¿Es seguro el buscapersonas? Por qué Apple cierra la aplicación de Android a iMessage

Apple ha cerrado enfáticamente Beeper Mini, una aplicación que permitía a los usuarios enviar iMessages (que se envían mediante Wi-Fi en lugar de redes celulares) entre dispositivos Android e iOS .

El viernes, la compañía anunció en la plataforma de redes sociales X que estaban experimentando una interrupción. Más tarde se supo que esto se debía a los esfuerzos de Apple por bloquearlo, y el gigante tecnológico citó "preocupaciones de seguridad".

En esta breve guía, explicaremos por qué Apple tenía tantas ganas de cerrar Beeper Mini , si Beeper es seguro y si vale la pena considerar alguna alternativa a Beeper. En total, cubrimos:

• ¿Qué es el bíper?
• ¿Por qué Apple cerró Beeper?
• ¿Es seguro el buscapersonas? Medida de seguridad explicada
• ¿Ya se ha solucionado el Beeper?
• Sunbird: una alternativa al bíper que se debe evitar

¿Qué es el bíper?

Beeper Mini es una aplicación móvil que se lanzó a principios de diciembre de 2023. La aplicación permite a los usuarios de Android enviar iMessages , una forma de correspondencia típicamente exclusiva de iPhones, iPads y otros dispositivos con iOS.

“Beeper”, por otro lado, es una aplicación de mensajería unificada todo en uno para dispositivos y computadoras de escritorio iOS que se lanzó en 2021. Después del lanzamiento de Beeper Mini, pasó a llamarse “ Beeper Cloud ”.

Aunque era posible enviar iMessages sin un iPhone antes de la existencia de Beeper, el método de la compañía es una forma más nueva, más simple y más segura de hacerlo.

Beeper ni siquiera requiere que los usuarios creen o entreguen sus ID de Apple.

Beeper Mini se lanzó después de que un investigador de seguridad, un estudiante de secundaria en ese momento, enviara un script de Python que logró aplicar ingeniería inversa al protocolo iMessage de Apple y proporcionar la funcionalidad a los teléfonos Android.

¿Por qué Apple cerró Beeper?

Hacia finales de la semana pasada, Reddit comenzó a llenarse de informes de una interrupción del Beeper a medida que las solicitudes de mensajes de los usuarios se agotaban en masa.

Los informes fueron posteriormente validados por el cofundador de Beeper, Eric Migicovsky, en X (anteriormente Twitter), quien dijo que "todos los datos indican que" Apple estuvo detrás de la interrupción .

Apple explica en una declaración publicada recientemente que "tomó medidas para proteger a nuestros usuarios mediante el bloqueo de técnicas que explotan credenciales falsas para obtener acceso a iMessage".

"Estas técnicas planteaban riesgos significativos para la seguridad y privacidad del usuario", continúa la única declaración de la compañía a la prensa sobre el tema, "incluyendo la posibilidad de exposición de metadatos y la habilitación de mensajes no deseados, spam y ataques de phishing ".

La decisión de Apple de bloquear Beeper Mini provocó la ira de la senadora estadounidense Elizabeth Warren, defensora desde hace mucho tiempo de leyes antimonopolio más estrictas, quien acusó a Apple de “aplastar a los competidores”.

¿Es seguro el buscapersonas?

En resumen, Beeper Cloud tiene algunas limitaciones de seguridad que lo hacen menos seguro que el uso de aplicaciones de mensajería cifradas. Sin embargo, Beeper Mini es mucho más seguro: la franqueza de la compañía sobre su arquitectura de seguridad y las rigurosas pruebas de aplicaciones son alentadoras, y no es necesario entregar ninguna información de la cuenta de Apple para usarlo.

Es importante destacar que Beeper Mini parece ser más seguro que otras opciones de Android a iMessage en este momento, además de enviar mensajes SMS no cifrados. La seguridad rara vez es una ecuación de suma cero y, actualmente, los mensajes de Android no están cifrados. Es más, no parece haber ningún problema de seguridad obvio con la forma en que se configuró la aplicación, a pesar de las protestas de Apple.

Nube de buscapersonas

Beeper Cloud tiene limitaciones desde el punto de vista de la seguridad, que vale la pena conocer. La empresa afirma en su “Guía de introducción”:

“Beeper es una aplicación de chat universal que admite conexiones a más de 15 redes de chat. Para usar Beeper, debes otorgar permiso a la aplicación para enviar y recibir mensajes a través de otras redes de chat usando las credenciales de tu cuenta. Por definición, esto puede ser menos seguro que usar otras aplicaciones de chat únicamente, especialmente aplicaciones de chat cifradas como Signal”.

Además de esto, como señaló este informe de LifeHacker en agosto, si los usuarios quisieran enviar mensajes a través de Beeper, tendrían que entregar la información de su cuenta de Apple, lo cual es un "gran riesgo".

Sin embargo, este no es el caso del Beeper Mini lanzado recientemente (más sobre esto a continuación) que Apple ha bloqueado: no es necesario iniciar sesión con ninguna credencial.

Buscapersonas Mini

Beeper Mini ha hecho todo lo posible para hacerlo lo más seguro posible para los usuarios, lo cual es alentador, y tiene tanta confianza en su trabajo que su código es de código abierto.

Como dijimos anteriormente, ciertamente es más seguro para los usuarios de Android que enviar mensajes de texto estándar, y no se necesita el ID de su cuenta de Apple para usar la aplicación.

Explicación del proceso de seguridad y cifrado de Beeper Mini

En la actualidad, los mensajes de Android/”texto” (es decir, “burbujas verdes”) no están cifrados. Esto significa que cualquier persona que quiera puede leerlos, incluido su operador telefónico. Existen muy pocas protecciones para evitar que ocurra este tipo de comportamiento intrusivo.

Por el contrario, cuando envía un mensaje desde un dispositivo Android usando Beeper Mini, se cifrará de extremo a extremo (E2EE) antes de enviarlo y, por lo tanto, se enviará de forma segura. Para ello, implementa el protocolo E2EE de Apple de forma nativa en la aplicación de Android.

"Construimos Beeper Mini analizando el tráfico enviado entre la aplicación nativa iMessage y los servidores de Apple y reconstruyendo nuestra propia aplicación que envía las mismas solicitudes y entiende las mismas respuestas", explica una publicación en el blog de la compañía.

Beeper dice que no puede ver el contenido de ningún mensaje enviado usando su aplicación, y las claves de cifrado privadas utilizadas para proteger los mensajes, así como los contactos, no salen de los dispositivos locales de los usuarios. Sólo se envían claves públicas a los servidores de Apple y los mensajes no se transfieren como texto sin formato.

Un diagrama que muestra cómo funciona el sistema de enrutamiento de mensajes de Beeper. Imagen: Buscapersonas

A diferencia de otras aplicaciones que brindan servicios similares, Beeper Mini se conecta directamente a los servidores de Apple en lugar de utilizar un servidor de retransmisión de Mac, algo que los competidores han tenido dificultades para hacer hasta ahora. Esto se considera más seguro que una empresa intermediaria que aloje sus propios servidores.

De esta manera, Beeper Mini engaña efectivamente a Apple haciéndole creer que los mensajes de Android enviados a través de sus servicios son iMessages, lo que significa que puede aprovechar el sistema de seguridad Gateway de Apple.

Sin embargo, considerando que este es el caso, quedan dudas sobre cómo Apple pudo analizar estos mensajes de iMessages estándar y detener Beeper Mini en seco la semana pasada.

Servicios de informes y diagnóstico de Beeper Mini

Es importante destacar que Beeper Mini utiliza muy pocos servicios y aplicaciones adicionales para informes de diagnóstico y análisis y los enumera en su blog de seguridad.

La empresa utiliza “una instalación autohospedada de Rudderstack para eventos de análisis y diagnóstico”; esto se utiliza para mejorar la aplicación, pero los usuarios pueden desactivarlo en la configuración. También se utilizan OneSignal y RevenueCat, afirma la empresa.

Pruebas de seguridad Beeper Mini

Beeper dice que realizó un análisis del equipo rojo en Bleeper Mini. Eso significa que reunió a un equipo de expertos en seguridad para intentar piratear la aplicación como lo haría un actor de amenazas, detectar sus debilidades y vulnerabilidades y luego solucionarlas.

Es alentador que la empresa invite a investigadores independientes a ponerse en contacto con la empresa si desean realizar análisis similares y les proporciona una dirección de correo electrónico para hacerlo.

¿Ya se ha solucionado el Beeper?

Si bien Beeper Mini aún no está en funcionamiento nuevamente, Engadget informó durante el fin de semana que la compañía dice que está "muy cerca" de solucionar la interrupción actual.

Sin embargo, ahora que se ha confirmado que Apple está detrás de la interrupción y no un problema técnico o un ciberataque, la aplicación podría estar inactiva por un tiempo más.

Mientras tanto, muchas personas buscarán una alternativa a Beeper para seguir enviando iMessages desde sus dispositivos Android, pero los usuarios deben tener mucho cuidado con lo que deciden utilizar.

Mensajería Sunbird: una alternativa de buscapersonas que se debe evitar

Según datos de Google Trends, tras la interrupción de Beeper, una aplicación llamada “Sunbird Messaging” ha experimentado un fuerte aumento en las búsquedas.

La mensajería Sunbird se comercializa a sí misma como una aplicación de “bandeja de entrada unificada” que, de manera similar a Beeper Cloud, agrega mensajes en varias plataformas y afirma incluir soporte seguro de Android a iMessage.

9to5Google informa que la aplicación estuvo disponible como alfa cerrada para aquellos que se inscribieron en su lista de espera durante 2022 y afirmaron usar E2EE de manera similar a Beeper Mini. Sin embargo, la aplicación se suspendió a finales de noviembre de 2023 debido a "preocupaciones de seguridad", y varias fuentes afirmaron que la aplicación no estaba cifrada de extremo a extremo de la forma especificada.

Sunbird se había asociado con Nothing , una empresa de marca de teléfonos propiedad del cofundador de OnePlus , Charles Pei, para lanzar Nothing Chats, que también se retiró de las tiendas de aplicaciones casi al mismo tiempo que se suspendió Sunbird.

Recomendamos evitar estas aplicaciones y también tener en cuenta que tampoco se debe jugar con ninguna aplicación que afirme ser cualquiera de estos dos servicios. Los grandes esfuerzos que ha hecho Beeper para garantizar que su aplicación sea segura ilustran lo difícil que es producir este tipo de tecnología de forma segura.