O WhatsApp tem mesmo uma falha que expõe as conversas?

Segundo uma reportagem do jornal britânico “Guardian”, o WhatsApp tem uma falha que permite ler uma mensagem mesmo ela sendo criptografada. O jornal ainda chamou a brecha de um “backdoor”, uma “porta dos fundos” – termo normalmente reservado para vulnerabilidades propositas, deixaras para permitir que alguém (um governo, hackers ou o próprio WhatsApp) acesse as conversas.

Mas será que esse é o caso?

Todos os indícios apontam que não. A Electronic Frontier Foundation (EFF), conhecida defensora da privacidade, chegou a taxar a reportagem do “Guardian” de sensacionalista (embora a entidade não recomende o uso do WhatsApp, entenda mais abaixo).

Antes, vamos entender do que se trata essa falha: a brecha se dá pelo reenvio automático de uma mensagem que falhou por erro na criptografia. Para não ter essa brecha, o WhatsApp teria que, antes de reenviar uma mensagem, pedir confirmação do usuário.

Porém, essa segurança da confirmação só se realiza caso você suspeite que o problema ocorreu por causa de espionagem. Se você não suspeitar e reenviar assim mesmo, nada mudou e você continuará sendo espionado.

E mais um detalhe: quase nenhum outro programa de comunicação (como o Skype ou Messenger do Facebook) daria qualquer aviso na mesma situação.

Para tentar visualizar o problema, pense na seguinte situação: você envia uma mensagem para um contato, mas a mensagem não é entregue (o celular do contato está desligado). Em seguida, o contato abandona a linha de telefone ou perde o chip e o número de telefone vai para um terceiro. Quando ele instalar o WhatsApp, as mensagens que você enviou para o seu antigo contato serão automaticamente reenviadas para essa pessoa, embora o WhatsApp tivesse condições de perceber que o telefone mudou e não fazer o reenvio.

É esse comportamento que também pode permitir alguns outros ataques contra a criptografia no WhatsApp, forçando seu telefone a se comunicar com um terceiro que não é o seu contato. Mas não é uma façanha que qualquer um pode realizar, especialmente porque o WhatsApp não tem só uma camada de segurança.

Um cofre dentro de outro
O WhatsApp usa duas camadas de proteção em uma conversa. A primeira delas é o SSL ou TLS, a mesma segurança empregada para proteger seu acesso ao internet banking. A segunda camada é uma criptografia ponto-a-ponto baseada no protocolo Signal, considerado seguro.

Vamos entender isso bem: o WhatsApp oferece um tipo de segurança pioneira em aplicativos mensageiros de uso amplo. Nenhum outro aplicativo, como Skype ou o Messenger do Facebook, oferece esse nível de proteção (o Messenger só protege as conversas “secretas” nesse nível, enquanto o Telegram também só aplica a segurança em conversas secretas). Quando alguém fala que uma falha “pode permitir espionar o WhatsApp”, isso pressupõe um nível e tipo de ataque nem mesmo seria necessário em outros programas de comunicação populares, pelo menos nesse caso.

Compare essa segurança com as conversas normais do Facebook ou do Skype: quando alguém acessa indevidamente sua conta, ele não tem acesso só às mensagens que ainda não foram enviadas, mas pode ler também todo ou boa parte do histórico de mensagens, sem que você tenha qualquer meio de perceber que isso aconteceu.

A dita “brecha” em questão está em um comportamento específico do WhatsApp no emprego do protocolo Signal. Porém, antes de poder interferir nesse protocolo, um hacker (por exemplo) teria que, primeiro, quebrar o protocolo de segurança SSL/TLS. Ou seja, um hacker capaz disso é um hacker que poderia também estar interceptando seu acesso ao banco, todas as suas comunicações no Facebook, suas senhas, seus dados de cartões e tantas outras coisas.

Quem poderia fazer essa interceptação sem ter que quebrar o SSL/TLS é o próprio WhatsApp. Porém, como esta coluna Segurança Digital já explicou em maio do ano passado, a funcionalidade do WhatsApp teoricamente permite que o WhatsApp intercepte as comunicações. Porém, essa interceptação pode ser percebida pelo usuário e a nova falha descoberta em nada muda isso: um usuário consciente ainda saberá que foi “espionado”. O único detalhe é que ele só saberá isso depois que algumas mensagens já foram enviadas indevidamente após o início da interceptação.

Além disso, não há qualquer prova de que o WhatsApp tenha desenvolvido os mecanismos necessários para esse tipo de interceptação ele próprio. E lembre-se: qualquer outro programa de comunicação popular pode interceptar qualquer mensagem de maneira invisível para o utilizador, coisa que o WhatsApp não consegue (pelo menos com tudo que se sabe até hoje). E não acaba por aí: outros programas podem entregar o histórico das mensagens para autoridades quando houver ordem da Justiça ou caso seus servidores sejam atacados por hackers — outra informação que, ao que tudo indica, o WhatsApp não tem.

Informação que não se possui não pode ser cedida, vendida ou roubada.

G1