CIFRADO EN WHATSAPP

Whatsapp, es una de las Apps más utilizadas de la App Store. Por lo visto, la aplicación presenta un problema de seguridad importante, que permite a cualquiera con unos conocimientos básicos de hacking hacerse con los números de teléfono de las personas con las que chateamos o incluso el contenido de los chats… un contenido, que, se supone, debería estar cifrado pero no lo está.

w1

En la imagen de arriba, vemos una captura de pantalla del programa Wireshark, que permite ‘hurgar’ en redes locales en busca de información. Efectivamente, Whatsapp utiliza el puerto 443 para sus comunicaciones seguras HTTPS, algo que en la web de Whatsapp se aseguran de hacer saber… esto quiere decir que sobre el papel, las comunicaciones de Whatsapp son seguras ya que están cifradas. La realidad, no obstante, es que la App no tiene una implementación SSL (el sistema de seguridad) perfecta, porque aunque utiliza el puerto 443 para sus comunicaciones, estas son enviadas como textos planos, sin ningún tipo de encriptación (cifrado).

w2

Por lo que a a hora de usar Whatsapp hay que tener en cuenta que si la usamos en una red Wi-Fi libre, en un Aeropuerto o cualquier otro lugar público cualquier persona que no conozcamos conectada a la misma red que pueda utilizar Wireshark o cualquier otro programa similar, puede espiarnos, en el sentido literal de la palabra, sin que nosotros lo sepamos. En cambio si nos conectamos vía red 3G de nuestro operador de telefonía móvil, no creemos que haya que preocuparse, ya que es mucho más complicado (por no decir imposible) para cualquier hacker conectar a esta red para intentar espiarnos, eso sin contar con que hay literalmente cientos de miles de usuarios conectados en cualquier momento. No es imposible, no obstante, incluso alguien que trabaje en esa compañía telefónica podría hacerlo, pero las probabilidades son muy remotas y además podría tener consecuencias legales muy graves para esa empresa, por lo que consideramos que es seguro conectar vía 3G.

ACTUALIZACIÓN DE WHATSAPP

WhatsApp daba pasos hacia adelante en su seguridad lanzando una nueva versión de su aplicación oficial con encriptación incluida. Como dijimos antes de la actualización los mensajes se enviaban completamente al descubierto, sin ningún tipo de codificación, lo que representaba una fortísima amenaza para nuestra seguridad. Ahora llegan más malas noticias para esta plataforma de mensajería, ya que al parecer la seguridad de esa encriptación de los mensajes no es lo suficientemente buena.

Dicha seguridad varía si usamos WhatsApp en Android o en iOS. El cifrado de nuestras credenciales en Android se reduce a un simple hash MD5 del número IMEI del móvil puesto del revés, algo que se puede conseguir muy fácilmente. En el caso de iOS el cifrado se obtiene haciendo el mismo hash MD5 de la dirección MAC del terminal repetida dos veces. Para los que no lo sepan: un hash MD5 de un archivo genera un código alfanumérico que sirve para identificar o confirmar la integridad de dicho archivo.

Datos como el IMEI o la dirección MAC de un teléfono móvil son demasiado fáciles de obtener, incluso para una persona que no tenga conocimientos avanzados de hacking. Un par de búsquedas en Google pueden proporcionarte las aplicaciones necesarias para obtener estos datos. Y eso no es todo: cuando WhatsApp revisa nuestra agenda de teléfonos móviles los datos siguen enviándose en un documento XML que muestra información de un usuario como su número, su estado o su cuenta de Jabber si consta en la agenda.

Lo mejor es no usar Whatsapp pero eso no es nada fácil de conseguir si tenemos amigos y familiares acostumbrados al protocolo, así que lo mejor es tener especial prudencia con WhatsApp, sobretodo si estáis en una red Wifi pública; y esperar a que los desarrolladores apliquen una encriptación mucho más adecuada.

En este vídeo un experto informático explica las vulnerabilidades de Whatsapp.

 

valonso

Anuncios

Acerca de sadcastelao

Blog Seguridad Informática

Responder

Introduce tus datos o haz clic en un icono para iniciar sesión:

Logo de WordPress.com

Estás comentando usando tu cuenta de WordPress.com. Cerrar sesión / Cambiar )

Imagen de Twitter

Estás comentando usando tu cuenta de Twitter. Cerrar sesión / Cambiar )

Foto de Facebook

Estás comentando usando tu cuenta de Facebook. Cerrar sesión / Cambiar )

Google+ photo

Estás comentando usando tu cuenta de Google+. Cerrar sesión / Cambiar )

Conectando a %s

A %d blogueros les gusta esto: