Criptografia de ponta a ponta em mensagens modernas

O Signal Protocol é a base criptográfica do Signal, do WhatsApp e de outros mensageiros seguros. Ele combina dois algoritmos: X3DH, para estabelecer um segredo compartilhado inicial quando o destinatário está offline, e o Double Ratchet, para derivar uma nova chave de criptografia para cada mensagem. O resultado é uma forte confidencialidade e sigilo de encaminhamento, de forma transparente para o usuário.

O X3DH permite que duas partes estabeleçam um segredo compartilhado mesmo quando uma delas está offline. Ele usa quatro cálculos de Diffie-Hellman que combinam chaves de identidade de longo prazo, pré-chaves assinadas de médio prazo e pré-chaves de uso único. O servidor armazena as pré-chaves enviadas antecipadamente pelo destinatário. O remetente executa o X3DH usando essas chaves, deriva um segredo compartilhado e envia uma mensagem inicial criptografada sem esperar que o destinatário fique on-line.

Depois que o X3DH estabelece o segredo compartilhado inicial, o Double Ratchet assume o controle da conversa contínua. Ele combina um mecanismo de avanço baseado em Diffie-Hellman, que avança sempre que novas chaves DH são trocadas, e um mecanismo de avanço de chaves simétricas, que avança a cada mensagem. Cada mensagem é criptografada com uma chave exclusiva que é imediatamente excluída após o uso, portanto a captura da chave de uma mensagem não compromete nenhuma outra mensagem.

Sigilo de encaminhamento significa que, se um invasor registrar tráfego criptografado hoje e depois comprometer sua chave privada de longo prazo, ainda assim não poderá descriptografar as mensagens antigas. O Double Ratchet consegue isso porque as chaves de cada mensagem são efêmeras e excluídas imediatamente. Somente um dispositivo que participou da conversa naquele momento pode descriptografar mensagens passadas, e apenas se não as tiver excluído localmente.

O Double Ratchet também oferece recuperação após comprometimento, às vezes chamada de segurança pós-comprometimento. Se um invasor comprometer temporariamente um dispositivo e ler suas chaves atuais, a próxima etapa do mecanismo de avanço DH gerará novas chaves que o invasor não poderá prever. As mensagens futuras voltarão a ser seguras sem nenhuma intervenção manual, ao contrário do que ocorre em sistemas nos quais o comprometimento de uma única chave expõe todas as mensagens subsequentes.

Em 2016, o WhatsApp concluiu a implantação completa da criptografia de ponta a ponta do Signal Protocol em todas as suas plataformas, abrangendo mais de um bilhão de usuários na época. Foi a maior implantação de criptografia de ponta a ponta da história. A integração foi desenvolvida em parceria com a Open Whisper Systems, a organização responsável pelo Signal. A implementação do WhatsApp foi auditada de forma independente e confirmada como correta.

Mesmo com o conteúdo criptografado, o Signal Protocol originalmente revelava ao servidor quem enviava mensagens para quem. O Remetente selado é uma extensão que criptografa a identidade do remetente dentro do envelope da mensagem. O servidor sabe apenas quem é o destinatário, não o remetente, reduzindo os metadados disponíveis para o servidor ou para qualquer pessoa que obtenha registros do servidor por meio de uma intimação judicial. O destinatário descriptografa o envelope externo para descobrir quem enviou a mensagem.

As mensagens que desaparecem adicionam um temporizador, após o qual as mensagens são eliminadas dos dispositivos do remetente e do destinatário. Em conjunto com as chaves efêmeras do Double Ratchet, isso significa que até mesmo um exame forense posterior de um dispositivo apreendido pode não encontrar nenhum texto em claro recuperável. O recurso Nota para si mesmo do Signal e os padrões de mensagens que desaparecem incentivam a retenção mínima de dados como prática de privacidade.

O iMessage usa criptografia de ponta a ponta quando ambas as partes têm o iMessage ativado, recorrendo a SMS quando uma delas não o tem. O iMessage armazena chaves de mensagens criptografadas nas Chaves do iCloud, permitindo o acesso em vários dispositivos, mas também significando que a Apple pode tecnicamente acessar as mensagens se for obrigada judicialmente e se o backup do iCloud estiver ativado. Ao contrário do Signal, o iMessage não usa o Double Ratchet, portanto não oferece as mesmas garantias de sigilo de encaminhamento.

Em uma conversa entre duas partes, o Double Ratchet é eficiente. Em um grupo com N membros, cada mensagem precisa ser criptografada separadamente para cada membro, ou uma chave de grupo compartilhada precisa ser gerenciada. Gerenciar chaves de grupo com segurança é complexo: quando um membro sai, todos os membros restantes precisam atualizar suas chaves, o que é conhecido como segurança pós-comprometimento para grupos. O protocolo Messaging Layer Security (MLS/RFC 9420) resolve isso com atualizações de chaves de complexidade logarítmica.

O Signal é totalmente de código aberto, coleta o mínimo de metadados e usa o Signal Protocol em toda a sua extensão. O WhatsApp usa o Signal Protocol para as mensagens, mas pertence à Meta e coleta uma quantidade significativa de metadados. O Telegram usa o protocolo MTProto personalizado apenas nas Conversas Secretas; as conversas comuns não são criptografadas de ponta a ponta e ficam armazenadas nos servidores do Telegram. Para obter o máximo de privacidade, recomenda-se usar o Signal com mensagens que desaparecem.

Qual propriedade do Double Ratchet garante que obter a chave de uma mensagem não exponha outras mensagens?

O Signal Protocol combina o X3DH para o acordo de chaves sem conexão e o Double Ratchet para a derivação de chaves por mensagem. O sigilo de encaminhamento protege mensagens passadas; a recuperação após comprometimento protege mensagens futuras depois de uma violação. O WhatsApp implementou isso em escala em 2016. As mensagens em grupo exigem protocolos de gerenciamento de chaves mais complexos, como MLS. A proteção de metadados exige técnicas adicionais, como o remetente selado.