Mejora de seguridad de WhatsApp: copias de seguridad cifradas

WhatsApp , una empresa propiedad de Facebook, es una aplicación móvil que permite a los usuarios enviar mensajes de texto, realizar llamadas de voz y compartir documentos con otros usuarios de WhatsApp. Quizás te preguntes por qué la aplicación te suena familiar; probablemente se deba al ataque a Jeff Bezos en 2018, cuando su teléfono fue hackeado y el atacante robó gigabytes de datos personales. Esto provocó la publicación de fotos comprometedoras de Bezos con su amante, un divorcio muy mediático y un ataque verbal de Chris Rock en los Óscar , todo a causa de un ciberataque relacionado con WhatsApp. Desde el ataque a Bezos en 2018, WhatsApp ha estado trabajando para mejorar su reputación en materia de seguridad.

El 10 de septiembre de 2021, WhatsApp anunció que implementará copias de seguridad de chats con cifrado de extremo a extremo en la nube para usuarios de Android e iOS, lo que permitirá almacenar información como mensajes de chat y fotos en iCloud de Apple o Google Drive de forma criptográficamente segura. Cuando se implementa correctamente, el cifrado de extremo a extremo puede impedir que los empleados de WhatsApp espíen a sus usuarios. Normalmente, esto no sería un problema, pero cuando se emite una orden judicial a WhatsApp, deben cumplirla si les es posible. El cifrado de extremo a extremo impide que incluso los empleados de WhatsApp puedan capturar y entregar estos historiales de mensajes de chat a las autoridades.

Característica de seguridad anterior

En 2016 , WhatsApp habilitó el cifrado de extremo a extremo (E2EE) para mensajes personales, llamadas, videollamadas y contenido multimedia entre remitentes y destinatarios. El problema con esta solución E2EE radicaba en las copias de seguridad de los datos de los usuarios en la nube. Al transferir conversaciones o datos desde los dispositivos de los usuarios, no se aplicaban las mismas protecciones de seguridad E2EE, lo que permitía que las copias de seguridad fueran accesibles para el personal de WhatsApp, agencias gubernamentales con una orden judicial, los propios proveedores de la nube e incluso hackers dentro de las redes de los proveedores de la nube.

La nueva función

La función opcional estará disponible en septiembre de 2021, pero solo funcionará en los dispositivos principales vinculados a la cuenta del usuario; no en dispositivos complementarios, como computadoras de escritorio o portátiles, que simplemente replican el contenido de WhatsApp en los teléfonos. WhatsApp publicó un informe técnico:

Con la introducción de copias de seguridad cifradas de extremo a extremo, WhatsApp ha creado un almacén de claves de seguridad basado en HSM (Módulo de seguridad de hardware) para almacenar de forma segura las claves de cifrado de cada usuario para las copias de seguridad en un almacenamiento a prueba de manipulaciones, lo que garantiza una mayor seguridad del historial de mensajes de los usuarios.

Con las copias de seguridad cifradas de extremo a extremo habilitadas, antes de almacenarlas en la nube, la aplicación cifra los mensajes de chat y todos los datos de mensajería (textos, fotos, vídeos, etc.) mediante una clave aleatoria generada en el dispositivo del usuario. Esta clave, generada por el dispositivo, está protegida con una contraseña proporcionada por el usuario, que se almacena en la bóveda para facilitar su recuperación en caso de robo del dispositivo.

Como alternativa, los usuarios pueden proporcionar una clave de cifrado de 64 dígitos en lugar de una contraseña. Sin embargo, en este caso, la clave deberá almacenarse manualmente, ya que ya no se enviará al almacén de claves de respaldo del HSM. Cuando el titular de una cuenta necesite acceder a su copia de seguridad, puede hacerlo con la contraseña o la clave de 64 dígitos, que posteriormente se utiliza para recuperar la clave de cifrado del almacén de claves de respaldo y descifrar sus copias de seguridad.

La bóveda está distribuida geográficamente en cinco centros de datos y es responsable de garantizar la verificación de la contraseña, así como de hacer que la clave sea inaccesible después de un número determinado de intentos de inicio de sesión fallidos, lo que reduce la probabilidad de ataques de fuerza bruta.

¿Qué vas a hacer ahora?

Si usas WhatsApp, deberías evitar usar WhatsApp hasta que se implemente esta nueva función. Una vez que esté disponible, CyberHoot recomienda habilitar esta función opcional para reducir la probabilidad de una vulneración de la privacidad de datos.

Recomendaciones cruciales de CyberHoot para PYMES

Mientras espera que se lance la nueva función de seguridad E2EE de WhatsApp, es fundamental que implemente las siguientes recomendaciones de CyberHoot: 

• Adopta un administrador de contraseñas para una mejor higiene de contraseñas personales y laborales
• Exigir autenticación de dos factores sobre todo las soluciones SaaS y relatos críticos
• Se requieren contraseñas de más de 14 caracteres en su Políticas de gobernanza y configuraciones tecnológicas
• Capacitar a los empleados Para detectar y evitar el correo electrónico phishing, ataques
• Poner a prueba a los empleados Puede detectar y evitar correos electrónicos de phishing
• Realice una copia de seguridad de los datos mediante el Método 3-2-1
• Incorporar el Principio de menor privilegio
• Lleve a cabo una evaluación de riesgos cada dos o tres años
• Contrata a un Director de Seguridad de la Información virtual profesional (vCISO) para asesorar, guiar y desarrollar su programa de ciberseguridad a una fracción del costo de contratar un FTE.

Fuentes:

Hacker News

Mint

Lecturas adicionales: 

Jeff Bezos y la falla de seguridad de WhatsApp

Cómo Facebook socava la protección de la privacidad de sus 2 millones de usuarios de WhatsApp

Descubra cómo CyberHoot puede proteger su negocio.

Agenda una demo