Enkripsi Zoom memiliki 'kelemahan serius dan terkenal', menurut laporan

Dua laporan terpisah telah mengungkapkan masalah lebih lanjut dalam Zoom aplikasi konferensi video populer.

Pertama, laporan dari The Verge perhatikan bahwa profesional keamanan telah menggunakan alat otomatis yang dapat menjelajahi rapat untuk menemukan rapat yang tidak dilindungi sandi. Rupanya, ia dapat menemukan 2.400 panggilan dalam satu hari, mengekstrak tautan ke rapat, tanggal, waktu, penyelenggara, dan informasi topik rapat. Dari laporan:

Profesional keamanan Trent Lo dan anggota SecKC, grup pertemuan keamanan yang berbasis di Kansas City, membuat program yang disebut zWarDial yang dapat secara otomatis menebak ID rapat Zoom, yang terdiri dari sembilan hingga 11 digit, dan mengumpulkan informasi tentang rapat tersebut, menurut melaporkan.

Selain dapat menemukan sekitar 100 pertemuan per jam, salah satu contoh zWarDial berhasil menentukan ID pertemuan yang sah 14 persen dari waktu, kata Lo kepada Krebs tentang Keamanan. Dan sebagai bagian dari hampir 2.400 rapat Zoom yang akan datang atau berulang, zWarDial ditemukan dalam satu hari pemindaian, program mengekstrak tautan Zoom, tanggal dan waktu, penyelenggara rapat, dan topik rapat, menurut data yang dibagikan Lo dengan Krebs pada Keamanan.

instagram viewer

Dalam sebuah pernyataan kepada The Verge mengenai masalah ini Zoom mengatakan:

"Zoom sangat mendorong pengguna untuk menerapkan kata sandi untuk semua rapat mereka untuk memastikan pengguna yang tidak diundang tidak dapat bergabung... Kata sandi untuk rapat baru telah diaktifkan secara default sejak akhir tahun lalu, kecuali pemilik akun atau admin menyisih. Kami melihat kasus edge unik untuk menentukan apakah, dalam keadaan tertentu, pengguna tidak berafiliasi dengan pemilik atau administrator akun mungkin tidak mengaktifkan sandi secara default pada saat perubahan itu terjadi terbuat."

Laporan terpisah kedua dari The Intercept diterbitkan hari ini mengklaim bahwa algoritma enkripsi Zoom memiliki "kelemahan serius dan terkenal" dan itu kunci yang dikeluarkan oleh server terkadang berbasis di China, meskipun semua peserta berbasis di KAMI.

RAPAT DI ZOOM, layanan konferensi video yang semakin populer, dienkripsi menggunakan algoritme dengan kelemahan yang serius dan terkenal, dan terkadang menggunakan kunci yang dikeluarkan oleh server di China, bahkan ketika semua peserta rapat berada di Amerika Utara, menurut peneliti di Universitas Toronto.

Para peneliti juga menemukan bahwa Zoom melindungi konten video dan audio menggunakan skema enkripsi yang dikembangkan sendiri, yang ada kerentanan di fitur "ruang tunggu" Zoom, dan Zoom tampaknya memiliki setidaknya 700 karyawan di China yang tersebar di tiga anak perusahaan. Mereka menyimpulkan, dalam sebuah laporan untuk Citizen Lab universitas - diikuti secara luas di lingkaran keamanan informasi - bahwa layanan Zoom "tidak cocok untuk rahasia "dan mungkin secara hukum diwajibkan untuk mengungkapkan kunci enkripsi kepada otoritas China dan" responsif terhadap tekanan "dari mereka.

Zoom belum berkomentar lebih lanjut tentang masalah ini, yang juga dilaporkan oleh Forbes yang mencatat:

"... dalam sebuah wawancara yang diterbitkan di Forbes pada hari Jumat, Kepala Eksekutif Eric Yuan mengatakan perusahaan akan memeriksa bagaimana mengarahkan percakapan ke China, tetapi menekankan bahwa data itu dilindungi. Karena Citizen Lab belum mengirimkan temuannya ke Zoom, mengatakan itu adalah kepentingan publik untuk merilis informasi sesegera mungkin, perusahaan konferensi video tidak akan mengetahui temuan. Namun Yuan meyakinkan bahwa jika data pengguna sedang ditransfer ke China ketika pengguna bahkan tidak berbasis di sana, "kami bersedia untuk mengatasinya."

Masalah keamanan terkait Zoom sekarang tampaknya diperhatikan dengan baik di komunitas. Tanda yang menggembirakan adalah Zoom telah memperhatikan, meminta maaf dan berjanji untuk memperbaiki semua masalah ini selama 90 hari ke depan, sementara itu membekukan fitur baru.