MADRID, 18 Ene. (Portaltic/EP) -
WhatsApp tiene un problema de diseño que permite identificar los dispositivos que un usuario tiene vinculados a la misma cuenta, como parte de la arquitectura multidispositivo, lo que puede generar problemas de privacidad y seguridad.
Un actor malicioso puede obtener información de los dispositivos que utiliza un usuario de WhatsApp debido al diseño de protocolo de encriptación de extremo a extremo (E2EE) establecido por la compañía tecnológica, como asegura el investigador Tal Be'ery, cofundador de la criptobilletera ZenGo, en su blog en Medium.
Este protocolo se implementó por primera vez en WhatsApp en 2016, para proteger el contenido de las conversaciones y que solo emisor y receptor pudieran tener acceso a él. Con la llegada en 2021 de la arquitectura multidispositivo, que permite vincular a una misma cuenta un teléfono principal y hasta cuatro dispositivos acompañantes, la compañía adaptó el protocolo a la nueva situación.
Por el protocolo de E2EE, el dispositivo principal genera una clave de encriptación, no a nivel de servidor, que solo cambia cuando el usuario reinstala la aplicación en un nuevo dispositivo sin recurrir a una copia de seguridad. En cualquier caso, se trata de una clave visible para el resto de participantes en la conversación.
Al incorporar la arquitectura multidispositivo, los dispositivos adicionales también tienen que contar con una clave de encriptación. En lugar de compartir la misma que el dispositivo principal, la solución que WhatsApp adoptó es que los nuevos dispositivos generen una clave propia, derivada de la clave del dispositivo principal.
Como detalla el investigador, la clave del móvil principal incluye el teléfono y termina con el sufijo '.0', mientras que los dispositivos vinculados añaden antes del sufijo un número que los identifica. Esta información, además de aparecer en una conversación con un destinatario, que puede deducir si su interlocutor usa el dispositivo principal o uno secundario, también se puede ver desde las herramientas para desarrolladores en el navegador.
Esta información, en manos de un actor malicioso, puede dar lugar a ataques dirigidos al dispositivo secundario, habitualmente considerado como un objetivo más asequible, como apunta Tal Be'ery.
También a la creación de 'exploits' personalizados enviados al principal a través de mensajes invisibles para el navegador o el dispositivo secundario. E incluso puede motivar un seguimiento del usuario, ya que permite saber si se ha comprado un nuevo móvil o si usar la plataforma desde el ordenador.
El investigador ha decidido compartir esta investigación después de notificarla a WhatsApp a principios de enero como parte del programa de recompensas y de que esta compañía lo rechazada por no ser un fallo de seguridad sino una cuestión de diseño.
La compañía, en el correo electrónico enviado a Tal Be'ery, recuerda al investigador que el cambio de clave puede ocurrir "por una variedad de razones", y que el cambio de clave no tiene por qué deberse siempre a que el usuario ha cambiado de dispositivo, ya que puede haber reinstalado la 'app' en el mismo.
Apunta, además, que el cambio de clave puede permitir al usuario saber que ya no está hablando con la misma persona, lo que convierte a la notificación de la clave E2EE en una medida de seguridad y protección aparte de la encriptación.
