Seguridad y privacidad en WhatsApp. Ejemplo práctico nº1

En los últimos días se está hablando constantemente de WhatsApp por varios motivos. Mientras el ciudadano de a pie debate entre comprar pastas Gallo o marca blanca, Mark Zuckerberg compra WhatsApp por 16 Billones de Dólares Americanos. Se dice rápido. Pero éste no es el único motivo: a los pocos días de su compra, la compañía líder de mensajería sufre un corte en el servicio que afecta a millones de usuarios durante horas.

A pesar de esto, en la comunidad de Seguridad de las TIC se lleva ya mucho tiempo mirando con ojo escéptico a esta aplicación. La ausencia de encriptación en las transmisiones de datos de las primeras versiones hizo que muchas empresas se empezaran a plantear si su uso a nivel corporativo podría suponer un problema de seguridad. Poco a poco WhatsApp fue actualizando y blindando sus API con el objetivo de arreglar estos agujeros de seguridad. Pero el aroma y olor a intranquilidad que desprende esta aplicación se ha propagado incluso al ciudadano de a pie, dando fuerza a otras alternativas de mensajería como Line y Telegram.

Hace unas semanas, tras una tarde de tertulia con Emilio Alonso y otros compañeros del gremio, decidí adentrarme en una prueba de concepto con el objetivo de ver hasta qué punto WhatsApp había mejorado sus puntos más débiles: la seguridad y la privacidad.

• INCISO: Febrero del 2014 -> La WhatsAPI de la que a continuación se habla ha sido retirada por infringir, supuestamente, la DCMA americana. Desconozco hasta qué punto su uso a partir de este momento puede ser cuestionable o incluso ilegal. Por otro lado y como comentario personal alegaré que WhatsApp está basado en el protocolo XMPP, de código abierto y extensible, por tanto el hecho de bloquear una aplicación basada también en el mismo protocolo libre no se sostiene por ningún lado.

El proceso consiste en instalar en un ordenador el cliente de mensajería Pidgin junto con un plugin que permite la ejecución de los comandos de la WhatsAPI e interactuar con los servidores de WhatsApp. El envío/recibo de mensajes usando una API externa no es ninguna novedad, pero el hecho de integrar muchas de las funcionalidades de WhatsApp en una interfaz de un cliente de mensajería de escritorio facilita la interacción con la herramienta y abre nuevas posibilidades. Algunas de ellas bastante alejadas de la línea de la moralidad.

Después de añadir una cuenta de usuario de WhatsApp con la ayuda de WARP para manejar el proceso de autenticación con SMS que utiliza Whatsapp la primera vez que se instala en un dispositivo, podremos ver una ventana de contactos vacía. A partir de este momento es posible añadir contactos a nuestra lista pero, he aquí la primera disyuntiva: Si la aplicación para Smartphones se alimenta de la lista de contactos de tu dispositivo, ¿de qué manera podremos seleccionar usuarios con los que interactuar en la aplicación de escritorio? Pues tan sólo necesitamos un número de teléfono. Cualquiera.

Esto puede ser un problema de privacidad, ya que a continuación podremos ver el estado de la persona, el nombre que tenga asocioado en WhatsApp e inclusive su foto de perfil. Esta violación de privacidad ya sucede actualmente en la aplicación de Smartphones, pero al portarla a una computadora, las posibilidades de usar este sistema como recopilación de información o incluso como envío masivo de mensajes de spam con fines ilícitos o propagandísticos aumenta considerablemente.

No contento con haber estado buscando números al azar y haber gastado alguna que otra broma a compañeros y amigos suplantando identidades (puede llegar a ser muy adictivo hablar con Scarlett Johansson), decidí ver cómo se gestionaba el tema de los grupos, el envío de imágenes, audio, situación…

Por ejemplo, en el caso del envío de fotos, WhatsApp codifica las imágenes mediante una función de hasheo y las almacena en sus servidores. De esta manera, cuando algún usuario comparte una imagen (o archivo multimedia), se verifica que ésta no exista previamente en sus servidores. Posteriormente se permite, o no, la subida de la foto para a continuación transmitir el enlace de descarga al destinatario.

Como se puede ver en la imagen superior, el enlace generado es una URL a los servidores multimedia de Whatsapp cuya dirección está formada por una función hash. Por tanto, he aquí la pregunta para la próxima entrada en el blog: ¿Sería posible autogenerar esta función de hash con el objetivo de encontrar fotos al azar enviadas a sus servidores?

Protección de datos: La verdad sobre la sentencia del Tribunal Supremo

La reciente sentencia del Tribunal Supremo que anula el artículo 10.2.b del Real Decreto 1720/2007 ha hecho saltar todas las alarmas en los medios de comunicación. Titulares como “Barra libre para el trato de datos de carácter personal” o “El fin de la privacidad de las personas” han aparecido en la prensa generalista o en diversos blogs. Sin embargo, ¿qué hay de cierto detrás de estas noticias?

Analizando las primeras noticias que aparecieron en la prensa, una empresa podía pensar que a partir de ahora era posible tratar los datos de las personas a su antojo, sin que ello supusiera incumplir con la normativa aplicable en materia de protección de datos. Sin embargo, para tranquilidad de muchos y perjuicio de otros este hecho es totalmente falso, basta con leer cómo queda el famoso artículo 10 del Real Decreto 1720/2007 tras la sentencia del Tribunal Supremo.

Sin pretender entrar en temas demasiado técnicos, cabe desmentir de forma categórica las noticias que han aparecido, continúa siendo necesario contar con el consentimiento de las personas para cualquier tratamiento de sus datos de carácter personal. Lo único cierto del tema es que se ha eliminado una de las condiciones necesarias para constituir una excepción a dicha norma general, que establecía que dichos datos debían figurar en fuentes accesibles al público.

Más allá del contenido del artículo anulado, lo importante es saber que para que no sea necesario el consentimiento del afectado, deben coincidir una serie de restricciones que continúan siendo válidas, y que correspondientes al artículo 10.2.a). Básicamente exigen que dicho tratamiento esté amparado por una norma con rango de ley o de derecho comunitario, que corresponda al interés legítimo del responsable del tratamiento o cesionario (no basta con alegar interés comercial), y siempre que este interés no prevalezca a los derechos fundamentales de las personas (tales como el honor de las personas y su intimidad).

De hecho, la propia Agencia Española de Protección de Datos ya publicó una nota informativa donde analizaba este hecho, dejando claro su posicionamiento al respecto, incluso antes de que se pronunciase el propio Tribunal Supremo. La propia Agencia establece que atendiendo a las restricciones que permanecen vigentes, la sentencia no supone una modificación sustancial a los principios de la protección de datos de carácter personal.

Con todo ello es fácilmente comprobar que los titulares que se sucedieron a raíz de la mencionada sentencia partían de un análisis erróneo o exagerado y que en la práctica dicha sentencia no afecta sustancialmente a la mayoría de tratamientos que puedan realizarse.

¿Es sólo una cuestión de recomendaciones?

De un tiempo a esta parte, es muy frecuente oír hablar del auge que han tomado las redes sociales en internet. Quién más y quién menos forma parte de una de ellas, quizá dos o más. Se empieza recibiendo una invitación de un amigo, luego viene otra y otra hasta que, o bien las aceptas todas, o bien decides que ya es suficiente con las que tienes.

Darse de alta nos parece un puro trámite. Se presupone que leemos atentamente y aceptamos las cláusulas de confidencialidad o de privacidad, pero me atrevería a decir que en un 95% de los casos (no nos olvidemos de que siempre hay excepciones), no lo hacemos. El texto acostumbra a ser largo, pesado y aburrido: "total para estar en contacto con amigos y colgar unas cuantas fotos..."-solemos auto convencernos-. Ni siquiera pensaríamos en la privacidad y tratamiento que se realiza de nuestros datos personales, que voluntariamente consentimos en ceder, si no fuera por las noticias que últimamente están apareciendo en los medios de comunicación sobre la seguridad de las redes sociales, conservación de los datos de forma perpetua, imposibilidad de causar baja de ellas, etc, etc.

A continuación, nos sobreviene la sorpresa, en cierto modo, seguida de alarma y finalmente, surgen las preguntas: ¿Qué significa que Facebook pretendiese reservarse el derecho de almacenar de forma perpetua nuestros datos? ¿Qué significa que la misma red se negara a dar tratamiento a una solicitud de baja por fallecimiento? ¿Realmente mi consentimiento es tan universal? ¿Y todos aquellos derechos que se supone observa nuestra Ley de Protección de Datos (LOPD)? ¿Es sólo una cuestión de recomendaciones?...

Como punto de partida tenemos dos realidades:

Por un lado, existe una normativa europea de protección de datos (Convención nº108 del Consejo de Europa para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal), que

Comete a su jurisdicción a toda entidad instalada en la UE o que utilice medios establecidos en la UE para prestar sus servicios (A. Rallo, Director de la AEPD Entrevista digital 25 de noviembre 2008 El Pais.com)

Por tanto, en España se garantiza la aplicabilidad de la Ley de Protección de Datos (LOPD) sea cual sea el origen de la plataforma de internet que los contenga.

(...) cuando se producen infracciones en España que afectan a Google, Youtube u otros servicios de internet transnacionales, se les aplica la ley española (véase la misma cita)

Por otro lado, el usuario es responsable de su participación voluntaria en dichas redes, así como de publicar contenido de información personal en ellas. Otra cosa muy diferente es que realmente sea consciente de ello y del posible impacto que pueda tener para su privacidad.

Entonces, entiendo y estoy de acuerdo con las recomendaciones de la Agencia Española de Protección de Datos relativas a publicar únicamente la justa medida de información de carácter personal e informarse convenientemente de las condiciones de privacidad y cláusulas antes de pasar a formar parte de ellas. Así como de su desempeño en advertir a los usuarios confiados de los posibles riesgos que entraña.

Ahora bien, no entiendo y no comparto, que sólo trate como "recomendación" a las empresas que sustentan estas redes sociales y/o profesionales,

la mejora de sus técnicas de garantía de la privacidad (A. Rallo, Director de la AEPD Entrevista digital 25 de noviembre 2008 El pais.com)

Aunque formar parte de ellas sea un acto voluntario, la privacidad o mejor dicho, el respeto a la vida privada es un derecho fundamental amparado por la Constitución Española y Europea, que además se encuentra también protegido tanto por la Ley Orgánica 15/1999 de 13 de diciembre (Título 1, Artículo 1), como por la misma Convención nº108 del Consejo de Europa (Capítulo 1, Artículo 1).

Especialmente por este motivo, no puedo entender tampoco que las acciones que han contribuido a detener la puesta en marcha de decisiones tan abusivas como las comentadas anteriormente, que contravienen las actuales disposiciones legales y atentan contra los principios de la privacidad defendidos por ambos textos, procedan, tal y como se puede leer en la prensa, del "revuelo causado en toda la comunidad de usuarios" o de la "hermana del fallecido periodista William Bemister", por mencionar los últimos casos, y no, como a mi entender correspondería, de los organismos competentes.