Seguridad en WhatsAPP

Como hace mucho que no escribía, me he decidido a hacerlo por fin. Por casualidad me he encontrado unos cuantos artículos hablando sobre la seguridad de WhatsAPP (a destacar http://www.securitybydefault.com/2011/06/lo-que-no-te-cuenta-whatsapp.html), y en base a este artículos he decidido hacer algunas pruebas y complementar la información que viene en ellos.

En principio WhatsApp presenta dos problemas de seguridad:

-Por una parte las comunicaciones no van encriptadas, con lo que alguien de forma más o menos sencilla podría sniffar conversaciones (por ejemplo con el programa WireShark). Se supone que va por el puerto 443, pero va en abierto.

-Por otra parte todas las conversaciones son almacenadas en una base de datos SQLite interna, de la cual en el artículo anterior se dice que se podría obtener todos los mensajes del Whatsapp.

En esta entrada de blog me centro en este segundo problema.

Para hacer la prueba he cogido mi teléfono (un iPhone 3GS, con WhatsApp 2.6.4) y el de mi mujer (un Samsung Galaxy I5700 con Android) que se lo he cogido con su consentimiento 🙂

Primero vamos con las pruebas del iPhone. Para sacar los datos es necesario que el iPhone esté con Jailbreak, es decir un teléfono con IOS tal cual no es sencillo de quitarle esto, pero haciéndole Jailbreak… Una vez que tienes hecho el jailbreak tienes que buscar el fichero con la base de datos. En iPhone el fichero con la base de datos se llama ChatStorage.sqlite. Yo en mi teléfono lo tengo en el directorio /var/mobile/Applications/D3897CB8-0B98-47FF-B2C5-D76804F04618/Documents, supongo que el número D3….18 será variable, pero con un «find /var/mobile/Applications -name ChatStorage.sqlite» entiendo que será fácil de encontrar.

Para transferir este fichero a un ordenador yo he utilizado el comando scp (en el teléfono tengo instalado el servidor SSH). Otra opción de hacerlo fácilmente se supone que es utilizando el iFile (yo personalmente no lo he probado).

En el Android ha sido mucho más sencillo sacar el fichero, estaba diractamente en la SD, con lo que conectando el teléfono por USB o extrayendo la SD y poniéndola en tu equipo es posible tener el fichero (el nombre del mismo es msgstore.db y en mi caso estaba en un directorio llamado WhatsApp/Databases en el raiz de la SD). En el mismo directorio existían otras 4 copias de seguridad de la base de datos  con copia de la base de datos de hace 1, 2, 3 y 4 días.

Una vez que se tienen los ficheros con las bases de datos, lo más sencillo para ver su contenido es instalar sobre el Firefox un plugin llamado SQLite Manager. Una vez instalado dicho plugin seleccionando Herramientas/SQLite Manager, nos sale el gestor.

Abrimos primero la de iPhone. Tiene unas cuantas tablas y los mensajes se guardan en la tabla ZWAMESSAGE.

Con la siguiente consulta sería más o menos sencillo el visualizar los mensajes de o para una persona:

SELECT ZTEXT,datetime(ZMESSAGEDATE+11323*60*1440,’unixepoch’,’localtime’),ZFROMJID FROM ZWAMESSAGE where ZFROMJID=’346XXXXXXXX@s.whatsapp.net’ or ZTOJID=’346XXXXXXXX@s.whatsapp.net’ order by ZMESSAGEDATE

Si abres la de Android comprobarás que tiene un formato diferente, y tiene muchas menos tablas (sólo 3). Para poder ver los mensajes enviados a una persona podríamos ejecutar la siguiente consulta:

SELECT key_remote_jid,data,key_from_me,datetime(substr(timestamp,1,10),’unixepoch’,’localtime’) FROM messages where ley_remote_jid=’346XXXXXXXX@s.whatsapp.net’ order by timestamp

En el artículo que había indicado antes, se decía que la base de datos contenía TODOS los mensajes, incluidos los mensajes borrados. Esto es a medias cierto.

Si intentas buscar una conversación borrada con las SELECT anteriores, no te van a salir ningún registro, de la base de datos de forma lógica están borrados. Lo que si ocurre es que los registros están de forma física en el fichero.

He estado buscando herramientas para desborrar registros de una base de datos SQLite, pero sólo he encontrado una, está en beta y no la dejan descargar de forma abierta. He solicitado acceso a ella y si al final me dan acceso lo pondré por aquí.

Una alternativa para más o menos leer los mensajes  es utilizar un editor hexadecimal o el comando strings de unix. Yo he comprobado que con este comando algo se puede intuir.

Con este método podría servirnos para pasar una conversación de WhatsApp a nuestro PC… o para hacer investigación «forense» 😀

¿Qué conclusiones podríamos sacar de cara a la seguridad?

-Si tienes un iphone con jailbreak no se lo dejes a nadie ni dos minutos, que te la podría liar (en dos minutos te podría instalar desde cydia el ssh y tener acceso a este fichero, y otros)

-Si tienes un android (ya sea que está rooteado o no) tampoco se lo dejes a nadie que no sea de confianza…

-Si quieres decir algo de forma segura lo mejor es quedar a tomar una cañitas 😀 (bueno café también vale).

ACTUALIZACIÓN 24 DE JUNIO: con la última actualización de WhatsApp para Android (2.6.5026) las bases de datos ya van encriptadas (ahora el nombre de fichero se ha cambiado a msgstore.db.crypt) y ya no se puede leer.