Compara quién puede acceder al texto en claro e influir en las actualizaciones, no solo los nombres de los algoritmos de cifrado.
Un servicio de mensajería web cifrada no es automáticamente inseguro, y una aplicación nativa de Android no es automáticamente segura. Ambos pueden implementar cifrado de extremo a extremo; ambos deben manejar texto en claro en el dispositivo del usuario. La comparación relevante es quién puede influir en el cliente, leer el contenido mostrado o acceder a sus claves.
Usar algoritmos con los mismos nombres no demuestra que dos clientes tengan implementaciones o niveles de seguridad idénticos. En el caso de Livara, la arquitectura de seguridad publicada describe la protección prevista. Este artículo compara los límites de confianza de las plataformas, no los resultados de una auditoría independiente de ninguno de los dos clientes.
Las diferencias que conviene revisar
| Superficie | Cliente web | Cliente Android |
|---|---|---|
| Distribución del código | Código del sitio, dependencias, caché del navegador y funcionamiento de las actualizaciones | Paquete instalado y su canal de actualización |
| Software adicional | Extensiones con los permisos pertinentes, código inyectado en el sitio | Servicios de accesibilidad, teclados y otro software con privilegios |
| Almacenamiento | Perfil del navegador y almacenamiento limitado al origen | Almacenamiento de la aplicación, controles del sistema operativo y configuración de copias de seguridad |
| Acceso físico | Sesión del navegador desbloqueada y ordenador compartido | Teléfono desbloqueado y sesión activa de la aplicación |
| Comprobaciones de integridad | Confianza en la distribución del sitio y la seguridad del navegador | Firmas de paquetes y, cuando estén disponibles, hashes fiables de las versiones publicadas |
Son superficies de ataque diferentes, no una clasificación universal. Un navegador dedicado y bien mantenido puede ser una mejor opción que un teléfono desactualizado con software malicioso instalado.
¿Pueden las extensiones leer los mensajes cifrados de un chat?
Una extensión con el acceso adecuado al sitio puede utilizar un script de contenido para leer o modificar el contenido de la página. La documentación de Chrome sobre scripts de contenido explica que estos scripts interactúan con el DOM de la página. Si un mensaje se representa allí como texto legible, un script autorizado podría acceder a él sin romper el cifrado del mensaje.
Las extensiones suelen tener un entorno JavaScript aislado, pero eso no aísla de ellas el DOM visible de la página. A la inversa, es incorrecto afirmar que cualquier sitio web ajeno abierto en el mismo perfil del navegador puede leer automáticamente el chat de otro sitio. Los límites entre orígenes del navegador siguen siendo importantes; atravesarlos requiere una interacción permitida, una vulnerabilidad u otro tipo de acceso.
Revisa el acceso de las extensiones a los sitios y elimina las extensiones innecesarias. Un perfil separado con un mínimo de extensiones puede reducir la exposición, pero no soluciona un sistema operativo comprometido ni un código del sitio inseguro.
Qué ofrece WebCrypto y qué no
La especificación Web Cryptography del W3C pone operaciones criptográficas a disposición de las aplicaciones web. No certifica el protocolo construido a partir de ellas ni vuelve inofensivo un script malicioso.
Una clave no extraíble restringe la exportación ordinaria del material de la clave mediante la API. El código con el acceso adecuado aún puede utilizar esa clave para las operaciones permitidas o leer el texto en claro resultante. Por tanto, la condición de no extraíble no es una defensa completa frente a un entorno de aplicación comprometido. La disponibilidad de algoritmos también depende de la implementación del navegador; hay que comprobar su compatibilidad en lugar de darla por supuesta por el nombre de una especificación.
Para los usuarios, las preguntas prácticas son si el navegador y el sistema operativo están actualizados, si el origen es el correcto, qué extensiones pueden acceder al sitio y cómo gestiona la aplicación las claves persistentes y el cierre de sesión.
¿Un código web reciente siempre incluye la última corrección?
No. La distribución web puede agilizar las actualizaciones, pero la caché, los service workers y las pestañas que permanecen abiertas mucho tiempo pueden afectar al código que se está ejecutando. También implica confiar en el proceso de distribución del código del sitio. Una aplicación instalada tiene sus propios riesgos: actualizaciones tardías, procesos de firma o distribución comprometidos y versiones del sistema operativo sin soporte.
Mantén actualizados ambos tipos de clientes a través de sus canales oficiales. No supongas que recargar una página demuestra que se ha aplicado un parche de seguridad, ni que la firma de un paquete demuestra que la aplicación no tiene vulnerabilidades.
Cómo comprobar una descarga de Android
Las firmas de paquetes de Android y un hash de archivo publicado responden a preguntas diferentes. La documentación oficial de apksigner describe la verificación de firmas. Una comparación SHA-256 puede indicar si un archivo descargado coincide con una referencia concreta, pero esa referencia debe ser fiable por sí misma.
Si un atacante controla tanto el APK como la suma de comprobación mostrada, que coincidan no establece la autenticidad. Calcular el hash de un archivo tampoco demuestra que las compilaciones sean reproducibles, que no haya comportamiento malicioso o que su criptografía sea correcta. El modelo de amenazas de Livara reconoce esta limitación de depender de una referencia fiable.
No instales una versión alternativa fuera de los canales habituales solo porque un blog diga que las aplicaciones nativas son más seguras. Confirma el canal oficial de distribución y la versión exacta que pretendes instalar.
Lista de comprobación para elegir plataforma
- ¿Ordenador compartido? Evita dejar abierta una sesión de chat privado; comprueba las sesiones guardadas y el funcionamiento del cierre de sesión.
- ¿Muchas extensiones? Reduce el acceso a los sitios o utiliza un perfil limpio para tareas sensibles.
- ¿Dispositivo administrado? Infórmate sobre la política de administración y supervisión de la organización antes de utilizar cuentas personales.
- ¿Servicios de Android no fiables? Revisa los accesos de accesibilidad, notificaciones, teclado y asistencia remota sin desactivar indiscriminadamente las herramientas de apoyo que necesitas.
- ¿Historial de larga duración? Antes de borrar nada, entiende cómo se conservan las claves y las copias de seguridad tras limpiar el almacenamiento del navegador o reinstalar la aplicación.
- ¿Conversación de alto riesgo? Verifica al contacto por una vía independiente y fiable, y ten en cuenta la seguridad de los dispositivos de ambos participantes.
Para una decisión más amplia, utiliza la lista de comprobación de mensajería segura. Ninguna de las dos plataformas elimina la copia de contenidos por parte del destinatario, el acceso desde dispositivos maliciosos ni los metadatos que conserva un servicio.
Preguntas frecuentes
¿Una extensión del navegador necesita romper el cifrado?
No si tiene acceso al texto en claro que ya se muestra en la página. Los permisos pertinentes y las protecciones del navegador determinan ese acceso.
¿La aplicación de Android es siempre la opción más segura?
No. Importan el estado del dispositivo, el soporte de actualizaciones, la fuente de instalación y el software con privilegios. Compara el entorno que realmente tienes.
¿Una suma de comprobación coincidente demuestra que una compilación es segura?
Demuestra la igualdad con el hash de referencia bajo los supuestos de la función hash. No establece si la referencia es auténtica ni si el código es seguro.
