WhatsApp ha lanzado una nueva tecnología llamada Identity Proof Linked Storage (IPLS), diseñada para mejorar la privacidad y la gestión de las listas de contactos. Este sistema permite a los usuarios administrar sus contactos de forma más segura, resolviendo problemas anteriores relacionados con la pérdida de datos al cambiar de dispositivo o la imposibilidad de sincronizar contactos entre dispositivos.
Resolución de problemas clave
IPLS aborda dos desafíos que los usuarios de WhatsApp han enfrentado durante años: el riesgo de perder sus listas de contactos si pierden su teléfono y la dificultad para sincronizar contactos entre dispositivos. Con este sistema, las listas de contactos ahora se vinculan a la cuenta del usuario en lugar del dispositivo, lo que facilita la administración de los datos al cambiar o reemplazar dispositivos.
Además, IPLS permite mantener diferentes listas de contactos para múltiples cuentas en el mismo dispositivo. Cada lista se gestiona de forma segura y aislada del resto, lo que mejora la flexibilidad y la privacidad del usuario.
Sistema seguro y cifrado
IPLS es un sistema de almacenamiento cifrado que permite a los usuarios guardar los nombres de sus contactos en forma segura. La información se almacena mediante una clave de cifrado generada en el dispositivo del usuario, lo que garantiza la privacidad durante todo el proceso.
El sistema utiliza tecnologías existentes de WhatsApp, como Key Transparency y el hardware security module (HSM), para asegurar la seguridad de los datos. Cuando se agrega un nuevo contacto, su nombre se cifra utilizando una clave simétrica generada en el dispositivo del usuario y almacenada en Key Vault, que es resistente a manipulaciones.
Los HSM permiten realizar copias de seguridad cifradas de extremo a extremo y ejecutar la lógica de la aplicación de forma privada dentro de los centros de datos de WhatsApp. El procesamiento de datos en estos sistemas es opaco incluso para los empleados con mayores privilegios.
Al iniciar sesión en un nuevo dispositivo, el usuario establece una conexión segura con Key Vault basado en HSM para recuperar sus contactos. Esta acción se realiza mediante la autenticación del par de claves criptográficas vinculadas a su cuenta.
Auditoría y seguridad
WhatsApp también colabora con Cloudflare para realizar auditorías independientes de sus operaciones criptográficas. Esta colaboración incluye la validación del Directorio de Claves Auditables (AKD), que garantiza la integridad de las actualizaciones del directorio.
Las pruebas auditables de consistencia se publican en una instancia de Amazon S3, lo que permite a los usuarios y auditores verificar la integridad del AKD de forma independiente.
Antes del lanzamiento público de IPLS, WhatsApp contrató a NCC Group para realizar una auditoría de seguridad. Durante esta auditoría se descubrió una falla que permitía la suplantación de los HSM de Marvell y el descifrado del material de clave secreta de los usuarios.
WhatsApp solucionó este problema, junto con 12 otras vulnerabilidades calificadas de gravedad baja a media, en septiembre de 2024. Estas correcciones aseguran que la versión final de IPLS no contenga estas fallas.