📱Cellebrite no pudo “romper el cifrado de Signal”💻

signal

moxie0

Hará unos seis meses, la BBC publicaba una noticia con el titular: “Cellebrite afirma haber descodificado el cifrado de la aplicación de chat“. Esto es falso. Cellebrite no sólo no pudo descifrar el cifrado de Signal, sino que ni siquiera ha afirmado que pueda hacerlo.

Dado que la noticia no daba opción al desmentido, sirva esto para ayudar a aclarar las cosas para cualquiera que pueda haber visto el titular.

Este nuestro mundo

aA finales del 2020, Cellebrite publicó un artículo “técnico” bastante embarazoso (para ellos) en su blog en el que documentaba las “técnicas avanzadas” que utilizan para analizar Signal en un dispositivo Android que tenían físicamente con la pantalla desbloqueada.

Se trata de una situación en la que alguien tiene un teléfono desbloqueado en sus manos y puede sencillamente abrir la aplicación para ver los mensajes en ella. Su post trataba de hacer lo mismo mediante programación (lo cual es igualmente sencillo), pero escribieron un artículo entero sobre los “desafíos” que superaron, y concluyeron que “…requirió una extensa investigación en muchos frentes diferentes para crear nuevas capacidades desde cero.”

Esto nos originó profundas meditaciones. Si esto requería “investigación“, no nos inspiraba mucha confianza sus capacidades.

alternativaEs difícil saber cómo un post como ese salió a la luz o por qué alguien pensó que revelar unas capacidades tan limitadas era de interés. Basándose en la recepción inicial, Cellebrite debió haberse dado cuenta de que la hora del aficionado no era una buena imagen, y el post fue rápidamente retirado. Luego debieron darse cuenta de que un error 404 no es mejor, y lo sustituyeron de nuevo por un vago resumen.

También es difícil saber cómo un giro tan embarazoso de los acontecimientos se convirtió en algo más que un desastre para Cellebrite, pero varios medios de comunicación, incluyendo la BBC, publicaron artículos sobre el “éxito” de Cellebrite, a pesar de la existencia de información aclaratoria ya disponible en línea.

Lo que realmente sucedió

  1. Si tienes tu dispositivo, Cellebrite no te interesa. Es importante entender que cualquier historia sobre Cellebrite Physical Analyzer comienza con alguien que no eres tú y que tiene físicamente su dispositivo, con la pantalla desbloqueada, en sus manos. Cellebrite ni siquiera intenta interceptar mensajes, voz/vídeo o comunicación en directo, y mucho menos “romper el cifrado” de esa comunicación. No realizan ningún tipo de vigilancia en directo.

  2. Cellebrite no hace magia. Imagina que alguien tiene físicamente tu dispositivo, con la pantalla desbloqueada, en sus manos. Si quisiera crear un registro de lo que hay en tu dispositivo en ese momento, simplemente podría abrir cada aplicación del mismo y hacer capturas de pantalla de lo que hay. Esto es lo que hace Cellebrite Physical Analyser. Automatiza el proceso de creación de ese registro. Sin embargo, al estar automatizado, tiene que saber cómo está estructurada cada aplicación, por lo que en realidad es menos fiable que si alguien simplemente abriera las aplicaciones y tomara manualmente las capturas de pantalla. No es magia, es un software empresarial mediocre.

  3. Cellebrite no “reveló accidentalmente” sus secretos. El citado artículo, y otros, fueron escritos sobre la base de una mala interpretación de un post del blog de Cellebrite sobre la adición de soporte de señal a Cellebrite Physical Analyzer. Cellebrite publicó algo con muchos detalles, luego lo retiró rápidamente y lo reemplazó con algo que no tiene ningún detalle. Esto no se debe a que hayan “revelado” algo sobre alguna técnica súper avanzada que hayan desarrollado (recuerda, esta es una situación en la que alguien podría simplemente abrir la aplicación y mirar los mensajes). Lo retiraron exactamente por la razón contraria: les hacía quedar mal. Los artículos sobre este post habrían sido más apropiados titulados “Cellebrite revela accidentalmente que sus habilidades técnicas están tan en bancarrota como su función en el mundo“.

si te preocupa una situación en la que otra persona pueda acabar sosteniendo físicamente tu dispositivo con la pantalla desbloqueada en sus manos, Signal aún puede ayudarte. Funciones como la desaparición de mensajes y la visualización de mensajes multimedia una sola vez te permiten comunicar de forma más efímera y mantener tus conversaciones limpias.

Es lamentable que historias tan engañosas e inexactas como estas se difundan tan rápidamente, sobre todo porque mucha gente ve el titular y muy poca la exactitud.

unnamed

los3

🎼mondolirondo: zeca afonso, l’algarve i el mar

Responder

Introduce tus datos o haz clic en un icono para iniciar sesión:

Logo de WordPress.com

Estás comentando usando tu cuenta de WordPress.com. Cerrar sesión /  Cambiar )

Google photo

Estás comentando usando tu cuenta de Google. Cerrar sesión /  Cambiar )

Imagen de Twitter

Estás comentando usando tu cuenta de Twitter. Cerrar sesión /  Cambiar )

Foto de Facebook

Estás comentando usando tu cuenta de Facebook. Cerrar sesión /  Cambiar )

Conectando a %s

A %d blogueros les gusta esto: