Un buen modelo de amenazas vincula un riesgo concreto con una medida comprobable, no con la lista de funciones más larga.
Crear un modelo de amenazas para una aplicación de mensajería significa identificar qué información te importa, quién podría acceder a ella y qué medidas se ajustan a tus riesgos y circunstancias. Una familia, un periodista y una persona que usa un teléfono de empresa no se enfrentan necesariamente a las mismas amenazas. Esta guía ofrece un marco sencillo para redactar tu propio plan, no una clasificación definitiva de las aplicaciones de mensajería.
Puntos clave
- Un modelo de amenazas son tres o cuatro frases, no un producto. Escribe qué quieres proteger, de quién y cuánto esfuerzo estás dispuesto a dedicar. Sin esas frases, elegir una aplicación de mensajería es simplemente acumular una lista de funciones.
- Tu chat tiene cuatro eslabones: tu dispositivo, la red, el servidor de mensajería y el dispositivo de la otra persona. Estos cuatro niveles son un punto de partida; revisa también por separado las copias de seguridad, las cuentas y los servicios conectados.
- El cifrado de extremo a extremo protege el contenido frente a los intermediarios; la seguridad de los dispositivos, las claves, las copias de seguridad y la conducta del destinatario siguen siendo importantes.
- Evalúa las amenazas según tus circunstancias: el acceso físico, la vista previa de notificaciones, el phishing, las copias de seguridad y los dispositivos vinculados son ejemplos que debes examinar, no una clasificación estadística.
- Los metadatos son distintos del texto. Con quién hablaste y cuándo puede seguir siendo visible aunque el texto esté completamente cifrado, y debes tomar una decisión al respecto por separado.
¿Qué es un modelo de amenazas y por qué importa al elegir una aplicación de mensajería?
Un modelo de amenazas describe brevemente «qué quieres proteger, de quién y con cuánto esfuerzo». Mientras esos tres elementos no estén claros, comparar aplicaciones de mensajería solo generará una lista de funciones cada vez más larga, sin que llegues a saber cuáles te sirven.
La Electronic Frontier Foundation (EFF) explica lo mismo en su guía Planificación de la seguridad (modelado de amenazas): intentar protegerse de todas las amenazas posibles en todo momento provoca frustración, porque la seguridad es un proceso, no una compra. Para los equipos técnicos, el proyecto de modelado de amenazas de OWASP ofrece un marco similar, y la biblioteca de modelos de amenazas de la guía de desarrollo de OWASP reúne numerosos ejemplos que pueden servir de referencia.
Un consejo práctico: un modelo de amenazas no es un documento inmutable. Cambiar de trabajo, hacer un viaje de negocios o incorporar a alguien al grupo familiar puede modificarlo por completo. Cada vez que ocurra algo así, vuelve a escribir esas cuatro frases.
¿Quién puede leer mis mensajes? Divide la cadena en cuatro eslabones
La respuesta breve: cada mensaje pasa por cuatro eslabones —tu dispositivo, la red, el servidor de mensajería y el dispositivo de tu contacto—, y las copias o las cuentas vinculadas también pueden abrir vías de acceso. Por tanto, la pregunta adecuada no es «¿Qué aplicación de mensajería es más segura?», sino «¿Qué eslabón es más débil en mi situación?».
Primer eslabón: tu propio dispositivo
Todo lo que aparece en la pantalla de tu teléfono ya se ha descifrado. Si el teléfono está desbloqueado, si las vistas previas de notificaciones están activadas en la pantalla de bloqueo o si alguien conoce tu PIN de cuatro cifras, cifrar el mensaje durante su transmisión no impedirá que se lea el contenido accesible en ese dispositivo.
Segundo eslabón: la red
Quien observa la red puede ver el destino de la conexión, los horarios y el volumen de tráfico; un servicio DNS no ve necesariamente toda la ruta ni todos los paquetes de los mensajes. Con el cifrado de extremo a extremo, lo que se ve son datos cifrados, no texto, pero el intercambio de mensajes y su volumen normalmente no quedan ocultos.
Tercer eslabón: el servidor de mensajería
El servidor es el punto de sincronización de los dispositivos. Con el cifrado de extremo a extremo no puede leer el texto, pero sigue viendo los metadatos de enrutamiento y puede conservarlos. Aquí se hace evidente la diferencia entre «cifrado» y «privado».
Cuarto eslabón: el dispositivo de la otra persona
El último eslabón queda fuera de tu control. Tu contacto puede hacer una captura de pantalla, reenviar el mensaje o tener el teléfono infectado. El cifrado de extremo a extremo reduce este eslabón a «confiar en tu contacto», nada más.
En resumen, el cifrado de extremo a extremo limita el acceso al contenido, pero los dispositivos, la gestión de claves y los destinatarios autorizados siguen formando parte del modelo de amenazas.
¿Qué amenazas debes examinar según tus circunstancias?
Un teléfono desbloqueado, el acceso a la cuenta, las vistas previas de notificaciones y las copias de seguridad son ejemplos que conviene revisar. Para alguien que sea objeto de ataques profesionales dirigidos, el malware sofisticado o la coacción física también pueden ser importantes. No minimices el riesgo sin conocer las circunstancias.
Las copias de seguridad son una vía de acceso independiente. Si una aplicación de mensajería guarda una copia en la nube y esa copia no está cifrada de extremo a extremo, el cifrado del teléfono solo llega hasta las puertas de la nube: has cerrado la puerta correcta, pero has dejado la llave al lado. La guía sobre cómo hacer copias de seguridad de chats cifrados de forma segura ayuda a examinar esta vía.
Una segunda amenaza son las personas cercanas: un compañero de trabajo, alguien con quien compartes vivienda o quien te pide el teléfono «solo un momento». Una tercera es la cuenta de acceso: si inicias sesión mediante correo electrónico y esa cuenta está mal protegida, toda la cadena se abre por su eslabón más débil. Un cifrado más potente no resuelve ninguno de estos problemas.
Proteger los chats de los hackers: ¿qué ataques ocurren realmente?
La respuesta breve: los ataques habituales contra los chats no rompen las matemáticas del cifrado; recurren al phishing, al malware, al robo de códigos de acceso y a los ataques contra el propio dispositivo. En la práctica, el atacante busca la llave en lugar de forzar la cerradura.
Por eso, la conducta al iniciar sesión importa tanto como la longitud de la clave. Livara utiliza SRP, una prueba de conocimiento de la contraseña sin revelarla, para la autenticación: tu dispositivo demuestra que conoce la contraseña sin enviarla por la red. En la práctica, grabar el tráfico de inicio de sesión no revela la contraseña. También hay que dejar clara la limitación: SRP no impide que una persona escriba su contraseña en una página falsa. En ese punto, el problema ya no es matemático, sino de atención por parte del usuario.
La segunda superficie de ataque es la propia aplicación. Un APK modificado puede eludir cualquier protección del cifrado. Livara publica la suma de verificación SHA-256 de cada versión para que puedas comparar el archivo descargado con una referencia de confianza; el laboratorio de verificación realiza esta operación en el navegador. Si quieres saber qué preguntar sobre cualquier otra aplicación de mensajería, la lista de preguntas que debes hacer antes de elegir una aplicación de mensajería segura es un buen punto de partida.
¿Qué cubre el cifrado de extremo a extremo y qué deja fuera?
La respuesta breve: el cifrado de extremo a extremo protege el contenido del mensaje desde tu dispositivo hasta el de tu contacto, de modo que el servidor solo ve datos cifrados. Sin embargo, el nombre de esta función no permite sacar conclusiones sobre todos los metadatos, las copias de seguridad, las capturas de pantalla o los canales públicos; cada aspecto necesita controles propios.
Para un producto concreto, lee la tabla de cobertura de funciones en lugar de deducir su protección a partir del nombre de un algoritmo. La página de seguridad de Livara y su modelo de amenazas explican los chats, los canales, las llamadas, los metadatos y la recuperación. Son afirmaciones publicadas por el fabricante, no un sustituto de las pruebas independientes. En particular, examina por separado las excepciones relativas a la grabación de llamadas y la diferencia entre recuperar la identidad y recuperar el historial de chats.
¿Qué revelan los metadatos aunque el texto esté cifrado?
La respuesta breve: los metadatos indican quién habló con quién, cuándo y qué volumen de datos intercambiaron. Cifrar el texto no hace desaparecer esa información.
En Livara se conservan los metadatos de enrutamiento estándar (remitente, destino y hora de entrega) para mantener una sincronización fluida entre dispositivos. Es una limitación explícita, no un detalle que pueda ignorarse. Incluso sin leer el texto, el grafo de «quién habla con quién» puede ser sensible: un médico y su paciente, un abogado y su cliente o las dos partes de una negociación empresarial. Encontrarás una explicación más completa en qué revelan los metadatos de mensajería.
Si tu modelo de amenazas incluye «alguien que ve mis patrones de comunicación», ninguna aplicación con cifrado de extremo a extremo puede resolver esa parte por sí sola; también debes pensar con quién hablas y desde dónde.
Redacta tu modelo de amenazas en cinco minutos
La respuesta breve: responde a cuatro preguntas —a quién temo, qué quiere esa persona, qué capacidad tiene y qué ocurriría si se filtrara un mensaje— y después elige la medida eficaz menos costosa, no al revés.
- ¿Quién representa la amenaza? Nómbralo: un compañero de trabajo, una expareja, un ladrón, una empresa, un gobierno.
- ¿Qué merece protección? El texto de la conversación, los archivos o el propio patrón de comunicación.
- ¿Qué capacidad tiene esa persona o entidad? ¿Acceso físico al teléfono? ¿Acceso a la cuenta? ¿Recursos amplios?
- ¿Qué ocurriría si se filtrara la información? ¿Daños a tu reputación, a tu empleo o a tu seguridad física, o simplemente vergüenza?
- A partir de esas respuestas, elige la medida eficaz menos costosa.
Si tu amenaza es alguien que observa la misma red Wi-Fi, importan una conexión TLS correctamente validada y un cifrado de extremo a extremo autenticado; frente al acceso físico, el bloqueo del dispositivo responde a otra prioridad. La guía cómo verificar un chat mediante números de seguridad muestra cómo hacerlo. Y si quieres saber quién ve qué en una aplicación concreta, el modelo de amenazas publicado por Livara lo explica sin eslóganes.
Un ejemplo breve de modelo de amenazas
«Los archivos de trabajo de mi teléfono son sensibles. El principal riesgo actual es que un compañero acceda al teléfono desbloqueado y a las copias guardadas en la galería. Esta semana reduciré el tiempo hasta el bloqueo automático, limitaré las vistas previas de notificaciones y revisaré las carpetas de copias de seguridad. Después evaluaré el resultado con un archivo de prueba».
Esto es solo un ejemplo. Si una persona que ejerce control sobre ti tiene acceso a tu dispositivo, los cambios repentinos en los ajustes pueden llamar su atención. Para planificar, utiliza un dispositivo seguro y la ayuda de alguien de confianza, y da prioridad a tu seguridad física.
Preguntas frecuentes
¿Cómo puedo definir un «modelo de amenazas» en una frase?
Significa aclarar qué quieres proteger, de quién y con cuánto esfuerzo. Esa frase determina qué función de seguridad merece la pena y cuál solo añade complejidad.
Si tengo cifrado de extremo a extremo, ¿debo seguir preocupándome por los hackers?
Sí, pero no de la forma que quizá imaginas: en lugar de forzar la cerradura, el atacante va a por el dispositivo, el phishing y los códigos de acceso. Las preguntas adecuadas son: ¿está bloqueado mi teléfono?, ¿está cifrada mi copia de seguridad en la nube?, ¿está protegida mi cuenta de correo?
¿Los canales públicos también tienen cifrado de extremo a extremo?
No. Un canal es un espacio de difusión público y legible que permite tramitar denuncias y eliminar contenido abusivo. Según la documentación de Livara, los chats directos y los grupos privados compatibles con E2EE activo están cifrados de extremo a extremo; un grupo antiguo no compatible puede seguir visiblemente fuera de E2EE. Comprueba el estado de esa conversación concreta. El servidor también sigue controlando la pertenencia al grupo.
¿Cómo sé si la versión de Android que he instalado ha sido modificada?
Compara el hash del archivo APK descargado con la suma de verificación de esa misma versión obtenida de una fuente de confianza; el laboratorio de verificación está diseñado para comprobar archivos en el navegador. Que los hashes coincidan solo demuestra que el archivo coincide con la referencia. Si un atacante sustituye tanto el archivo como el hash de referencia, la coincidencia no basta. Un APK modificado puede eludir el cifrado, de modo que comprobar la integridad de la aplicación importa tanto como el propio cifrado.
