Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es

07/02/2014

Telegram - 13 detalls sobre la seua privacitat

És la privacitat de Telegram tan excel·lent com es diu?

Telegram l'app de missatgeria de moda, porta ja entre nosaltres un temps (mitjans de 2013), no obstant això està sent estes últimes setmanes quan molta gent n'està parlant i presentant-la com una seriosa alternativa a WhatsApp, especialment en matèria de privacitat. De fet la mateixa Telegram es presenta amb l’eslògan de “Recuperant el nostre dret a la privacitat”.

Amb origen a Rússia, s’ha proposat fer-se un buit en el lucratiu mercat de la missatgeria. Veurem si ho aconseguix. A nosaltres ens interessa què diuen els seus termes i condicions, i en especial en matèria de privacitat. Per tant, ací van uns 13 detalls dedicats a la privacitat de Telegram. Comencem:

• La concisa i un poc amagada Política de Privacitat de Telegram (únic document legal que es pot trobar) mai no arriba a ser acceptada por l’usuari en instal·lar l’aplicació (almenys en la versió d’iOS). De fet, dins de la mateixa app o la seua fitxa en iTunes, és impossible trobar-la. Per tant per a començar estaríem davant d’un tractament de dades personals no consentit i molt escàs i ofuscadament informat.

• L'edat necessària per a usar Telegram no s’indica en els termes i condicions, igual que altres detalls. De manera que caldrà entendre que almenys a Espanya serà necessari tindre 14 anys per al seu ús (o menys, si hi consta consentiment patern).

• Telegram usa el número de telèfon com a identificador únic i sol·licita permís abans de sincronitzar l’agenda de contactes. Agenda de contactes que és emmagatzemada pel servici als efectes de mostrar-ne adequadament els noms i notificar (si així s’ha indicat) quan algun se'n dóna d’alta.

• Indiquen que mai no compartixen la teua informació amb ningú, entenent “ningú” (pel que es deduïx dels seus FAQ) com agències publicitàries, empreses d’analítica o entitats que busquen un benefici econòmic de la informació personal arreplegada.

• Telegram diu que mai no incorporarà anuncis o cobrarà per l’app. Si en algun moment necessita capital per a continuar, diu que recorrerà a les donacions o als pagaments per funcions no essencials.

• Telegram únicament emmagatzemarà les dades necessàries per a funcionar de forma apropiada. O el que és el mateix: el número de telèfon, la fotografia de perfil (si se n’usa l’opció), el nom de perfil seleccionat, l’agenda de contactes, els missatges escrits (excloent els xats secrets), els arxius enviats per mitjà de l’aplicació (l’accés dels quals prèviament s’ha d’haver permés), l’última hora en què et vares connectar i les dades tècniques sobre el dispositiu en què s’instal·le l’app. Açò fins on es diu expressament o pot comprovar-se, és possible que hi haguera altres dades (per ex. relatives a geolocalització). 

• Telegram emmagatzema els missatges i el seu contingut en el núvol, perquè siguen accessibles des de qualsevol dispositiu. Per quant temps els emmagatzema? Desconegut. On els emmagatzema? Desconegut. Diuen que per mitjà d’un infraestructura pròpia basada en múltiples data-centers, l’app és més ràpida i segura. La localització d’eixos múltiples data-centers i si les dades arriben o no a abandonar Europa (amb el major risc en matèria de privacitat que això puga generar), és una cosa que desconeixem.

• Els missatges s’emmagatzemen xifrats, amb tecnologia simètrica d’AES 256 bits, RSA 2048 i Diffie-Hellman, segons el tipus de xat (si és secret o no). Ho expliquen amb molt més detall en el seu FAQ avançada.

• Potser la gran particularitat de Telegram, oferix sales de xat secretes. Són converses que no es repliquen en el núvol, ja que els missatges queden únicament allotjats en el dispositiu de qui els va enviar/rebre; una vegada enviats desapareixen dels seus servidors, es pot autodestruir el missatge segons el temporitzador establit pels usuaris i per al servici les converses són irrecuperables. En els missatges que circulen via xats NO secrets, açò no ocorre (amb l’excepció del xifrat).

• Telegram empra un sistema de doble falca, mentres que el primer vol dir que el missatge ha sigut enviat, el segon significa que ha sigut “llegit” (és a dir, que la conversa amb eixe missatge ha sigut oberta pel receptor i potencialment vista/llegida). 

• Si indiques que vols eliminar el teu compte, has de fer-ho des de la pàgina de desactivació. Eliminar el compte implica l’esborrament permanent dels missatges, grups i contactes. Tal desactivació ha de confirmar-se a través de l’aplicació i no pot desfer-se.

• Ara bé, si no fas res per eliminar-lo, és a dir, el compte queda ací inactiu per temps immemorials, no diuen què ocorre amb la informació, si l’emmagatzemen indefinidament (i fins que s’indique el contrari) o si automàticament s’elimina passat un cert temps.

• Tot el que s’elimina, eliminat queda, per a sempre?. Bé, hi ha dos excepcions: primer, les imatges divertides de gats, eixes les conserven perquè els encanten. La segona, s’elimina tot dels seus servidors i per a l’emissor, però els contactes podran continuar escrivint en els grups creats per eixe emissor i els missatges que va enviar seguiran en les bústies dels receptors (si no es vol això, ha d’usar-se sempre la conversa en sales secretes).

En conclusió, l’app de Telegram està molt bé, els xats secrets tenen molt bona pinta, els missatges normals estan en principi xifrats, és gratuït, obert i teòricament és un servici que no té la seua base als EUA (el que hauria de ser positiu en matèria de protecció de dades), però si açò ja la convertix automàticament en l’adalil de la privacitat en missatgeria, amb poc ens conformem. Tracten les nostres dades sense haver-ho acceptat, no sabem on les tracten ni el temps que les retenen, informen poc i mal sobre qüestions prou bàsiques de privacitat (drets ARCO o equivalents) i obliden tota menció a l’ús, edat o eventuals llicències. Si açò ho fera WhatsApp, que no és sant de la meua devoció, es posaria el crit en el cel.

Per tant, és una alternativa interessant sens dubte, però no em pareix que siga el salvador de la privacitat en missatgeria. Si eixa és la idea, estem abaixant el llistó.

Feliç xateig!

CSIRT-CV