A briga entre a Justiça e o WhatsApp

zap

Grande parte da população mundial utiliza de alguma maneira dispositivos online para trocar mensagens.

A tecnologia permite esse uso sem fazer com que a maioria das pessoas precise entender tecnicamente como essa troca de mensagens ocorre, e não há nada de errado com isso.

O problema são aquelas pessoas responsáveis por criar leis, fiscalizá-las e fazê-las cumprir. Essas sim precisam entender o que estão fazendo, ou pelo menos, devem ser assessoradas por quem entende.

Para saber porque não adianta pedir o conteúdo das mensagens para o WhatsApp (empresa), vamos entender resumidamente o que ocorre quando dois usuários trocam informações pelo aplicativo:

1- O Usuário1 escreve a mensagem e clica em enviar;
2- O aplicativo do WhatsApp criptografa a mensagem antes de sair do aparelho do Usuário1;
3- A mensagem é transmitida via Internet até os servidores do WhatsApp (empresa);
4- Como a mensagem saiu criptografada do aparelho do Usuário1, o WhatsApp (empresa) recebe a mensagem sem condições de saber o seu conteúdo. Ele conhece apenas seus “metadados”, como data, hora, endereço IP, usuário que enviou e a quem se destina (Usuário2);
5- O WhatsApp (empresa) encaminha a mensagem via Internet até o Usuário2;
6- O aplicativo do WhatsApp do Usuário2 recebe e descriptografa a mensagem, tendo acesso a seu conteúdo.

Com a adoção da criptografia ponta-a-ponta pelo WhatsApp, é inviável interceptar o conteúdo das mensagens entre os usuários, mesmo nos servidores da empresa.

O que a justiça brasileira quer é que o aplicativo mude sua forma de funcionar, permitindo o grampo do conteúdo trafegado.

Acho improvável que o Facebook (dono do WhatsApp) mude o aplicativo usado dessa maneira no mundo todo só porque a justiça brasileira assim deseja.

Também acho que o resultado não seria o esperado, pois afetaria a privacidade de 99% dos usuários do WhatsApp que não são criminosos, e os criminosos sabendo dessa possibilidade de interceptação migrariam para outras soluções (existem diversas no mercado) mais seguras.

A justiça e os governos precisam entender que algumas técnicas de investigação e regulação de mercado não se aplicam à forma moderna das pessoas se comunicarem. Não podemos retroceder a 15, 20 anos atrás.

Mas então é impossível obter o conteúdo das mensagens trocadas pelo WhatsApp? A resposta é NÃO, ou seja, É POSSÍVEL obter o conteúdo das mensagens, mas não da maneira como a justiça deseja.

Como fazer então?

Existem ao menos quatro métodos de se obter o conteúdo das mensagens e que não exigem a quebra da segurança do aplicativo em si, e nem a colaboração do WhatsApp (empresa):

1- Instalação de um código malicioso (vírus) no computador e/ou no smartphone dos investigados. Como o WhatsApp permite o uso do aplicativo via Web, não é preciso necessariamente contaminar o smartphone com um software espião, mas para isso os investigados precisam usar a versão Web do aplicativo. Sabe-se que o Brasil já teve interesse nesse tipo de código malicioso, pois estava entre os possíveis clientes da empresa italiana Hacking Team, especializada na oferta de programas espiões (http://gizmodo.uol.com.br/brasil-e-hacking-team).

2- Obtenção do backup das conversas. Se o usuário habilitar, as conversas do WhatsApp são armazenadas sem criptografia no Google Drive (Android) ou na iCloud (iPhone). Caso algum dos investigados tenha ativado essa função, as autoridades podem solicitar o backup das conversas para o Google ou para a Apple. É pouco provável que um criminoso use esse recurso, mas porque não tentar?

3- Agente infiltrado em grupos. Se a convera entre os investigados for através de um grupo do WhatsApp, um agente pode tentar se infiltrar e ser incluído nesse grupo. A partir desse momento, toda a conversa poderá ser lida pela polícia. Esse tipo de ação é previsto em lei e exige ordem judicial.

4- Clonagem do número com colaboração da operadora. A operadora de telefonia poderia transferir um dos números investigados para um chip em posse da polícia, que então poderia instalar e ativar o WhatsApp que receberia toda a comunicação. Essa ação também é prevista em lei e exige ordem judicial. O problema desse método é que o investigado dono do número escolhido pela polícia ficaria sem acesso, o que poderia despertar suspeitas.

Como se vê, existem maneiras criativas de se proceder uma investigação sem necessariamente propor a “quebra” da segurança do aplicativo.

Vaine Luiz Barreira

Executivo de TI e Segurança da Informação.
Perito em Computação Forense.

LinkedIn 

Share on Facebook0Share on LinkedIn0Share on Google+0
(Visited 340 times, 1 visits today)

2 comments

  • Caro Vaine Luiz Barreira,

    as ações da justiça brasileira contra o Whatsapp são na minha opinião uma ótima oportunidade para discutir a comunicação digital.

    gostaria de contestar a sua descrição do que ocorre com a mensagem:
    ” porque não adianta pedir o conteúdo das mensagens para o WhatsApp ”

    A sua descrição de funcionamento é boa, mas pressupõe que o WhatsApp não conhece as chaves de criptografia, o que é impossível afirmar, pois o software usado não pode ser auditado por não ser livre.

    Gostaria também de acrescentar uma analogia que permitirá um reflexão:

    O que a justiça brasileira quer das empresas que fornecem aplicativos de mensagens é equivalente ao pedir:
    ” Correios, quando alguém enviar uma carta, abra e xeroque o conteúdo para o caso da justiça precisar”

    Os correios fazem isso?
    Seria justo, constitucional exigir que o fizessem?

    Qual a diferença da comunicação por papel e por bits?

    Abraço.
    Paulo Kretcheu

  • Olá,

    mais uma observação:
    O item: 4- Clonagem do número com colaboração da operadora….

    A recuperação das mensagens só é possível caso a fornecedora dos serviços de mensagem conheça a chave de criptografia, o que em caso de ponto-a-ponto não acontece.

    []’s
    kretcheu

Deixe uma resposta

O seu endereço de e-mail não será publicado. Campos obrigatórios são marcados com *