O Telegram faz a mesma coisa que o WhatsApp e diz ter muito mais segurança. É verdade? Especialistas em segurança e programadores do Telegram opinaram sobre o assunto.
Nessa altura do campeonato, você deve ter ouvido comentários sobre o Telegram Messenger, o aplicativo de chat e mensagens criado pelos fundadores do VK, o Facebook russo. O ícone, um avião de papel sobre o fundo azul, simboliza a liberdade da comunicação. Faz sentido com o contexto de criação.
O aplicativo nasceu em Agosto de 2013 durante o escândalo de monitoração da NSA. Edward Snowden, ex-funcionário da agência de segurança nacional norte-americana, revelou o metodologia de monitoração da agência e chocou o mundo com suas revelações. Atualmente, ele se encontra exilado na Rússia.
Telegram está disponível para Windows graças ao Telegram for Desktop
Já existiam aplicativos de bate-papo seguros quando o Telegram estreou, Mas nenhum deles de interface tão prática e popular. Então, os programadores copiaram a aparência e recursos do WhatsApp e focaram no sistema de segurança e privacidade.
Eles também abriram a API para outras pessoas criarem mais aplicativos com base no código de programação original. Desta forma, surgiu a versão para Windows. Pouco tempo depois, muitas pessoas perceberam que o app oferece uma experiência igual ao WhatsApp. E com mais segurança.
O sucesso do Telegram foi considerável. O aplicativo está entre os aplicativos mais baixados da categoria.
O app entrou na lista dos aplicativos mais populares do Google Play
Para entender um pouco mais sobre a segurança do Telegram, conversamos com Markus Ra, integrante do grupo de suporte. Ao mesmo tempo, conversamos com os maiores especialistas em segurança digital, Lorenzo Martínez, Chema Alonso e Geoffroy Couprie, para colocar em prova suas afirmações.
Igual ao WhatsApp, mas com segurança adicional
À esquerda, Telegram; à direita, WhatsApp. Praticamente irmãos gêmeos.
Quase não tem diferenças de interface. É possível enviar pequenas mensagens ou mandar imagens e emoticons. O que diferencia um aplicativo do outro é a segurança: o Telegram tem uma forte encriptação, chats secretos e a opção de apagar as mensagens depois de serem lidas. WhatsApp não tem nada disso.
“Telegram deseja levar mais segurança para todos, principalmente àqueles que não entendem nada sobre criptografia e não tem interesse em aprender. Não basta estarmos seguros, também precisamos de velocidade e facilidade de uso. Telegram é uma alternativa segura e potente comparado aos aplicativos de mensagens instântaneas.” – Markus Ra (Telegram)
“Telegram ficou popular, sobretudo, pelas deficiências de segurança do WhatsApp, que não pensou como manter o usuário em segurança desde o primeiro momento. Telegram, ao menos, tentou.” – Lorenzo Martínez
Tamanha é a confiança do Telegram na segurança, que os autores ofereceram 200.000 dólares como recompensa para quem encontrar uma falha de segurança no aplicativo, cujo protocolo foi desenhado do zero por uma equipe de matemáticos. Esse concurso, que será encerrado em março de 2014, já teve consequências positivas, como o descobrimento de possíveis vulnerabilidades, que foram corrigidas rapidamente pelos programadores do app.
“Não sabemos quantas pessoas tentaram, mas não conhecemos ninguém que tenha conseguido até o momento. O concurso tem sido útil para atrair a atenção dos especialistas em segurança do mundo inteiro. Graças à isto, nós entendemos alguns conceitos teóricos que nos ajudaram a modificar nossos sistemas desde dezembro.” – Markus Ra (Telegram)
No entanto, segundo alguns especialistas, como Moxie Marlinspike, as condições do concurso são bastante complicadas, tanto que o WhatsApp passaria na prova. Em outra análise, Geoffroy Couprie desmentiu várias das afirmações do Telegram, evidenciando possíveis falhas do aplicativo.
Nesta época de incerteza e escutas governamentais, um app que põe a segurança como recurso fundamental, pode destronar o WhatsApp, mas as críticas deixam o Telegram pressionada. Podemos confiar no Telegram Messenger? É um app seguro mesmo?
No papel, a segurança do Telegram é muito boa
A segurança do Telegram foi criada para armazenar o mínimo de informações possível. Só dados necessários são armazenados para o aplicativo funcionar corretamente, como o número de telefone e imagem da conta. Os chats secretos não ficam armazenados em nenhum lugar, já que são enviados diretamente para os usuários. O histórico dos bate-papos normais, por outro lado, são guardados nos servidores do Telegram, mas codificados: nem mesmo os empregados podem acessá-los.
“Uma conversa é armazenada quando faz parte do histórico de um chat. Quando todos apagam a conversa, ela desaparece para sempre. Apagar a conta implica em eliminar para sempre todas mensagens, contatos e credenciais.” – Markus Ra (Telegram)
Embora seja um projeto não-comercial, a infraestrutura do Telegram está dividida por todo o mundo. Os datacenters estão em lugares díspares, como Londres ou Cingapura. É uma rede flexível e descentralizada, onde todos os dados são armazenados com forte codificação para evitar invasões locais ou acessos por parte das autoridades. É por isso que os autores não tem dúvida em afirmar que Telegram é “a prova de NSA”, embora tenham ressalvas.
“Telegram é apenas um passo na interminável caminhada contra a vigilância. A informação revelada por Snowden indica que poderíamos ter backdoor nos sistemas operativos – iOS ou Android. Então, nenhum aplicativo pode ser considerado como 100% à prova da NSA” – Markus Ra (Telegram)
Os perigos não são exclusivos dos sistemas operacionais. Segundo Geoffroy Couprie, alguém com acesso ao servidor pode alterar, analisar e decodificar as mensagens salvas. Uma falha básica foi encontrada e criou uma brecha para ataques (foi solucionado em apenas dois dias). “Isso aconteceu porque o Telegram usa uma arquitetura própria no lugar de seguir práticas reconhecidas. Quem sabe o que mais existe por trás do protocolo?”, comentou Couprie.
Um protocolo de codificação própria: ousado, mas compreensível
Talvez por desconfiança, talvez por querer inovar, Telegram usa um sistema de encriptação próprio: MTProto. O sistema foi desenvolvido por uma equipe de matemáticos russos durante vários anos. Quando o desenvolvimento começou, os autores do Telegram buscavam algo realmente rápido e, ao mesmo tempo, que pudesse proteger as conversações com uma encriptação que nem os militares poderiam quebrar.
“Existem diversas maneiras de proteger nossas conversas. Usamos algoritmos clássicos e comprovados no lugar dos recomendados pela NSA. A solução que nós adotamos vem de uma época que a largura da banda e a potência dos processadores eram bem mais fracos.” – Markus Ra (Telegram)
Criar um sistema de encriptação do zero é uma tentativa muito arriscada. A área de criptografia, no geral, prefere empregar técnicas conhecidas e comprovadas. Nada de experimentação. Sistemas similares ao usados pelo Telegram, como OTR, têm sido desenvolvidos e postos à prova durante muito mais tempo; um protocolo novo pode reservar surpresas bem desagradáveis para todos envolvidos.
Os autores do Telegram garantem: MTProto é sólido.
“Os pontos frágeis dos algoritmos são conhecidos há algumas décadas. Nós combinamos os algoritmos de tal maneira que, segundo nosso entender, nenhum ataque conhecido consegue ter sucesso. A pior coisa que os especialistas podem dizer sobre nossa encriptação é “inusitado” e “requer muitas explicações para ser compreendido.” – Markus Ra (Telegram)
Geoffroy Couprie opina que a criação de um método novo, mesmo “sem ser algo ruim por si só”, levou a ignorar muitas contribuições já existentes, como o protocolo OTR, usado por muitos aplicativos de mensagens para aumentar a segurança das mensagens. “Se alguém criar um protocolo novo”, afirma Couprie, “precisa resolver problemas que não foram resolvidos. Telegram não o fez”.
Diagrama do protocolo de segurança empregado pelo Telegram Messenger (fonte)
No entanto, outros especialistas enxergam os esforços do Telegram como algo positivo. É o caso de Lorenzo Martínez, que enxerga a criação de novos protocolos como natural em tempos de NSA. Ainda mais sendo desenvolvido por russos, antagonistas clássicos dos norte-americanos e NSA. A mesma opinião é compartilhada por Chema Alonso.
Cuidado, os aplicativos não-oficiais podem ser perigosos
A arquitetura aberta do Telegram permite a criação de apps não oficiais. Já existem versões para o Windows, Mac e outras plataformas, como terminal do Linux. Os aplicativos desenvolvidos por terceiros não contam com o mesmo método de controle das versões oficiais, o que pode ocasionar falhas de segurança. Em poucas palavras: um app não-oficial pode conter vulnerabilidades adicionais.
Webogram é um dos melhores exemplos sobre o risco de usar aplicativos não oficiais do Telegram. Uma vulnerabilidade muito evidente foi descoberta há poucos dias: os títulos de outras conversações podiam ser vistas sem qualquer autorização. “Uma falha menor”, diz o Telegram, que ressalta a importância da transparência para solucionar qualquer vulnerabilidade no aplicativo.
“Como no caso de qualquer aplicativo, o Telegram também pode falhar. Nossos concursos, as caças de bugs e o apoio da comunidade de código aberto asseguram que as falhas são detectadas, solucionadas rapidamente e sem prejudicar os usuários do Telegram”- Markus Ra (Telegram)
Isso é certo para Telegram, mas pode não ser para aplicativos não-oficiais. Segundo Lorenzo Martínez, “nada evita uma espécie de falso app”, e a única maneira de manter a segurança é desconfiar dos aplicativos que estão fora dos mercados oficiais. Telegram, por sua vez, publicou regras que todos os aplicativos devem seguir para serem considerados seguros. Os aplicativos mencionados na página oficial do messenger adotaram as regras, mas outros apps podem criar as próprias leis. Nada impede.
Telegram: “Se você não confia em nós, use os chats secretos”
A transparência do Telegram é bem maior que a mostrada pelo WhatsApp e qualquer outro aplicativo popular. O código fonte do aplicativo está disponível para desktop; o código dos servidores poderiam estar, embora “não seja muito útil no momento”, dizem. “Nossa arquitetura é unificada e criariam duas nuvens diferentes do Telegram, algo que não seria aceitável. Não temos certeza se queremos ir nessa direção, mas nós publicaremos o código fonte. Algum dia”.
Sobre as vantagens e riscos de publicar o código fonte dos servidores, Telegram nos disse que fazê-lo “não aumentaria muito a confiança dos usuários”, já que nada garante que seja realmente o código do servidor. “Por isso temos os chats secretos, algo que você pode confiar, independente de confiar na gente”. Para assegurar que o código usado é realmente desconhecido pelo servidor, pode-se usar as imagens criptografadas: se forem iguais, não houve manipulações.
Se é a mesma imagem para ambos celulares, o chat secreto é seguro
Telegram é mais seguro que outros apps, mas não é perfeito
O que sabemos até o momento sugere que o Telegram é um app de mensagens muito seguro, mais seguro que o WhatsApp, LINE e outros apps populares. Se algumas precauções são tomadas, como impedir o acesso físico ao celular e evitar aplicativos não-oficiais que não passaram pelo controle de qualidade, é mais difícil que alguém intercepte e decodifique as conversas. O acesso físico do celular pode inviabilizar todo esquema de segurança do Telegram.
“O aplicativo tem algumas limitações. Se alguém tiver acesso local ao terminal, pode usar um sistema como Telegram Anti-Delete Protection Tool para evitar que apaguem mensagens e capturá-los no futuro com um programa de monitoração” – Chema Alonso
Lorenzo Martínez, por outro lado, defende as intenções do Telegram: “é um aplicativo mais seguro que outros. Isso não quer dizer que seja totalmente seguro. Seria uma afirmação prepotente, mas eles partiram com uma ideia na cabeça de tornar o app seguro”. A segurança do Telegram, em resumo, não é perfeita porque a perfeição é impossível de alcançar, sobretudo num campo como segurança digital, onde o ceticismo é a norma vigente.
Extra: conselhos e apps que os especialistas usam
Movidos pela curiosidade, perguntamos aos especialistas quais são os aplicativos de bate-papo que eles usam no dia a dia e qual recomendam para falar com segurança. Lorenzo Martínez admite que segue usando o WhatsApp porque “todo mundo usa”, mas está dando uma oportunidade ao Telegram porque “pensam na segurança do app e podem melhor ainda mais”.
Muito diferente é a postura do Geoffroy Couprie, que prefere TextSecure para mensagens de celular e o sistema OTR para todo os demais. Em sua opinião, nós devemos usar sistemas conhecidos, desenvolvidos por especialistas e com bastante tempo no mercado. “Uma vez que tenha escolhido o aplicativo, teste como é estabelecido a segurança das comunicações, como são verificadas as identidade e como reporta os problemas de segurança. Essas coisas podem não estar bem documentadas. Sendo assim, não tenha vergonha em perguntar para os programadores.”
Para ficar seguro, o senso comum também é peça importante no Telegram: “Lembre-se que segurança é o que você faz, não o que você usa. O Telegram pode aumentar sua proteção contra criminosos à escuta, administradores de rede e autoridades, especialmente se usar o chat secretos com mensagens autodestrutivas. No final, tudo depende de você. Não podemos proteger você se a sua mãe pega o seu telefone e lê as mensagens antes delas se destruírem…”.
Você se sente seguro ao usar o Telegram?
