DÍGITS I ANDRÒMINES
Misc 03/02/2018

Xats de mòbil: el xifratge no ho és tot

La publicació d’uns missatges privats de mòbil entre Carles Puigdemont i Toni Comín demostra que el xifratge de les comunicacions no en garanteix la privadesa

i
Albert Cuesta
4 min
Xats de mòbil: el xifratge no ho és tot

Els responsables de seguretat informàtica ho saben: la majoria de les fuites d’informació en una organització no es produeixen per defectes o intrusions en els elements tecnològics, sinó per imprudència o malícia de la gent. Cap antivirus o tallafoc de xarxa protegeix d’una contrasenya anotada en un post-it, d’un arxiu copiat sense permís en un clauer USB o d’un clic en un enllaç de phishing. Si més no, sense l’aplicació estricta d’unes polítiques de seguretat que acostumen a complicar les tasques diàries del personal fins al punt que s’acaben buscant alternatives més còmodes, alienes al circuit homologat.

La difusió d’uns missatges suposadament enviats per Carles Puigdemont a Toni Comín, captats per un càmera de Telecinco mentre l’exconseller de Sanitat els llegia al seu telèfon en un acte públic a Lovaina, ha tret tot el sentit al debat interminable sobre els mèrits relatius de WhatsApp i Telegram en matèria de seguretat dels apliserveis més populars de xat al mòbil. Ja no es tracta de si el protocol de xifratge d’una plataforma és més o menys invulnerable que el de l’altra: les versions més recents de totes dues aplicaciones ofereixen un grau raonable de privadesa del contingut de les comunicacions. I, siguem sincers, la gran majoria dels usuaris tampoc s’expliquen res que justifiqui punxar-los les converses de mòbil. Però quan les de dues persones que sí són candidates a ser interceptades queden al descobert perquè algú els mira la pantalla per sobre de l’espatlla, detalls com la fortalesa del xifratge passen a un segon terme.

El cas és que l’elecció de Signal com a aplicació de xat per part dels nostres polítics a l’exili és encertada. Més austera que WhatsApp i Telegram -per cert, retirada aquesta setmana de l’App Store d’Apple-, no té icones animades. Igual que les altres, fa servir el número de mòbil com a identificador d’usuari, però és molt més moderada a l’hora de retenir als servidors les metadades de les comunicacions (data, hora, lloc, tipus de dispositiu i participants en el xat) que altres serveis, com WhatsApp i Facebook Messenger, que les aprofiten per encolomar-nos anuncis. Signal, com aquests dos últims i Google Allo, protegeix les converses amb el protocol de xifratge d’Open Whisper. Desenvolupat per algú que s’amaga darrere el pseudònim Moxie Marlinspike, està considerat més fiable que el de Telegram perquè és de codi obert i qualsevol el pot examinar. A més, a Signal (igual que a WhatsApp) aquest xifratge dels xats i les trucades de veu i les de vídeo està activat per omissió, no com a Telegram i a Facebook Messenger, on cal indicar explícitament cada vegada si volem que la conversa sigui secreta. Signal afegeix fins i tot una capa suplementària de verificació d’identitat, amb un codi QR que els interlocutors poden verificar físicament al telèfon de l’altre per tenir la seguretat que, a partir d’aquell moment, la persona amb qui es comuniquen és realment qui diu que és.

Solucions de privadesa

Tot plegat, però, no ha servit per preservar la privadesa dels missatges que s’han filtrat. Els dos interlocutors podrien haver optat per diverses mesures complementàries per dificultar la intromissió. La primera, que no sembla haver sigut aplicada en aquest cas, és la funció de missatgeria efímera: Signal permet a l’usuari que inicia la comunicació definir un període de caducitat -entre cinc segons i una setmana-, després del qual els missatges desapareixen dels dos mòbils un cop llegits. A la imatge difosa per Telecinco no es veu la icona d’un cronòmetre que Signal mostra quan la conversa es configura com a efímera, de manera que sembla que els interlocutors no ho van fer, malgrat que em consta que altres membres del Govern ho practiquen religiosament. En qualsevol cas, triar una caducitat superior als 50 minuts no sembla gaire prudent, tractant-se de converses tan delicades.

Ja que en parlem, durant les primeres hores algú va posar en dubte tota la veracitat de la conversa perquè l’indicador de temps dels missatges que apareix en pantalla diu “min.” i no “mins.”, i això el feia sospitar d’una manipulació. En realitat això només ens revela que Toni Comín té configurat en castellà el sistema operatiu del seu telèfon Android, perquè aquest fragment de text de l’aplicació de Signal està traduït de manera diferent segons l’idioma. I això quadra amb el fet que Comín és un dels 52 diputats electes que tenen el seu perfil de Twitter configurat en castellà, com sabem gràcies a l’anàlisi recent dels parlamentaris que piulen.

La segona mesura que hauria complicat la indiscreció és física. Al mercat es poden comprar filtres òptics de privadesa, unes làmines adhesives per a la pantalla que polaritzen la llum i impedeixen veure el contingut si no mires la imatge frontalment. Molt útils per als qui viatgem en transport públic penjats del mòbil. Per a telèfons n’hi ha des d’uns 20 euros -els de la marca 3M- fins a menys de 3 euros. Només cal decidir si preferim que protegeixin el nostre dispositiu de mirades indiscretes quan el tenim en posició vertical (llegint missatges o pàgines web) o bé horitzontal (mirant vídeos), perquè la polarització només funciona en un dels eixos.

Com a alternativa per a paranoics, es pot instal·lar al telèfon alguna aplicació de lectura selectiva, que enfosqueix tota la pantalla menys la zona en què l’usuari té posat el dit. Jo faig servir BlackBerry Privacy Shade, que és de franc per als abonats al servei BlackBerry Hub+, però n’hi ha moltes altres.

Esclar que també hi ha qui assegura que tot això no calia, perquè la captació i posterior difusió de la conversa han sigut provocades pels participants. No entraré en els aspectes ètics i jurídics de l’incident. Però convé un debat més ampli, perquè en aquest cas no hem vist els missatges entre Puigdemont i Comín anteriors i posteriors als que s’han fet públics, de manera que Telecinco només ens ha ensenyat el que li convenia. Això sí, ara tenim una nova demostració de la misèria moral d’uns mitjans que s’alegren dels instants de feblesa d’algú a qui han estat assetjant sense descans. I això no hi ha cap tecnologia que ho arregli.

stats