el cifrado NO está roto en su software.
“La fuga de información es un canal secundario que un adversario muy sofisticado podría usar para conectar metadatos y obtener información adicional sobre la conversación, pero el mensaje de texto claro no se transmite a través de Internet”.
Nos comunicamos con WhatsApp para comentar sobre el problema, pero en el momento de escribir este artículo, la empresa no había respondido.
Al opinar a través de Twitter, el ingeniero de software Alec Muffett, quien implementó la criptografía e2e para la función de chats privados de Facebook cuando trabajaba en la empresa matriz de WhatsApp, es en gran medida desdeñoso…
Aunque otros en el espacio de seguridad de la información están de acuerdo en que una opción de ‘sin vista previa’ al menos sería bueno tenerla en WhatsApp…
Solo diré: tener una opción de “sin vistas previas” sería bueno… 🙂
— el grugq (@thegrugq) 15 de junio de 2017
tl; dr, un poco más de ofuscación de la privacidad y la elección del usuario sería, sin duda, bueno para WhatsApp y, si se implementa bien, no debería correr el riesgo de complicar demasiado su usabilidad.
Pero el problema principal que se señala es el eterno tira y afloja entre la seguridad y la comodidad. En pocas palabras: las personas deben seleccionar la herramienta de seguridad adecuada para su nivel de amenaza.
Mientras que aquellos con preocupaciones específicas sobre la privacidad digital (por ejemplo, centrados en las direcciones IP que se utilizan para el seguimiento/orientación de anuncios) pueden necesitar estar preparados para renunciar a una mayor comodidad tecnológica que otros.
El otro problema que se destaca aquí es la necesidad de que la industria en su conjunto articule mejor las tecnologías complejas, para ayudar a los usuarios a comprender su riesgo relativo. Y para evitar que las decisiones de diseño/compensaciones previstas se malinterpreten como algo más siniestro. O la seguridad para combinarla con la privacidad.