O WhatsApp tem mesmo uma falha que expõe as conversas?

 Se você tem alguma dúvida sobre segurança da informação (antivírus, invasões, cibercrime, roubo de dados etc.) vá até o fim da reportagem e utilize o espaço de comentários ou envie um e-mail para g1seguranca@globomail.com. A coluna responde perguntas deixadas por leitores no pacotão, às quintas-feiras.

 Segundo uma reportagem do jornal britânico "Guardian", o WhatsApp tem uma falha que permite ler uma mensagem mesmo ela sendo criptografada. O jornal ainda chamou a brecha de um "backdoor", uma "porta dos fundos" - termo normalmente reservado para vulnerabilidades propositas, deixaras para permitir que alguém (um governo, hackers ou o próprio WhatsApp) acesse as conversas.

Mas será que esse é o caso?

Todos os indícios apontam que não. A Electronic Frontier Foundation (EFF), conhecida defensora da privacidade, chegou a taxar a reportagem do "Guardian" de sensacionalista (embora a entidade não recomende o uso do WhatsApp, entenda mais abaixo).

Antes, vamos entender do que se trata essa falha: a brecha se dá pelo reenvio automático de uma mensagem que falhou por erro na criptografia. Para não ter essa brecha, o WhatsApp teria que, antes de reenviar uma mensagem, pedir confirmação do usuário.

Porém, essa segurança da confirmação só se realiza caso você suspeite que o problema ocorreu por causa de espionagem. Se você não suspeitar e reenviar assim mesmo, nada mudou e você continuará sendo espionado.

E mais um detalhe: quase nenhum outro programa de comunicação (como o Skype ou Messenger do Facebook) daria qualquer aviso na mesma situação.

Para tentar visualizar o problema, pense na seguinte situação: você envia uma mensagem para um contato, mas a mensagem não é entregue (o celular do contato está desligado). Em seguida, o contato abandona a linha de telefone ou perde o chip e o número de telefone vai para um terceiro. Quando ele instalar o WhatsApp, as mensagens que você enviou para o seu antigo contato serão automaticamente reenviadas para essa pessoa, embora o WhatsApp tivesse condições de perceber que o telefone mudou e não fazer o reenvio.

É esse comportamento que também pode permitir alguns outros ataques contra a criptografia no WhatsApp, forçando seu telefone a se comunicar com um terceiro que não é o seu contato. Mas não é uma façanha que qualquer um pode realizar, especialmente porque o WhatsApp não tem só uma camada de segurança.

Um cofre dentro de outro
O WhatsApp usa duas camadas de proteção em uma conversa. A primeira delas é o SSL ou TLS, a mesma segurança empregada para proteger seu acesso ao internet banking. A segunda camada é uma criptografia ponto-a-ponto baseada no protocolo Signal, considerado seguro.

Vamos entender isso bem: o WhatsApp oferece um tipo de segurança pioneira em aplicativos mensageiros de uso amplo. Nenhum outro aplicativo, como Skype ou o Messenger do Facebook, oferece esse nível de proteção (o Messenger só protege as conversas "secretas" nesse nível, enquanto o Telegram também só aplica a segurança em conversas secretas). Quando alguém fala que uma falha "pode permitir espionar o WhatsApp", isso pressupõe um nível e tipo de ataque nem mesmo seria necessário em outros programas de comunicação populares, pelo menos nesse caso.

Compare essa segurança com as conversas normais do Facebook ou do Skype: quando alguém acessa indevidamente sua conta, ele não tem acesso só às mensagens que ainda não foram enviadas, mas pode ler também todo ou boa parte do histórico de mensagens, sem que você tenha qualquer meio de perceber que isso aconteceu.

A dita "brecha" em questão está em um comportamento específico do WhatsApp no emprego do protocolo Signal. Porém, antes de poder interferir nesse protocolo, um hacker (por exemplo) teria que, primeiro, quebrar o protocolo de segurança SSL/TLS. Ou seja, um hacker capaz disso é um hacker que poderia também estar interceptando seu acesso ao banco, todas as suas comunicações no Facebook, suas senhas, seus dados de cartões e tantas outras coisas.

Quem poderia fazer essa interceptação sem ter que quebrar o SSL/TLS é o próprio WhatsApp. Porém, como esta coluna Segurança Digital já explicou em maio do ano passado, a funcionalidade do WhatsApp teoricamente permite que o WhatsApp intercepte as comunicações. Porém, essa interceptação pode ser percebida pelo usuário e a nova falha descoberta em nada muda isso: um usuário consciente ainda saberá que foi "espionado". O único detalhe é que ele só saberá isso depois que algumas mensagens já foram enviadas indevidamente após o início da interceptação.

Além disso, não há qualquer prova de que o WhatsApp tenha desenvolvido os mecanismos necessários para esse tipo de interceptação ele próprio. E lembre-se: qualquer outro programa de comunicação popular pode interceptar qualquer mensagem de maneira invisível para o utilizador, coisa que o WhatsApp não consegue (pelo menos com tudo que se sabe até hoje). E não acaba por aí: outros programas podem entregar o histórico das mensagens para autoridades quando houver ordem da Justiça ou caso seus servidores sejam atacados por hackers -- outra informação que, ao que tudo indica, o WhatsApp não tem.

Informação que não se possui não pode ser cedida, vendida ou roubada.

Falta de aviso
A espionagem, quando existe, deve poder ser detectada. E o WhatsApp oferece, sim, recursos para detectar uma possível espionagem. Mas é justamente na hora de avisar que o WhatsApp comete o "pecado" destacado pela reportagem do "Guardian". 

Um desses mecanismos é a verificação manual do código QR/chave do contato . O outro mecanismo é a ativação do aviso de mudança de chaves na configuração do programa, mas este vem desativado e precisa estar ativado para que a falha descoberta tenha qualquer relevância. 

Mas por que o WhatsApp não exibe esses avisos (foto) para todos?

Porque a maioria das pessoas só verá esses avisos por motivos inócuos, como quando um contato troca de celular. No fim, você poderia ficar mais confuso vendo esses avisos e, não sabendo do que se trata, achar que o WhatsApp é menos seguro do que é. Só quem realmente sabe o que está em jogo pode realmente tirar proveito desses avisos..

Para quem é o WhatsApp?
O WhatsApp é um aplicativo de comunicação para uso amplo. Ele não foi criado para ser um canal de comunicação seguro para executivos compartilharem planos de negócio envolvendo milhões de reais, nem para compartilhar projetos industriais sensíveis. Ele foi criado para compartilhar receitas de bolo, para combinar uma ida ao cinema, para coordenar um trabalho de faculdade e até para ajudar você a pedir pizza.

Nesse contexto, a segurança do WhatsApp é excepcional.

E assim como não é ideal jogar futebol com uma bola de basquete e vice-versa, o WhatsApp não pode ser tudo para todos. Quem realmente precisa de segurança nas comunicações deve procurar um aplicativo feito especialmente para esse fim, como é o caso do Signal e de alguns outros aplicativos de comunicação altamente seguros. Esses aplicativos optam sempre pela segurança em seu modo de funcionar. O WhatsApp por vezes opta pela comodidade e facilidade de uso, por isso as notificações de segurança vêm desativadas (foto).

Nisso tudo, porém, resta um detalhe. O ataque proposto ao WhatsApp ocorre na rede. Em geral, esse tipo de ataque é muito difícil de ser realizado, a não ser que o responsável tenha a cooperação do provedor de internet ou do prestador de serviço (o próprio WhatsApp, no caso). Na maioria dos casos, há um atalho mais fácil: tentar contaminar o celular com um vírus.

Tendo sucesso na contaminação do celular, não vai importar muito o app utilizado. A espionagem terá sucesso.

É claro que não é fácil atacar um celular e instalar aplicativos espiões. Mas se você, por exemplo, se preocupa que alguém próximo de você possa querer ler suas conversas, essa pessoa não vai procurar técnicas complexas de ataque em rede que se baseiam no reenvio de mensagens e que exige que você esteja usando uma configuração insegura do WhatsApp para passar despercebido. Não há qualquer chance disso.

Em vez disso, o bisbilhoteiro em questão vai pegar o seu celular enquanto você está dormindo ou quando foi ao banheiro e o esqueceu na mesa desbloqueado. E isso não é culpa do WhatsApp.