Telegram es una aplicación relativamente nueva en el mundo de la telefonía móvil, ya que se estrenó en la segunda mitad del 2013, sin embargo, últimamente se encuentra en boca de todos y el debate no se ha hecho esperar. ¿Es esta solución la candidata perfecta para sustituir a WhatsApp? ¿Es realmente tan segura cómo dicen la seguridad y privacidad de Telegram?



Telegram Messenger ha sido desarrollada por Telegram LLC y viene a ofrecer un servicio de mensajería instantánea similar a que puedes encontrar en WhatsApp, aunque con ciertas cualidades diferentes que lo hacen un tanto diferente.

Telegram ha sido creada por los hermanos Pavel y Nikolai Durov, programadores rusos que en 2006 fundaron VKontakte, la red social más grande de Europa después de Facebook, y es el segundo sitio más visitado en Rusia, después de Yandex. Se usa especialmente en Rusia, Ucrania, Azerbaiyán, Kazajstán, Moldavia, Bielorrusia e Israel y tiene un funcionamiento similar al de la web de Zuckerberg.

El pasado año, Mikhael Mirilashvili, uno sus dueños, vendió el 40% de la compañía al fondo United Capital Partners por 1.120 millones de dólares.

El gran desarrollo y éxito de VKontakte ha hecho que los hermanos Durov hayan lanzado Telegram sin ánimo comercial y con una obsesión de hacer un proyecto colaborativo y basado en la privacidad por encima de todo.


A continuación os detallo algunas de las características más importantes:

• La aplicación es más rápida y sencilla de usar.
• El número de usuarios en los grupos aumenta a 200, mientras que en la
  actualidad la aplicación de whatsapp solo te permite 50 usuarios.
• Se pueden enviar archivos todo tipo de formatos, de hasta 1Gb e incluso
  cualquier tipo de archivo, no solo fotografías, archivos de audio y vídeos como en whatsapp.
• El doble check significa que el usuario ha leído el mensaje, mientras que en whatsapp significa que lo ha recibido.
• Tiene servidores distribuidos por todo el mundo, por lo que hace que se
  reduzca al máximo la posibilidad de que se cuelgue la aplicación como le ocurre a whatsapp.
• Está basado en la nube: gracias a esto puedes acceder al servicio desde varias aplicaciones y enviar y recibir archivos de todo tipo de forma ilimitada.
•  Es totalmente gratuita y libre. Los fundadores aseguran que nunca cobrarán por ella, ni pondrán publicidad.
• Es software libre: y de código abierto, con una API disponible para que los desarrolladores que lo deseen puedan crear sus propias versiones de Telegram. Gracias a ello en un tiempo récord ya existe, por ejemplo, un cliente web online, o incluso 2 versiones paralelas en desarrollo para la misma app.
• Telegram tiene un aspecto muy similar al de WhatsApp: El cambio, por tanto no es nada traumático, ya que su interfaz es ligera y moderna, sin todas esas florituras asiáticas de LINE que tan poco gustan a algunos. Incluso tiene más fondos de pantalla iniciales para escoger, y los mismos emoticonos (emojis).

Telegram basa parte de su atractivo en dos funciones esenciales. La primera de ellas es sin duda llamativa y todo un gancho para los más celosos de su información: la privacidad. Telegram utiliza MTProto, un protocolo propio desarrollado por uno de sus fundadores, Nikolai Durov, que se encarga de cifrar la información para convertir la aplicación en el servicio más seguro de su categoría. De hecho, la propia web de la app no se corta un pelo a la hora de mencionar a la competencia y afirma ser más segura que la gran mayoría de aplicaciones similares, "incluyendo WhatsApp y Line".




La obsesión por la seguridad no acaba aquí -la NSA ha hecho mucho daño, para qué negarlo. Telegram ofrece además la posibilidad de mantener chats secretos. Tal como lo lees. Se trata de conversaciones entre emisor y receptor con cifrado de fin-a-fin, de forma que solo tú y tu receptor podrán leer los mensajes -nadie puede descifrarlo, ni tan siquiera Telegram. Estos mensajes enviados pueden además ser configurados para su autodestrucción, estableciendo el tiempo que quieres que se tarde hasta que desaparezcan sin dejar rastro. Tan seguros están los desarrolladores de la plataforma, que incluso invitan a los hackers a que intenten romper esta súper burbuja, ofreciendo a quien lo logre un premio de 200.000 dólares por la hazaña.

Para demostrar la seguridad del mismo, los desarrolladores invitaron a cualquier hacker dispuesto a un concurso en el cual podrán ganar unos $200.000 dólares en Bitcoins si consiguen romper el código. Según expertos en seguridad como Moxie Marlinspike (un seudónimo), esto es una falacia ya que las condiciones de envío cualquier protocolo resulta virtualmente irrompible y los agujeros de seguridad seguirían existiendo. El caso es que estas condiciones son las brindadas por su sistema de mensajería “secreta”, una característica disponible para todos los usuarios por lo que su efectividad sería un hecho.

Fuente:
http://thoughtcrime.org/blog/telegram-crypto-challenge/

El cifrado se basa en dos capas de cifrado seguro (servidor-cliente y cliente-cliente). Está basado en el cifrado 256-symmetric AES, el cifrado RSA 2048 y el intercambio de claves seguras Diffie-Hellman. Puedes encontrar más información en las Preguntas Frecuentes Avanzadas.

La implementación de Diffie-Hellman se basa en matemáticas, más concretamente en grupos de enteros multiplicativos módulo p, con p primo. Sin embargo, lo que nos interesa de esa teoría matemática es una propiedad muy importante: es muy fácil operar un número a con otro b para que salga c, pero a partir de c es muy difícil saber qué números a y b lo han generado.

Telegram usa el algoritmo de cifrado AES con claves de 256 bits, en modo IGE (Infinite Garble Extension). El modo tiene que ver con la entrada del algoritmo: AES cifra por bloques, cadenas de 128 bits. Dependiendo del modo en el que usemos el algoritmo, cifraremos los bloques provenientes del texto plano o los combinaremos de alguna forma con bloques cifrados anteriores. Si estáis interesados en el tema, este es un buen recurso, pero el modo de AES no nos interesa demasiado para este artículo.

Lo que sí nos importa es que AES-IGE es vulnerable a ciertos ataques de criptoanálisis. Por ejemplo, a CPA (Chosen Plaintext Attack). Este tipo de ataque consiste en cifrar ciertos textos planos que tú conoces y ver cuál es el resultado. A partir de esos textos (que no son elegidos al azar, sino que se forman específicamente para cada situación), se pueden inferir datos sobre la clave, reduciendo las posibilidades y aumentando la probabilidad de adivinarla por completo.

• Salt: 64 bits aleatorios, que se cambian en cada petición al servidor. Se evitan ataques reply.
• Session_id: 64 bits generados por el cliente, para identificar entre diferentes instancias. La sesión, en conjunto con la clave identificadora, forman una instancia de la aplicación.
• Payload. Cabecera de 24 bytes, que conforman una clave identificadora de 8 bytes y una clave de mensaje de 16 bytes. Después de esta cabecera biene el mensaje encriptado. Todo el payload, es chequeado por el receptor.
• Padding: bytes de relleno.

Algunos problemas son evidentes de inmediato:

•  Usan la función hash SHA1 roto.
• Incluyen un hash del mensaje de texto en el texto cifrado. Esencialmente, ellos están tratando de hacer "Mac and Encrypt" que no es seguro. 
• Deberían usar  "Encrypt-then-HMAC" con HMAC-SHA512
• Se basan en un modo de cifrado oscuro llamada "Infinite Garble Extension"
• Algunas cosas realmente extrañas como factorizar enteros de 64 bits como parte del protocolo.
• No se autentican con las llaves públicas.

Fuente:
http://www.cryptofails.com/post/70546720222/telegrams-cryptanalysis-contest

La respuesta de Telegram:
http://telegramteam.tumblr.com/post/70588130319/telegrams-cryptanalysis-contest

Fuente en Español:
http://www.redeszone.net/2014/02/05/telegram-no-es-tan-seguro-como-aparenta-ser/

El chat secreto de Telegram

Esta opción es para los mensajes más sensibles en los que buscamos la máxima seguridad. Con esta opción los mensajes son cifrados de móvil a móvil, de forma que sólo emisor y receptor pueden descifrarlos.

No pueden seguirse estos mensajes, ni siquiera por parte de los responsables de Telegram. Es más, puede activarse la autodestrucción en un límite de tiempo determinado desde que el receptor abre el mensaje. Además, estos mensajes no se guardan en la nube ni en ningún servidor externo, sólo en el móvil de origen.

Cuando abres un nuevo chat secreto, ese chat es diferenciado (se abrirá uno nuevo aparte de las conversaciones normales) y específico para ese dispositivo. No podrás acceder a un chat secreto desde iPhone si empezaste en Android, por ejemplo. Puedes activar el temporizador de auto-destrucción desde el icono superior a la derecha del chat.

También puedes usar la clave Diffie-Hellman para comparar claves entre emisor y receptor. Si la imagen es la misma, supone la garantía de que el chat es seguro y que no habrá posibles ataques "man-in-the-middle" (es decir, alguien que intercepte la comunicación).

¿Qué significan los ticks verdes?

Un tick – mensaje enviado (y está en nuestro servidor, esperando a que tu amigo abra Telegram), notificación enviada (tu amigo es notificado, si el recibe notificaciones).
Dos ticks – mensaje leído (tu amigo abrió Telegram y vio tu mensaje en su pantalla).

¿Por qué  hay dos aplicaciones de Telegram en la Play Store de Android?

Hicieron un concurso para desarrolladores de Android, y dos chicos llegaron a la final. La edición N ganó – es ahora la aplicación oficial para Android y lleva por nombre solamente Telegram. La edición S resultó segunda y se convirtió en un cliente no oficial.
Los dos desarrolladores tenían la misma tarea y se les ofrecieron plantillas de diseño idénticas. Ambas aplicaciones están siendo desarrolladas, pero no hay diferencias significativas en su funcionalidad, excepto por algunas distinciones menores.

WhatsApp para Android ya permite ocultar la última conexión, entre otras opciones de privacidad

WhatsApp para Android en su nueva versión 2.11.169 disponible para descargar directamente desde su web oficial añade en la sección Info de cuenta un nuevo apartado para ajustar nuestra privacidad y decidir quién puede ver nuestra información personal, sin necesidad de tener que instalar otras aplicaciones.

Hasta ahora, tan solo los usuarios con dispositivos de la firma Apple podían decidir si querían mostrar o no a sus contactos la fecha y la hora de su última conexión a la aplicación de mensajería instantánea. Por eso, aquellos que se conectan al servicio desde móviles con otros sistemas operativos pedían desde hace tiempo tener esta posibilidad.

La actualización, que estará disponible para descargar en la tienda Google Play en las próximas horas, permite además a los usuarios elegir quién puede y quién no puede ver la imagen de perfil, así como el estado. Se podrá elegir a quién ofrecer estas informaciones entre tres opciones: ‘nadie’, ‘contactos’ o ‘todos’.

Para ello, tras descargarse la actualización, el usuario tan solo tendrá que entrar en los ajustes de la aplicación, ahí acceder a ‘info de cuenta’ y presionar en ‘privacidad’. Aparecerán entonces las tres novedades de la actualización y el usuario podrá elegir lo que desee. Aquellos que decidan ocultar su última conexión, tampoco podrán ver la de los demás.

Si quieres un medio "real" seguro de comunicación en su teléfono, mirar a los proyectos más renombre tales como:

• Open WhisperSystems
• Cryptocat

Descargar Telegram

Descargar Whatsapp