Backdoor en WhatsApp permite interceptar comunicaciones cifradas
El investigador de criptografía y seguridad informática de la Universidad de Berkeley (EE.UU.). Tobias Boelter ha descubierto un backdoor (no es una vulnerabilidad) en la aplicación de mensajería instantánea WhatsApp que permite analizar los mensajes cifrados. Esta puerta trasera daría acceso a la lectura de las comunicaciones a pesar de contar con sistemas de seguridad cifrados de "extremo-a-extremo" (E2E).
Según ha desvelado el medio The Guardian, este backdoor fue descubierto y comunicado en abril del pasado año pero en ese momento Facebook dijo que "conocían el problema pero que era algo en lo que no estaban trabajando".
Esta puerta trasera puede ser explotada para interceptar y leer mensajes cifrados y que, según organismos de defensa de la privacidad y la protección de datos, puede ser utilizada por agencias gubernamentales.
Desde el lanzamiento de E2E, Facebook asegura que "ninguna persona puede interceptar los mensajes enviados a través de WhatsApp, ni siquiera la compañía o sus empleados". Sin embargo, esta nueva investigación demuestra que la empresa es capaz de acceder a las comunicaciones de sus más de mil millones de usuarios.
El sistema de cifrado de "extremo a extremo" introducido por WhatsApp se basa en la generación de claves de seguridad únicas, utilizando el mismo protocolo que Signal, desarrollado por Open Whisper Systems. Sin embargo, según denuncia Boelter en su investigación, WhatsApp tiene la capacidad de forzar la generación de nuevas claves de cifrado para los usuarios sin que el remitente y el destinatario de los mensajes lo sepan (por ejemplo porque están fuera de línea). Esta nueva clave permite cifrar y descifrar los mensajes enviados que todavía no han sido "vistos" por el destinatario (doble check).
Facebook ha dicho que este comportamiento es deseable para que usuarios que cambien su teléfono y simcard puedan seguir teniendo acceso a sus mensajes y que Facebook pueda ayudar en el proceso de regeneración de claves.
Sin embargo, Signal no presenta el mismo comportamiento y por eso sigue siendo recomedable su uso. Todo hace hace pensar que la regeneración de claves en Facebook es ex profeso y no un error; el cambio en el cifrado permite que, si un organismo gubernamental le pide a WhatsApp que revele sus registros de mensajería, puede darle acceso debido al cambio en las claves.
Fuente: Info-Security