WhatsApp envía sus mensajes encriptados... pero su seguridad sigue siendo baja

Hace poco tiempo vimos cómo WhatsApp daba pasos hacia adelante en su seguridad lanzando una nueva versión de su aplicación oficial con encriptación incluida. Antes de la actualización los mensajes se enviaban completamente al descubierto, sin ningún tipo de codificación, lo que representaba una fortísima amenaza para nuestra seguridad. Ahora llegan más malas noticias para esta plataforma de mensajería, ya que al parecer la seguridad de esa encriptación de los mensajes no es lo suficientemente buena.

Dicha seguridad varía si usamos WhatsApp en Android o en iOS. El cifrado de nuestras credenciales en Android se reduce a un simple hash MD5 del número IMEI del móvil puesto del revés, algo que se puede conseguir muy fácilmente. En el caso de iOS el cifrado se obtiene haciendo el mismo hash MD5 de la dirección MAC del terminal repetida dos veces. Para los que no lo sepan: un hash MD5 de un archivo genera un código alfanumérico que sirve para identificar o confirmar la integridad de dicho archivo.

Datos como el IMEI o la dirección MAC de un teléfono móvil son demasiado fáciles de obtener, incluso para una persona que no tenga conocimientos avanzados de hacking. Un par de búsquedas en Google pueden proporcionarte las aplicaciones necesarias para obtener estos datos. Y eso no es todo: cuando WhatsApp revisa nuestra agenda de teléfonos móviles los datos siguen enviándose en un documento XML que muestra información de un usuario como su número, su estado o su cuenta de Jabber si consta en la agenda.

En la fuente sacan una conclusión bastante clara: “No uses WhatsApp. En serio, no lo uses”. Eso no es nada fácil de conseguir si tenemos amigos y familiares acostumbrados al protocolo, así que sólo me queda recomendar que tengáis especial prudencia con WhatsApp, sobretodo si estáis en una red Wifi pública; y esperar que los desarrolladores apliquen una encriptación mucho más adecuada.

Vía | Fileperms
En Genbeta | Cuidado con las aplicaciones de WhatsApp para Facebook: son todas falsas