WhatsApp ser¨¢ menos segura en Europa por la nueva Ley DMA seg¨²n los expertos

El a?o pasado, WhatsApp se ¡®desangr¨®¡¯. A inicios de 2021, una modificaci¨®n en su pol¨ªtica de Condiciones y Privacidad que supone la compartici¨®n de datos con Facebook y otras empresas de Meta provoc¨® un ¨¦xodo masivo de usuarios a otras apps de mensajer¨ªa como Telegram, Signal, etc, aplicaciones consideradas m¨¢s seguras.

Y aunque WhatsApp sigue ofreciendo el cifrado de extremo a extremo en sus conversaciones entre usuarios, una nueva ley de la Uni¨®n Europea podr¨ªa afectar a esta encriptaci¨®n y provocar por tanto que la app sea menos segura.

DMA Act: Mercados Digitales

La semana pasada, el 24 de marzo, los ¨®rganos de gobierno de la UE anunciaron que hab¨ªan llegado a un acuerdo sobre la legislaci¨®n m¨¢s radical contra las grandes empresas tecnol¨®gicas en Europa, conocida como Ley de Mercados Digitales (DMA). Considerada una ley ambiciosa con implicaciones de gran alcance, la medida m¨¢s llamativa del proyecto de ley exigir¨ªa que todas las grandes empresas tecnol¨®gicas -definidas como las que tienen una capitalizaci¨®n de mercado de m¨¢s de 75.000 millones de euros o una base de usuarios de m¨¢s de 45 millones de personas en la UE- creen productos que sean interoperables con plataformas m¨¢s peque?as.

En el caso de las aplicaciones de mensajer¨ªa, eso significar¨ªa permitir que los servicios cifrados de extremo a extremo, como WhatsApp, se mezclen con protocolos menos seguros, como los SMS, lo que, seg¨²n los expertos en seguridad, socavar¨¢ los logros alcanzados con tanto esfuerzo en el campo del cifrado de mensajes.

Reducir el alcance de las grandes tecnol¨®gicas

Seg¨²n un extracto de la web del Parlamento Europeo, ¡°el objetivo del reglamento es igualar las condiciones para todas las empresas digitales, independientemente de su tama?o. Para acabar con las pr¨¢cticas injustas sobre las empresas y consumidores, la Ley de mercados digitales fijar¨¢ reglas claras sobre lo que las grandes plataformas de internet pueden y no hacer en la UE. Las plataformas guardianas de acceso ya no podr¨¢n clasificar m¨¢s favorablemente sus propios servicios y productos que otros similares ofrecidos por terceros en la misma p¨¢gina web. Tampoco podr¨¢n impedir que los usuarios desinstalen programas o aplicaciones preinstaladas si as¨ª lo desean".?

Las normas, que buscan promover la innovaci¨®n, el desarrollo y la competitividad, "ayudar¨¢n a las empresas m¨¢s peque?as y a las nuevas empresas a competir con las grandes. La nueva ley establecer¨¢ los criterios para considerar a una gran plataforma en l¨ªnea como "guardiana de acceso". Adem¨¢s, permitir¨¢ a la Comisi¨®n Europea llevar a cabo investigaciones de mercado y prever medidas correctoras para hacer frente a infracciones sistem¨¢ticas a las normas".

WhatsApp menos seguro

Ampliar

Pero, ?y qu¨¦ sucede con aplicaciones como WhatsApp, que basan mucho de su tir¨®n en ofrecer conversaciones con un alto grado de encriptaci¨®n en materia de seguridad? Seg¨²n expertos en criptograf¨ªa ser¨¢ dif¨ªcil, si no imposible, mantener el cifrado entre aplicaciones, con implicaciones potencialmente enormes para los usuarios. Signal es lo suficientemente peque?a como para no verse afectada por las disposiciones de la DMA, pero WhatsApp -que utiliza el protocolo de Signal y es propiedad de Meta- s¨ª lo estar¨ªa.

El resultado podr¨ªa ser que parte, si no toda, la encriptaci¨®n de extremo a extremo de la mensajer¨ªa de WhatsApp se debilitara o se eliminara, lo que afectar¨ªa a miles de millones de usuarios activos de la app. Seg¨²n varios expertos han confirmado al site The Verge, no hay una soluci¨®n sencilla que pueda conciliar la seguridad y la interoperabilidad de los servicios de mensajer¨ªa cifrados, por lo que ¡°no habr¨ªa forma de fusionar distintas formas de cifrado en aplicaciones con caracter¨ªsticas de dise?o diferentes¡± como afirma Steven Bellovin, investigador de seguridad en Internet y profesor de inform¨¢tica en la Universidad de Columbia.

"Intentar conciliar dos arquitecturas criptogr¨¢ficas diferentes es sencillamente imposible; una u otra parte tendr¨¢ que hacer cambios importantes. Un dise?o que funcione s¨®lo cuando ambas partes est¨¦n en l¨ªnea ser¨¢ muy diferente a uno que funcione con mensajes almacenados .... ?C¨®mo hacer que esos dos sistemas interoperen? Tratar de conciliar dos arquitecturas criptogr¨¢ficas diferentes simplemente no puede hacerse¡±.

Seg¨²n Bellovin, hacer compatibles diferentes servicios de mensajer¨ªa puede llevar a un enfoque de dise?o de m¨ªnimo com¨²n denominador, en el que ¡°las caracter¨ªsticas ¨²nicas que hicieron que ciertas aplicaciones fueran valiosas para los usuarios se eliminan hasta que se alcanza un nivel compartido de compatibilidad. Por ejemplo, si una aplicaci¨®n admite la comunicaci¨®n multipartita encriptada y otra no, el mantenimiento de las comunicaciones entre ellas requerir¨¢ normalmente que se elimine la encriptaci¨®n¡±.

Descifrar y re-cifrar

La UE est¨¢ al tanto de esto, y la Ley DMA sugiere como alternativa satisfactoria el que los mensajes enviados entre dos plataformas con esquemas de cifrado incompatibles se descifraen y se vuelvan a cifrar al pasar de una a otra. El problema es que esto romper¨ªa directamente la cadena de cifrado "de extremo a extremo" y crear¨ªa un punto de vulnerabilidad para la interceptaci¨®n por parte de cualquier cibercriminal al acecho.

Alec Muffett, experto en seguridad de Internet y antiguo ingeniero de Facebook que recientemente ayud¨® a Twitter a lanzar un servicio encriptado de Tor, dijo a The Verge que ser¨ªa un error pensar que Apple, Google, Facebook y otras empresas tecnol¨®gicas fabrican productos id¨¦nticos e intercambiables que pueden combinarse f¨¢cilmente. Y puso un ejemplo con la popular McDonalds: ¡°Si entraras en un McDonald's y dijeras: 'En aras de romper los monopolios corporativos, exijo que incluyan un plato de sushi de alg¨²n otro restaurante con mi pedido', con raz¨®n se quedar¨ªan mir¨¢ndote".

"?Qu¨¦ ocurre cuando el sushi solicitado llega por mensajero a McDonald's desde el restaurante de sushi supuestamente solicitado? ?Puede y debe McDonald's servir ese sushi al cliente? ?Era leg¨ªtimo el servicio de mensajer¨ªa? ?Se prepar¨® de forma segura?".

En la actualidad, cada servicio de mensajer¨ªa asume la responsabilidad de su propia seguridad, y Muffett y otros han argumentado que, al exigir interoperabilidad, los usuarios de un servicio se exponen a las vulnerabilidades que pueda haber introducido otro. La Uni¨®n Europea quiere limitar el poder de las tecnol¨®gicas, como dice ¡°acabar con las pr¨¢cticas injustas sobre las empresas y consumidores¡±, y la Ley DMA sigue adelante.

?Provocar¨¢ esto que WhatsApp sea menos seguro y veamos un nuevo ¨¦xodo?