WhatsApp apuesta cada vez más por la privacidad en su servicio de mensajería a través de una nueva función cuyo nombre es Protección de la dirección IP en las llamadas. La nueva opción de seguridad, que Meta está introduciendo oficialmente, enmascara las direcciones IP de los usuarios ante otras personas que llaman, enrutando las llamadas a través de sus servidores.
Sin embargo, “esta nueva función de reenvío del tráfico a través de servidores, desde un punto de vista técnico, no aumenta la seguridad en cuanto a la confidencialidad del contenido de la comunicación -que durante años estuvo cifrada de extremo a extremo-“, comenta Paolo Dal Checco, informático forense, “pero elimina la posibilidad de rastrear, a partir del tráfico de la red, a los interlocutores de una llamada de voz o de vídeo cifrada.”
Los detalles.
WhatsApp introduce una nueva función de privacidad
Las llamadas están cifradas de extremo a extremo. Así, incluso en el caso de desviar una llamada a través de los servidores de WhatsApp, ni siquiera la aplicación de mensajería de Meta puede escuchar nuestras llamadas.
La idea básica es hacer más difícil que los atacantes puedan deducir la ubicación del usuario durante la llamada, desviando la conexión de forma segura a través de los servidores de WhatsApp. Sin embargo, al activar la opción de privacidad se produce una ligera disminución de la calidad de la llamada.
“Esta característica no es nueva en el mundo de las aplicaciones de mensajería instantánea”, explica Dal Checco, “considere, por ejemplo, que Telegram ya permite desde hace tiempo desactivar en la sección ‘Privacidad y seguridad’ las llamadas Peer-to-Peer reenviando el tráfico a través de los servidores de Telegram, para evitar que los interlocutores obtengan nuestra dirección IP o que cualquier atacante con acceso a nuestra red tenga la posibilidad -mediante ‘sniffing’. Es decir, interceptando y almacenando el tráfico- de reconstruir las direcciones IP del que llama y del llamado”.
Además, “Signal -otra aplicación de mensajería instantánea y llamadas de voz cifradas”, continúa Dal Checco, “también permite desde hace algún tiempo configurar los ajustes avanzados de la sección ‘Privacidad’ para retransmitir el tráfico de llamadas telefónicas cifradas a través de los servidores de Signal”. Pero demos un paso atrás para entender cómo funciona una presentación de Whatsapp desde el punto de vista del tráfico de datos.
Anatomía de una llamada de WhatsApp: tráfico de datos
Veamos primero “cómo funcionaba una llamada de WhatsApp, desde la perspectiva del tráfico de datos, antes de este cambio”, explica Dal Checco: “Una parte llamaba a la otra y la llamada se iniciaba a través de una señal transmitida por los servidores de WhatsApp. Pero, para optimizar la velocidad, la conexión en ese punto se establecía directamente entre los dos dispositivos en modo peer-to-peer (P2P), sin involucrar ya a Meta y sus sistemas”.
“Por supuesto, interceptando el tráfico de red de una llamada de WhatsApp, también era posible detectar las direcciones IP de ambos interlocutores”, señala el informático forense. “O, trivialmente, un interlocutor podía conocer la dirección IP del otro, llamándole y esperando que contestara a la llamada”.
El uso de redes anónimas como VPN o Tor: problemas
La solución que ya entonces se podía seguir para superar este problema consistía en utilizar “redes anónimas como VPN o Tor, resolviendo, sin embargo, solo la mitad del problema: de hecho, en ese caso la IP del usuario de VPN quedaría anonimizada, pero no la de su interlocutor”, advierte Dal Checco.
“Es bien sabido que las VPN y los sistemas de anonimización pueden proteger la confidencialidad en varios ámbitos; no son la panacea, pero desde luego pueden proporcionar un mayor grado de protección que no utilizarlos, obviamente cuando hablamos de actividades de interceptación bastante avanzadas o de análisis de paquetes”, detalla Dal Checco.
También hay que tener en cuenta que “no es necesariamente el caso de que las Apps no puedan obtener la dirección IP ‘real’ de alguna otra manera, filtrándola entonces a través de la VPN y haciendo así que las conexiones a través de VPN o red Tor sean estupendas para OpSec básico pero no a prueba de espionaje avanzado”.
Metadatos de WhatsApp: privacidad
En todo este contexto, cabe mencionar que “los metabuscadores guardan -y siguen guardando a pesar de estas mejoras técnicas que favorecen la privacidad- diferentes metadatos (por ejemplo, nombre, inicio de la conexión, dirección IP, números bloqueados, libreta de direcciones, etc.) sobre cada usuario para poder proporcionárselos a petición de las autoridades policiales”.
“A petición especial pueden incluso recopilar más, llegando a rastrear la dirección IP de la persona que llama y de la llamada, el inicio y la duración, además del tipo de comunicación de la comunicación (es decir, dirección IP de la persona que llama, llamada, duración y otros datos relacionados con las comunicaciones, pero excluyendo el contenido que aún permanece encriptado) y en caso de petición por parte de la Autoridad Judicial pueden seguir proporcionando estos elementos”, señala Dal Checco.
WhatsApp: las novedades sobre privacidad recuerdan a la retransmisión privada de iCloud de Apple
Llegamos entonces al cambio introducido por Meta. “Se comporta en cierto modo como Apple con su servicio Private Relay”, continúa Dal Checco, “proporcionando esencialmente su propio servicio de intermediación de tráfico y actuando, en cierto modo, como una VPN”.
De hecho, el Relé Privado de iCloud de Apple añade una capa de anonimato enrutando las sesiones de navegación de Safari de los usuarios a través de dos relés de Internet seguros.
“En el caso de WhatsApp, es algo así como si el servidor creara una red segura con cada dispositivo en el momento en que tiene lugar la presentación de voz, de modo que interceptar la línea de un usuario con la protección IP activada daría lugar a la detección del tráfico hacia y desde el servidor de WhatsApp, impidiendo así la detección de los detalles de la dirección IP y el puerto UDP o TCP utilizado por el interlocutor”, señala Dal Checco.
Por tanto, “si cada interlocutor utiliza esta configuración, el tráfico interceptado en la comunicación se centraliza en su totalidad hacia los servidores de WhatsApp”, advierte Dal Checco: “De este modo se impide la reconstrucción de la especie de “impresión” del tráfico de WhatsApp hecha de direcciones IP y duración de las llamadas telefónicas que antes de la introducción de la novedad era posible obtener con cierto esfuerzo y el software adecuado”.
Los graves problemas de privacidad de la nueva opción de WhatsApp
“La desventaja de tal nivel de seguridad es, por supuesto, una menor calidad en el audio”, concluye Dal Checco: “mayores retrasos, posibles cortes en la comunicación, cuyo tráfico de datos -sin la activación de la función de retransmisión y protección de la dirección IP- viaja directamente entre los dos dispositivos mientras que con esta nueva función se “desvía” a los servidores de WhatsApp, creando así posibles ralentizaciones y cuellos de botella en momentos con numerosas llamadas y poca disponibilidad de ancho de banda”.
