Cifrado de extremo a extremo en la mensajería moderna

El protocolo Signal es la base criptográfica de Signal, WhatsApp y otros servicios de mensajería segura. Combina dos algoritmos: X3DH, para establecer un secreto compartido inicial cuando el destinatario está desconectado, y Double Ratchet, para derivar una nueva clave de cifrado para cada mensaje. El resultado es una sólida confidencialidad y secreto hacia adelante, de forma transparente para el usuario.

X3DH permite que dos partes establezcan un secreto compartido incluso cuando una de ellas está desconectada. Utiliza cuatro cálculos de Diffie-Hellman que combinan claves de identidad a largo plazo, claves previas firmadas de duración media y claves previas de un solo uso. El servidor almacena las claves previas que el destinatario ha cargado por adelantado. El remitente ejecuta X3DH utilizando esas claves, deriva un secreto compartido y envía un mensaje inicial cifrado sin esperar a que el destinatario se conecte.

Después de que X3DH establece el secreto compartido inicial, Double Ratchet se encarga de la conversación posterior. Combina un mecanismo de ratchet Diffie-Hellman, que avanza cada vez que se intercambian nuevas claves DH, y un mecanismo de ratchet de claves simétricas, que avanza con cada mensaje. Cada mensaje se cifra con una clave única que se elimina inmediatamente después de utilizarse, de modo que capturar la clave de un mensaje no compromete ningún otro.

El secreto hacia adelante significa que, si un atacante registra hoy tráfico cifrado y posteriormente consigue su clave privada a largo plazo, aun así no podrá descifrar los mensajes antiguos. Double Ratchet lo consigue porque las claves de cada mensaje son efímeras y se eliminan de inmediato. Solo un dispositivo que participó en la conversación en ese momento puede descifrar los mensajes anteriores, y únicamente si no los ha eliminado localmente.

Double Ratchet también proporciona recuperación tras una intrusión, lo que a veces se denomina seguridad posterior al compromiso. Si un atacante compromete temporalmente un dispositivo y lee sus claves actuales, el siguiente paso del ratchet DH generará claves nuevas que el atacante no puede predecir. Los mensajes futuros vuelven a ser seguros sin ninguna intervención manual, a diferencia de los sistemas en los que el compromiso de una sola clave expone todos los mensajes posteriores.

En 2016, WhatsApp completó el despliegue general del cifrado de extremo a extremo del protocolo Signal en todas sus plataformas, con cobertura para más de mil millones de usuarios en ese momento. Fue la mayor implementación de cifrado de extremo a extremo de la historia. La integración se desarrolló en colaboración con Open Whisper Systems, la organización responsable de Signal. La implementación de WhatsApp fue auditada de forma independiente y se confirmó que era correcta.

Incluso con el contenido cifrado, originalmente el protocolo Signal revelaba al servidor quién enviaba mensajes a quién. Sealed sender es una extensión que cifra la identidad del remitente dentro de la envoltura del mensaje. El servidor solo conoce al destinatario, no al remitente, lo que reduce los metadatos disponibles para el servidor o para cualquier persona que solicite los registros mediante una orden judicial. El destinatario descifra la envoltura exterior para saber quién envió el mensaje.

Los mensajes que desaparecen añaden un temporizador tras el cual los mensajes se eliminan de los dispositivos tanto del remitente como del destinatario. Combinado con las claves efímeras de Double Ratchet, esto significa que incluso un análisis forense posterior de un dispositivo incautado podría no encontrar ningún texto en claro recuperable. La función Note to Self de Signal y los valores predeterminados de los mensajes que desaparecen fomentan la conservación mínima de datos como práctica de privacidad.

iMessage de Apple utiliza cifrado de extremo a extremo cuando ambas partes tienen iMessage activado, y recurre a SMS cuando una de ellas no lo tiene. iMessage almacena claves de mensajes cifradas en iCloud Keychain, lo que permite acceder desde varios dispositivos, pero también significa que Apple puede acceder técnicamente a los mensajes si se le obliga legalmente y si la copia de seguridad de iCloud está activada. A diferencia de Signal, iMessage no utiliza Double Ratchet, por lo que no ofrece las mismas garantías de secreto hacia adelante.

En una conversación entre dos personas, Double Ratchet es eficiente. En un grupo de N miembros, cada mensaje debe cifrarse por separado para cada miembro, o debe gestionarse una clave de grupo compartida. Gestionar las claves de grupo de forma segura es complejo: cuando un miembro abandona el grupo, todos los miembros restantes deben actualizar sus claves, lo que se conoce como seguridad posterior al compromiso para grupos. El protocolo Messaging Layer Security (MLS/RFC 9420) aborda este problema mediante actualizaciones de claves de complejidad logarítmica.

Signal es completamente de código abierto, recopila una cantidad mínima de metadatos y utiliza Signal Protocol en todo el sistema. WhatsApp utiliza Signal Protocol para los mensajes, pero pertenece a Meta y recopila una cantidad significativa de metadatos. Telegram utiliza el protocolo personalizado MTProto únicamente en Secret Chats; los chats normales no están cifrados de extremo a extremo y se almacenan en los servidores de Telegram. Para obtener la máxima privacidad, se recomienda utilizar Signal con mensajes que desaparecen.

Signal Protocol combina X3DH para el acuerdo de claves sin conexión y Double Ratchet para la derivación de claves por mensaje. El secreto hacia adelante protege los mensajes anteriores; la recuperación tras una intrusión protege los mensajes futuros después de un compromiso. WhatsApp lo implementó a gran escala en 2016. Los mensajes grupales requieren protocolos de gestión de claves más complejos, como MLS. La protección de metadatos requiere técnicas adicionales, como sealed sender.