Mensajeros seguros: ¿qué mensajero protege realmente tu privacidad?

La mensajería instantánea es ahora la forma absolutamente dominante de comunicación digital cotidiana. Por un lado, hay aplicaciones que cifran rigurosamente toda la conversación y recopilan el mínimo de datos sobre los usuarios, y por otro, plataformas populares cuyo modelo de negocio se basa en maximizar la información sobre tu comportamiento. En esta revisión, analizaremos en detalle siete de los comunicadores más utilizados y los compararemos en términos de cifrado de extremo a extremo, recopilación de metadatos, anonimato de registro y arquitectura general.

Panorama de los comunicadores en pocas palabras

Señal: mínimo espacio, máxima protección

Signal es una aplicación no comercial gestionada por la fundación sin ánimo de lucro Signal Foundation. Utiliza un protocolo criptográfico propio (Signal Protocol) que se ha convertido en un estándar de facto del sector: incluso WhatsApp o Google Mensajes. Todas las comunicaciones, incluidos los chats de grupo, las llamadas y los chats de vídeo, se cifran de extremo a extremo por defecto.

Una ventaja clave de Signal es la minimización radical de los metadatos. Por razones técnicas, el operador sólo puede facilitar la fecha de registro de la cuenta y la hora de la última conexión cuando se lo solicitan las autoridades gubernamentales: nada de listas de contactos, historial de mensajes o información sobre quién se comunicó con quién. El código fuente del cliente y el servidor es totalmente abierto y la aplicación se somete periódicamente a auditorías de seguridad independientes.

La única desventaja práctica sigue siendo el registro obligatorio a través de un número de teléfono, aunque Signal permite ahora ocultar el número tras un nombre de usuario.

Threema - Anonimato suizo sin compromiso

Threema es una aplicación de pago desarrollada por la empresa suiza Threema GmbH. A diferencia de Signal, no requiere número de teléfono ni dirección de correo electrónico para registrarse: la identidad del usuario está representada por un identificador alfanumérico de ocho dígitos generado aleatoriamente (Threema ID). Esto garantiza una comunicación verdaderamente anónima.

Todas las comunicaciones se cifran de extremo a extremo utilizando la biblioteca NaCl y servidores en conocimiento-cero no almacenan el contenido de los mensajes ni los enlaces de contacto. Threema está sujeta a la estricta legislación suiza sobre protección de datos, el código fuente del cliente es de código abierto y la aplicación se somete a auditorías externas periódicas. El precio único de la aplicación (sin suscripción) elimina el incentivo de cualquier monetización de los datos de los usuarios.

Matrix - protocolo federado gratuito

Matrix no es una aplicación, sino un protocolo de comunicación abierto, sobre cuya base funcionan varios clientes - los más famosos son Element y FluffyChat. La diferencia fundamental con el resto de comunicadores de esta revisión es la arquitectura federada: cualquiera puede ejecutar su propio nodo de comunicación (homeserver), similar al correo electrónico, mientras se comunica con usuarios de otros servidores.

Para los clientes habituales, especialmente Element, el cifrado de extremo a extremo está activado por defecto para los mensajes directos y las salas privadas. El cifrado utiliza el protocolo Megolm derivado del Protocolo de Señales. Mediante los denominados puentes (puentes) puedes integrar mensajes de otras redes en un cliente - por ejemplo de Telegram, Slack, IRC o incluso SMS. El nivel de recopilación de metadatos depende del servidor doméstico específico y de su administrador.

El principal inconveniente es la mayor complejidad técnica: la gestión de las claves de cifrado en varios dispositivos requiere cuidado, y desplegar tu propio servidor doméstico requiere conocimientos administrativos avanzados.

WhatsApp: cifrado pero vigilado

WhatsApp es uno de los mensajeros más utilizados del mundo, con más de dos mil millones de usuarios. Desde 2016, utiliza el protocolo Signal para el cifrado de extremo a extremo de mensajes y llamadas personales, lo que supone una calidad técnica innegable.

Sin embargo, el mayor problema sigue siendo la amplia recopilación de metadatos por parte de la empresa matriz Meta. Aunque Meta no puede leer el contenido de los mensajes en sí, recopila sistemáticamente información sobre con quién te comunicas, cuándo, con qué frecuencia y desde dónde, y vincula activamente estos datos a los perfiles de Facebook e Instagram con fines de publicidad dirigida. Otro riesgo son las copias de seguridad en la nube: no están cifradas de extremo a extremo de forma automática y el usuario debe activar manualmente el cifrado de las copias de seguridad; de lo contrario, el historial completo de conversaciones se almacena en los servidores de Google o Apple sin protección de extremo a extremo.

También cabe mencionar la Ley Europea de Mercados Digitales (DMA), que está obligando poco a poco a Meta a prepararse para la interoperabilidad con otros comunicadores. Sin embargo, esto aún no supone ninguna diferencia práctica en la amplia recopilación de metadatos para el usuario final.

Messenger - el cifrado llegó tarde

Facebook Messenger no introdujo el cifrado de extremo a extremo como configuración predeterminada para las conversaciones personales 1:1 hasta finales de 2023. Sin embargo, algunas conversaciones grupales, comunitarias y empresariales (como los chats de Marketplace o las comunicaciones a través de cuentas empresariales) aún no admiten esta protección. Messenger está profundamente integrado en el ecosistema Meta, requiere una cuenta de Facebook o un perfil Meta, y está sujeto a políticas de recopilación de datos idénticas a las de los demás servicios de la empresa.

La cantidad de metadatos recopilados es extraordinaria: además de los datos estándar de contacto y frecuencia de comunicación, Meta también analiza los patrones de uso de las aplicaciones y la información sobre dispositivos y localización. Combinado con el enorme ecosistema publicitario de Meta, pasa de ser un Privacidad una de las opciones más problemáticas.

Telegram: popular pero no seguro

Telegram es especialmente popular por su sofisticada interfaz, sus grandes grupos, sus canales públicos y su rico ecosistema de bots. Desde el punto de vista de la seguridad, sin embargo, adolece de un malentendido fundamental: los chats y grupos comunes en la nube no están cifrados de extremo a extremo, por lo que Telegram tiene acceso técnico a ellos en el lado del servidor.

El cifrado de extremo a extremo solo está disponible en los Chats Secretos, que son específicos de cada dispositivo y no admiten la comunicación en grupo. Además, Telegram utiliza su propio protocolo criptográfico, MTProto, que ha sido criticado repetidamente por la comunidad criptográfica por su diseño no estándar. El código fuente de la parte del servidor está cerrado.

Aunque la tabla indica „normalmente no“ para el registro sin número de teléfono, en la práctica esta opción es poco realista para el usuario medio - requiere la compra de un número virtual anónimo, normalmente por criptomoneda, a través de Fragment.

Viber: cifrado sí, transparencia no

Viber ofrece cifrado de extremo a extremo para chats personales, conversaciones en grupo y llamadas 1:1 por defecto. Está operada por la empresa luxemburguesa-japonesa Rakuten Viber.

Uno de los principales puntos débiles de Viber es su código fuente cerrado, que impide el escrutinio público independiente de la implementación del cifrado. La aplicación también contiene una serie de características comerciales: anuncios, pagos integrados, canales públicos y chatbots vinculados a herramientas de análisis de terceros. El volumen de metadatos recopilados es comparable al de Telegram.

¿Qué comunicador elegir?

La decisión depende principalmente del valor que conceda a la privacidad y del esfuerzo que esté dispuesto a invertir:

Máximo Seguridad con el mínimo esfuerzo de la mano de Signal y Threema. Signal es gratuita y está muy extendida, mientras que Threema ofrece anonimato total sin número de teléfono. Ambas aplicaciones se encuentran entre las soluciones más sólidas disponibles en términos de privacidad.

Máxima independencia de los datos proporciona a Matrix su propio servidor doméstico, a costa de una complejidad técnica significativamente mayor tanto en la implantación como en el uso diario.

Un compromiso entre comodidad y protección WhatsApp ofrece: el cifrado de contenidos es sólido, pero el perfil de metadatos que Meta construye sobre ti es amplio.

Telegrama a Viber son los eslabones más débiles de esta revisión desde el punto de vista de la privacidad. Telegram es una plataforma de comunicación extremadamente funcional, pero sin cifrado de extremo a extremo por defecto. Viber ofrece un mejor cifrado por defecto, pero carece de transparencia de código abierto.

Este artículo se basa en la experiencia personal del autor y en información de dominio público. No constituye asesoramiento profesional en materia de seguridad. Las características y políticas de privacidad de las aplicaciones individuales pueden cambiar - por favor, consulte con el proveedor para obtener la información más reciente antes de elegir un comunicador.