Privacidad en línea: Si WhatsApp está mal, muchos están peor

WhatsApp es la aplicación de mensajería más popular del mundo. Con 800 millones de usuarios, es muy utilizada en todo el mundo. Todo lo que le ocurra es, inmediatamente, noticia de alto impacto pues es la principal herramienta de comunicación de millones de personas. Pero no es la app más confiable para quienes cuidan su privacidad en línea: las herramientas para protegerla no están evolucionando al mismo ritmo de otras funcionalidades, como las llamadas de voz o el infame ‘visto’.

Es cierto que el servicio implementó el cifrado punto a punto hace un par de meses. Esta, quizás, es la herramienta de privacidad más importante y de más impacto que se puede utilizar: impide que cualquiera, excepto el remitente y el destinatario, lean los contenidos. Edward Snowden la recomienda y dice que es la mejor herramienta contra la vigilancia masiva. Sin embargo, un informe de un grupo alemán de seguridad mostró que, al menos hasta abril de 2015, el estándar solo se implementa cuando la comunicación ocurre entre equipos Android, y que la aplicación de hecho envía mensajes sin cifrar cuando uno de los equipos involucrados en la comunicación es un iPhone.

WhatsApp aun tiene pendientes varias otras herramientas de privacidad, como la verificación de la identidad de los contactos. Y, en un informe reciente de la Electronic Frontier Foundation que evalúa la transparencia de los servicios digitales en sus relaciones con los gobiernos, la app no salió bien librada. Según el reporte, los usuarios de WhatsApp no pueden saber si alguna autoridad está requiriendo sus conversaciones o su información, ni tienen certeza sobre el tiempo por el que éstas son almacenadas en los servidores de la empresa.

Hay herramientas de chat que implementan mecanismos de cifrado y seguridad diseñados para resistir ataques y espionajes, como CryptoCat o Silent Text. Pero la realidad es que tienen pocos usuarios. Y, como en todas las aplicaciones sociales, la masividad juega un papel crítico: un servicio de estos no sirve para nada si no hay con quién hablar. Por eso, nos pusimos en la tarea examinar cómo están las aplicaciones de mensajería más populares en este apartado. Los resultados son desalentadores.

– iMessage: El servicio de mensajería de Apple está cifrado de punto a punto, tal como WhatsApp. La empresa dice que no tiene acceso a las llaves, por lo que no puede leer los mensajes ni permitirles a las autoridades hacerlo. Pero, al contrario de WhatsApp, su sistema de encripción ha sido calificado positivamente por expertos en seguridad.

Además, la compañía de la manzana parece estar mucho más del lado del usuario, e incluso ha salido públicamente a defender su sistema de cifrado frente al FBI, que se queja de que no puede desencriptar los mensajes de iMessage. En la evaluación más reciente de EFF, la app sale bien clasificada en general, aunque aun puede tomar un par de medidas para mejorar su privacidad. Como siempre, el gran problema es que es exclusivo para los Mac y los dispositivos iOS.

– Facebook Messenger: Aunque este servicio y WhatsApp son ‘hermanos’, Messenger está aún peor en términos de privacidad. El chat de Facebook no tiene la opción de cifrado de punto a punto, lo que implica que Facebook (o cualquier otro) puede leer todas tus conversaciones. Hay aplicaciones que afirman permitir conversaciones encriptadas por medio de Messenger, pero requieren ser usadas por las dos partes, por lo que solo algunos ‘chats’ quedan realmente a salvo de posibles ojos fisgones.

Pero Facebook no lo hace todo mal. Por un lado, la empresa ha tomado una posición más fuerte en su relación con el gobierno, y sus niveles de transparencia son bastante altos, al menos en este aspecto. Por otro lado, hay una opción que permite publicar tus llaves privadas de cifrado en la red social. Además, si Facebook quiere convertir a Messenger en una plataforma, debe invertir en su seguridad; y si le pusiera cifrado punto a punto, tendría una plataforma mucho más privada para sus usuarios.

Si tienes algo que esconder, no lo digas en un chat

– Google Hangouts: 

Google ha mantenido una posición ambivalente con respecto a la privacidad. También se ha enfrentado al FBI en defensa de un cifrado más fuerte, pero algunos de sus productos son bastante porosos. La empresa admitió recientemente que Hangouts no tiene cifrado punto a punto, lo que –como sabrán si han leído hasta aquí– permite que cualquiera lea las conversaciones. Además guarda registros de los chats –así el usuario haya elegido no guardarlos–, lo que es una especie de bomba de tiempo: cualquiera con acceso podría espiar en tu historial.

Google ha dado pasos interesantes a favor de la privacidad en otros productos. El año pasado, creó una extensión de Chrome que hace a Gmail compatible con el cifrado PGP. Además, la empresa es pionera de los informes de transparencia y es de las que mejor implementa procesos como el de verificación en dos pasos, y generalmente sale bien librada de los ‘exámenes’ de la EFF en sus relaciones con los gobiernos.

– Skype: El servicio de teleconferencia de Microsoft tampoco cifra las conversaciones de punto a punto. Solo lo hace en los recorridos entre el destinatario y el servidor y entre el servidor y el destino. Un documento del servicio, llamado ‘Qué hacemos para protegerte’, cuenta una breve historia del cifrado pero habla poco sobre lo que en realidad hace el servicio: se limita a decir que “Skype usa algoritmos de cifrado basados en normas acreditadas para evitar que las comunicaciones de los usuarios de Skype caigan en manos de delincuentes y piratas informáticos”, sin entrar en detalles. Eso no protege el contenido de las conversaciones de los ojos de la propia empresa, o de una autoridad que quiera acceso a ellos a través de los servidores de Microsoft.

Algunas de las tareas que hace Skype no son compatibles con el cifrado punto a punto. Las llamadas y los SMS, en particular, no pueden viajar cifradas por la red telefónica. Y Microsoft no discute públicamente la seguridad de este servicio, por lo que no se conocen posibles vulnerabilidades, ni si alguien las está explotando. Esto es preocupante, especialmente frente a las versiones de que Microsoft compartía sus fallas de seguridad con la NSA antes de que fueran públicas. En general, el programa podría hacer un mucho mejor trabajo para proteger la privacidad de sus usuarios.

La conclusión de este ejercicio es sencilla: si tienes algo que esconder, no lo digas en un chat.

Imagen: vchai (vía Shutterstock)