Diferencia entre revisiones de «Trabajo:Comparación de privacidad y seguridad entre aplicaciones de mensajería»

De FdIwiki ELP
Saltar a: navegación, buscar
(→‎Impacto)
m (Correción de links mal ubicados)
 
(No se muestran 27 ediciones intermedias de 4 usuarios)
Línea 1: Línea 1:
 
==Integrantes==
 
==Integrantes==
−
Somos un grupo de ELP de 4ºA formado por:
+
Somos el grupo de ELP de 4ºA formado por:
  
−
   - Alejandro Rodrígues Chacón
+
   - Alejandro Rodríguez Chacón
 
   - Daniel Francisco Bastarrica Lacalle
 
   - Daniel Francisco Bastarrica Lacalle
 
   - Ederson Aldair Funes Castillo
 
   - Ederson Aldair Funes Castillo
−
   - Javier Anton Alonso
+
   - Javier Antón Alonso
 
   - Nicolás Nahuel Alcaine Camilli
 
   - Nicolás Nahuel Alcaine Camilli
  
 
==Introducción==
 
==Introducción==
−
En esta era digital la seguridad de la información se ha convertido en un asunto de importancia capital, por ello el uso algoritmos de cifrado que aseguren la confidencialidad e integridad de los datos que enviamos es un elemento indispensable y una faceta cada vez a tener más en cuenta. Pero tan importante como el implementar este tipo de software y de la técnica, es informar a los desarrolladores sobre las ventajas que ofrece cada tipo de cifrado y lograr que sean bien adaptados en sus aplicaciones.
+
En esta edad digital en la que vivimos cada vez es más difícil conocer todos los entresijos de la tecnología que utiizamos en nuestro día a día, y no toda la información que encontramos es de fiar o está completa. Por ello si queremos disfrutar de los beneficios del progreso sin incurrir en riesgos que podrían ser fatales, es necesario desarrollar guias que informen de forma objetiva sobre el estado de los programas informáticos que utiliza la mayoría de la gente.
  
 
==Descripción del Trabajo==
 
==Descripción del Trabajo==
−
Nuestro grupo pretende hacer un análisis de los distintos algoritmos y protocolos criptograficos utilizados por las aplicaciones de mensajería más utilizados, explicar de forma breve su funcionamiento, sus ventajas y vulnerabilidades (en caso de haberlas), cuales de ellos son susceptibles a ser atacados, cuales están quedando obsoletos, etc.  
+
El objetivo de nuestro trabajo es arrojar algo de luz en el campo de las aplicaciones informáticas desde el punto de vista de la seguridad y privacidad de los datos que los usuario podrían depositar en ellas. Por tanto lo primero que haremos será analizar el estado de seguridad de las principales aplicaciones de mensajería y reflejar todo ello en un informe.
  
−
Los resultados de este análisis nos servirán para realizar una pequeña guía dirigida a aquellas personas que están pensando en crear su propia aplicación de mensajería, explicando cuales son las mejores practicas a la hora de implementar la seguridad y que otras cosas se deben evitar, para que al final el usuario pueda escoger los protocolos que mejor se ajusten a sus necesidades.
+
Somos coscientes de la existencia de organizaciones de fama internacional cuyo objetivo es similar al nuestro. Un ejemplo de este tipo de entidades es la EFF, cuyo trabajo desde su nacimiento ha sido proteger los derechos y libertades de los ciudadanos en el mundo de las nuevas tecnologías. Por ello una de nuestras principales metas es poder unir esfuerzos con esta organización para poder difundir nuestro trabajo al mayor número de personas y por consecuente generar un impacto y cambio en la sociedad.
 +
De no lograr contactar con esta institución o de no lograr convencerles, lo que haremos será divulgar nuestro trabajo por todos aquellos medios que encontremos que están a nuestra disposición.
  
 
==Planificación==
 
==Planificación==
−
* Recopilación de información sobre los algoritmos y protocolos usados por algunas aplicaciones de mensajería
+
* Recopilar información sobre el estado actual de las aplicaciones incluidas en el artículo de la EFF.
−
* Análisis y comparativa de los algoritmos
+
* Creación de una nueva tabla que incluya la información actualizada sobre estas aplicaciones, e incluir otras aplicaciones que hayan surgido en los últimos años o no hayan sido consideradas por la EFF.
−
* Creación de una guía que recopile los resultados del análisis y nuestras conclusiones
+
* Publicación de la nueva tabla comparativa y difusión.
  
−
==Apartados (Aún por Implementar)==
+
==Sobre la EFF==  
−
* '''¿Por qué se deben encriptar los datos?'''
+
La EFF (Electronic Frontier Foundation) es una organización sin ánimo de lucro fundada el 6 de julio de 1990 con sede en San Francisco, Estados Unidos. Su objetivo es luchar por las libertades civiles y por la conservación del derecho a libertad de expresión en el ámbito de las tecnologías de la era digital mediante la educación de la sociedad civil en estos temas.
−
* '''¿Son todos los algoritmos/protocolos igual de seguros?'''
+
 
−
* '''¿Puedo implementar mi propio algoritmo de encriptación?'''
+
La organización ha logrado un gran impacto social gracias a su trabajo, que consiste principalmente en:
−
* '''Algoritmos y Protocolos más utilizados'''
+
 
−
* '''Comparación - Ventajas, Vulnerabilidades y Ataques Conocidos'''
+
*Proporcionar asesoramiento.
−
* '''Conclusiones'''
+
*Organizar acciones políticas.
−
* '''Guía'''
+
*Apoyar a las tecnologías que respetan las libertades del individuo, frente a aquellas que no lo hacen.
 +
*Proporcionar financiación y defensa legal en los tribunales.
 +
*Distribuir guías y analizar las propiedades de las nuevas tecnologías emergentes.
 +
 
 +
En 2014 publicaron un artículo en el que comparaban la seguridad de las aplicaciones de mensajería más usadas, y asignaban una calificación (de 0 a 7) a cada una dependiendo de si cumplían unos criterios que la EFF consideraba necesarios para que una aplicación sea considerada segura. En su día era la mejor referencia a la hora de buscar aplicaciones con buenas políticas de seguridad y privacidad, pero dejó de actualizarse en marzo del 2016, por lo que la información ha quedado desfasada, y además no incluye aquellas aplicaciones que han surgido en los últimos 2 años.
 +
 
 +
==Investigación==
 +
La investigación ha sido llevada a cabo por distintos miembros del grupo, y ha consistido mayormente en la búsqueda de artículos que apoyasen/negaran algunos aspectos de seguridad mencionados en el artículo original, comunicados oficiales de los desarrolladores/compañías, documentación y auditorías del código fuente.
 +
 
 +
A lo largo de esta fase, nos encontramos con distintos escenarios:
 +
* Muchas aplicaciones cambiaron sus políticas de privacidad/seguridad, y apostaron por la implementación de mejores protocolos criptográficos para proteger la información de los usuarios
 +
* Otras aplicaciones, por el contrario, siguen utilizando las políticas/protocolos que utilizaban en 2016
 +
* Las aplicaciones emergentes en los últimos 2 años sí tenían en cuenta la seguridad, y casi todas ofrecían encriptación punto-a-punto por defecto
 +
* Algunas aplicaciones dejaron de ofrecer sus servicios (parcial o completamente)
 +
 
 +
También cabe destacar que muchas aplicaciones no contaban con páginas que explicasen los protocolos criptográficos empleados, o el tratamiento que hacían de los datos de usuario, y solo se limitaban a mencionar que la información de sus usuarios estaba 'protegida' frente a terceros.
  
 
==Impacto==
 
==Impacto==
−
Hoy en día cualquier persona puede acceder a la información necesaria (tutoriales, vídeos, cursos online, etc.) para aprender a codificar y construir sus propias aplicaciones, y no resulta raro encontrarse con personas que buscan crear su propia aplicación de mensajería (ya sea por curiosidad o desconfianza de las que ya existen).
+
Tras completar la tabla, decidimos crear [https://appssecuritycomparison.wordpress.com una página web en WordPress] para hacer accesibles los resultados al público general.
 +
Actualmente, la página cuenta con +250 visitas, pero esperamos que este número aumente en los próximos días tras compartir el enlace por redes sociales.
 +
 
 +
==Tabla comparativa (basada en la scorecard de la EFF y actualizada por nosotros en 2018)==
 +
En esta tabla se estudian diversos puntos entre diferentes plataformas de mensajería:
 +
 
 +
#'''¿Comunicaciones encriptadas?'''
 +
#: Todas las comunicaciones que realiza el usuario están encriptadas para cualquier enlace usado por él mismo
 +
#'''¿Encriptación punto a punto?'''
 +
#: Cualquier mensaje o dato sensible está encriptado de cara a los administradores del sistema, sólo los propios usuarios de la comunicación
 +
#: tienen la clave para descifrar
 +
#'''¿La aplicación cuenta con verificación de cuentas?'''
 +
#: Cada cuenta tiene un mecanismo de verificación de usuario. Posibles mecanismos:
 +
#:* Interfaz que permita acceder al hash de cada correspondiente clave pública
 +
#:* Protocolo de intercambio de claves con una pequeña autenticación de caracteres
 +
#'''¿Las comunicaciones realizadas en el pasado están protegidas si las claves son robadas?'''
 +
#: Cada comunicación está encriptada con claves efímeras ó de corto plazo, borradas constantemente.
 +
#: Hay que tener en cuenta que esta característica está relacionada con la segunda
 +
#'''¿El código está abierto a revisiones de entidades independientes?'''
 +
#: El código fuente publicado debe ser suficiente para que otras entidades puedan realizar revisiones de bugs, back-doors, problemas estructurales, etc
 +
#'''¿El diseño de la criptografía empleada está bien documentado?'''
 +
#: Todos los mecanismos criptográficos que usa la aplicación están explicados de forma clara y detallada en documentos,
 +
#: preferiblemente en formato papel. De esta forma podría ser revisado por una audiencia de criptógrafos profesionales
 +
#'''¿Hubo recientemente alguna auditoría?'''
 +
#: Para este punto se estudia si la aplicación fue auditada por alguna organización independiente dentro de los 12 meses anteriores a la evaluación del mismo.
 +
#: Esta revisión debe cubrir tanto el diseño como la implementación de la app, al igual que debe haberse realizado por alguna empresa auditora con renombre
 +
#: e independiente de su equipo de desarrollo
 +
#: Cabe destacar que cuando las empresas trabajan con código abierto tienden a prescindir de auditorías ya que las personas que miran el código suelen corregir
 +
#: los fallos y dar el visto bueno a las implementaciones
  
−
Pero aunque muchos de ellos tienen el conocimiento necesario para diseñar y crear este tipo de aplicaciones, una gran mayoría no son expertos en seguridad, y desconocen los métodos utilizados por las grandes compañías para proteger sus mensajes de personas ajenas, o como verificar que los mensajes no han sido modificados desde la salida del emisor hasta la llegada al receptor.
 
  
−
Creemos que nuestro trabajo facilitara y agilizara el aprendizaje de cuales son las herramientas y protocolos que los desarrolladores tienen a su disposición para asegurar la privacidad de sus futuros usuarios.
 
  
  
Línea 43: Línea 85:
 
<th>Are past comms secure if your keys are stolen? <th>Is the code open to independent review? <th>Is security design properly documented?
 
<th>Are past comms secure if your keys are stolen? <th>Is the code open to independent review? <th>Is security design properly documented?
 
<th>Has there been any recent code audit?
 
<th>Has there been any recent code audit?
 +
</tr>
 +
 +
<tr>
 +
<th> AIM
 +
<th style="background-color:DarkRed;">discontinued
 +
<th style="background-color:DarkRed;">discontinued
 +
<th style="background-color:DarkRed;">discontinued
 +
<th style="background-color:DarkRed;">discontinued
 +
<th style="background-color:DarkRed;">discontinued
 +
<th style="background-color:DarkRed;">discontinued
 +
<th style="background-color:DarkRed;">discontinued
 +
</tr>
 +
 +
<tr>
 +
<th> BlackBerry Messenger
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">[http://help.blackberry.com/es/bbm-security/latest/bbm-security-pdf/BBM-Security_Note-1336480397548-en.pdf YES* (Depends on type of devices used in the communication)]
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:red;">NO
 +
<th style="background-color:red;">NO
 +
<th style="background-color:red;">NO
 +
<th style="background-color:red;">NO
 +
</tr>
 +
 +
<tr>
 +
<th> BlackBerry Protected
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:red;">NO
 +
<th style="background-color:red;">NO
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:red;">NO
 +
</tr>
 +
 +
<tr>
 +
<th> Chat secure + Orbot
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
</tr>
 +
 +
<tr>
 +
<th> Ebuddy XMS
 +
<th style="background-color:DarkRed;">discontinued
 +
<th style="background-color:DarkRed;">discontinued
 +
<th style="background-color:DarkRed;">discontinued
 +
<th style="background-color:DarkRed;">discontinued
 +
<th style="background-color:DarkRed;">discontinued
 +
<th style="background-color:DarkRed;">discontinued
 +
<th style="background-color:DarkRed;">discontinued
 +
</tr>
  
 
<tr>
 
<tr>
 
<th> Facebook Chat  
 
<th> Facebook Chat  
−
<th style="background-color:yellow;">YES  
+
<th style="background-color:LawnGreen;">YES  
−
<th style="background-color:yellow;"> [https://www.engadget.com/2016/10/04/facebook-messenger-now-lets-you-toggle-end-to-end-encryption/ YES(Not the default option) ]
+
<th style="background-color:LawnGreen;"> [https://www.engadget.com/2016/10/04/facebook-messenger-now-lets-you-toggle-end-to-end-encryption/ YES(Not the default option) ]
−
<th style="background-color:yellow;">[https://fbnewsroomus.files.wordpress.com/2016/07/secret_conversations_whitepaper-1.pdf YES]
+
<th style="background-color:LawnGreen;">[https://fbnewsroomus.files.wordpress.com/2016/07/secret_conversations_whitepaper-1.pdf YES]
−
<th style="background-color:yellow;">[https://fbnewsroomus.files.wordpress.com/2016/07/secret_conversations_whitepaper-1.pdf YES* (Ephemeral key keypairs)]
+
<th style="background-color:LawnGreen;">[https://fbnewsroomus.files.wordpress.com/2016/07/secret_conversations_whitepaper-1.pdf YES* (Ephemeral key keypairs)]
−
<th style="background-color:yellow;">[https://github.com/facebookresearch/asynchronousratchetingtree Yes (Group Chats)]  
+
<th style="background-color:LawnGreen;">[https://github.com/facebookresearch/asynchronousratchetingtree Yes (Group Chats)]  
−
<th>YES  
+
<th style="background-color:LawnGreen;">[https://fbnewsroomus.files.wordpress.com/2016/07/secret_conversations_whitepaper-1.pdf YES*]
−
<th>No records of new audit has been found
+
<th style="background-color:LawnGreen;">YES
 +
</tr>
 +
 
 +
<tr>
 +
<th> FaceTime
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:red;">NO
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:red;">NO
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
</tr>
 +
 
 +
<tr>
 +
<th> Google Hangouts/Chat "off the record"
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:red;">NO
 +
<th style="background-color:#ffff66;">*
 +
<th style="background-color:red;">NO
 +
<th style="background-color:#ffff66;">*
 +
<th style="background-color:#ffff66;">*
 +
<th style="background-color:#ffff66;">*
 +
</tr>
 +
 
 +
<tr>
 +
<th> Hushmail
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:red;">NO
 +
<th style="background-color:red;">NO
 +
<th style="background-color:LawnGreen;">[https://help.hushmail.com/hc/en-us/articles/213268063-Perfect-Forward-Secrecy-PFS YES]
 +
<th style="background-color:red;">NO
 +
<th style="background-color:LawnGreen;">[https://help.hushmail.com/hc/en-us/articles/213267743-Security-Analysis YES]
 +
<th style="background-color:red;">NO
 +
</tr>
 +
 
 +
<tr>
 +
<th> iMessage
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:red;">NO
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:red;">NO
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
</tr>
 +
 
 +
<tr>
 +
<th> iPGmail
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:red;">NO
 +
<th style="background-color:red;">NO
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:red;">NO
 +
</tr>
 +
 
 +
<tr>
 +
<th> Jitsi
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:red;">NO
 +
</tr>
 +
 
 +
<tr>
 +
<th> Kik messenger
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:red;">NO
 +
<th style="background-color:red;">NO
 +
<th style="background-color:red;">NO
 +
<th style="background-color:red;">NO
 +
<th style="background-color:red;">NO
 +
<th style="background-color:red;">NO
 +
</tr>
 +
 
 +
<tr>
 +
<th> Mailvelope
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:red;">NO
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">[https://posteo.de/en/blog/security-warning-for-users-of-mailvelope-in-firefox YES]
 +
</tr>
 +
 
 +
<tr>
 +
<th> Mxit
 +
<th style="background-color:DarkRed;">discontinued
 +
<th style="background-color:DarkRed;">discontinued
 +
<th style="background-color:DarkRed;">discontinued
 +
<th style="background-color:DarkRed;">discontinued
 +
<th style="background-color:DarkRed;">discontinued
 +
<th style="background-color:DarkRed;">discontinued
 +
<th style="background-color:DarkRed;">discontinued
 +
</tr>
 +
 
 +
<tr>
 +
<th> Off-the-record Messaging for Mac (Adium)
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:red;">NO
 +
</tr>
 +
 
 +
<tr>
 +
<th> Off-The-Record Messaging for Windows (Pidgin)
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:red;">NO
 +
</tr>
 +
 
 +
<tr>
 +
<th> PGP for Mac (GPGTools)
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:red;">NO
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:red;">NO
 +
</tr>
 +
 
 +
<tr>
 +
<th> PGP for Windows (GPG4win)
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:red;">NO
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:red;">NO
 +
</tr>
 +
 
 +
<tr>
 +
<th> QQ
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:red;">NO
 +
<th style="background-color:red;">NO
 +
<th style="background-color:red;">NO
 +
<th style="background-color:red">NO
 +
<th style="background-color:red">NO
 +
<th style="background-color:#ffff66;">*
 +
</tr>
  
 
<tr>
 
<tr>
 
<th> RetroShare  
 
<th> RetroShare  
−
<th>YES
+
<th style="background-color:LawnGreen;">YES
−
<th>YES  
+
<th style="background-color:LawnGreen;">YES  
−
<th>YES
+
<th style="background-color:LawnGreen;">YES
−
<th>YES  
+
<th style="background-color:LawnGreen;">YES  
−
<th>YES
+
<th style="background-color:LawnGreen;">YES
−
<th>YES
+
<th style="background-color:LawnGreen;">YES
−
<th>NO (Last Revision on 2016)
+
<th style="background-color:red;">[https://www.elttam.com.au/blog/a-review-of-the-eff-secure-messaging-scorecard-pt1/ NO (Last Revision on 2016)]
 +
</tr>
  
 
<tr>
 
<tr>
 
<th> Signal  
 
<th> Signal  
−
<th>YES
+
<th style="background-color:LawnGreen;">YES
−
<th>YES  
+
<th style="background-color:LawnGreen;">YES  
−
<th>YES
+
<th style="background-color:LawnGreen;">YES
−
<th>YES  
+
<th style="background-color:LawnGreen;">YES  
−
<th>YES
+
<th style="background-color:LawnGreen;">YES
−
<th>YES
+
<th style="background-color:LawnGreen;">YES
−
<th>YES
+
<th style="background-color:LawnGreen;">[https://eprint.iacr.org/2016/1013.pdf YES]
 +
</tr>
 +
 
 +
<tr>
 +
<th> Silent Phone
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">[https://github.com/SilentCircle/silent-phone-android YES]
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:red;">NO(No records of new audit has been found)
 +
</tr>
 +
 
 +
<tr>
 +
<th> Silent Text
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
</tr>
 +
 
 +
 
 +
<tr>
 +
<th> Skype
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">[https://support.skype.com/en/faq/FA34824/what-are-private-conversations-in-the-new-skype YES(Only on Private Conversations)]
 +
<th style="background-color:#ffff66;">*
 +
<th style="background-color:#ffff66;">*
 +
<th style="background-color:#ffff66;">*
 +
<th style="background-color:#ffff66;">*
 +
<th style="background-color:#ffff66;">*
 +
</tr>
 +
 
 +
<tr>
 +
<th> SnapChat
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:red;">NO
 +
<th style="background-color:#ffff66;">*
 +
<th style="background-color:red;">NO
 +
<th style="background-color:#ffff66;">*
 +
<th style="background-color:#ffff66;">*
 +
<th style="background-color:#ffff66;">*
 +
</tr>
  
 
<tr>
 
<tr>
 
<th> StartMail
 
<th> StartMail
−
<th>YES
+
<th style="background-color:LawnGreen;">[https://support.startmail.com/index.php?/Knowledgebase/Article/View/520/2/startmail-on-effs-secure-messaging-scorecard YES]
−
<th>NO
+
<th style="background-color:red;">[https://support.startmail.com/index.php?/Knowledgebase/Article/View/520/2/startmail-on-effs-secure-messaging-scorecard NO]
−
<th>YES
+
<th style="background-color:LawnGreen;">[https://support.startmail.com/index.php?/Knowledgebase/Article/View/520/2/startmail-on-effs-secure-messaging-scorecard YES]
−
<th>NO  
+
<th style="background-color:red;">[https://support.startmail.com/index.php?/Knowledgebase/Article/View/520/2/startmail-on-effs-secure-messaging-scorecard NO]
−
<th>NO
+
<th style="background-color:red;">[https://support.startmail.com/index.php?/Knowledgebase/Article/View/520/2/startmail-on-effs-secure-messaging-scorecard NO]
−
<th>YES
+
<th style="background-color:LawnGreen;">[https://support.startmail.com/index.php?/Knowledgebase/Article/View/520/2/startmail-on-effs-secure-messaging-scorecard YES]
−
<th>NO
+
<th style="background-color:red;">[https://support.startmail.com/index.php?/Knowledgebase/Article/View/520/2/startmail-on-effs-secure-messaging-scorecard NO]
 +
</tr>
  
 +
<tr>
 +
<th> SureSpot
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:#ffff66;">*
 +
<th style="background-color:#ffff66;">*
 +
<th style="background-color:#ffff66;">*
 +
<th style="background-color:#ffff66;">*
 +
<th style="background-color:#ffff66;">*
 +
<th style="background-color:#ffff66;">*
 +
</tr>
 +
 +
<tr>
 +
<th> Telegram
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:red;">NO
 +
<th style="background-color:#ffff66;">*
 +
<th style="background-color:red;">NO
 +
<th style="background-color:#ffff66;">*
 +
<th style="background-color:#ffff66;">*
 +
<th style="background-color:#ffff66;">*
 +
</tr>
 +
 +
<tr>
 +
<th> Telegram(secret chats)
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:#ffff66;">*
 +
<th style="background-color:#ffff66;">*
 +
<th style="background-color:#ffff66;">*
 +
<th style="background-color:#ffff66;">*
 +
<th style="background-color:#ffff66;">*
 +
<th style="background-color:#ffff66;">*
 +
</tr>
 +
 +
<tr>
 +
<th> TextSecure
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
</tr>
 +
 +
<tr>
 +
<th> Threema
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">[https://threema.ch/es/faq/levels_expl YES]
 +
<th style="background-color:LawnGreen;">[https://threema.ch/es/faq/why_secure YES]
 +
<th style="background-color:LawnGreen;">[https://threema.ch/es/faq/source_code YES]
 +
<th style="background-color:LawnGreen;">[https://threema.ch/press-files/2_documentation/cryptography_whitepaper.pdf YES]
 +
<th style="background-color:red;">[https://threema.ch/en/faq/code_audit NO (Last audit on 2015)]
 +
</tr>
 +
 +
<tr>
 +
<th> Viber
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">[https://support.viber.com/customer/en/portal/articles/2017401-viber-accounts-security-and-encryption YES]
 +
<th style="background-color:LawnGreen;">[https://support.viber.com/customer/en/portal/articles/2017401-viber-accounts-security-and-encryption YES]
 +
<th style="background-color:LawnGreen;">[https://www.viber.com/security-overview/ YES]
 +
<th style="background-color:red;">NO
 +
<th style="background-color:LawnGreen;">[https://www.viber.com/security-overview/ YES]
 +
<th style="background-color:red;">NO (Last audit on 2014)
 +
</tr>
 +
 +
<tr>
 +
<th> Virtru
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:#ffff66;">*
 +
<th style="background-color:#ffff66;">*
 +
<th style="background-color:#ffff66;">*
 +
<th style="background-color:#ffff66;">*
 +
<th style="background-color:#ffff66;">*
 +
<th style="background-color:red;">NO (No records of new audit has been found)
 +
</tr>
 +
 +
 +
<tr>
 +
<th> WhatsApp
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:red;">NO
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:red;">NO (No records of new audit has been found)
 +
</tr>
 +
 +
<tr>
 +
<th> Wickr
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">[https://github.com/WickrInc/wickr-crypto-c YES]
 +
<th style="background-color:LawnGreen;">[https://www.wickr.com/wickr-messaging-protocol YES]
 +
<th style="background-color:red;">[https://www.wickr.com/blog-archive/2017/5/26/aspect-security-audit NO (Last audit was on 2014)]
 +
</tr>
 +
 +
<tr>
 +
<th> Yahoo! Messenger
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:red;">NO
 +
<th style="background-color:#ffff66;">*
 +
<th style="background-color:red;">NO
 +
<th style="background-color:#ffff66;">*
 +
<th style="background-color:#ffff66;">*
 +
<th style="background-color:#ffff66;">*
 +
</tr>
 +
 +
<tr>
 +
<th> Discord
 +
<th style="background-color:LawnGreen;">[https://feedback.discordapp.com/forums/326712-discord-dream-land/suggestions/17094256-implement-whispersystems-encryption-for-voice-and YES]
 +
<th style="background-color:red;">[https://feedback.discordapp.com/forums/326712-discord-dream-land/suggestions/17094256-implement-whispersystems-encryption-for-voice-and NO]
 +
<th style="background-color:red;">NO
 +
<th style="background-color:red;">NO
 +
<th style="background-color:red;">NO
 +
<th style="background-color:red;">NO
 +
<th style="background-color:red;">NO
 +
</tr>
 +
 +
 +
<tr>
 +
<th> WIRE
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">[https://wire-docs.wire.com/download/Wire+Security+Whitepaper.pdf YES]
 +
<th style="background-color:LawnGreen;">[https://support.wire.com/hc/en-us/articles/207692235-How-can-I-compare-key-fingerprints- YES]
 +
<th style="background-color:LawnGreen;">[https://wire-docs.wire.com/download/Wire+Security+Whitepaper.pdf YES]
 +
<th style="background-color:LawnGreen;">[https://github.com/wireapp/wire YES]
 +
<th style="background-color:LawnGreen;">[https://wire-docs.wire.com/download/Wire+Security+Whitepaper.pdf YES]
 +
<th style="background-color:LawnGreen;">[https://wire-docs.wire.com/download/Wire+Audit+Report.pdf YES]
 +
</tr>
 +
 +
<tr>
 +
<th> LINE
 +
<th style="background-color:LawnGreen;">[https://linecorp.com/en/security/encryption_report YES]
 +
<th style="background-color:LawnGreen;">[https://linecorp.com/en/security/encryption_report YES]
 +
<th style="background-color:LawnGreen;">[https://help.line.me/line/?contentId=50000087 YES]
 +
<th style="background-color:LawnGreen;">[https://linecorp.com/en/security/encryption_report YES]
 +
<th style="background-color:red;">NO
 +
<th style="background-color:LawnGreen;">[https://scdn.line-apps.com/stf/linecorp/en/csr/line-encryption-whitepaper-ver1.0.pdf YES]
 +
<th style="background-color:LawnGreen;">[https://www.usenix.org/system/files/conference/foci17/foci17-paper-espinoza.pdf YES]
 +
</tr>
 +
 +
<tr>
 +
<th> Confide
 +
<th style="background-color:LawnGreen;">[https://getconfide.com/#features YES]
 +
<th style="background-color:LawnGreen;">[https://getconfide.com/#features YES]
 +
<th style="background-color:red;">NO
 +
<th style="background-color:red;">NO
 +
<th style="background-color:red;">NO
 +
<th style="background-color:red;">NO
 +
<th style="background-color:LawnGreen;">[https://static.getconfide.com/audits/Confide-PT_A4.ENG.0001.02.pdf YES]
 +
</tr>
 +
 +
<tr>
 +
<th> Cryptocat
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">[https://leastauthority.com/static/publications/LeastAuthority-Cryptocat-audit-report.pdf YES]
 +
<th style="background-color:LawnGreen;">[https://crypto.cat/help.html#fingerprints YES]
 +
<th style="background-color:LawnGreen;">[https://crypto.cat/security.html#encryption YES]
 +
<th style="background-color:LawnGreen;">[https://github.com/cryptocat/cryptocat YES]
 +
<th style="background-color:LawnGreen;">[https://crypto.cat/security.html YES]
 +
<th style="background-color:red;">[https://leastauthority.com/static/publications/LeastAuthority-Cryptocat-audit-report.pdf NO(Last audit in 2014)]
 +
</tr>
 +
 +
<tr>
 +
<th> Google Allo (Incognito)
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">[https://support.google.com/allo/answer/6383724?hl=en YES]
 +
<th style="background-color:red;">NO
 +
<th style="background-color:LawnGreen;">[https://signal.org/blog/allo/ YES]
 +
<th style="background-color:red;">NO
 +
<th style="background-color:red;">NO
 +
<th style="background-color:red;">NO
 +
</tr>
 +
 +
<tr>
 +
<th> Briar
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">[https://briarproject.org/how-it-works.html YES]
 +
<th style="background-color:LawnGreen;">[https://briarproject.org/manual/#adding-contacts YES]
 +
<th style="background-color:LawnGreen;">[https://www.bleepingcomputer.com/news/security/briar-tor-based-messenger-passes-security-audit-enters-beta-stage/ YES]
 +
<th style="background-color:LawnGreen;">[https://code.briarproject.org/akwizgran/briar/tree/master YES]
 +
<th style="background-color:red;">NO
 +
<th style="background-color:LawnGreen;">[https://briarproject.org/raw/BRP-01-report.pdf YES]
 +
</tr>
 +
 +
<tr>
 +
<th> Ricochet IM
 +
<th style="background-color:LawnGreen;">YES
 +
<th style="background-color:LawnGreen;">[https://thehackernews.com/2016/02/ricochet-secure-messenger.html YES]
 +
<th style="background-color:LawnGreen;">[https://thehackernews.com/2016/02/ricochet-secure-messenger.html YES]
 +
<th style="background-color:LawnGreen;">[https://ricochet.im/files/ricochet-ncc-audit-2016-01.pdf YES]
 +
<th style="background-color:LawnGreen;">[https://github.com/ricochet-im/ricochet YES]
 +
<th style="background-color:red;">NO
 +
<th style="background-color:red;">[https://ricochet.im/files/ricochet-ncc-audit-2016-01.pdf NO(Last Audit in 2016)]
 +
</tr>
 +
 +
<tr>
 +
<th> Sicher
 +
<th style="background-color:LawnGreen;">[http://www.shape.ag/en/privacy/sicher/ YES]
 +
<th style="background-color:LawnGreen;">[http://www.shape.ag/en/privacy/sicher/ YES]
 +
<th style="background-color:red;">NO
 +
<th style="background-color:LawnGreen;">[https://en.wikipedia.org/wiki/Comparison_of_instant_messaging_clients YES]
 +
<th style="background-color:red;">NO
 +
<th style="background-color:red;">NO
 +
<th style="background-color:red;">NO
 +
</tr>
  
 
</table>
 
</table>
 +
 +
 +
[[Categoría:Curso 2017-2018]]

Última revisión de 19:22 20 ene 2018

Integrantes

Somos el grupo de ELP de 4ºA formado por: 

 - Alejandro Rodríguez Chacón
 - Daniel Francisco Bastarrica Lacalle
 - Ederson Aldair Funes Castillo
 - Javier Antón Alonso
 - Nicolás Nahuel Alcaine Camilli

Introducción

En esta edad digital en la que vivimos cada vez es más difícil conocer todos los entresijos de la tecnología que utiizamos en nuestro día a día, y no toda la información que encontramos es de fiar o está completa. Por ello si queremos disfrutar de los beneficios del progreso sin incurrir en riesgos que podrían ser fatales, es necesario desarrollar guias que informen de forma objetiva sobre el estado de los programas informáticos que utiliza la mayoría de la gente.

Descripción del Trabajo

El objetivo de nuestro trabajo es arrojar algo de luz en el campo de las aplicaciones informáticas desde el punto de vista de la seguridad y privacidad de los datos que los usuario podrían depositar en ellas. Por tanto lo primero que haremos será analizar el estado de seguridad de las principales aplicaciones de mensajería y reflejar todo ello en un informe.

Somos coscientes de la existencia de organizaciones de fama internacional cuyo objetivo es similar al nuestro. Un ejemplo de este tipo de entidades es la EFF, cuyo trabajo desde su nacimiento ha sido proteger los derechos y libertades de los ciudadanos en el mundo de las nuevas tecnologías. Por ello una de nuestras principales metas es poder unir esfuerzos con esta organización para poder difundir nuestro trabajo al mayor número de personas y por consecuente generar un impacto y cambio en la sociedad. De no lograr contactar con esta institución o de no lograr convencerles, lo que haremos será divulgar nuestro trabajo por todos aquellos medios que encontremos que están a nuestra disposición.

Planificación

  • Recopilar información sobre el estado actual de las aplicaciones incluidas en el artículo de la EFF.
  • Creación de una nueva tabla que incluya la información actualizada sobre estas aplicaciones, e incluir otras aplicaciones que hayan surgido en los últimos años o no hayan sido consideradas por la EFF.
  • Publicación de la nueva tabla comparativa y difusión.

Sobre la EFF

La EFF (Electronic Frontier Foundation) es una organización sin ánimo de lucro fundada el 6 de julio de 1990 con sede en San Francisco, Estados Unidos. Su objetivo es luchar por las libertades civiles y por la conservación del derecho a libertad de expresión en el ámbito de las tecnologías de la era digital mediante la educación de la sociedad civil en estos temas.

La organización ha logrado un gran impacto social gracias a su trabajo, que consiste principalmente en:

  • Proporcionar asesoramiento.
  • Organizar acciones políticas.
  • Apoyar a las tecnologías que respetan las libertades del individuo, frente a aquellas que no lo hacen.
  • Proporcionar financiación y defensa legal en los tribunales.
  • Distribuir guías y analizar las propiedades de las nuevas tecnologías emergentes.

En 2014 publicaron un artículo en el que comparaban la seguridad de las aplicaciones de mensajería más usadas, y asignaban una calificación (de 0 a 7) a cada una dependiendo de si cumplían unos criterios que la EFF consideraba necesarios para que una aplicación sea considerada segura. En su día era la mejor referencia a la hora de buscar aplicaciones con buenas políticas de seguridad y privacidad, pero dejó de actualizarse en marzo del 2016, por lo que la información ha quedado desfasada, y además no incluye aquellas aplicaciones que han surgido en los últimos 2 años.

Investigación

La investigación ha sido llevada a cabo por distintos miembros del grupo, y ha consistido mayormente en la búsqueda de artículos que apoyasen/negaran algunos aspectos de seguridad mencionados en el artículo original, comunicados oficiales de los desarrolladores/compañías, documentación y auditorías del código fuente.

A lo largo de esta fase, nos encontramos con distintos escenarios:

  • Muchas aplicaciones cambiaron sus políticas de privacidad/seguridad, y apostaron por la implementación de mejores protocolos criptográficos para proteger la información de los usuarios
  • Otras aplicaciones, por el contrario, siguen utilizando las políticas/protocolos que utilizaban en 2016
  • Las aplicaciones emergentes en los últimos 2 años sí tenían en cuenta la seguridad, y casi todas ofrecían encriptación punto-a-punto por defecto
  • Algunas aplicaciones dejaron de ofrecer sus servicios (parcial o completamente)

También cabe destacar que muchas aplicaciones no contaban con páginas que explicasen los protocolos criptográficos empleados, o el tratamiento que hacían de los datos de usuario, y solo se limitaban a mencionar que la información de sus usuarios estaba 'protegida' frente a terceros.

Impacto

Tras completar la tabla, decidimos crear una página web en WordPress para hacer accesibles los resultados al público general. Actualmente, la página cuenta con +250 visitas, pero esperamos que este número aumente en los próximos días tras compartir el enlace por redes sociales.

Tabla comparativa (basada en la scorecard de la EFF y actualizada por nosotros en 2018)

En esta tabla se estudian diversos puntos entre diferentes plataformas de mensajería:

  1. ¿Comunicaciones encriptadas?
    Todas las comunicaciones que realiza el usuario están encriptadas para cualquier enlace usado por él mismo
  2. ¿Encriptación punto a punto?
    Cualquier mensaje o dato sensible está encriptado de cara a los administradores del sistema, sólo los propios usuarios de la comunicación
    tienen la clave para descifrar
  3. ¿La aplicación cuenta con verificación de cuentas?
    Cada cuenta tiene un mecanismo de verificación de usuario. Posibles mecanismos:
    • Interfaz que permita acceder al hash de cada correspondiente clave pública
    • Protocolo de intercambio de claves con una pequeña autenticación de caracteres
  4. ¿Las comunicaciones realizadas en el pasado están protegidas si las claves son robadas?
    Cada comunicación está encriptada con claves efímeras ó de corto plazo, borradas constantemente.
    Hay que tener en cuenta que esta característica está relacionada con la segunda
  5. ¿El código está abierto a revisiones de entidades independientes?
    El código fuente publicado debe ser suficiente para que otras entidades puedan realizar revisiones de bugs, back-doors, problemas estructurales, etc
  6. ¿El diseño de la criptografía empleada está bien documentado?
    Todos los mecanismos criptográficos que usa la aplicación están explicados de forma clara y detallada en documentos,
    preferiblemente en formato papel. De esta forma podría ser revisado por una audiencia de criptógrafos profesionales
  7. ¿Hubo recientemente alguna auditoría?
    Para este punto se estudia si la aplicación fue auditada por alguna organización independiente dentro de los 12 meses anteriores a la evaluación del mismo.
    Esta revisión debe cubrir tanto el diseño como la implementación de la app, al igual que debe haberse realizado por alguna empresa auditora con renombre
    e independiente de su equipo de desarrollo
    Cabe destacar que cuando las empresas trabajan con código abierto tienden a prescindir de auditorías ya que las personas que miran el código suelen corregir
    los fallos y dar el visto bueno a las implementaciones



 Encrypted in transit? Encrypted so the provider can’t read it? Can you verify contacts’ identities? Are past comms secure if your keys are stolen? Is the code open to independent review? Is security design properly documented? Has there been any recent code audit?
AIM discontinued discontinued discontinued discontinued discontinued discontinued discontinued
BlackBerry Messenger YES YES* (Depends on type of devices used in the communication) YES NO NO NO NO
BlackBerry Protected YES YES YES NO NO YES NO
Chat secure + Orbot YES YES YES YES YES YES YES
Ebuddy XMS discontinued discontinued discontinued discontinued discontinued discontinued discontinued
Facebook Chat YES YES(Not the default option) YES YES* (Ephemeral key keypairs) Yes (Group Chats) YES* YES
FaceTime YES YES NO YES NO YES YES
Google Hangouts/Chat "off the record" YES NO * NO * * *
Hushmail YES NO NO YES NO YES NO
iMessage YES YES NO YES NO YES YES
iPGmail YES YES YES NO NO YES NO
Jitsi YES YES YES YES YES YES NO
Kik messenger YES NO NO NO NO NO NO
Mailvelope YES YES YES NO YES YES YES
Mxit discontinued discontinued discontinued discontinued discontinued discontinued discontinued
Off-the-record Messaging for Mac (Adium) YES YES YES YES YES YES NO
Off-The-Record Messaging for Windows (Pidgin) YES YES YES YES YES YES NO
PGP for Mac (GPGTools) YES YES YES NO YES YES NO
PGP for Windows (GPG4win) YES YES YES NO YES YES NO
QQ YES NO NO NO NO NO *
RetroShare YES YES YES YES YES YES NO (Last Revision on 2016)
Signal YES YES YES YES YES YES YES
Silent Phone YES YES YES YES YES YES NO(No records of new audit has been found)
Silent Text YES YES YES YES YES YES YES
Skype YES YES(Only on Private Conversations) * * * * *
SnapChat YES NO * NO * * *
StartMail YES NO YES NO NO YES NO
SureSpot YES * * * * * *
Telegram YES NO * NO * * *
Telegram(secret chats) YES * * * * * *
TextSecure YES YES YES YES YES YES YES
Threema YES YES YES YES YES YES NO (Last audit on 2015)
Viber YES YES YES YES NO YES NO (Last audit on 2014)
Virtru YES * * * * * NO (No records of new audit has been found)
WhatsApp YES YES YES YES NO YES NO (No records of new audit has been found)
Wickr YES YES YES YES YES YES NO (Last audit was on 2014)
Yahoo! Messenger YES NO * NO * * *
Discord YES NO NO NO NO NO NO
WIRE YES YES YES YES YES YES YES
LINE YES YES YES YES NO YES YES
Confide YES YES NO NO NO NO YES
Cryptocat YES YES YES YES YES YES NO(Last audit in 2014)
Google Allo (Incognito) YES YES NO YES NO NO NO
Briar YES YES YES YES YES NO YES
Ricochet IM YES YES YES YES YES NO NO(Last Audit in 2016)
Sicher YES YES NO YES NO NO NO
Obtenido de «http://wikis.fdi.ucm.es/ELP/index.php?title=Trabajo:Comparación_de_privacidad_y_seguridad_entre_aplicaciones_de_mensajería&oldid=13434»