Y es que una cosa que me explicaron hace muchos años sobre el correo electrónico es que daba igual que estuviera cifrado, porque las cabeceras no lo están, y eso implica que se sepa cuándo, de y para, cuántos mensajes se envían… lo que significa que puedes saber si hablas mucho con determinadas personas y con qué frecuencia, independientemente de la información de los mensajes. “Los grandes” siempre decían que eso era lo importante (por ejemplo, para Facebook sería suficiente esa información para relacionarte con otras personas).
Con la mensajería instantánea también pasa lo mismo… Lo importante es saber qué métodos de validación se usan y dónde se guardan los mensajes. No voy a hacer un análisis muy profundo de las cosas, pero sí que me voy a fijar en un par de elementos que deberían ser importantes a la hora de elegir.
Lo primero a tener en cuenta: ¿cuál es el sistema de identificación de usuarios? Hay sistemas de mensajería en que has de tener un número de teléfono y se centra todo en el número (por ejemplo a la hora de buscar contactos relacionados). Es lo que hace por ejemplo WhatsApp o Facebook Messenger y es lo que permite a Facebook relacionar personas. Otros como Signal lo usan pero sólo para verificar el dispositivo y a partir de ahí va siempre hasheado. En Threema ni eso (aunque puedes verificarlo posteriormente), simplemente te das de alta y listos.
Lo segundo a tener en cuenta: ¿dónde se guardan los mensajes? Hay dos modelos de mensajería, los que van de punto a punto o los que usan la nube como salto intermedio (y se guarda el mensaje ahí). Obviamente la mejor opción es la primera, ya que aunque se supone que nadie tiene tus claves y que las claves son “ultra seguras”, en realidad con un poco de ingeniería, es posible que la cosa no lo sea tanto y que esos mensajes almacenados puedan llegar a ser desencriptados (no digo que sea fácil).
Haciendo un repaso de estas opciones, si he de quedarme con Apps de mensajería, ¿con cuál me quedo? Sin hacer una investigación muy extensa, me quedaría con Signal o Threema, seguidamente de Telegram (con matices). Los dos primeros casos funciona de forma similar, aunque Threema sin duda es mucho más bestia, ya que te das de alta y te genera un identificador que no tienes porqué asociar ni con teléfono ni con correo (solo lo haces si quieres) y la relación entre personas se puede hacer en persona, verificando tu relación leyendo un QR desde el teléfono del otro. Signal en este caso sí que verifica el teléfono y es el sistema que usa para relacionar personas, aunque lo usa hasheado, de forma que sí que saben que se generan mensajes entre usuarios aunque se supone que son anónimos. En ambos casos, los mensajes nunca se almacenan en sus servidorfes sino que es mensajería cliente-cliente.
Telegram tiene una opción que es la de los chats privados que, en ese caso, sí que la mensajería es cliente-cliente, pero si es la normal (o los grupos) se usa mensajería cliente-servidor-cliente, lo que haría que se pierda eficacia.
Cuando alguien me dice eso de “pues instálate WhatsApp porque es lo que todo el mundo tiene”… bueno pues molt bé pues adiós.
ACTUALIZACIÓN: Si quieres estar al día se Apps de mensajería seguras, quizá te interese seguir Secure Messaging Apps.
