La pericia independiente de la empresa Symbolic Software, especializada en ciberseguridad y auditoría técnica de aplicaciones para Zoom, Mozilla, Coinbase y otros gigantes tecnológicos, ha confirmado las conclusiones de «Important Stories» sobre la vulnerabilidad de Telegram. El informe obra en poder del medio como parte de los materiales del proceso judicial suizo: lo adjuntó Vladímir Vedéneev, quien presentó una demanda contra el principal autor del texto y fundador de «Important Stories», Román Anin. En la demanda, Vedéneev no impugna las afirmaciones de la investigación, pero exige la eliminación de la entrevista en la que admite haber colaborado con el FSB.
En la pericia se afirma: «Nuestro análisis confirma las conclusiones técnicas clave: Telegram transmite los mensajes a través de conexiones TCP no protegidas, por lo que el identificador auth_key_id se envía en texto plano o en una forma fácilmente descifrable por cualquier intermediario en la red». Según los expertos, el auth_key_id «funciona en la práctica como un identificador permanente del dispositivo: no cambia entre sesiones, ni al cambiar de dirección IP, de red de internet o incluso de ubicación geográfica del usuario». Esto crea la posibilidad de rastrear dispositivos para quienes tienen acceso al tráfico, incluidos proveedores de internet, administradores de red y sistemas estatales de vigilancia.
Qué reveló exactamente la pericia
Los expertos señalan que para recopilar el auth_key_id no se requiere un ataque complejo de tipo «hombre en el medio», ni la vulneración de certificados, ni la interferencia en el funcionamiento del protocolo: basta con observar pasivamente el tráfico y realizar un procesamiento mínimo de los datos. Dado que el identificador se mantiene invariable entre sesiones, al cambiar de red y durante un largo período de tiempo, cualquier estructura que recopile tales identificadores puede crear una base de datos que vincule auth_key_id concretos con lugares de conexión a internet, horarios de actividad y características del tráfico, y, si se conoce la identidad del usuario, con personas concretas. Esto permite responder a preguntas como «¿Dónde ha aparecido el dispositivo con auth_key_id X en los últimos seis meses?» o «¿Qué dispositivos se encontraban en el punto de conexión Y en un período de tiempo Z determinado?».
En Symbolic Software subrayan que la vulnerabilidad no surgió por una deficiencia técnica, sino como consecuencia de «la negativa fundamental de Telegram a cumplir su obligación de proteger la privacidad de los usuarios mediante mecanismos criptográficos modernos». La solución del problema, según los expertos, es obvia: hacer obligatorio el uso del cifrado de transporte, una tecnología estándar que hoy aplican prácticamente todos los grandes mensajeros. Esto, según se afirma, se implementa técnicamente de forma bastante sencilla y apenas afecta a la velocidad del servicio, pero aumenta significativamente el nivel de protección de la privacidad.
La posición de Telegram y el contexto de la disputa
El representante de Telegram, Rémi Kong (si tal persona existe en realidad es desconocido: no hay fotos suyas ni otras menciones en la red), envió a la redacción de «Important Stories» una respuesta en la que rechazaba las conclusiones del informe no publicado. Según él, el auth_key_id «cambia regularmente y no revela información sobre los usuarios, el contenido de los mensajes, los datos de los destinatarios ni otra información privada». Kong también declaró que cualquier observador capaz de ver este identificador ya tendría acceso a métodos de rastreo más fiables que están fuera del control de Telegram, y que la infraestructura del mensajero se configura, gestiona y controla exclusivamente por los equipos de ingeniería internos de Telegram.
En la investigación del año pasado de «Important Stories», Vladímir Vedéneev negaba la vulnerabilidad descrita y afirmaba que solo transmitía a su supervisor del FSB información sobre usuarios de internet de empresas rusas, pero no sobre Telegram. En la entrevista también decía: «“Telega” no tiene acceso a los centros de datos ni en Singapur ni en Miami: nunca han estado allí. Ahora ya se han construido cuatro centros de datos. Ustedes (la empresa GNM, propiedad de Vedéneev, que presta servicios a la infraestructura de red de Telegram. — Red.) ya están en cuatro en las pruebas. <...> En este momento, todos los canales de comunicación los proporciono yo. ¡No otro, yo! Si realmente quiero, por supuesto que puedo interceptar ese tráfico».
Los expertos de Symbolic Software también admiten que los atacantes con acceso al tráfico y a los identificadores de dispositivos podrían descifrar los mensajes si tienen acceso a la base de datos de claves de un usuario concreto. En el informe se subraya: «Mientras no se implementen tales medidas, Telegram es responsable de los riesgos para la privacidad que surgen de que los identificadores permanentes de dispositivos sigan estando disponibles para observadores con acceso al tráfico de red».
1
