* Título original del artículo "Wrong Signal" que creemos interesante para activistas y por lo que traducimos completo a continuación.
En los últimos meses, activistas de la privacidad y los derechos civiles han recomendado el uso de Signal, una aplicación de mensajería instantánea desarrollada por Open Whisper Systems (OWS). Después de la victoria de Donald Trump en las elecciones presidenciales de EEUU en particular, muchos tweets recomendaban usar el cifrado de discos duros y la aplicación de mensajería Signal al tiempo que desaconsejaban el uso de Threema y Telegram. En el portal de noticias alemán Linksunten (parte de indymedia, frecuentado por activistas de izquierda) aparecía un artículo en el mismo sentido. Creemos que esta discusión tomó un rumbo erróneo en algún momento. Es más, vemos un riesgo de incrementar innecesariamente la exposición a la represión de activistas y organizaciones. Por este motivo queremos contribuir al debate con el siguiente artículo.
No queremos menospreciar el increible servicio que OWS ha hecho al mundo de la mensajería instantánea. El protocolo de Signal, conocido como Axolotl, combina la seguridad criptográfica con la facilidad de uso. Este punto en particular es algo en lo que otros sistemas seguros de comunicación, como PGP, han fallado, expulsando en la práctica a las personas sin conocimientos técnicos de la participación en la comunicación segura.
El protocolo de Signal implementa Perfect Foreward Secrecy, cifrado off-line de mensajes y transferencia de archivos, que son caracteristicas esperadas por los usuarios de hoy en día, pero cuya combinación no ofrecen otras tecnologías de código abierto como la antes mecionada PGP u OTR. Y OWS no solo ofrece una libería de código abierto, sino que también ha desarrollado el cliente que la implementa. Haciendo esto presionan a otros vendedores de clientes de mensajería para implementar cifrado - muchas aplicaciones de mensajería instantánea están empleando el protocolo de Signal, el más conocido de estos es WhatsApp - y a publicar su código fuente.
La página web de Signal sugiere profesionalidad y da este mensaje: "Instala nuestro software y tus comunicaciones serán fáciles y seguras. No necesitarás saber nada más". Los usuarios de sistemas IT deberían ser críticos con cualquier afirmación de seguridad absoluta. No existe la seguridad perfecta como tampoco existe una cura universal para todas las enfermedades. Al pensar en comunicación segura es crucial preguntarse qué clase de seguridad necesitamos.
Hay muchas cosas por las que las usuarias pueden y deberían implicarse: hackers, proveedores, promotores, ladrones, espías, accionistas o tal vez la persona que se sienta a tu lado en el autobús. ¿Quieren prevenir que sus datos sean usados para otros propósitos que la comunicación en si misma? ¿Quizá quieran que sus mensajes sean inviolables, o tal vez quieran inmunidad contra escuchas telefónicas? ¿De qué vale el cifrado punto a punto cuando puede haber un key logger o un programa espía en el dispositivo que transmite todo lo que se hace a un tercero?
Animar a las usuarias a creer que Signal hace sus comunicaciones seguras promociona una falsa sensación de seguridad de una vez y para siempre (independientemente del aumento indiscutible y sustancial del cifrado punto a punto). Es muy importante tener en cuenta que aunque el cifrado va a aumentar la seguridad, hay información que no se debe almacenar en sistemas informáticos en ningún caso - y especialmente si estos sistemas son proporcionados por un tercero.
Sin embargo, esto no es un argumento contra el uso de Signal o su protocolo. Nosotras lo que queremos es reflexionar sobre los problemas creados por las promesas de seguridad dadas por OWS.
Signal usa servidores controlados por OWS. Otras organizaciones podrían en teoría montar sus propios servidores basándose en el código abierto de OWS, pero debido a que OWS no permite la federación (entendiéndola como la interconexión de servidores independientes como permite el protocolo XMPP o el e-mail) solo los usuarios conectados al servidor de OWS se pueden comunicar entre si. No hay forma de comunicarse con usuarios de hipotéticos servidores independientes que ejecutan el software de Signal pero que no están bajo el control de OWS. Así que al final las usuarias se ven obligadas a entregar sus datos a un tercero, OWS en este caso, arriesgándose a posibles cambios en los términos del servicio, intervención del estado o análisis de los metadatos. Como Signal usa los números de teléfono para identificar a los usuarios los metadatos están ahí disponibles (1). Si un gobierno no aprobara el uso de Signal simplemente podría bloquear un único centro de servidores del proveedor del servicio, resolviendo el problema para el estado y provocando una perdida total del servicio para todas las usuarias. Esto no es un escenario hipotético. Por ejemplo el gobierno turco es conocido por bloquear servicios web como twitter, youtube o facebook. Y viendo los recientes acontecimientos en las democracias occidentales nos damos cuenta de que esta censura no es un problema limitado a Turquía o China.
Como hemos mencionado antes, Signal utiliza los números de teléfono como identificador único de usuario. Los números de teléfono no son anónimos, incluso cuando utilizamos teléfonos prepago o SIMs desechables, siempre dan más información de la necesaria. Usando la localización del teléfono y el registro de llamadas es solo cuestión de tiempo que las usuarias sean identificadas. En Alemania, varios casos de represión estatal aplicando la legislación que define qué es una organización criminal han demostrado que saber quién conoce a quién es muchas veces suficiente para la desanonimización y encarcelamiento. (2)(3) En Signal los metadatos son cifrados usando una capa de transporte seguro SSL pero aún requiere confianza tanto en OWS como en las entidades emisoras de certificados. Otro posible amenaza es un cliente intervenido por parte de entidades gubernamentales, que revelaría al menos la lista de contactos.
Una tercera posibilidad de ataque sería lo que se conoce como Quellen-TKÜ (herramienta desarrollada por el gobierno alemán para escuchas y monitorización de VoIP. Las siglas significan "intercepción legal de la fuente") donde sin el conocimiento de las usuarias las entidades gubernamentales pueden hacer que proveedores como Google instalen de forma encubierta software en dispositivos móviles, o incluso colar software espía en computadoras usando exploits conocidos. Android también es conocido por tener innumerables exploits y agujeros de seguridad. Estos problemas no solo son conocidos por OWS, sino que son amplificados por ellos mismos. Signal es el único de los programas de mensajería con énfasis en la seguridad que utiliza el servicio Google Cloud Messaging (GCM) para distribuir las notificaciones push entre los dispositivos cliente (4). GCM requiere el uso de Google Play Services.
La comunidad reaccionó a esto desarrollando una versión que no utiliza GCM. Sin embargo OWS rechazó incluir los cambios en el código de Signal. Cuando se creó el nuevo proyecto, impidieron que LibreSignal se conectara a los servidores de Signal y les prohibieron usar la palabra "Signal" en el nombre. La razón para esta decisión solo puede ser especulada.
El punto definitivo de crítica es que OWS distribuye Signal únicamente a través de los servicios de Google Play y evita activamente la distribución de versiones independientes. Aunque el código es abierto y disponible para todas, tenemos que tratar con binarios construídos por OWS y distribuídos por Google. La amenaza de potenciales acciones maliciosas por parte del mantenedor del paquete o del distribuidor permanecerán al menos que se permitan canales de distrubición independientes que permita a las usuarias elegir en quien confiar.
Las políticas de distribución de OWS mencionadas arriba puede permitir establecer conclusiones acerca de la posición política de OWS, que son en parte distintas a las de parte de la comunidad Open Source. Parece como si OWS estuviera tratando de establecerse como marca aprovechando el tirón de Snowden tras sus revelaciones sobre el espionaje de la NSA y posicionarse como héroes y protectores de los derechos civiles. Las demandas de la comunidad sobre servicios descentralizados controlados por los propios usuarios, o por profesionales designados por las mismas usuarias, les parece una carga.
OWS no colabora prioritariamente con otros proyectos de Código Abierto, sino con empresas como Google que quieren emplear el cifrado de Signal en sus productos propietarios como, por ejemplo, en la nueva aplicación de mensajería Allo. La seguridad generalizada no es el objetivo principal sino más bien un medio para entrar en el nicho de mercado de los usuarios preocupados por su privacidad con el fin de evitar que los usuarios abandonen su ecosistema. Esto permite a las empresas seguir monitorizando a los usuarios y recolectar sus metadatos, un importante activo. Así que ahora tenemos un alto nivel de cifrado de los mensajes entre emisor y receptor pero muy poca protección en los dispositivos de los usuarios y ninguna protección de los metadatos. Y por encima de todo, tenemos una centralización de la infraestructura de comunicación que permite a las autoridades reclamar la coorperación del proovedor usando leyes como la US Patriot Act o incluso desconectándolo cuando sea conveniente.
El éxito de OWS puede ser atribuido a posiciones elitistas y burocráticas de la comunidad de Código Abierto. La estandarización de XMPP es lenta y aún no se ha definido un único estándar nativo de cifrado. Soluciones como OTR se desarrollaron fuera del protocolo y no cubren las necesidades de de los usuarios en muchos casos. Proyectos de código abierto como Pidgin rechazaron implementar e incluir OTR en el estandar de distribución de su software. A veces parece haber una falta de entusiasmo cuando se trata de construir interfaces de usuario para el público no técnico o también para mantener la documentación. Desde este punto de vista elitista del mundo, el usuario parece ser visto como un oponente del desarrollador y encarna el mal necesario en el protocolo; el problema de la capa 8 (5)
No es que no haya alternativa a Signal cuando se trata de la seguridad y la comodidad de comunicación segura entre individuos y grupos así como de transferencia de imagen. El protocolo de Signal fue portado recientemente a XMPP (jabber) y el proceso de estandarización está pendiente siguiendo el proceso XEP. Este borrador del protocolo se llama OMEMO y combina las ventajas de XMPP y Signal. Incluso aunque el proceso XEP todavía tardará algún tiempo el protocolo es estable y puede ser usado a día de hoy. En dispositivos Android, las usuarios tenemos la aplicación Conversations que ofrece una experiencia comparable con Signal, y en el escritorio tenemos el cliente Gajim con un plugin en desarrollo que tiene aún espacio para mejoras de usuario. Usando uno de los tutoriales es posible iniciarse en Windows y Linux. Los usuarios iOS deben esperar aún debido a problemas de licencia.
Cuando usamos el software los usuarios deberíamos conocer que estas tecnologías fueron desarrolladas fuera de la esfera corporativa y sin cooperación industrial. Es aconsejable ajustar las expectativas en consecuencia. La crítica excesiva sería como quejarse por la falta de un ascensor un centro social autogestionado porque el edificio de la Ópera mantenido con ayudas estatales tiene uno desde hace años. En caso de dudas los usuarios deben pedir ayuda a un amigo con conocimiento y criterio. La solidaridad no puede ser reemplazada por tecnología o actitudes elitistas de cripto-héroes.
-----------------------------
Notas de las traductoras:
1 - De estos metadatos se podría obtener la relación de afinidad entre diferentes números de teléfono
2 - En España las compañías telefónicas están obligadas a guardar un registro de llamadas telefónicas durante seis meses para posibles peticiones judiciales
3 - La reforma de la ley antiterrorista en España va en el mismo camino de "marcar" a grupos de activistas como "organizaciones terroristas"
4 - Las notificaciones push sirven para informar a un usuario de que tiene un mensaje incluso cuando tiene la aplicación cerrada.
5 - En el modelo OSI de desarrollo de aplicaciones de comunicación se definen 7 capas: Física, Datos, Red, Transporte, Sesión, Presentación y Aplicación. La capa 8 se usa para referirse al usuario encima del modelo OSI.