Lo dice Nadim Kobeissi, un conocido desarrollador involucrado en proyectos criptográficos como MiniLock o Cryptocat, que ahora a través de su cuenta de twitter ha denunciado las –según él– presiones recibidas para introducir backdoors en su última creación llamada Peerio, un servicio de mensajería cifrado y basado en la nube.
Designado para ser seguro y al mismo tiempo fácil de usar (como siempre el gran reto de la criptografía), en Peerio los datos viajan de forma cifrada de extremo a extremo mediante una conexión TLS y se vendía como especialmente interesante para su uso dentro de organizaciones o grupos de trabajo en empresas.
Al igual que pasa con Minilock en el que está en gran parte basado, está disponible en forma de plugin para Chrome, además de para sistemas operativos GNU/Linux, Windows y OS X.
Como ocurre en servicios similares el cliente es open source y todo el proceso de cifrado ocurre en el navegador de forma local mediante JavaScript, mientras mantienen la parte del servidor cerrado (algo que siempre crea dudas por la posible retención de metadatos).
Hasta ahora las informaciones que teníamos sobre Peerio, era que ofrecía un servicio de cifrado seguro y que había sido sometido a auditorías externas de las que había salido bastante bien parado (quitando una vulnerabilidad importante tipo XSS), sin embargo lo que nos dice Kobeissi en twitter, es cuando menos alarmante para todo aquel que esté usando sus servicios:
En resumidas cuentas lo que viene a denunciar Kobeissi, es que fue presionado –según él, de no muy buenas formas– para poner puertas traseras en el software para después vender esa característica a clientes privados y que ese fue el motivo que se desligara del proyecto hace ya unos cuantos meses.
Supongo que la gente de Peerio tendrá algo que decir al respecto, de ser así actualizaremos la noticia.
Actualizado 19/01: los responsables de Peerio niegan las acusaciones de Kobeissi
La respuesta a los comentarios de Kobeissi en Twitter no se ha hecho esperar demasiado y lo ha hecho mediante su directora técnica Florencia Herra-Vega, que amablemente nos ha dejado un comentario que podéis leer unas lineas más abajo, en el que desmiente cualquier tipo de backdoor en su software tal como han demostrado auditorias externas recientes y que en realidad estaríamos hablando de implementar un proceso de recuperación de cuentas para algunos casos específicos.
Asimismo niega cualquier tipo de presión o chantaje referente a los derechos sobre MiniLock, así como cualquier tipo de demanda judicial que se haya emprendido contra Kobeissi, por romper algún tipo de acuerdo de confidencialidad.
Imagen | Frederic Jacobs (CC BY 2.0)
Imposible no recordar el episodio de TrueCrypt. Mal.
Hola, soy la directora técnica de Peerio. En los próximos días tendremos una declaración completa, pero de momento les ofrezco unos pocos puntos sobre los comentarios de Nadim Kobeissi en Twitter:
1. Peerio nunca intentó chantajear a Kobeissi para obtener derechos exclusivos sobre miniLock. De hecho, los documentos pertinentes especifican claramente una licencia “no-exclusiva”.
2. Peerio no tiene una puerta trasera. El último reporte de auditoría externa sobre el código fuente de la aplicación móvil que está por lanzarse concluye:
> Aside from several minor and low-priority issues, the application presented itself as robust and secure. The fact that an actual attack surface is very small must be underscored. All in all neither cryptographic flaws were identified nor severe application security problems were spotted. Lastly, in December 2015, the fixes of all reported issues were completed by the Peerio development team and afterwards verified by the Cure53 team.
Lo pueden leer completo a través del enlace en el artículo.
El código fuente de la aplicación Chrome/Windows/Mac/Linux está en Github: github.com/PeerioTechnologies/peerio-client. La fuente del cliente móvil se publicará pronto y seguiremos publicando los resultados de las auditorías. Igualmente existe un programa de gratificación por fallo: https://peerio.zendesk.com/hc/en-us/articles/203981385-Bug-Bounty
3. Kobeissi firmó un contrato laboral con una cláusula de confidencialidad bastante convencional. Le aconsejamos que se asesorara con un abogado para entender y/o disputar las implicaciones los documentos legales que recibió, pero él no lo hizo. Peerio no ha emprendido ninguna acción judicial contra él.
4. Kobeissi tiene una imagen distorsionada del modelo de negocios de Peerio. Durante su tiempo como director de seguridad de la empresa, se le pidió a Kobeissi que considerara mecanismos de administración de seguridad para organismos que necesitan poder recuperar cuentas de una forma u otra. Originalmente, él participó en este proceso pero luego se negó agresivamente a continuar su colaboración. Al negarse a considerar estos requisitos de negocios, Kobeissi rechazó tomar en serio las necesidades reales de muchos usuarios. Al hablar de “puertas traseras”, Kobeissi se refiere simplemente a una variedad de controles administrativos. Para ilustrar con un ejemplo, hemos tenido conversaciones con ONGs para periodistas acerca de un mecanismo voluntario para designar a varios contactos como “personas de confianza” que colectivamente podrían recuperar el acceso a la cuenta del usuario en caso de una emergencia.
@flohdot Gracias por el comentario y las aclaraciones.
He actualizado el post, para reflejar la posición de Peerio en este asunto.
Saludos!
Tan equilibrado como siempre 😉
Si vamos, que si que han implementado una puerta trasera.
Está claro que esos «mecanismos de administración de seguridad» no son otra cosa que puertas traseras. Por otra parte la declaración de la directora técnica busca hacer aparecer a Nadim Kobeissi como un sujeto inestable y agresivo.
jajajajajajaja.
Eso lo he visto en películas, tienes razón.
Opino igual.
Normalmente lo que se entiende al hablar de una puerta trasera es que es un mecanismo secreto, que le permite a ciertos usuarios control invisible sobre un sistema. Algo así está en contra de la política de la empresa. Lo que buscamos es una solución voluntaria y transparente para casos en los que el modelo de seguridad de una persona o un equipo es complejo.