De qué te protege Obleevo, y de qué no
Una explicación clara de lo que Obleevo está hecho para resistir y de dónde termina su protección. Nada de esto promete que resista a todo: es lo que hace el diseño, y lo que deja en tus manos.
1. De qué te protege
Que el servidor lea lo que compartes. Los mensajes, archivos, voz, pantallas y notas se cifran de extremo a extremo entre navegadores con WebRTC y, después, una segunda vez con claves poscuánticas (un híbrido de X25519 y ML-KEM-768, con AES-256-GCM). El servidor solo presenta a los navegadores entre sí; nunca tiene una clave.
Quien vigila la red. Tu red Wi-Fi, tu proveedor de internet y el servidor de retransmisión que lleva una conexión cuando no es posible una directa ven bytes cifrados que no pueden leer.
Grabado hoy, descifrado mañana. La capa poscuántica está ahí para que el tráfico capturado hoy siga sellado incluso ante un futuro ordenador cuántico.
Un servidor robado o incautado. No hay cuentas, ni base de datos, ni archivos o mensajes guardados: una sala vive en memoria y desaparece cuando termina. Llevarse el servidor da el código (que todo navegador recibe de todos modos) y recuentos por día. Un servidor tomado en funcionamiento también contiene, en memoria, las salas y direcciones abiertas en ese momento, además de sus registros del sistema.
Metadatos, reducidos al mínimo. Sin registro de accesos ni cookies; una dirección IP solo se guarda en memoria mientras su conexión está abierta, y un código de sala solo mientras existe la sala. El aviso de privacidad lo enumera todo.
2. De qué no te protege
Un dispositivo comprometido. Un programa malicioso, una extensión hostil del navegador o alguien con tu teléfono desbloqueado ve lo que tú ves. Obleevo avisa cuando algo modifica su página, pero lo que solo la lee no deja rastro.
Las personas con quienes compartes. Un destinatario puede hacer una captura, fotografiar la pantalla, guardar un archivo o reenviarlo. La vista única y quemar limitan lo que queda en su pantalla, no lo que decide guardar.
Una primera visita servida por un servidor hostil. El código que cifra viene del servidor. Si el servidor es hostil la primera vez que un navegador abre Obleevo, no hay ninguna copia anterior con la que comprobarlo.
Una versión dirigida a una sola persona que nunca tuvo la aplicación. Un servidor puede entregar a un visitante un código distinto. La página Verificar, y comparar su huella con la de otra persona, pueden revelarlo después; no pueden impedirlo.
El momento y el tamaño. El servidor y los servidores de retransmisión ven cuándo te conectas, desde qué dirección (Ocultar mi IP la cambia por la del servidor de retransmisión), durante cuánto tiempo y, más o menos, cuántos datos pasan; no qué son.
Todavía no hay una auditoría independiente. Todas las revisiones de la página Auditorías de seguridad las hicimos nosotros, internamente, igual que nuestras pruebas. Ninguna empresa externa ha auditado Obleevo.
3. No es una herramienta de anonimato
Obleevo pone lo que compartes fuera de alcance, también del nuestro. No oculta que lo has usado y no está hecho para eludir la ley; las Condiciones prohíben los usos ilegales.
Lo que sigue siendo rastreable. El servidor y los servidores de retransmisión ven tu dirección IP mientras estás conectado. Cloudflare, el proveedor de alojamiento y otros proveedores guardan sus propios registros. Tu proveedor de internet ve que te conectas a obleevo.com. Las personas de la sala pueden guardar lo que envías y declarar como testigos. Un dispositivo incautado o comprometido puede contener rastros. La policía tiene otros medios de investigación.
Lo que no existe de nuestro lado. Ninguna cuenta, ningún contenido en nuestros servidores, ningún registro de quién habló con quién, y nada sobre una sala terminada. La sección 20 del aviso de privacidad da la lista completa, en los dos sentidos.
4. Actualizaciones firmadas, y sus límites
Desde la v1.41.0, la declaración publicada para cada versión (la huella de cada archivo que sirve) va firmada con una clave que el propietario guarda sin conexión. El servidor nunca tiene esa clave, así que un servidor pirateado no puede firmar el código que sirve.
Una vez que Obleevo se ha abierto en un navegador, la aplicación guarda allí su código y lo ejecuta desde allí. El código nuevo solo llega como una versión nueva, y la copia que ya tienes la comprueba antes de confiar en ella: firmada con la clave integrada en la aplicación, más reciente que la tuya y con los archivos que cubre la firma. Entonces dice «Nueva versión verificada». Si no, te pide cerrar Obleevo, no recarga la página y quita la versión nueva del navegador hasta donde una página puede. Cuando el servidor no responde a la comprobación, dice que no pudo comprobarla, no que algo vaya mal.
La vista previa segura (v1.42.0) sigue la misma regla. El marco donde se muestra un archivo recibido no acepta nada del servidor a ciegas: la aplicación escribe ella misma todo el documento del marco, y cada script que este carga - y el worker de pdf.js, que la aplicación comprueba antes de pasárselo - debe coincidir con un hash SHA-384 que la aplicación conserva. Todo lo demás se rechaza y nunca se ejecuta, con un mensaje que dice por qué. El límite es el de la propia aplicación: esos hashes valen lo que vale la copia de la aplicación que los guarda, así que una primera visita servida por un servidor hostil tampoco está protegida aquí.
Los límites. Un navegador instala una versión nueva piense lo que piense la página: una página puede detectarla y deshacerla, no bloquearla. Un servidor que respondiera a la petición del navegador de forma distinta que a la comprobación de la página, mientras existe una versión auténtica más reciente, podría colarse; eso exige un trabajo deliberado contra una persona, y la página Verificar vuelve a comprobar. La primera visita en un navegador, una ventana privada, o una visita después de quemar una sala o borrar los datos del sitio (ambos borran a propósito la copia instalada) empiezan sin nada con qué comprobar. Y una firma dice quién publicó el código, no que el código no tenga fallos.
La clave integrada en la aplicación solo cambia mediante una versión firmada con la clave anterior. Nada de lo que envía el servidor (un archivo, una cabecera, una dirección) puede cambiarla.
5. Compruébalo tú mismo
La página Verificar calcula en tu navegador la huella de cada archivo y la compara con la lista publicada, comprueba esa lista con su declaración de versión, sellada en el tiempo en Bitcoin por OpenTimestamps, y desde la v1.41.0 comprueba la firma de la declaración, con el comando ssh-keygen para comprobarla en tu propio ordenador. Comparar la huella que muestra con alguien en otro dispositivo y otra red te dice si a ambos les sirvieron el mismo código.
¿Encontraste una forma de saltarte algo de esto? Cuéntanoslo primero.
Última revisión:
Acerca de · Colabora con nosotros · Tutoriales · Por qué esto · Preguntas frecuentes · Condiciones · Privacidad · Accesibilidad · Cookies · Seguridad · Auditorías de seguridad · Formato de la bóveda · Contacto · Novedades
Obleevo lo desarrolla The House of Brendrof. Software propietario, de uso gratuito.