Backdoor en WhatsApp permite interceptar comunicaciones cifradas

  • 0 Respuestas
  • 2301 Vistas

0 Usuarios y 1 Visitante están viendo este tema.

Desconectado HATI

  • *
  • Moderador Global
  • Mensajes: 453
  • Actividad:
    0%
  • Reputación 13
    • Ver Perfil


El investigador de criptografía y seguridad informática de la Universidad de Berkeley (EE.UU.). Tobias Boelter ha descubierto un backdoor (no es una vulnerabilidad) en la aplicación de mensajería instantánea WhatsApp que permite analizar los mensajes cifrados. Esta puerta trasera daría acceso a la lectura de las comunicaciones a pesar de contar con sistemas de seguridad cifrados de "extremo-a-extremo" (E2E).


Versión 1: WhatsApp tiene un BackDoor

Según ha desvelado el medio The Guardian, este backdoor fue descubierto y comunicado en abril del pasado año pero en ese momento Facebook dijo que "conocían el problema pero que era algo en lo que no estaban trabajando".
Esta puerta trasera puede ser explotada para interceptar y leer mensajes cifrados y que, según organismos de defensa de la privacidad y la protección de datos, puede ser utilizada por agencias gubernamentales.

Desde el lanzamiento de E2E, Facebook asegura que "ninguna persona puede interceptar los mensajes enviados a través de WhatsApp, ni siquiera la compañía o sus empleados". Sin embargo, esta nueva investigación demuestra que la empresa es capaz de acceder a las comunicaciones de sus más de mil millones de usuarios.


El sistema de cifrado de "extremo a extremo" introducido por WhatsApp se basa en la generación de claves de seguridad únicas, utilizando el mismo protocolo que Signal, desarrollado por Open Whisper Systems. Sin embargo, según denuncia Boelter en su investigación, WhatsApp tiene la capacidad de forzar la generación de nuevas claves de cifrado para los usuarios sin que el remitente y el destinatario de los mensajes lo sepan (por ejemplo porque están fuera de línea). Esta nueva clave permite cifrar y descifrar los mensajes enviados que todavía no han sido "vistos" por el destinatario (doble check).


Facebook ha dicho que este comportamiento es deseable para que usuarios que cambien su teléfono y simcard puedan seguir teniendo acceso a sus mensajes y que Facebook pueda ayudar en el proceso de regeneración de claves.

Sin embargo, Signal no presenta el mismo comportamiento y por eso sigue siendo recomedable su uso. Todo hace hace pensar que la regeneración de claves en Facebook es ex profeso y no un error; el cambio en el cifrado permite que, si un organismo gubernamental le pide a WhatsApp que revele sus registros de mensajería, puede darle acceso debido al cambio en las claves.


Versión 2: WhatsApp tiene una funcionalidad (que parece un BackDoor)

Un ataque Man-in-the-Middle funciona porque ambas partes -que se comunican entre sí- no verifican las huellas (hash) de las claves intercambiadas. Signal y WhatsApp utilizan un concepto llamado "TOFU" o "Trust On First Use". Esto significa que cuando se intercambia una clave, siempre se confía en esta clave mientras la misma no cambie.


Signal y WhatsApp tienen diferentes configuraciones por defecto para manejar lo que sucede cuando la clave de un contacto cambia:

  • WhatsApp sólo notifica al usuario cuando el mismo lo verifica en su configuración.
  • Signal bloquea todos los mensajes salientes. El usuario tiene que verificar manualmente la nueva clave por defecto. Este es un problema de usabilidad ya que el usuario debe verificar la clave en persona, mediante el código QR el hash.

Entonces, esto no parece ser una puerta trasera en WhatsApp, es un ajuste predeterminado de WhatsApp para no bloquear el envío de mensajes cuando la clave cambia (por ejemplo cuando se cambia el teléfono o la simcard).


Conclusión

Cuando un proveedor dice que "utiliza cifrado de Extremo-a-Extremo que no tiene ninguna manera de leer los mensajes", esto es... mentira.

Un proveedor siempre tiene la capacidad de interceptar mensajes siempre y cuando el usuario no verifique los hash de las claves intercambiadas. Con WhatsApp, es muy difícil asegurarse de lo que ocurre porque al ser código fuente cerrado, simplemente debemos terminar confiando en ellos... o no.




Fuente: blog.segu-info.com.ar


Jugar o perder

 

WhatsApp limita el reenvío de mensajes para combatir el "spam" y fake news

Iniciado por Ascendock

Respuestas: 0
Vistas: 2005
Último mensaje Julio 28, 2018, 12:04:00 am
por Ascendock
WhatsApp prepara la opción "marcar como no leído"

Iniciado por Alejandro_99

Respuestas: 0
Vistas: 2232
Último mensaje Julio 05, 2015, 09:58:30 pm
por Alejandro_99
Descubren que el Hacking Team usaba Apps de Facebook y WhatsApp para robar info.

Iniciado por Mayk0

Respuestas: 0
Vistas: 2460
Último mensaje Agosto 10, 2015, 02:50:44 pm
por Mayk0
Hckers utilizaron el error de WhatsApp de 0 días para instalar programas espía

Iniciado por Dragora

Respuestas: 0
Vistas: 989
Último mensaje Mayo 14, 2019, 12:19:47 pm
por Dragora
¿Cómo evitar el doble tilde azul de WhatsApp y seguir leyendo los mensajes?

Iniciado por Alejandro_99

Respuestas: 0
Vistas: 2073
Último mensaje Noviembre 06, 2014, 01:44:47 pm
por Alejandro_99