Romper el cifrado de Whatsapp, una mala idea

Esta semana, Néstor Humberto Martínez, fiscal general, dijo que le pedirá al Gobierno que considere la posibilidad de bloquear la operación en Colombia de aplicaciones como Whatsapp o Telegram, si éstas no se comprometen con romper el cifrado de sus productos cuando una autoridad se los pida para acceder a las comunicaciones de sus usuarios (esto en el curso de una investigación y previa orden judicial, aclaró el funcionario).

¿Estos servicios pueden ser bloqueados en Colombia? Sí, lo podrían hacer los operadores de telefonía celular si una autoridad lo ordena. ¿Pueden Whatsapp o Telegram cumplir con los deseos de Martínez? No. No hay negociación posible en este tema por varias razones, pero la principal es que la tecnología, la forma como funciona el cifrado, lo impide. Para intentar resolver esta polémica hay que mirar hacia Brasil.

Y mirar hacia Brasil no por Odebrecht, sino porque al menos en cuatro ocasiones autoridades judiciales de este país han llegado al mismo punto al que el fiscal quiere llegar: pedirle a Whatsapp (y a Facebook, de paso, pues es la compañía dueña de la aplicación de mensajería) que entregue mensajes de usuarios. En ninguno de los casos se ha cumplido la orden y en por lo menos dos ha habido bloqueos de la herramienta, que terminan perjudicando enormemente a la población, a los usuarios, y que, al parecer, no contribuyen mayormente a la administración de justicia.

El razonamiento del fiscal es popular entre las autoridades del mundo: el cifrado protege las comunicaciones de los criminales y los administradores de justicia deben poder romperlo para conocer datos y hechos en el curso de una investigación criminal. Esta lógica crea tensiones, que también son ciertas y válidas para todo el mundo: no sólo los criminales usan Whatsapp, sino todos los demás, así que romper el cifrado para los investigados implica la posibilidad de vulnerar las comunicaciones de todos los demás.

“Las cortes de apelaciones y la Corte Suprema en Brasil han fallado en contra de los bloqueos en todas las ocasiones porque consideran que la medida es absurda, radical y abrumadoramente desproporcional. Se busca obtener las comunicaciones de unas personas, pero se perjudica a millones. Esto no tiene sentido”, dice Francisco Carvalho de Brito Cruz, director del Internet Lab, una de las organizaciones que más ha monitoreado estas acciones en Brasil.

El argumento de la proporcionalidad es particularmente importante en este caso, pues es uno de los principios que internacionalmente se maneja cuando se trata de intervenir derechos fundamentales en pro de cosas como la seguridad nacional o la administración de justicia. Incluso ha sido recogido en legislación colombiana sobre intervención de comunicaciones y recolección de datos personales para labores de inteligencia.

En Brasil, Whatsapp tiene más de 100 millones de usuarios. En Colombia, según un estudio del año pasado elaborado por Internet Media Services (IMS) y Comscore, la mayoría de los usuarios en Colombia utilizan internet para redes sociales y para mensajería instantánea, 82 y 79 %, respectivamente. La aplicación más usada en nuestro país es Whatsapp (90 %). De acuerdo con cifras del Mintic, para el tercer trimestre de 2016 había casi nueve millones de conexiones móviles a internet en Colombia; la mayoría de éstas usan teléfonos inteligentes.

“El cifrado no sólo protege a los criminales, sino nos protege de los criminales. Y para esto sólo hay que mirar el sistema bancario y el sector financiero, en el que se resguardan las transacciones de millones de usuarios mediante el cifrado”, dice De Brito.

Uno de los puntos más flacos en la administración de justicia, en general, es la falta de alfabetización tecnológica que tienen sus funcionarios, pues generan medidas hechas por abogados, para abogados, que no tienen en cuenta los parámetros del mundo digital. Esta es una premisa común entre los expertos. La proposición del fiscal pareciera un ejemplo de esto.

“La propuesta de romper el cifrado de los mensajes no tiene sentido por la misma forma como opera esta tecnología”, opina Pilar Sáenz, coordinadora de proyectos de la Fundación Karisma en Colombia.

El cifrado implementado por Whatsapp toma un protocolo previamente instalado en Signal, otra aplicación de mensajería. En pocas palabras, lo que éste permite es que un mensaje sólo pueda ser conocido por los involucrados en la comunicación y no por nadie más. No por un atacante, no por un Gobierno, ni siquiera la empresa misma puede entrometerse allí, pues las llaves para descifrar el mensaje son únicas (se apoyan en complejas secuencias matemáticas) y sólo están ligadas a los dispositivos de cada persona. Por eso se conoce como cifrado de punta a punta, de extremo a extremo.

“El cifrado de extremo a extremo ayuda a que la comunicación en Whatsapp sea privada. Básicamente, que la comunicación sea algo así como una conversación cara a cara”, en palabras de Jan Koum, uno de los fundadores de esta aplicación.

“Lo problemático de la propuesta del fiscal Martínez es que aquí no se trata de retirarle el cifrado a una sola comunicación, porque, en últimas, si tienes los medios para descifrar una parte, puedes hacerlo con el resto del sistema y esto nos afecta a todos. La compañía no tiene llaves de cifrado precisamente para evitar esto”, asegura Sáenz.

Uno de los principios fundamentales en seguridad digital es evitar el control central de un sistema, pues esto implica otorgar demasiado poder y acceso a un solo actor. Este, incluso con las mejores intenciones, puede perder este control y así es que se crean vulnerabilidades para millones de usuarios y en últimas más inseguridad para todos.

La discusión en Brasil continúa y se espera que la Corte Suprema de este país se pronuncie de fondo sobre el tema, aunque ha expresado que los bloqueos no solucionan la tensión entre seguridad, justicia y privacidad, como lo anota Joana Varon, de Coding Rights, otra organización involucrada en este debate: “La batalla por mantener el cifrado sigue, porque lo que está en juego, más que una aplicación o un servicio en particular, es la posibilidad de implementar una tecnología que garantiza privacidad para un gran número de usuarios: permitir que personas que no saben de tecnología obtengan privacidad digital”.

En este país también se ha hablado de los metadatos que dejan los mensajes de Whatsapp, información que, en palabras sencillas, podría indicar quién habla con quién y cuándo, por ejemplo. Este tipo de información no está cubierta por el cifrado y se sabe que la misma aplicación la comparte con Facebook. “En la discusión abierta que tenemos en este tema también se han mencionado los metadatos como una herramienta para las autoridades en una investigación criminal”, cuenta De Brito: “No sólo se trata de saber el contenido de los mensajes protegidos por el cifrado”, añade.

Sáenz finaliza diciendo que: “Aun cuando se trata de una causa legítima, tiene que pensarse el mecanismo para no perjudicar a todo el resto de la población: por un fin legítimo no se puede afectar a todos los usuarios. Y hay que buscar mecanismos específicos que no vulneren la privacidad del país por perseguir a unos cuantos”.

Esta semana, Néstor Humberto Martínez, fiscal general, dijo que le pedirá al Gobierno que considere la posibilidad de bloquear la operación en Colombia de aplicaciones como Whatsapp o Telegram, si éstas no se comprometen con romper el cifrado de sus productos cuando una autoridad se los pida para acceder a las comunicaciones de sus usuarios (esto en el curso de una investigación y previa orden judicial, aclaró el funcionario).

¿Estos servicios pueden ser bloqueados en Colombia? Sí, lo podrían hacer los operadores de telefonía celular si una autoridad lo ordena. ¿Pueden Whatsapp o Telegram cumplir con los deseos de Martínez? No. No hay negociación posible en este tema por varias razones, pero la principal es que la tecnología, la forma como funciona el cifrado, lo impide. Para intentar resolver esta polémica hay que mirar hacia Brasil.

Y mirar hacia Brasil no por Odebrecht, sino porque al menos en cuatro ocasiones autoridades judiciales de este país han llegado al mismo punto al que el fiscal quiere llegar: pedirle a Whatsapp (y a Facebook, de paso, pues es la compañía dueña de la aplicación de mensajería) que entregue mensajes de usuarios. En ninguno de los casos se ha cumplido la orden y en por lo menos dos ha habido bloqueos de la herramienta, que terminan perjudicando enormemente a la población, a los usuarios, y que, al parecer, no contribuyen mayormente a la administración de justicia.

El razonamiento del fiscal es popular entre las autoridades del mundo: el cifrado protege las comunicaciones de los criminales y los administradores de justicia deben poder romperlo para conocer datos y hechos en el curso de una investigación criminal. Esta lógica crea tensiones, que también son ciertas y válidas para todo el mundo: no sólo los criminales usan Whatsapp, sino todos los demás, así que romper el cifrado para los investigados implica la posibilidad de vulnerar las comunicaciones de todos los demás.

“Las cortes de apelaciones y la Corte Suprema en Brasil han fallado en contra de los bloqueos en todas las ocasiones porque consideran que la medida es absurda, radical y abrumadoramente desproporcional. Se busca obtener las comunicaciones de unas personas, pero se perjudica a millones. Esto no tiene sentido”, dice Francisco Carvalho de Brito Cruz, director del Internet Lab, una de las organizaciones que más ha monitoreado estas acciones en Brasil.

El argumento de la proporcionalidad es particularmente importante en este caso, pues es uno de los principios que internacionalmente se maneja cuando se trata de intervenir derechos fundamentales en pro de cosas como la seguridad nacional o la administración de justicia. Incluso ha sido recogido en legislación colombiana sobre intervención de comunicaciones y recolección de datos personales para labores de inteligencia.

En Brasil, Whatsapp tiene más de 100 millones de usuarios. En Colombia, según un estudio del año pasado elaborado por Internet Media Services (IMS) y Comscore, la mayoría de los usuarios en Colombia utilizan internet para redes sociales y para mensajería instantánea, 82 y 79 %, respectivamente. La aplicación más usada en nuestro país es Whatsapp (90 %). De acuerdo con cifras del Mintic, para el tercer trimestre de 2016 había casi nueve millones de conexiones móviles a internet en Colombia; la mayoría de éstas usan teléfonos inteligentes.

“El cifrado no sólo protege a los criminales, sino nos protege de los criminales. Y para esto sólo hay que mirar el sistema bancario y el sector financiero, en el que se resguardan las transacciones de millones de usuarios mediante el cifrado”, dice De Brito.

Uno de los puntos más flacos en la administración de justicia, en general, es la falta de alfabetización tecnológica que tienen sus funcionarios, pues generan medidas hechas por abogados, para abogados, que no tienen en cuenta los parámetros del mundo digital. Esta es una premisa común entre los expertos. La proposición del fiscal pareciera un ejemplo de esto.

“La propuesta de romper el cifrado de los mensajes no tiene sentido por la misma forma como opera esta tecnología”, opina Pilar Sáenz, coordinadora de proyectos de la Fundación Karisma en Colombia.

El cifrado implementado por Whatsapp toma un protocolo previamente instalado en Signal, otra aplicación de mensajería. En pocas palabras, lo que éste permite es que un mensaje sólo pueda ser conocido por los involucrados en la comunicación y no por nadie más. No por un atacante, no por un Gobierno, ni siquiera la empresa misma puede entrometerse allí, pues las llaves para descifrar el mensaje son únicas (se apoyan en complejas secuencias matemáticas) y sólo están ligadas a los dispositivos de cada persona. Por eso se conoce como cifrado de punta a punta, de extremo a extremo.

“El cifrado de extremo a extremo ayuda a que la comunicación en Whatsapp sea privada. Básicamente, que la comunicación sea algo así como una conversación cara a cara”, en palabras de Jan Koum, uno de los fundadores de esta aplicación.

“Lo problemático de la propuesta del fiscal Martínez es que aquí no se trata de retirarle el cifrado a una sola comunicación, porque, en últimas, si tienes los medios para descifrar una parte, puedes hacerlo con el resto del sistema y esto nos afecta a todos. La compañía no tiene llaves de cifrado precisamente para evitar esto”, asegura Sáenz.

Uno de los principios fundamentales en seguridad digital es evitar el control central de un sistema, pues esto implica otorgar demasiado poder y acceso a un solo actor. Este, incluso con las mejores intenciones, puede perder este control y así es que se crean vulnerabilidades para millones de usuarios y en últimas más inseguridad para todos.

La discusión en Brasil continúa y se espera que la Corte Suprema de este país se pronuncie de fondo sobre el tema, aunque ha expresado que los bloqueos no solucionan la tensión entre seguridad, justicia y privacidad, como lo anota Joana Varon, de Coding Rights, otra organización involucrada en este debate: “La batalla por mantener el cifrado sigue, porque lo que está en juego, más que una aplicación o un servicio en particular, es la posibilidad de implementar una tecnología que garantiza privacidad para un gran número de usuarios: permitir que personas que no saben de tecnología obtengan privacidad digital”.

En este país también se ha hablado de los metadatos que dejan los mensajes de Whatsapp, información que, en palabras sencillas, podría indicar quién habla con quién y cuándo, por ejemplo. Este tipo de información no está cubierta por el cifrado y se sabe que la misma aplicación la comparte con Facebook. “En la discusión abierta que tenemos en este tema también se han mencionado los metadatos como una herramienta para las autoridades en una investigación criminal”, cuenta De Brito: “No sólo se trata de saber el contenido de los mensajes protegidos por el cifrado”, añade.

Sáenz finaliza diciendo que: “Aun cuando se trata de una causa legítima, tiene que pensarse el mecanismo para no perjudicar a todo el resto de la población: por un fin legítimo no se puede afectar a todos los usuarios. Y hay que buscar mecanismos específicos que no vulneren la privacidad del país por perseguir a unos cuantos”.