בהצפנה של זום יש "חולשות רציניות וידועות", על פי הדיווח

שני דיווחים נפרדים חשפו בעיות נוספות באפליקציית ועידת הווידאו הפופולרית זום.

ראשית, דוח מאת The Verge מציין כי איש מקצוע בתחום האבטחה השתמש בכלי אוטומטי שיכול לסרוק פגישות כדי למצוא כאלה שאינם מוגנים באמצעות סיסמאות. ככל הנראה, היא הצליחה למצוא 2,400 שיחות ביום אחד, תוך חילוץ קישור לפגישה, תאריך, שעה, מארגן ומידע על נושא הפגישה. מהדיווח:

איש מקצוע בתחום האבטחה Trent Lo וחברי SecKC, קבוצת מפגשי אבטחה מבוססי קנזס סיטי, הכינו תוכנית בשם zWarDial שיכולה מנחש אוטומטית מזהי פגישות של זום, שאורכם בין תשע ל -11 ספרות, וללקט מידע על אותם פגישות, על פי להגיש תלונה.

בנוסף לאפשרות למצוא כ -100 פגישות בשעה, מופע אחד של zWarDial יכול לקבוע בהצלחה מזהה פגישה לגיטימי 14 אחוז מהמקרים, אמר Lo ל- Krebs on Security. וכחלק מכמעט 2,400 פגישות הזום הקרובות או החוזרות zWarDial שנמצאו ביום אחד של סריקה, התוכנית חילץ את קישור הזום של הפגישה, תאריך ושעה, מארגן פגישה ונושא הפגישה, על פי נתונים ש- Lo שיתף עם קרבס ב- בִּטָחוֹן.

בהצהרה ל- The Verge בעניין זה זום אמר:

"זום מעודד מאוד את המשתמשים ליישם סיסמאות לכל הפגישות שלהם כדי להבטיח שמשתמשים לא קרואים לא יוכלו להצטרף... סיסמאות לפגישות חדשות הופעלו כברירת מחדל מאז סוף השנה שעברה, אלא אם כן בעלי חשבונות או מנהלי מערכת בחרו בכך. אנו בודקים מקרי קצה ייחודיים כדי לקבוע אם, בנסיבות מסוימות, משתמשים שאינם קשורים אליהם ייתכן שבעל חשבון או מנהל חשבון לא הופעלו סיסמאות כברירת מחדל בזמן השינוי עָשׂוּי."

דוח נפרד שני מ היירוט שפורסם היום טוען כי לאלגוריתם ההצפנה של זום יש "חולשות רציניות וידועות" וזה המפתחות מונפקים על ידי שרתים שמבוססים לפעמים בסין, גם אם כל המשתתפים מבוססים על לָנוּ.

מפגשים ב- ZOOM, שירות ועידת הווידאו הפופולרי יותר ויותר, מוצפנים באמצעות אלגוריתם עם חולשות רציניות וידועות, ו לפעמים משתמשים במפתחות שהונפקו על ידי שרתים בסין, אפילו כאשר המשתתפים בפגישה נמצאים כולם בצפון אמריקה, על פי חוקרים מאוניברסיטת טורונטו.

החוקרים מצאו גם כי זום מגן על תוכן וידאו ושמע באמצעות ערכת הצפנה ביתית, שיש פגיעות במאפיין "חדר ההמתנה" של זום, וכי נראה כי זום מונה לפחות 700 עובדים בסין הפרוסים על פני שלושה חברות בנות. הם מסיקים, בדו"ח למעבדת האזרחים באוניברסיטה - שנעשתה בהרחבה במעגלי אבטחת מידע - כי השירות של זום אינו " מתאים לסודות "וכי עלולה להיות מחויבת מבחינה חוקית לחשוף מפתחות הצפנה לרשויות בסין ו"להגיב ללחץ" מצד אוֹתָם.

זום לא הגיבה עוד בנושא זה, שהיה גם כן דיווח מאת פורבס שמציינים:

"... בראיון שפורסם בפורבס ביום שישי אמר מנכ"ל אריק יואן כי החברה עומדת לבדוק כיצד היא מנתבת שיחות לסין, אך הדגישה כי הנתונים מוגנים. מכיוון שמעבדת סיטיזן לא שלחה את ממצאיה לזום ואמרה כי האינטרס הציבורי הוא לשחרר את מידע בהקדם האפשרי, חברת ועידות הווידיאו לא הייתה מודעת ל ממצאים. אבל יואן הבטיח שאם מועברים נתוני משתמשים לסין כאשר המשתמשים אפילו לא מתבססים שם, "אנחנו מוכנים לטפל בזה."

כעת נראה כי בקהילה חששות ביטחוניים בנוגע לזום. הסימן המעודד הוא שזום שם לב, התנצל ונשבע לתקן את כל הבעיות הללו במהלך 90 הימים הבאים, ולהקפיא בינתיים תכונות חדשות.