MerGeN - Comunicación seguraMerGeN - Comunicación segura

MERGEN es un ecosistema de comunicación segura que aborda las comunicaciones corporativas críticas integrando el dispositivo, la aplicación y la capa de transmisión en un único enfoque de seguridad. En lugar de un teléfono de propósito general, ofrece un entorno de dispositivo controlado: se basa en una versión simplificada de Android de la que se han eliminado la telemetría, GMS y los componentes publicitarios, se han restringido las transferencias de datos mediante GSM/Bluetooth/NFC y USB, y se establece una conexión controlada únicamente mediante Wi-Fi/hotspot. El ecosistema consta de 3 componentes: Android reforzado con servicios e interfaces de dispositivo restringidos, un cliente móvil seguro basado en Dart que proporciona cifrado local y protección durante la ejecución, y una capa de transmisión cifrada basada en Go que únicamente reenvía los mensajes sin leer su contenido.

Cuando se envía un mensaje, el contenido se cifra primero en el dispositivo del remitente mediante AES-256-GCM; se realiza una autenticación específica de la operación mediante RSA-4096 y mTLS; el servidor Go únicamente reenvía el contenido cifrado sin leerlo; el dispositivo del destinatario lo verifica y descifra localmente. La cola de mensajes no depende del almacenamiento persistente en disco: si el destinatario está en línea, el mensaje cifrado se transmite directamente; si está desconectado, se conserva en una cola temporal y cifrada en RAM, que se limpia después de la entrega. Los usuarios se comunican mediante mensajería individual, chats de grupo y pulsar para hablar de 30 segundos (no hay función de llamadas de voz); cuando un mensaje se elimina en un lado, también se elimina en el otro. En los chats de grupo no hay límite en el número de participantes; únicamente la persona que crea el grupo puede ver los nombres de usuario de los participantes; cuando un participante elimina el grupo, este se elimina por completo.

Los períodos de conservación de datos están definidos por separado según el tipo de contenido: los mensajes de voz se eliminan automáticamente de ambos dispositivos después de ser escuchados, todos los mensajes se eliminan automáticamente después de 12 horas, y los mensajes que se deseen conservar pueden mantenerse hasta 45 días en la sección de mensajes guardados. La protección del lado del cliente continúa no solo durante el establecimiento de la conexión, sino también durante el uso: mediante RASP se supervisan las señales de depuración, las herramientas de hooking y la intervención en la aplicación; ante amenazas definidas, la aplicación se bloquea o se activa el flujo de protección; el análisis del código se dificulta mediante el cliente Dart AOT y binarios ofuscados. La aplicación impide realizar capturas y grabaciones de pantalla; tras 3 intentos de contraseña incorrectos, todos los datos de la aplicación se eliminan automáticamente; si la contraseña se introduce al revés, los datos se eliminan y la aplicación aparenta poder utilizarse con normalidad. Cuando se detecta la intervención de spyware en la base de datos de la aplicación o se intentan acceder a modos avanzados de recuperación mediante los botones laterales, los datos se eliminan inmediatamente. Los equipos de administración gestionan el borrado remoto, la destrucción remota y el envío de anuncios masivos a los usuarios desde el teléfono del administrador.

MERGEN ha pasado por pruebas repetidas durante un proceso de desarrollo de 5 años; en la prueba de recuperación forense de datos realizada con Cellebrite UFED no fue posible recuperar los datos, y el producto está abierto a nuevas pruebas. El producto es compatible con Google Pixel 4 y posteriores, dispositivos Samsung con Android 10 y posteriores, y los dispositivos actuales de Xiaomi; ofrece un diseño de interfaz ordinario y discreto. Los resultados de las pruebas compartidos en la presentación reflejan los resultados reales de las pruebas del producto; la estructura del servidor puede examinarse directamente, y las funciones de pulsar para hablar, chat de grupo y administración pueden evaluarse mediante las propias pruebas del cliente.

Sunucu tarafında veri bulunmaz. Go sunucusu mesaj içeriğini göremeyen kör bir aktarıcıdır: yalnızca şifreli ikili veri görür, kayıt tutmaz ve diske hiçbir şey yazmaz. Alıcı çevrimdışıysa mesaj geçici olarak şifreli RAM önbelleğinde bekler, teslimattan hemen sonra silinip üzerine yazılır; sunucunun elektriği kesilirse bekleyen veriler anında yok olur. Sesli iletişim şifreli P2P bağlantı (UDP/SRTP) ile doğrudan cihazlar arasında iletilir ve ses verisi sunucudan hiç geçmez. Böylece sunucu ele geçirilse bile elde edilebilecek hiçbir veri yoktur. Sunucu, dış bağımlılığı olmayan tek bir statik Go ikilisidir; harici veritabanı gerektirmez ve kurumun kendi altyapısına saniyeler içinde kurulabilir.

Uygulama kendini aktif olarak savunur. Çalışma anı uygulama koruması (RASP), hata ayıklayıcıları, Frida gibi kanca araçlarını ve kurcalama girişimlerini sürekli tarar; casus yazılımların uygulamalara sızmak için kullandığı bu yöntemlerden biri algılandığında MERGEN kendini kilitler veya verilerini imha eder. Uygulamanın veritabanına müdahale edildiği ya da telefonun ileri kurtarma modlarıyla erişilmeye çalışıldığı algılandığında da veriler anında silinir. Uygulama içinde ekran görüntüsü ve ekran kaydı engellenir. Dart istemci doğrudan yerel ARM koduna derlenir, şifreleme gecikmesi yaklaşık 5 milisaniyedir ve kod tersine mühendisliğe karşı yoğun biçimde gizlenmiştir; Go sunucusu da kontrol akışı düzleştirme ve sembol temizleme ile sertleştirilmiştir, çalınsa bile içinden mantık ya da gizli bilgi çıkarılamaz.

Telefon ele geçirilse bile MERGEN verisi kurtarılamaz. Telefonun güvenli bölgesinde (TEE) tutulan ana anahtarları bir saniyenin altında yok ederek tüm uygulama verilerini geri döndürülemez hale getirir. Baskı altında girilen ters parola uygulamayı normal şekilde açarken arka planda verileri sessizce siler; üç yanlış parola girişinde de tüm uygulama verileri otomatik silinir. Okunduktan sonra yok olan mesajlar, otomatik eski veri temizliği ve yönetici telefonundan uzaktan silme ile adli iz bırakılmaz; uygulamanın şifreli verisi ham hâlde boş alandan ayırt edilemeyen rastgele gürültü olarak görünür. Cellebrite UFED ile yapılan adli veri kurtarma testlerinde MERGEN verisinden hiçbir şey kurtarılamamıştır. MERGEN; kurumların kritik iletişimini yabancı istihbarata ve veri sızıntısına karşı koruyan, siber egemenlik stratejileriyle uyumlu, bağımsız ve sunucusunda veri tutmayan bir iletişim altyapısı sunar.