O WhatsApp possui uma brecha que permite ler conversas dos usuários mesmo que as mensagens estejam criptografadas, informa o jornal britânico “Guardian”, em reportagem publicada nesta sexta-feira (13).
A falha foi descoberta por Tobias Boelter, um pesquisador da Universidade de Berkeley, na Califórnia, que chegou a comunicá-la em abril do ano passado ao Facebook, o dono do aplicativo de mensagem, que não resolveu o problema. A vulnerabilidade decorre, diz o jornal, da forma como o WhatsApp implantou um modelo de criptografia de ponta-a-ponta.
Esse sistema gera chaves únicas de segurança para cada usuário. É com elas que as mensagens são codificadas e decodificadas. A criptografia de ponta-a-ponta, como o nome sugere, protege todo o trajeto da comunicação entre as pontas (os participantes) de uma conversa. Com ela, nenhum intermediário, nem mesmo o WhatsApp, deve ser capaz de interferir na conversa e obter o conteúdo que foi compartilhado.
Só que o WhatsApp adaptou o protocolo Signal, desenvolvido pela Open Whisper Systems, amplamente usado por outros aplicativos “seguros”, como, por exemplo, o Telegram. Essa modificação permite que o aplicativo force a troca das chaves de um usuário que não esteja conectado à internet sem que as pessoas que conversem com ele sejam avisadas. A partir daí, todas as mensagens marcadas como não entregues são criptografas com a nova chave e enviadas novamente, diz o “Guardian”.
É durante a nova codificação das mensagens e o reenvio que a interceptção das mensagens se torna possível, ainda de acordo com a publicação. “Se o WhatsApp for questionado por uma agência governamental para revelar um registro de mensagem, pode efetivamente garantir acesso por causa dessa mudança de chaves”, afirmou Boelter ao jornal.
Essa solução funciona a partir da troca de chaves criptográficas, a tecnologia responsável pelo processo que embaralha e codifica cada mensagem individualmente. A vantagem desse tipo de criptografia é que o processo é invisível e não exige nenhuma ação por parte dos usuários: as chaves são recebidas e utilizadas automaticamente.
Como a comunicação passa a depender da segurança de um intermediário, o sigilo não está mais só nas mãos dos participantes da conversa. É por isso que o WhatsApp possui um meio de conferir se a troca de chaves ocorreu de maneira correta. Ou seja: se a chave recebida por seu amigo é a mesma que ele enviou, então está tudo certo e o processo ocorreu de maneira segura.
A verificação consiste em abrir o perfil de um contato no WhatsApp e clicar em Criptografia – o item com um cadeado. Depois, basta escanear o código QR que aparecer na tela. Em caso de segurança, o código se transforma em um tique verde.
Mesmo com todos esses processos, um ataque é teoricamente possível. Criminosos ou espiões, porém, teriam uma dificuldade considerável para intervir no processo de troca de chaves, já que ele também é protegido por chaves criptográficas do próprio aplicativo.