Archivos CRYPT12

¿Qué es un archivo .CRYPT12?

La extensión de copia de seguridad local cifrada mejor conocida y empleada por WhatsApp para Android es CRYPT12. Esta extensión es empleada por WhatsApp LLC, ahora parte de Meta Platforms, para proteger la base de datos de chats disponible en el teléfono o en el almacenamiento local. Los posibles nombres de archivo para esas bases de datos podrían ser msgstore.db.crypt12 o msgstore-YYYY-MM-DD.1.db.crypt12. msgstore.db es la base de datos SQLite sin cifrar que contiene mensajes, conversaciones, datos de contactos, marcas de tiempo y referencias a archivos adjuntos multimedia. Normalmente, las copias de seguridad se encontrarían en WhatsApp/Databases o, en el caso de versiones más recientes de Android, en Android/media/com.whatsapp/WhatsApp/Databases.

Los archivos con la extensión .CRYPT12 no son una herramienta de archivado, ya que el archivo no puede abrirse como un archivo SQLite, ZIP o de texto normal. Los mensajes permanecerán protegidos e inaccesibles hasta que se realice la descifrado con la clave de WhatsApp de la instalación correspondiente; normalmente, la clave se colocaría en /data/data/com.whatsapp/files/key. No se conoce ningún formato de archivo público importante no relacionado que use .CRYPT12. Cualquier archivo que tenga la extensión .crypt12 pero no se ajuste a los patrones de nomenclatura de WhatsApp normalmente se considera dañado o renombrado.

Cómo abrir un archivo .CRYPT12

Detalles técnicos

.crypt12 es un formato de contenedor de archivo binario de una copia de seguridad de WhatsApp, no un archivo SQLite plano. Normalmente, el contenido descifrado empieza con la firma de SQLite "SQLite format 3"; sin embargo, el contenido real de este archivo está cifrado y con MAC antes de que se puedan leer bytes de la base de datos. No hay un valor mágico estable en el desplazamiento #0, como podría ocurrir en un caso como el identificador de formato de PDF/ZIP, pero se identifica usando su nombre de archivo típico, la ubicación típica de WhatsApp Android en el dispositivo, el tamaño del archivo y la capacidad de descifrado. Las copias de seguridad de WhatsApp son un formato de copia de seguridad propietario con información de encabezado, contenido cifrado y comprobaciones de integridad; no es un formato conocido y Meta aún no proporciona documentación técnica pública sobre el formato de copia de seguridad crypt12. Usa la clave de descifrado independiente, por lo que, por sí solo, tomar el archivo .crypt12 normalmente no basta, ya que la visualización de terceros por lo general no es posible sin la clave. Normalmente, el nombre local del archivo es msgstore.db.crypt12 o msgstore-YYYY-MM-DD.nn.db.crypt12 con rotación por fecha.

El contenido de msgstore.db es una base de datos SQLite con tablas con datos de mensajes, mensajes, contactos, recibos, quoted_messages y algunos datos para la app; sin embargo, la estructura exacta depende de la versión de la aplicación WhatsApp. Los archivos adjuntos multimedia normalmente no se almacenan en el archivo DB, sino que residen en otra parte del sistema de archivos como archivos separados y se referencian desde la base de datos mediante rutas de archivo e información de mensajes (no incluidos directamente en la tabla de la base de datos). Los tamaños de archivo de la base de datos son variables, con un rango que va desde unos pocos megabytes (base de datos pequeña) hasta varios cientos de megabytes. Debido al mecanismo de autenticación del contenido cifrado, la corrupción total, la discrepancia o el truncamiento del tamaño suelen provocar un fallo en el descifrado, no datos parciales. No existe ningún tipo MIME definido por IANA, así que normalmente se trata como "application/octet-stream".

Cómo convertir archivos .CRYPT12

La conversión más simple es descifrar un .crypt12 existente a .db SQLite. Así, la salida tendrá la misma estructura de tablas que msgstore.db y es una buena opción para usar con herramientas de SQLite como DB Browser for SQLite, sqlite3, etc. La base de datos descifrada producida de esta forma tiene el esquema correcto y puede exportarse correctamente a las bases de datos SQLite usando WhatsApp viewer, una vez que tengas msgstore.db.crypt12 y su archivo de clave correspondiente.

Cuando necesitas obtener un análisis legible, tienes dos opciones posibles: la exportación HTML habitual y CSV y PDF más especializados. En cuanto a HTML, WhatsApp viewer puede generar un informe con conversaciones de chat ordenadas, que posiblemente muestren adjuntos pero sin índices ni campos internos.

Whapa permite producir CSV descifrados de chats, que resultan cómodos para trabajar en tablas y hojas de cálculo. Sin embargo, los mensajes pueden quedar aplanados y las reacciones pueden omitirse.

Los informes PDF sobre el análisis de WhatsApp pueden generarse con herramientas como Elcomsoft Explorer for WhatsApp, Oxygen Forensic Detective y otras. No pueden importarse a WhatsApp.

La función integrada de WhatsApp 'Export chat' produce chats TXT legibles que carecen de algunos metadatos e índices.

Las copias de seguridad Crypt12 pueden recuperarse con una rutina simple, como restaurarlas en la app y luego hacer una nueva copia de seguridad, en cuyo caso se llamará .crypt14 o una versión más nueva y seguirá sin ser legible a menos que se disponga de la clave. Sin la clave o una restauración correcta, los convertidores por lo general solo pueden hashear/copiar y los archivos multimedia deben recopilarse por separado.

Problemas comunes y soluciones

El error "Could not decrypt database" (o sus equivalentes) en WAView, WhapA y otras herramientas significa que ya sea la clave no pertenece al archivo msgstore.db.crypt12 (posiblemente renombrado a algo similar), pertenece al archivo de copia de seguridad creado bajo una instalación diferente de WhatsApp o que el archivo msgstore.db.crypt12 se corrompió durante la copia. Asegúrate de tener la clave correcta y el archivo correcto que proviene de un solo dispositivo e instalación. Los errores de autenticación/MAC significan que es posible que haya un problema de truncamiento, manipulación así como también la clave incorrecta usada para descifrar el archivo; asegúrate de que el tamaño del archivo sea correcto, descarga el archivo desde tu teléfono inteligente usando un cable USB y no hagas múltiples cargas de archivos (todos los archivos tendrán exactamente la misma marca de tiempo). Un archivo de cero bytes o de tamaño pequeño (de unos pocos kilobytes) indica un fallo en la copia de seguridad que solo puede ser recuperado con otra copia de seguridad de tu teléfono inteligente. Las versiones recientes de WhatsApp pueden tener extensiones crypt14 o crypt15 en lugar de crypt12. Las herramientas para trabajar con crypt12 podrían ser ineficaces con las copias de seguridad actuales debido a esto.

El error "file is not a database" en SQLite Browser, DB Browser o la consola sqlite3 significa que el archivo aún no ha sido descifrado; descifralo y luego abre el nuevo archivo .db. Hay otras razones por las cuales no se puede restaurar el archivo de copia de seguridad de WhatsApp- si el archivo de copia de seguridad está en un carpeta incorrecta, si el nombre del archivo no está entre los archivos msgstore, si la copia de seguridad de Google Drive tiene prioridad en tu caso, si el número de teléfono no es correcto. Algunas aplicaciones de terceros tienen dificultad para abrir la carpeta de WhatsApp en el sistema operativo más nuevo (Android 11 y más nuevos) debido al acceso restringido a los datos en el almacenamiento de alcance. Es posible que los medios desaparezcan después de exportar en el caso de que la base de datos fue descifrada pero la carpeta de medios no fue proporcionada y en el caso de que los adjuntos ya no estén disponibles en tu teléfono.

Consideraciones de seguridad

El contenido en .crypt12 en realidad son archivos binarios cifrados en lugar del archivo de Office que podría tener alguna macro dentro; por lo tanto, .crypt12 normalmente no debería contener scripts ni programas ejecutables. En cuanto a la principal amenaza de la que hay que preocuparse, la privacidad debe tenerse en cuenta porque, una vez descifrado, el .db msgstore contendría información como los mensajes, números de teléfono, grupos, nombres de contactos, fechas de envío de mensajes, ubicaciones, archivos adjuntos multimedia y otra información según la versión de WhatsApp que estés usando. Considera el archivo que contiene la clave de WhatsApp que ayuda a descifrar copias de seguridad del dispositivo local. Intenta evitar enviar el .crypt12 a sitios web en línea que te prometen descifrarlo gratis, ya que esto podría comprometer todas tus conversaciones, incluidos los chats, y también toda tu red de contactos. Obtén programas oficiales del proveedor para descifrar las copias de seguridad, conocidos como backup viewer. Evita obtener cualquier programa malicioso no descargando software falso de copias de seguridad de WhatsApp desde cualquier sitio web del que los consigas.

Historia y versiones

WhatsApp, creada en 2009 antes de ser adquirida por Meta Platforms (conocida entonces como Facebook) en 2014, ha experimentado una evolución de los formatos de cifrado local para almacenar copias de seguridad a medida que su almacenamiento ha avanzado. La generación .crypt12 apareció aproximadamente en 2016 como reemplazo de los esquemas locales anteriores de copia de seguridad .crypt8, .crypt9, .crypt10 y .crypt11 para muchos usuarios. Este esquema nunca ha calificado para la vía de estándares del IETF. Todavía no se ha publicado ningún RFC de código abierto, estándar ISO ni otro documento oficial de formato de crypt12.

Existían copias de seguridad simultáneas de Google drive mientras los archivos locales msgstore.db.crypt12 seguían siendo necesarios durante el proceso de transición de un teléfono a otro, la restauración de copias de seguridad y la adquisición forense. Las aplicaciones de WhatsApp luego pasaron a .crypt14, .crypt15 y superiores en distintas versiones de WhatsApp, particularmente en versiones más recientes de android. También hubo cambios de esquema en el SQLite descifrado, junto con la implementación de la función de reacciones a mensajes y otras, incluidas los mensajes que desaparecen, las comunidades, la compatibilidad multidispositivo y las referencias multimedia actualizadas.

La relevancia proviene de dispositivos antiguos que pueden incluir msgstore.db.crypt12, así como datos de investigación forense almacenados en ellos. Crypt12 está bien documentado en métodos de ingeniería inversa a través de WhatsApp Viewer y otras herramientas como Whapa o varios examinadores comerciales.

Formatos relacionados

Los formatos de copia de seguridad correlativa de WhatsApp incluyen archivos .CRYPT14 y .CRYPT15, que sirven para la misma función de almacenar el contenido de la copia de seguridad en un formato compatible solo con software específico, de forma similar a .crypt12 pero basado en protocolos criptográficos más avanzados que a menudo requerirán herramientas específicas que puedan interpretarlos. Las copias de seguridad correlativas basadas en estándares de cifrado como .CRYPT8, .CRYPT9, .CRYPT10 y .CRYPT11, incluso si se encuentra un archivo de clave y una herramienta que pueda manejarlos correctamente, podrían ser versiones más antiguas vulnerables a soluciones forenses más avanzadas. Después del descifrado, un formato común es recibir el archivo de base de datos SQLite con formato .DB, que es más fácil de buscar, pero ha dejado de estar cifrado por WhatsApp. Las bases de datos no específicas .SQLITE y .SQLITE3 son legibles directamente por herramientas de SQLite si no hay nada que cifre su contenido, a diferencia de .crypt12. El formato AB usado en Android heredado para respaldar archivos con adb backup puede contener archivos de la aplicación dentro, pero no son bases de datos crypt de WhatsApp. La exportación de chats puede estar en formato .ZIP o en .TXT sin formato, y las copias de seguridad de iPhone no tendrán archivos .crypt12.