Tresma

Threema es una aplicación de mensajería instantánea cifrada multiplataforma de pago desarrollada por Threema GmbH en Suiza y lanzada en 2012. El servicio opera en una arquitectura descentralizada y ofrece cifrado de extremo a extremo . Los usuarios pueden hacer llamadas de voz y video , enviar fotos, archivos y notas de voz, compartir ubicaciones y crear grupos . A diferencia de muchas otras aplicaciones populares de mensajería segura, Threema no requiere números de teléfono o direcciones de correo electrónico para el registro, solo una compra única que se puede pagar a través de una tienda de aplicaciones o de forma anónima con Bitcoin o efectivo . ^[7]

Threema está disponible en iOS y Android , y tiene clientes para Windows , macOS , Linux y HarmonyOS y se puede acceder a él a través del navegador web , pero requiere una aplicación móvil para funcionar. ^[8]

El servicio afirma estar basado en principios de privacidad por diseño, ya que no requiere un número de teléfono ni otra información de identificación personal . Esto ayuda a anonimizar a los usuarios hasta cierto punto. ^{[9] [10]}

Threema utiliza un ID de usuario, creado después del lanzamiento inicial de la aplicación por un generador aleatorio, en lugar de requerir una dirección de correo electrónico vinculada o un número de teléfono para enviar mensajes. Es posible encontrar otros usuarios por número de teléfono o dirección de correo electrónico si el usuario permite que la aplicación sincronice su libreta de direcciones. ^[11] Vincular un número de teléfono o dirección de correo electrónico a un ID de Threema es opcional. Por lo tanto, el servicio se puede utilizar de forma anónima. Los usuarios pueden verificar la identidad de sus contactos de Threema escaneando su código QR cuando se encuentran físicamente. El código QR contiene la clave pública del usuario, que está criptográficamente vinculada al ID y no cambiará durante la vida útil de la identidad. Al usar esta fuerte función de autenticación, los usuarios pueden asegurarse de tener la clave pública correcta de sus socios de chat, lo que proporciona seguridad adicional contra un ataque de intermediario . Threema conoce tres niveles de autenticación (niveles de confianza de la identidad del contacto). El nivel de verificación de cada contacto se muestra en la aplicación Threema como puntos junto al contacto correspondiente.

Además de los mensajes de texto, los usuarios pueden hacer llamadas de voz y video, enviar archivos, multimedia, ubicaciones y mensajes de voz. ^[12] Una versión de la aplicación web , Threema Web, se puede utilizar en dispositivos de escritorio, pero solo mientras el teléfono con la instalación de Threema del usuario esté en línea. Hay una versión beta para usuarios de iOS, donde es posible desconectar el teléfono y seguir usando la aplicación de escritorio.

Además de los chats individuales, Threema ofrece chats grupales de hasta 256 personas. Los usuarios pueden realizar llamadas de voz y video, enviar mensajes de texto y de voz, contenido multimedia, ubicaciones y archivos de cualquier tipo (hasta 50 MB por archivo). ^{[12] [13]} También es posible crear encuestas en chats personales o grupales. ^[14]

Threema es desarrollado por la empresa suiza Threema GmbH. ^[15] Los servidores están en Suiza y el desarrollo tiene su sede en Pfäffikon SZ . En mayo de 2021, Threema tenía 10 millones de usuarios ^[16] y la versión empresarial, Threema Work, era utilizada por 2 millones de usuarios en 5000 empresas y organizaciones. ^[17]

A finales de julio de 2021, Threema introdujo la posibilidad de que las empresas alojen el mensajero en su propio servidor, destinado principalmente a empresas con preocupaciones de privacidad significativamente altas. ^[18]

Con Threema Web, un cliente para navegadores web , Threema puede utilizarse desde otros dispositivos, como computadoras de escritorio , aunque solo mientras el dispositivo original esté en línea.

Threema admite opcionalmente el reloj inteligente Android Wear y Android Auto . ^[19] Threema lanzó soporte para videollamadas cifradas de extremo a extremo el 10 de agosto de 2020. Las llamadas son de persona a persona y las llamadas grupales no están disponibles. ^[20]

La aplicación no permite la eliminación automática de mensajes después de un período definido por los interlocutores. La aplicación sí impide la realización de capturas de pantalla en conversaciones cuando se configura para ello.

Toda la comunicación a través de Threema está cifrada de extremo a extremo . Durante la configuración inicial, la aplicación genera un par de claves y envía la clave pública al servidor mientras mantiene la clave privada en el dispositivo del usuario. ^[21] Luego, la aplicación cifra todos los mensajes y archivos que se envían a otros usuarios de Threema con sus respectivas claves públicas. ^{[9] [22]} Una vez que un mensaje se entrega correctamente, se elimina inmediatamente de los servidores . ^[23]

El proceso de cifrado utilizado por Threema se basa en la biblioteca de código abierto NaCl . Threema utiliza un cifrado asimétrico basado en ECC , con una fuerza de 256 bits. Threema ofrece una función de "Registro de validación" que permite confirmar que los mensajes están cifrados de extremo a extremo utilizando la biblioteca de redes y criptografía NaCl . ^[24] En agosto de 2015, Threema fue sometida a una auditoría de seguridad externa. ^[25] Los investigadores de cnlab confirmaron que Threema permite un cifrado seguro de extremo a extremo y afirmaron que no pudieron identificar ninguna debilidad en la implementación. Los investigadores de cnlab también confirmaron que Threema proporciona anonimato a sus usuarios y maneja los contactos y otros datos de los usuarios como se anuncia. ^{[26] [27]}

Threema fue fundada en diciembre de 2012 por Manuel Kasper. ^[28] La empresa inicialmente se llamó Kasper Systems GmbH. ^[29] Martin Blatter y Silvan Engeler fueron reclutados más tarde para desarrollar una aplicación para Android que se lanzó a principios de 2013. ^[30]

En el verano de 2013, las filtraciones de Snowden ayudaron a generar interés en Threema, lo que elevó el número de usuarios a cientos de miles. ^[31] Cuando Facebook se hizo cargo de WhatsApp en febrero de 2014, Threema consiguió 200.000 nuevos usuarios, duplicando su base de usuarios en 24 horas. ^[32] Alrededor del 80% de esos nuevos usuarios procedían de Alemania. En marzo de 2014, Threema tenía 1,2 millones de usuarios. ^[30]

En la primavera de 2014, la actividad se transfirió a la recién creada Threema GmbH. ^{[29] [33]}

En diciembre de 2014, Apple incluyó a Threema como la aplicación más vendida de 2014 en la App Store alemana. ^[34]

En 2020, Threema se expandió con videollamadas, ^[20] planea abrir el código fuente de sus aplicaciones del lado del cliente e introducir compilaciones reproducibles de ellas, ^[35] así como introducir Threema Education, una variación de Threema destinada a instituciones educativas.

Durante la segunda semana de 2021, Threema vio cuadruplicarse las descargas diarias impulsadas por los controvertidos cambios de privacidad en el servicio de mensajería WhatsApp. Un portavoz de la empresa también confirmó que Threema había ascendido a la cima de las listas de aplicaciones pagas en Alemania, Suiza y Austria. ^[36] Esta tendencia continuó en la tercera semana del año, y el jefe de Marketing y Ventas confirmó que las descargas habían aumentado hasta diez veces la cantidad habitual, lo que generó "cientos de miles de nuevos usuarios cada día". ^[37]

En octubre de 2022, investigadores de la ETH de Zúrich informaron sobre múltiples vulnerabilidades que afectaban la seguridad de Threema contra ataques a la red, al servidor y al cliente. En noviembre de 2022 se publicó una nueva versión que solucionaba estos problemas y las vulnerabilidades se anunciaron públicamente en enero de 2023. ^[38]

Threema Work: el 25 de mayo de 2016 se lanzó Threema Work, una versión corporativa de Threema. Threema Work ofrece capacidades de administración e implementación extendidas. ^[39] Threema Work se basa en un modelo de suscripción anual. ^[40]

Threema Gateway: el 20 de marzo de 2015, Threema lanzó una puerta de enlace para empresas. De manera similar a una puerta de enlace de SMS , las empresas pueden usarla para enviar mensajes a sus usuarios que tengan Threema instalado. ^{[41] El código para el} SDK de Threema Gateway está abierto para desarrolladores y disponible en GitHub . ^[42]

Threema Broadcast: El 9 de agosto de 2018, Threema lanzó Threema Broadcast, una herramienta para la comunicación de arriba hacia abajo . De manera similar a los correos electrónicos en los boletines electrónicos , los mensajes de Threema se pueden enviar a cualquier número de suscriptores de feeds, y Threema Broadcast permite crear chatbots .

Threema Education: El 10 de septiembre de 2020, Threema lanzó Threema Education, una versión de su aplicación de mensajería diseñada para instituciones educativas. La aplicación integra Threema Broadcast y requiere un pago único por cada dispositivo utilizado. Está destinada a ser utilizada por profesores, estudiantes y padres. ^[43]

Threema OnPrem: el 27 de julio de 2021, Threema lanzó Threema OnPrem, una versión del mensajero que podría alojarse en los servidores propios de una empresa para fines de máxima seguridad. ^[44]

Dado que los servidores de Threema se encuentran en Suiza, están sujetos a la ley federal suiza sobre protección de datos. El centro de datos cuenta con la certificación ISO/IEC 27001. ^[45] Vincular un número de teléfono o una dirección de correo electrónico a una ID de Threema es opcional; al hacerlo, solo se envían al servidor valores de suma de comprobación ( SHA-256 HMAC con una clave estática) de la dirección de correo electrónico o el número de teléfono. ^[46] Debido a la pequeña cantidad de posibles combinaciones de dígitos de un número de teléfono, el número de teléfono asociado con una suma de comprobación podría determinarse por fuerza bruta . Los datos transmitidos están protegidos por TLS . Los datos de la libreta de direcciones se guardan solo en la memoria volátil del servidor y se eliminan inmediatamente después de sincronizar los contactos. ^[47] Si un usuario elige vincular un número de teléfono o una dirección de correo electrónico con su ID de Threema, puede eliminar el número de teléfono o la dirección de correo electrónico en cualquier momento. ^[48] Si un usuario alguna vez pierde su dispositivo (y su clave privada), puede revocar su ID de Threema si se ha establecido una contraseña de revocación para esa ID. ^[49]

Los grupos se gestionan únicamente en los dispositivos de los usuarios y los mensajes grupales se envían a cada destinatario como un mensaje individual, cifrado con la clave pública correspondiente. Por lo tanto, las composiciones de los grupos no se exponen directamente al servidor. ^[50]

Los datos (incluidos los archivos multimedia) almacenados en los dispositivos de los usuarios están cifrados con AES 256. En Android, se pueden proteger adicionalmente con una frase de contraseña . ^[51]

Desde 2016, Threema GmbH publica un informe de transparencia en el que se dan a conocer las investigaciones de las autoridades públicas. ^[52]

El 9 de marzo de 2017, Threema fue incluida en el «Registro de organizadores de difusión de información en Internet» operado por el Servicio Federal de Supervisión de Comunicaciones, Tecnologías de la Información y Medios de Comunicación de la Federación de Rusia. ^[53]

En respuesta, un portavoz de Threema declaró públicamente: "Operamos bajo la ley suiza y no estamos autorizados ni dispuestos a proporcionar ninguna información sobre nuestros usuarios a autoridades extranjeras". ^[54]

El 29 de abril de 2021, Threema ganó un caso importante en el Tribunal Supremo Federal de Suiza contra el Departamento Federal de Policía y Justicia de Suiza , que deseaba clasificar a la empresa como proveedor de telecomunicaciones. Si hubieran perdido el caso, Threema habría tenido la obligación legal de identificar a los usuarios y enviar información sobre ellos a las autoridades policiales. ^[55]

A partir de enero de 2022, las Fuerzas Armadas Suizas sugirieron que las tropas deberían usar Threema en lugar de WhatsApp, Telegram y Signal , citando que Threema tiene su sede en Suiza y no tiene servidores en los Estados Unidos y, por lo tanto, no está sujeto a la Ley CLOUD , y también prometieron que los soldados serían reembolsados ​​por el costo. ^[56]

En 2024, el FBI, utilizando acceso directo a un teléfono móvil con la aplicación instalada, pudo obtener mensajes de Threema y presentar cargos contra dos sospechosos. ^[57]

En febrero de 2014, la organización alemana de consumidores Stiftung Warentest evaluó varios aspectos de protección de datos de Threema, WhatsApp , Telegram , BlackBerry Messenger y Line . Consideró la seguridad de la transmisión de datos entre clientes, los términos de uso de los servicios , la transparencia de los proveedores de servicios, la disponibilidad del código fuente y la disponibilidad general de las aplicaciones. Threema fue la única aplicación calificada como "no crítica" ( unkritisch ) en relación con la protección de datos y privacidad, pero perdió puntos debido a su naturaleza de código cerrado, aunque esto ha cambiado para sus clientes frontend desde fines de 2020. ^[58]

Junto con Cryptocat y Surespot , Threema ocupó el primer lugar en un estudio que evaluó la seguridad y la facilidad de uso del software de cifrado de mensajería instantánea, realizado por el grupo alemán PSW en junio de 2014. ^[59]

En noviembre de 2015 ^[update], Threema tenía una puntuación de 6 de 7 puntos en el "Secure Messaging Scorecard" de la Electronic Frontier Foundation (ahora retirado y obsoleto) . Recibió puntos por tener comunicaciones cifradas en tránsito, tener comunicaciones cifradas con claves a las que el proveedor no tiene acceso (es decir, tener cifrado de extremo a extremo ), hacer posible que los usuarios verifiquen de forma independiente las identidades de sus corresponsales, tener comunicaciones pasadas seguras si las claves son robadas (es decir, implementar el secreto hacia adelante ), tener su diseño de seguridad bien documentado y haber completado una auditoría de seguridad independiente. Perdió un punto porque su código fuente no estaba abierto a una revisión independiente (es decir, no era de código abierto , aunque a fines de 2020 sus aplicaciones de interfaz eran de código abierto, dejando solo su componente de servidor propietario). ^[60]

• Comparación de clientes de mensajería instantánea

• Sitio web oficial
• Introducción a Threema
• Presuntas vulnerabilidades