Con toda la polémica que está levantando el asunto de la vigilancia en Internet después de las filtraciones de Edward Snowden, son muchas las apps de mensajería que recurren a la seguridad como uno de los principales argumentos a la hora de venderse y hacer frente a los líderes del mercado y, en especial, WhatsApp. Pero ¿cuáles son de verdad seguras?
Eso se han propuesto valorar desde la Electronic Frontier Foundation, una asociación sin ánimo de lucro que defiende la libertad y la privacidad en la red. El resultado es una completa tabla con las principales aplicaciones de mensajería y en la que se tienen en cuenta distintos aspectos relacionados con la seguridad. Los resultados podéis verlos directamente en su sitio web.
Los apartados que han considerado, y que os traducimos en orden según las columnas, son los siguientes:
- ¿Cifrado en tránsito?: Se comprueba si los mensajes (sólo el contenido, no los metadatos) viajan cifrados por la red.
- ¿Cifrado para que el proveedor no pueda verlo?: Se valora si los mensajes van cifrados end-to-end, es decir, si el propio proveedor o desde la propia app no se pueden leer los contenidos, con las claves de cifradas almacenadas por los usuarios y no en los servidors.
- ¿Se puede verificar las identidades de los contactos?: Si se puede asegurar que el usuario es quien dice ser y la integridad del canal usado en la comunicación.
- ¿Están las comunicaciones antiguas a salvo si roban tu clave?: Si los mensajes están cifrados con claves efímeras y, por tanto, nadie puede acceder a ellas si dicha clave se borra. Vamos, que si se borran las conversaciones en local no se pueden recuperar.
- ¿Es el código abierto para revisión independiente?: Se pide que el suficiente código se haya liberado como para comprobar que el proceso de cifrado no tiene bugs y funciona correctamente.
- ¿Está la seguridad suficientemente documentada?: Si el criterio para el cifrado está suficientemente documentado, preferiblemente justificado con algún paper científico redactado por expertos en criptografía.
- ¿Ha sido el código auditado?: Se valora si la app ha sido sometida a una auditoría de seguridad independiente en los últimos 12 meses.
Obviamente, cuantos más "circulitos" en verde dentro de dicha tabla, mejor. Existen varias alternativas que han conseguido superar todos estos puntos: ChatSecure, CryptoCat, Signal/RedPhone, Silent Phone, Silent Text y TextSecure. Todas ellas cumplen los requisitos que acabamos de mencionar.
Existen apps que cumplen todos los requisitos, pero las más populares no están entre ellas
¿Y qué ocurre con las más populares? WhatsApp únicamente ha conseguido dos sellos verdes: el de cifrado en tránsito y el de la auditoría anual, los mismos que han obtenido Snapchat, Facebook Chat y Google Hangouts. Mejor puntuación se lleva Telegram, que únicamente falla en el asunto del acceso a conversaciones pasadas y en la auditoría del código. iMessage, de Apple, ha obtenido también buenos resultados y sólo suspende en la verificación de identidades y en la falta de código abierto para revisión.
Más información | EFF
Ver 19 comentarios
19 comentarios
raziel2k
¿Porque no esta incluida Blackberry Messenger en el cuadro? si precisamente Blackberry a hecho su buena reputación en base al cifrado de sus mensajes y seguridad de sus servicios... Inclusive actualmente permite opciones como la enviar un mensaje que se auto destruya o borrar algún mensaje enviado por error, que lo convierten en un servicio aun mas completo.
shyrka
¿Y entonces a que viene esa mentirijilla de Eric schmidt diciendo que el servicio de Google es el mas seguro por encima de sus competidores? Deben salirle muy baratas o muy rentables sus mentiras.
ciudadwifi
El problema es que no todo es tan bonito como lo pintan... Por ejemplo el caso de Telegram, me da pena el que se crea que los dueños rusos no pueden interceptar lo que pasa por sus servidores. Y el motivo es sencillo: si conoces suficiente la encriptación usada, revertirla se puede usar en tiempo real. De ahí que por ejemplo lo comentado sobre EMC por Snowden no fuera que en el software de RSA metieran puertas traseras, no las necesitabas, solo con conocer el generador de números aleatorios (que es lo que le pidió la NSA) y por encima uno conocido por no ser muy bueno precisamente... pues ya no hay problema en romper la cifra.
En el caso de Telegram, y de ahí que sea un mito que no se pude acceder a las conversaciones, pues la seguridad del cifrado depende del servidor y todo pasa por el servidor... y por cierto el protocolo de seguridad MTProto es propio. Y es cierto que en teoría te puedes saltar el servidor.
Pero es que además, es mentira lo que dices y según la propia información pública... ya que cuando se agrega un nuevo usuario, pues se genera una nueva clave y esta es enviada al servidor... el servidor siempre hace la conversión entre cifrados... y cuando se quiere hacer un chat "seguro" independiente del servidor, pues resulta que no es tan independiente, la petición se hace al servidor y este sabe la la contraseña usada en esa conversación entre terminales aunque después nada pase por él... porque ha sido el el que la ha negociado. Por tanto, si tienes acceso al servidor, pues puedes hacer que usen la contraseña que a ti te interese, o simplemente capturar la conversación y después descifrar con la contraseña que (casi seguro) quedo almacenada en el servidor.
Pero a lo mejor a mi no me creéis, pues este mismo grupo de blogs, aunque enfocándolo justo vendiendo lo contrario (no se si por desconocimiento o por interés) pues en un articulo de genbeta explicaron el proceso:
http://www.genbeta.com/seguridad/asi-funciona-la-seguridad-de-telegram
Un excelente artículo de Guillermo, pero se olvido de explicar ciertos detallitos y que significaba todo lo que decía.
En resumen: desde afuera Telegram es bastante robusto, pero si tienes acceso al servidor, pues la seguridad se fue a la mierda porque la seguridad realmente se basa en que el servidor es seguro, pero al mismo tiempo es el árbitro y por tanto el servidor es el que tiene acceso a todo.
Tal como es esa infraestructura, pues pareciera que se hizo así para poder espiar cómodamente todo el tráfico, pero que terceros no puedan hacerlo. Y por eso mucho código libre y tal, pero nada de liberar la parte de servidor (ahí está el truco).
Pero el que quiera creer en cuentos de hadas, pues es libre de hacerlo.
hasta luego
gabrieldjr
BBM de BlackBerry es la más segura:
aunque no vi que la incluyeron
osamitaql
parece que les gusta hablar de todo menos de lo que es BlackBerry también cuenta con su servicio de mensajería no estaría mal que lo mencionen