MTProto
# MTProto

Mobile Transport Protocol (en español: Protocolo de transporte móvil, abreviado: MTProto) es el nombre del protocolo de datos de Telegram con que gestiona, cifra y transporta los mensajes, contactos y metadatos del servicio de mensajería. Está desarrollado bajo un estándar abierto, a base de API Java, desarrollado por el matemático Nikolái Dúrov y financiado por Pável Dúrov. Fue anunciado en 2013 por la antes empresa estadounidense Digital Fortess, ahora desarrollada por Telegram FZ-LLC.

A diferencia de XMPP, MTProto está enfocado en la multisesión multiplataforma y el transporte de archivos sin importar su formato o capacidad. El tráfico tiene dos tipos de cifrados, ambos con AES de base, siendo los chat secretos para el envío de mensajes de forma restrictiva contra la filtración de información sensible. Es una de las pocas aplicaciones desarrollados fuera de los Estados Unidos tras el incidente del cíberespionaje.

Cabe señalar, sin embargo, que el código fuente no afecta a los servidores de MTProto que no son de código abierto.A 2020 no existe intenciones de librerar la plataforma completa hasta que este se descentralice y tenga un propósito benigno.

## Versiones

### MTProto v1

La primera versión se estrenó en 2014. Los mensajes en MTProto fueron cifrados con el algoritmo SHA-1. Tras un reporte en enero de 2015, en donde el investigador Juliano Rizzo reveló un error en el funcionamiento de SHA-1 que originó una vulnerabilidad al interceptar los mensajes. Más adelante el medio De Welt en 2016 señaló un posible reemplazo SHA-2.

### MTProto v2

En 2017, se lanza la segunda versión. El cifrado se reemplazó a SHA-256 con mayor cantidad de bytes de carga útil. También está protegido de ataques IND-CCA.

## Desarrollo

### Infraestructura y financiamiento

Digital Fortress fue una empresa estadounidense fundada por David "Alex" Neff, quien trabajó anteriormente como Director Asistente de Relaciones Internacionales de VK. Como socio de QBC Systems, la compañía adquirió 96 terabytes de infraestructura para el almacenamiento de datos. El protocolo MTProto fue implementado en 2013 de forma experimental; al tener éxito, el proyecto se masificó y la organización fue independizada como Telegram LLC.

En 2014 las sucursales Telegram LLC y Digital Fortress fueron adquiridos por United Capital Partners, exdueño de VK, generando una disputa legal sobre su auditoría con Pável. En simultáneo, la matriz empresa Mail.ru prohibió usar el término Telegram como nombre de la empresa. Esto obligó a crear una nueva organización externa llamada Telegram Messenger LLP, cuya sede se mantuvo indefinida hasta 2017.

### Central de datos

El protocolo MTProto se desarrolló desde cero y difiere de XMPP para la creación de centrales de datos.

A diferencia de XMPP por las limitaciones para iniciar sesión con números, la ID no proviene de la IMEI y cada dispositivo es asignado por una ID unificada. Para establecer el dispositivo activo es necesario una confirmación vía SMS o llamada telefónica por única vez, cuyo código lleva 5 dígitos, con la posibilidad de asegurar con autentificación en dos pasos.

Para los chats normales, llamados cloud chats, se usa como cifrado cliente-servidor-cliente. Los contenidos escritos, enviados o en borrador, son codificados en bloques usando las claves o llaves de cifrado ofrecidas del canal de conversación con casos diferentes entre conversaciones de uno a uno. Bajo eficacia cada mensaje almacenado en la central de datos, o la nube, es codificado simétricamente con AES-256. Para los archivos, se dividen en unidades de 1KB (si pesa menos de 10MB) o de 512KB (hasta 1.5GB) para mejor rendimiento en subida y descarga. Para los enlaces, el servidor se encarga de previsualización las fotos o vídeos de los sitios web.

Aparte, los receptores llevan una clave compartida firmada en SHA-256 para garantizar la seguridad de los mismos. La clave varía en cada conversación y estos se separan del centro de datos de los destinatarios, asegurando su descentralización. Para dificultarlo, no se relaciona la llave de cifrado (msg_key), la firma (auth_key_id) y el mensaje codificado al desgranarlos. Esto evita que desconocidos accedan a la nube y descifren las comunicaciones, a excepción del usuario (o el grupo, según el caso) que puede recuperar la firma para ver sus mensajes al iniciar sesión sin recurrir a servicios de terceros. En 2021 Pável Dúrov recalcó que si alguna parte de los centros de datos es confiscada o irrumpida los mensajes no se descifrarán.

En otra nota de Pável Dúrov de 2017 aclaró que el cifrado para los cloud chats garantiza el reenvío inmediato de los mensajes a otros contactos. En consecuencia, evita que el contenido origen se descargue y vuelva a subir, lo que ahorra consumo de datos. Aclara también que este tipo de cifrado ayuda a visualizar los mensajes de los grupos con miles de integrantes en tiempo real. No obstante, señala que los chats secretos cumplen el propósito de evitar filtraciones de contenido al usar otro tipo de cifrado.

Para los chats secretos se codifican de extremo a extremo bajo el mismo algoritmo y con cifrado XOR de 128 bits para la firma digital. El mecanismo para los archivos varía según el tipo de metadato. Al almacenarse los mensajes temporalmente, las claves de cifrado solo se guardan en los dispositivos locales. Además, se usa una figura que identifica la conversación. Por defecto, las previsualizaciones de los enlaces están desactivadas.

En diciembre de 2014 se implantó en los chats secretos la tecnología Perfect forward secrecy para renovar las claves a medida que pase el tiempo sin comprometer a los mensajes antiguos.

### CDN

En 2017 se implementó la infraestructura CDN para canales con más de 100 mil suscriptores. Sirve de caché de contenido y no está relacionado con los centros de datos, aunque cifrado antes de ser recibido en el dispositivo. Los mensajes son autenticados para evitar algún intento de manipulación. Dicha infraestructura no forma parte de las centrales de datos de Telegram y está enfocado en países con mayor demanda de usuarios.

Desde la versión 4.2 de las aplicaciones se emplean algunas API para agilizar el funcionamiento de subida y bajada de datos. Por ejemplo, se usa upload.getFile para subir contenido y upload.getCdnFile para agilizarla. En la sección de preguntas y respuestas en farsi, se planea mejorar el servicio para evitar la censura del gobierno iraní.

### Transporte de datos

MTProto admite transporte de datos en relación con la carga útil: Ligero para cobertura baja. Elevado para generar ofuscación que evita el bloqueo de las ISP. Ese último es sugerido para conectar con servidores MTProxy.

## Bot API

Bot API es el nombre de la plataforma de aplicativos externos. A diferencia de los usuarios, los bots cumplen la función de software como servicio mediante la conversación (uno a uno) o la interacción (uso de botones, comandos, etcétera).

Siendo creados y controlados por los desarrolladores (algunos externos) el alias distintivo termina en bot. La primera versión, Bot API 1, fue anunciado oficialmente en junio de 2015 e incorporado desde la versión 3.0 de Telegram para Android y clientes afines. En abril de 2016, con Bot API 2, la interfaz puede distribuir 19 tipos de comunicación multimedia. Para la interacción los bots pueden usar geolocalización y callback. Adicionalmente, los bots pueden personalizarse a gusto del usuario y vincular cuentas de otros servicios.

Los servidores son conectados por medio de la API. Para ello el @botfather es que administra los tókenes y permisos. El lenguaje de programación para conectar con la interfaz es a libre elección. En abril de 2016 Dúrov ofreció donaciones individuales de 25 000 dólares por cada bot desarrollado de forma útil y rápida.

A diferencia de las conversaciones privadas, chats y grupos, el responsable necesita usar los certificados para cifrar contenido ya que las peticiones se transmiten por webhook. El requisito obligatorio es que el servidor use el cifrado estándar HTTPS bajo TLS versión 1.2 o posterior.

### Características

**Uso de órdenes**

MTProto permite el uso de bot conversacionales o chatbots. Los desarrolladores pueden asignar una lista de comandos (/función subfunción). Para hacer más interactiva en las conversaciones, se añadió a los bots un teclado diseñado para respuestas u órdenes instantáneas. En la Bot API 2 se añadió un teclado adicional ubicado en la parte inferior de las conversaciones y que se interactúa al momento. Los teclados interactivos permiten mostrar resultados de reacciones (por ejemplo, el bot oficial @like), votaciones (@vote) u operaciones matemáticas en tiempo real.

**Administración en grupos**

Opcionalmente, los bots pueden controlar contenido y expulsar a integrantes de grupos. También, en la segunda versión, los bots son capaces de generar datos estadísticos de grupos públicos para una abierta interacción con los integrantes.

**Bots integrados**

En enero de 2016 se implementó los Inline Bots orientado a la entrega de información de sitios web sin salir de la aplicación. Para buscar o compartir información de un determinado bot es necesario mencionarlo por su alias en el cuadro de texto. Las primeras funciones fueron proveídas de Bing, Yandex, Youtube, IMDb, Wikipedia y Giphy. También se incluyó un bot que permite añadir cursiva y negrita en las conversaciones.

El desarrollo de los inline bots es distinto a los conversacionales. Los mensajes compartidos están atribuidos por el bot que el usuario utilizó. Además, no son configurables ni pueden ver información de los grupos.

**Tienda de bots**

La comunidad añadió una tienda dedicada llamada StoreBot (cuyo alias es @StoreBot) que es accesible como página web.

## Avance y reportes de su seguridad

A pesar de su eficiencia para el envío de mensajes, el desarrollo por cuenta propia provocó las molestias de especialistas hacia el cifrado de MTProto y las correcciones realizadas con el tiempo. Desde 2013 aficionados en criptografías de HackerNews y otros colectivos criticaron a la plataforma, en el cual, el fundador retó a descifrar los mensajes de las conversaciones para ganar un premio. Pese a que se recompensaron y corrigieron vulnerabilidades, en la web indicó que ningún especialista rompió las claves de seguridad propuestas en el Criptoanálisis. En diciembre de 2017 se realizaron varios cambios y mejoras de seguridad en la versión 2 de MTProto. En las preguntas frecuentes de Telegram describen que en las implementaciones de MTProto utilizan métodos a prueba de interferencias. Además, un mecanismo bastante complicado consumiría muchos recursos a la plataforma. Existen métodos para cambiar la API y reducir la transferencia de metadatos, por ejemplo, el caso del sitio web habr.com que usa bloqueo en un canal privado de comunicación. Entre mediados y finales finales de 2015 el Estado Islámico, cuando prefirió difundir material terrorista en los canales, destacó el funcionamiento de Telegram por mantener la confidencialidad en las conversaciones y fue compartido por la prensa internacional. Dúrov vaticinó esa acogida porque «hay una guerra […], el Estado Islámico siempre encontrará una manera de comunicarse entre ellos. Si algún medio de comunicación no les resulta seguro, lo cambian por otro».En España, la Guardia Civil considera que es difícil extraer información y se está haciendo campañas para desarticular organizaciones criminales que residen en la plataforma amparada bajo leyes de privacidad. Para Dmitri Peskov, representante especial del Presidente de la Federación Rusa, cree que «la solución de software de [Telegram] es la elección más obvia» en lugar de crear mensajeros domésticos para su país, aclarando que no existe la garantía perfecta para cualquier servicio de mensajería.

Existen otros inconvenientes ajenos a la infraestructura que comprometen indirectamente la seguridad de las cuentas de usuario. Por ejemplo, la técnica para secuestrar casillas de voz de operadores telefónicos para conseguir el código de acceso. Para reducir intentos de acceso no autorizado, se limitó el mecanismo para usuarios con verificación en dos pasos (véase apartado).

### Acusaciones de cifrado no estandarizado

Una de las publicaciones sobre su cifrado proviene de la publicación Análisis del modelo de criptografía utilizado en Telegram de CryptoFail. En ella el autor desmerita el evento Criptoanálisis durante los años 2013 y 2014 y critica con detalle el cifrado de Telegram, entonces desarrollado bajo MTProto v1, comparándolo de «anticuado» con la aplicación libre y promocionada por los colectivos TextSecure:

Otras opiniones expresan reacciones mixtas relacionadas con «seguridad». Kaspersky Lab comprobó que el cifrado en los chats secretos es distinto al veterano OTR. Open Whisper Systems y Edward Snowden criticaron la plataforma por uso de herramientas después del suceso del Criptoanálisis. Según ellos el mecanismo no está estandarizado (el desarrollo es por parte de matemáticos y no de los criptógrafos citados), especialmente, en los chats normales, y que los concursos no alientan el trabajo de los especialistas independientes. Irónicamente, Dúrov propuso colaborar con Snowden para verificar el funcionamiento antes que fuese presentado al público.

Tras la racha de acusaciones Dúrov respondió en marzo de 2015:

### Vulnerabilidades en los algoritmos de cifrado

En enero de 2015 el investigador Juliano Rizzo reveló que se empleaba en los "chats secretos" una firma digital con cifrado XOR de 128 bits usando el algoritmo SHA-1. La función del SHA-1 es codificar los mensajes con una capacidad máxima de 64 bits —la mitad del cifrado XOR que se reparte tanto para el emisor y el receptor—, lo que podría ser vulnerable al interferir y suplantar grandes paquetes de datos en las conversaciones. Debido a las exigencias, los desarrolladores anunciaron que el algoritmo será reemplazado por su sucesor SHA-2, incluyendo autenticaciones alternativas al SMS en caso de que la clave sea descubierta.

Un estudio de INTECO en 2014 explica la posibilidad de saltar el protocolo de autentificación en aplicaciones de terceros. Usando los principios de Kerckhoffs, regla principal en la criptografía, era posible descubrir una clave pública para realizar un ataque Man-in-the-middle, dejando al descubierto la privacidad y suplantando el usuario sin necesidad de confirmación. Mediante un cliente por línea de comandos de texto (o CLI por sus siglas en inglés) para Linux y una clave de acceso público, se pueden acceder a los contactos y mensajes de la víctima sin su consentimiento. La firma de seguridad ESET confirmó del problema junto a una prueba de concepto publicada en Github, aunque se no informó de la posibilidad de recuperar chats secretos en otros dispositivos.

En diciembre de 2015 la universidad de Aarhus descubrió que MTProto no logra el efecto de indistinguibilidad bajo un ataque de texto cifrado, o cifrado autenticado, que permite codificar el mensaje de otra forma sin cambiar el contenido. La universidad aclaró que fue en un marco teórico y «no encontró alguna manera de convertir en un ataque de recuperación total en texto plano».

En diciembre de 2020, la Universidad de Údine publicó el ensayo Automated Symbolic Verification of Telegram’s MTProto 2.0 para comprobar la efectividad del algoritmo en entornos alejados a los servidores. La publicación fue compartida en 2023 por GSMArena.

El 22 de julio de 2021 estudiantes de la Universidad de Londres y la ETH Zúrich descubrieron cuatro vulnerabilidades importantes sobre el funcionamiento. Los cuatro tipos fueron relacionados con: cambio de orden de los mensajes codificados, uso de datos para identificar cómo está cifrado, manipulación masiva de peticiones en un determinado tiempo y un nuevo MITM. El equipo anunció que se corrigió en una nueva actualización de 17 de julio.

### Posibles vulnerabilidades en el funcionamiento de los servidores

Una investigación de 2014 por INTECO reveló que era posible aplicar MITM para conseguir la huella digital antes de conceder el código de acceso. Primero establece el código nonce, generado al azar, después añade otros códigos de envío y respuesta del servidor y formar una clave SHA para la huella de sesión. Cabe señalar que el sistema corresponde a la primera versión.

En noviembre de 2015 el investigador de Sony Mobile Communications Ola Flisbäck demostró una técnica compartida por su homólogo Thaddeus Grugq para registrar las últimas conexiones de los usuarios usando el cliente CLI de Telegram aprovechando una propiedad de la API que permite saber si está en línea. Para evitarlo, existe una opción para "difuminar" la última conexión a desconocidos, o estableciendo una lista negra, en los ajustes de la aplicación.

En junio de 2016 el portal ruso TJournal reportó que se mostraba conversaciones fantasma tras iniciar sesión con una cuenta nueva en el mismo celular. Eso debido a la transferencia de información de la cuenta anterior que no fue cerrada del todo.

En noviembre de 2016 Kaspersky Lab reportó un malware que opera en los bots. Telecrypt está escrito en Delphi y aprovecha la API para instalar software dañino una vez que el cliente lo haya descargado.

Desde 2016, tras una vulnerabilidad con el protocolo de señalización telefónica o SS7, es posible iniciar sesión vía SMS o llamada cuando el receptor es interceptado por un tercero. En Rusia se reportó usurpación de cuentas de la oposición rusa a partir de tarjetas SIM clonadas. También sucedió en Irán en el mes de agosto. A pesar de la vulnerabilidad de los mensajes de confirmación y los intentos de restringirlo, Dúrov recomendó activar la autentificación de dos pasos usando una contraseña adicional.

En mayo de 2016 dos iraníes descubrieron un fallo que permite superar el límite de 4096 bytes por cada mensaje de texto, lo que provocaría una denegación del servicio. Dicho error también provocaría fallas en los clientes móviles con un consumo de datos y RAM. Días después, tras una conversación con los desarrolladores, se demostró que el aumento de texto alcanza hasta los 16 KB y no afecta el rendimiento en el envío de mensajes.

En agosto de 2018 el FSB habría encontrado un método para confundir el servidor y mostrar el número telefónico de los "infractores". El software se llamó CryptoScan.

En enero de 2019 un especialista en seguridad descubrió el malware Goodsender a través de bot suplantados. Al conseguir el token, cuyas claves privadas fueron obtenidas accidentalmente de sus desarrolladores, un ciberdelicuente enviaría una aplicación para Windows. Al instalar él podría monitoriar a las computadores con el malware ya instalado.

En marzo de 2019 los desarrolladores pidieron disculpas tras los problemas de registro de algunos usuarios. Se reporta que 70.000 usuarios fueron nombrados temporalmente como "Cuenta eliminada" durante la limpieza de datos en sus servidores.

En julio de 2019 usuarios consiguieron registrar tomar el alias @ya, que es del bot perteneciente a Yandex, para crear su canal. Eso se debió a que a la inactividad del creador y no un fallo para usar alias con menos de 5 caracteres. Más adelante la empresa consiguió recuperar y volver en funcionamiento.

En agosto de 2019 investigadores de Hong Kong verificaron un fallo en que las cuentas importaban millares de contactos en breve tiempo con el propósito de descubrir la identidad de los usuarios. Esto afecta a los usuarios que permitieron o no mostrar su número telefónico. Como respuesta, los usuarios sospechosos no podrán añadir 5 números registrados a la lista de contactos por día. Otra solución está en decidir si los usuarios desean ser incorporados o no en la lista de contactos de desconocidos, reduciendo las posibilidades de revelar detalles privados de integrantes de grupos disidentes.

### Fallos en los clientes de Telegram

Telegram ofreció recompensas a aquellos que encuentren ciertas fallas del mecanismo no relacionadas al cifrado o la API.

En agosto de 2016 Kirill Firsov reveló que el cliente para MacOS permitió que los mensajes copiados al portapapeles fuesen registrados en un archivo del sistema ubicado en /var/log/system.log. Dúrov identificó el problema y anunció un parche de seguridad para evitar este incidente.

En febrero de 2018 Kapersky descubrió en el cliente de escritorio una vulnerabilidad de día cero relacionado con la escritura de derecha a izquierda. Este permitió el minado de criptomonedas mediante un troyano.

En septiembre de 2018, se reportó que el cliente de la versión de escritorio filtró la dirección IP a otros usuarios. Esto ocurre al activar la característica P2P en las llamadas de audio. El usuario que reportó es Dhiraj Mishra y obtuvo 2000 euros de recompensa. Para solucionarlo, en la versión 1.4 (escritorio) incluyó la opción para desactivar P2P desde los ajustes. En septiembre de 2019 Mishra volvió a reportar un fallo para móviles (5.10) relacionado al eliminado de los datos de los clientes después de ser eliminados en los servidores, los desarrolladores le recompensanron con 2500 euros.

El 15 de abril de 2019, un investigador apodado "Bo0om" encontró dos fallas de seguridad en el cliente de escritorio: la inyección de SQL para extraer información e incoherencias en código PHP.

En septiembre de 2020 usuarios rusos crearon cuentas falsas bajo el nombre "Mensajes guardados" para aprovecharse de la característica al reenviar los mensajes. Si bien no es un fallo, podría generar confusión y ayudaría que atacantes intercepten o editen los mensajes reenviados. Tras el incidente, Telegram alertó de que las cuentas falsas que llevan el nombre y su símbolo serán expulsadas de por vida.

En 2020 otro investigador reportó que los equipos móviles Android con geolocalización falsa pueden encontrar a usuarios que usan la función Personas cercanas y averiguar los detalles geográficos por trilateración. Debido a que la función es pública y opcional, el equipo técnico reconoce el resultado esperado. No consideran como problema de seguridad de Telegram, en su lugar señalan a los servicios de geolocalización por mostrar mucha información desde los teléfonos inteligentes.

En enero de 2021 el investigador de seguridad Dhiraj Mishra encontró que el cliente para MacOS no borraba localmente los mensajes de los chats secretos, además de que el código de bloqueo estuvo sin codificar. Ambas vulnerabilidades fueron solucionadas. Además, se publicó un reporte en que los stickers en los chats secretos para extraer información del usuarios durante octubre de 2020.

## Librerías

### libtgvoip

libtgvoip es una librería para realizar llamadas de audio entre dispositivos de Telegram. Fue oficialmente implementada en 2017. El código fuente se encuentra en Github.

### Telegram Database

En 2015 se desarrolló la librería Telegram Database Library, abreviada TDlib, para el desarrollo de aplicaciones de forma oficial. Fue publicado para el concurso Telegram Challenge para clientes Android.

El 31 de enero de 2018 la librería TDlib se anunció al público con el lanzamiento de Telegram X para Android. En ese mismo día se anunció la documentación para desarrollar aplicaciones en poco tiempo y sin conocer demasiado a la API de MTProto. Su código está escrito mayormente en C++ y licenciado bajo Boost Software License.

## Aplicaciones de terceros

La plataforma permite el uso aplicaciones no oficiales usando una API distinta. A diferencia de los bots, Telegram recibió clientes elaborados por la comunidad y que fueron adoptados por el propio personal como el caso de la aplicación web Webogram (ahora Telegram Web) y programas para PC con Windows, Mac OS X y sistemas operativos bajo Linux. Aquí se mencionan algunos clientes aficionados que incorporaron características o añadidos comerciales para aprovechar el potencial de la mensajería.

### Plus Messenger

Plus Messenger (llamado anteriormente Telegram+) es un cliente para Android, bifuricado de Telegram. Fue creado por el desarrollador de la aplicación Whastapp+, tras la cancelación de este, en febrero de 2015. Durante su desarrollo se añadieron algunos añadidos únicos: Posibilidad de modificar los temas y conservarlos, ocultar información en la captura, compartir archivos de música, mantener el nombre de archivo original, entre otros. El código fuente está en el repositorio de Github.

### Unigram

Unigram es un cliente para la plataforma universal de Windows (que agrupa Windows 10, Windows 10 Mobile y Xbox). Se anunció en mayo de 2016 en un subforo de Reddit. A diferencia del cliente oficial para Windows Phone 8, Unigram está desarrollado por la comunidad que busca aprovechar la integración entre dispositivos. Unigram es gratuito y su código fuente está publicado en Github.

En septiembre de 2016 se publicó la primera versión alfa para móviles disponible como descarga directa. En 2017 se estrenó en la tienda oficial añadiendo mejoras preliminares. En mayo de 2020 se anunció el lanzamiento de la versión 4 con limpieza de caché, carpetas personalizadas y editor de multimedia.

### Autorresponder for TG

Autorresponder para Telegram es un complemento freemium para las conversaciones de la aplicación. A pesar de no ser un cliente independiente, el complemento lee las notificaciones para comprobar el origen de emisor y si coincide alguna frase para enviar mensajes de respuesta automáticamente.

## Cronología

Cronología de la arquitectura de Telegram, mencionando el uso de las API y la capa de seguridad:

* 28 de julio de 2013: Inicio de operaciones en data centers.
* 29 de julio de 2013: Desarrollo de compresión gzip para aplicaciones clientes.
* 31 de julio de 2013: Desarrollo de acciones para subida y descarga de archivos.
* 1 de agosto de 2013: Sistemas de actualizaciones en conjunto.
* 3 de agosto de 2013: Nuevo soporte para uso multilingüe.
* 6 de septiembre: Implementación de charlas con geolocalización. Implementación de capas de seguridad de 2 al 4. Posteriormente, se añade la API de autentificación.
* Octubre de 2013: Documentación de chats secretos, cifrado extremo a extremo. Capas 8 y 9.
* Noviembre de 2013: Capa 10. Añadido soporte adicional para documentos.
* Diciembre de 2013: Capa 11. Se retira un parámetro del chat secreto.
* Marzo de 2014: Capa 12. Añadido la opción Hacer una pregunta.
* Abril 2014: Capa 13 y 14. Bloqueo de usuarios.
* Agosto de 2014: Documentación de Perfect Forward Secrecy. Capas 15 y 16. Reenvío de mensajes de texto para autentificación.
* Septiembre de 2014: Capa 17. Nuevos eventos en archivos multimedia.
* Octubre de 2014: Capa 18, chats secretos 2.0. Uso de nombres de usuario (opcional).
