En el mundo de la mensajería instantánea, la seguridad de las plataformas como WhatsApp y Signal ha sido un tema de debate constante. Aunque ambas aplicaciones aseguran a sus usuarios un cifrado de extremo a extremo robusto para proteger el contenido de los mensajes, un reciente estudio ha arrojado luz sobre una vulnerabilidad que no radica en el contenido visible, sino en los metadatos. Estos metadatos, en particular los tiempos del round-trip time (RTT), se han identificado como vectores críticos que pueden poner en riesgo la privacidad del usuario.

Un proof of concept (PoC) publicado en GitHub, inspirado en el estudio «Careless Whisper» realizado por investigadores de la Universidad de Viena y SBA Research, demuestra que al medir el RTT de determinadas confirmaciones internas, es posible inferir el estado de un dispositivo. Esto incluye si un dispositivo está activo, en reposo o desconectado. La verdadera amenaza no es la lectura de mensajes, sino la capacidad de reconstruir patrones de comportamiento del usuario, como horarios y rutinas.

El estudio subraya que las confirmaciones de entrega, más que la popular función de «doble check azul» de WhatsApp, son las que presentan un mayor riesgo de seguridad. Estas confirmaciones, que no pueden ser desactivadas según el diseño del protocolo, podrían ser explotadas para rastrear la actividad de un usuario sin que este lo note. Basta captar variaciones en milisegundos para identificar el estado de un terminal.

La preocupación aumenta con la posibilidad de automatizar tales ataques con una frecuencia alta utilizando solo el número de teléfono del objetivo, lo que podría facilitar el stalking, un seguimiento coercitivo o una vigilancia selectiva. Además, una campaña sostenida de interacciones no solo podría perfilar la actividad del usuario, sino también agotar los recursos del dispositivo, afectando su batería y consumo de datos.

Hasta el momento, las respuestas desde las plataformas de mensajería no parecen ofrecer soluciones contundentes. Mientras que WhatsApp no ha proporcionado un calendario concreto de medidas, Signal tampoco ha señalado una opción específica para abordar el problema. La solución requerida parece ser un cambio de diseño que ataje el problema desde su raíz, mediante la introducción de técnicas que hagan que las confirmaciones internas y el RTT no sean explotables.

Los usuarios pueden tomar medidas para reducir su exposición, aunque estas son medidas paliativas. WhatsApp, por ejemplo, permite bloquear altos volúmenes de mensajes de cuentas desconocidas a través de ajustes avanzados de privacidad, lo cual podría reducir la efectividad de estos ataques, pero no eliminarlos completamente.

Recomendaciones para organizaciones van más allá del simple ajuste de configuración de privacidad. Es crucial que estas entidades eduquen sobre los riesgos que supone la emisión involuntaria de señales a través de metadatos, no solo sobre el contenido de los mensajes.

En conclusión, el desafío para WhatsApp y Signal es grande, con la privacidad del usuario colgando de un delicado equilibrio entre funcionalidad y seguridad. La solución está en manos tanto de los diseñadores de estas tecnologías como de los propios usuarios, cuya prudencia se convierte ahora en la mejor defensa frente a estas silenciosas amenazas de privacidad.

Más información y referencias en Noticias Cloud.