Acredito que quando um cibercriminoso pretende atacar um dispositivo móvel, possivelmente (um pouco antes), deve se perguntar: Quais serviços de mensagens instantâneas são utilizados pelo usuário? Ele toma cuidados para proteger as informações? Quais dados estão armazenados no dispositivo e qual o nível de facilidade para acessá-los?

Com exceção de um breve período em 2012, quando tive um iPhone, sempre usei telefones Android, o que contribuiu para que eu tivesse muitas experiências com diferentes tipos de aplicativos de mensagens desse sistema operacional. Por isso, gostaria de compartilhar com vocês alguns problemas de segurança com dispositivos Android e as possíveis soluções. Apesar do sistema operacional já contar com alguns aplicativos de mensagens, existem algumas opções melhores, que oferecem mais segurança e privacidade, e outras que até mesmo estão à frente e incorporaram três protocolos de criptografia para garantir a segurança das comunicações.

Para analisá-los vou usar um Samsung Galaxy Note 5 e um Samsung Galaxy S5 liberado, com o CyanogenMod 12.x OS (Android 5.x) instalado.

Aplicativos de mensagens SMS no Android

Se observarmos a configuração inicial do sistema e lermos algum fragmento da política de privacidade do Android, vamos descobrir que os aplicativos de mensagens priorizam mais a função do que a segurança. Entre as opções, não é possível encontrar palavras-chave como “criptografia” ou “segurança”; além disso, se lermos a política de privacidade, saberemos que os aplicativos coletam dados sobre a nossa localização.

Além disso, a política de privacidade indica que o aplicativo de mensagens SMS coleta diferentes tipos de informações, como a localização e os sites visitados, para melhorar os programas de publicidade. Inclusive existe uma opção para enviar constantemente os dados de localização, que esperamos que sejam apenas utilizados pelos serviços de Glympse (que compartilha sua localização em tempo real com outra pessoa de sua própria escolha). A minha crítica é que a opção está ativada por padrão, mesmo que o usuário não queira tê-la ativada e, além disso, encontra-se “enterrada” nos confins do menu de configuração avançada, onde poucos usuários se atrevem a entrar.

Algo interessante que devemos observar é a base de dados back-end, onde as mensagens são armazenadas. Se nos colocarmos no lugar do atacante, seria complicado, embora não impossível desde o ponto de vista técnico, nos infiltrar em um telefone por meio das redes 3G e 4G, pois seria necessário um equipamento especial. Uma opção mais simples que está habilitada em muitos smartphones (por exemplo, as ligações com um smartwatch) é o Bluetooth que pode (quando ativado) se transformar em uma via de acesso que apenas requer um código composto por quatro dígitos (geralmente).

Então, para simular uma vulnerabilidade no Bluetooth, eu me conectei a um telefone (S5) remotamente e fui capaz de ver o sistema de arquivos. Quando o acesso foi obtido, localizar o banco de dados para o aplicativo SMS demorou cerca de três minutos, mesmo sem saber onde eu estava procurando. Pelo que parece, o banco de dados desse tipo de aplicativo é armazenado em um SQLite, que, uma vez aberto, permite acessar as mensagens (com suas datas e horários) e outras informações que seriam valiosas para um atacante ou para alguém que tenha muito interesse em saber para quem escrevemos. Embora essa simulação seja feita de forma remota, os resultados podem ser tão perigosos como quando uma pessoa perde o telefone na rua.

WhatsApp: um aplicativo de mensagens instantâneas que se baseia na privacidade e segurança

Depois da minha experiência, quis saber quais seriam os benefícios de usar um aplicativo que tivesse como mantra o foco na “privacidade e segurança", então eu instalei o WhatsApp. Desde a instalação tudo é mais seguro, pois o aplicativo não é só instalado como também é vinculado ao número de telefone do dispositivo e, portanto, é registrado assim nos servidores. Além disso, as mensagens são criptografadas de ponta-a-ponta (ou seja, todo o caminho entre os servidores e o dispositivo final) função criada pelo mesmo programador do Signal, o terceiro aplicativo que analiso nesta publicação.

Outra característica importante é que as mensagens não são armazenadas nem nos servidores do aplicativo, nem nos da empresa, o que é muito reconfortante quando você considera que estamos na era do vazamento de dados, pois somos responsáveis ​​pela nossa própria informação. Além disso, o aplicativo também permite fazer chamadas e tem um mecanismo semelhante para criptografar mensagens. Gosto também do cadeado, um ícone que garante que a conexão e as informações transmitidas estão criptografadas. Fiquei realmente impressionado com o foco na privacidade e segurança, no entanto, houveram algumas pequenas questões que eu encontrei ao pesquisar e ao longo do tempo (com o uso do aplicativo).

Um detalhe que talvez reduz a usabilidade é que, para enviar uma mensagem a alguém, essa pessoa também tem que ter o aplicativo instalado. Do contrário, não é possível enviar mensagens, embora exista a opção de convidá-los a utilizar o aplicativo. No entanto, não é tão simples convencer aos usuários (inclusive se são amigos), sobretudo quando consideram suficiente utilizar os aplicativos pré-instalados e não acham que seja tão importante a proteção da privacidade (mas não custa nada tentar). Algo que não era tão adequado é a facilidade para acessar as informações armazenadas na base de dados. Se alguém consegue desbloquear o telefone, basta realizar uma rápida busca para encontrar informações valiosas sobre as mensagens envidas e recebidas.

Para finalizar, um problema que percebi depois que o Facebook adquiriu o WhatsApp, em 2014, foi a integração dos dois aplicativos, que ainda estão tomando forma. Após a compra, o WhatsApp começou a enviar informações para o Facebook com o intuito de refinar os anúncios que o usuário recebe e, assim, obter algum lucro pelo serviço, que é (de outra forma) gratuito. No meu caso, como não uso muito o Facebook, prefiro que os aplicativos não compartilhem minhas informações sem ter que configurá-las manualmente; por isso, comecei a usar o que agora é um aplicativo pré-instalado: o Signal.

Signal: aplicativo de código aberto, doações são bem-vindas

Eu conheci o Signal (anteriormente chamado de TextSecure) quando usava um aplicativo para Linux do mesmo desenvolvedor para fazer testes de penetração (SSL Strip). Como foi bastante útil, também decidi fazer o teste com o aplicativo de mensagens instantâneas para o Android. Até agora, não tenho nenhuma reclamação muito importante. Ao instalá-lo (da mesma forma que o WhatsApp), o dispositivo e os dados de usuário são registrados nos servidores da OpenWhisperSystems e vinculados por meio de uma mensagem de texto enviada para o telefone para autenticar a identidade do usuário.

Após a instalação, é possível começar a enviar mensagens. Outra semelhança com o WhatsApp é que tanto os SMS como os MMS utilizam os dados móveis ao invés do crédito disponível para mensagens no plano telefônico do celular. Em teoria, se o usuário fica sem dados móveis (3G ou 4G), pode continuar enviando mensagens enquanto disponha de uma conexão com a Internet. Uma vantagem é que podem ser enviadas mensagens para pessoas que não tem instalado o aplicativo, o que incentiva ao usuário a fazer a transição. Além disso, não limita a função, mas apenas a incrementa, considerando que permite adicionar outras, como a criptografia de ponta-a-ponta quando a outra pessoa também utiliza o Signal.

A criptografia de ponta-a-ponta é uma combinação de três algoritmos criptográficos: Curve25519, AES-256 e HMAC-SHA256. Trata-se dos mesmos algoritmos nos quais se baseia a criptografia do WhatsApp, mas sem o envio de informações para o Facebook. Algo que vale a pena destacar é que, como o Signal é um aplicativo de código aberto, é possível acessar a todo o código no GitHub,  por isso, é possível ver todos os detalhes.

Por fim, a base de dados do Signal não é muito útil: mesmo que seja fácil de entrar, não é possível obter mais que os números de telefone. A informação das mensagens enviadas e recebidas é incompreensível, pois a base de dados está criptografada.

Conclusão

Escolher qual o melhor aplicativo de mensagens é algo que depende de cada usuário. Há quem acredite que o mais importante são as funções e não a privacidade. Além disso, muitos usuários ainda pensam que não existem pessoas que queiram roubar suas informações, nem tirar algum proveito. Outros, assim como eu, acreditam que a informação é um negócio em crescimento e querem sempre estar em um ambiente seguro, ou seja, não querem que qualquer pessoa possa obter suas informações pessoais na Internet.

Há muitos critérios para decidir qual aplicativo utilizar, mas não se engane: o roubo de informações está aumentando a cada dia e um dado na mão vale mais do que cem voando. Então, vale a velha frase: É melhor prevenir do que remediar!