WhatsApp ha anunciado este viernes que va a implantar la posibilidad de realizar copias de seguridad cifradas de extremo a extremo de los chats en la nube para los usuarios de Android e iOS, allanando el camino para almacenar información como los mensajes de chat y las fotos en iCloud de Apple o Google Drive de forma criptográficamente segura.
La función opcional, que se pondrá en marcha para todos sus 2.000 millones de usuarios en las próximas semanas, se espera que sólo funcione en los dispositivos principales vinculados a sus cuentas, y no en los dispositivos complementarios, como ordenadores de sobremesa o portátiles, que simplemente reflejan el contenido de WhatsApp en los teléfonos.
Esta novedad supone una escalada en la creciente disputa sobre la tecnología de cifrado y la satisfacción de las necesidades de las fuerzas de seguridad, en la que las tecnologías de preservación de la privacidad han creado barreras impenetrables para cumplir con las exigencias legales de acceso a grandes cantidades de información digital almacenada en los teléfonos inteligentes y en la nube, un fenómeno conocido como el problema de la «oscuridad».
Aunque la plataforma de mensajería propiedad de Facebook activó el cifrado de extremo a extremo (E2EE) para los mensajes personales, las llamadas, los chats de vídeo y los medios de comunicación entre remitentes y destinatarios ya en abril de 2016, el contenido -en caso de que un usuario opte por hacer una copia de seguridad en la nube para permitir la transferencia del historial de chat a un nuevo dispositivo- no estaba sujeto a las mismas protecciones de seguridad, lo que hacía que las copias de seguridad pudieran ser leídas por los proveedores de la nube.
«Con la introducción de las copias de seguridad encriptadas de extremo a extremo, WhatsApp ha creado una bóveda de claves de copia de seguridad basada en un módulo de seguridad de hardware (HSM) para almacenar de forma segura las claves de cifrado por usuario para las copias de seguridad de los usuarios en un almacenamiento resistente a la manipulación, garantizando así una mayor seguridad del historial de mensajes de los usuarios», dijo la compañía en un documento técnico.
«Con las copias de seguridad cifradas de extremo a extremo activadas, antes de almacenar las copias de seguridad en la nube, el cliente cifra los mensajes de chat y todos los datos de mensajería (es decir, texto, fotos, vídeos, etc.) de los que se hace una copia de seguridad utilizando una clave aleatoria generada en el dispositivo del usuario», añade.
Para ello, la clave generada por el dispositivo para cifrar la copia de seguridad se asegura con una contraseña proporcionada por el usuario, que se almacena en la cámara acorazada para permitir una fácil recuperación en caso de robo del dispositivo. Alternativamente, los usuarios tienen la opción de proporcionar una clave de cifrado de 64 dígitos en lugar de una contraseña – pero en este escenario, la clave de cifrado tendrá que ser almacenada manualmente dado que ya no será enviada a la Bóveda de Claves de Respaldo del HSM.
Así, cuando el propietario de una cuenta necesite acceder a su copia de seguridad, podrá hacerlo con la ayuda de la contraseña o de la clave de 64 dígitos, que, posteriormente, se empleará para recuperar la clave de cifrado de la cámara acorazada de claves de seguridad y descifrar sus copias de seguridad.
La cámara acorazada está distribuida geográficamente en cinco centros de datos y se encarga de verificar las contraseñas y de hacer que la clave sea permanentemente inaccesible una vez superado un umbral de intentos fallidos, para evitar ataques de fuerza bruta para recuperar la clave por parte de agentes maliciosos.
Las copias de seguridad sin cifrar en la nube han sido una importante brecha de seguridad por la que las fuerzas del orden han podido acceder a los chats de WhatsApp para obtener pruebas incriminatorias en las investigaciones penales. Al abordar esta vía de escape, Facebook vuelve a ponerse en pie de guerra con los gobiernos de todo el mundo, que han criticado la decisión de la empresa de introducir E2EE en todos sus servicios.
Desde entonces, Facebook ha adoptado E2EE para las conversaciones secretas en Messenger y recientemente ha ampliado la función para las llamadas de voz y las videollamadas. Además, el gigante de las redes sociales está planeando una prueba limitada de E2EE para los mensajes directos de Instagram.
«WhatsApp es el primer servicio de mensajería global a esta escala que ofrece mensajería encriptada de extremo a extremo y copias de seguridad, y llegar a ello fue un reto técnico realmente difícil que requirió un marco completamente nuevo para el almacenamiento de claves y el almacenamiento en la nube en todos los sistemas operativos», dijo el director ejecutivo de Facebook, Mark Zuckerberg, en un post.
