Poročilo navaja, da ima šifriranje Zooma "resne, dobro znane slabosti"

Dve ločeni poročili sta razkrili nadaljnja vprašanja v priljubljeni aplikaciji za videokonference Zoom.

Najprej poročilo iz The Verge ugotavlja, da je strokovnjak za varnost uporabil avtomatizirano orodje, s katerim lahko brska po sestankih, da bi našel tiste, ki niso zaščiteni z gesli. Očitno je lahko v enem dnevu našel 2.400 klicev in izvlekel povezavo do informacij o sestanku, datumu, času, organizatorju in temi sestanka. Iz poročila:

Strokovnjak za varnost Trent Lo in člani SecKC, skupine za varnostno srečanje s sedežem v Kansas Cityju, so izdelali program z imenom zWarDial, ki lahko samodejno ugibajo Zoom ID-jev sestankov, ki so dolge od devet do 11 številk, in zbirajo informacije o teh sestankih, v skladu z poročilo.

Lo lahko poleg tega, da najde približno 100 sestankov na uro, z enim primerom zWarDiala uspešno določi legitimen ID sestanka v 14 odstotkih, je povedal Lo za Krebs o varnosti. Kot del skoraj 2.400 prihajajočih ali ponavljajočih se srečanj Zoom zWarDial, najdenih v enem dnevu skeniranja, je program izvlekel povezavo za povečavo sestanka, datum in uro, organizatorja sestanka in temo sestanka, v skladu s podatki, ki jih je Lo delila s Krebsom dne Varnost.

instagram viewer

Zoom je v izjavi za The Verge dejal:

"Zoom močno spodbuja uporabnike, da uvedejo gesla za vsa svoja srečanja, s čimer zagotovijo, da se nepovabljeni uporabniki ne morejo pridružiti... Gesla za nove sestanke so privzeto omogočena od konca lanskega leta, razen če lastniki računov ali skrbniki niso izklopili možnosti. Preučujemo edinstvene robne primere, da ugotovimo, ali v določenih okoliščinah uporabniki niso povezani lastnik računa ali skrbnik v času spremembe ni imel privzeto vklopljenih gesel narejeno. "

Drugo ločeno poročilo od Prestrezanje objavljeno danes trdi, da ima Zoomov šifrirni algoritem "resne, dobro znane slabosti" in to ključe izdajajo strežniki, ki imajo včasih sedež na Kitajskem, tudi če imajo vsi udeleženci sedež v ZDA.

MEETINGS ON ZOOM, vse bolj priljubljena storitev za videokonference, je šifrirana z algoritmom z resnimi, dobro znanimi slabostmi in včasih uporabljajo ključe, ki jih izdajo strežniki na Kitajskem, tudi če so udeleženci srečanj vsi v Severni Ameriki, pravijo raziskovalci z Univerze v Toronto.

Raziskovalci so tudi ugotovili, da Zoom ščiti video in zvočne vsebine z uporabo doma pridelane sheme šifriranja, da obstaja ranljivost v Zoom-jevi "čakalnici" in zdi se, da ima Zoom na Kitajskem vsaj 700 zaposlenih hčerinske družbe. V poročilu za univerzitetni laboratorij Citizen Lab, ki ga pogosto spremljajo krogi informacijske varnosti, ugotavljajo, da storitev Zoom "ni primeren za skrivnosti "in da je morda zakonsko obvezna kitajskim organom razkriti šifrirne ključe in se„ odzivati ​​na pritisk " njim.

Zoom ni več komentiral tega vprašanja, kar je tudi bilo poročali avtor Forbes, ki ugotavlja:

"... v intervjuju, objavljenem v petek za Forbes, je izvršni direktor Eric Yuan dejal, da bo podjetje preverilo, kako usmerja pogovore na Kitajsko, vendar je poudaril, da so podatki zaščiteni. Ker Citizen Lab svojih ugotovitev ni poslal Zoomu, češ da je v javnem interesu, da se objavi informacij, podjetje za videokonference ne bi vedelo za ugotovitve. Toda Yuan je zagotovil, da če smo uporabniške podatke prenašali na Kitajsko, ko uporabniki sploh niso imeli sedeža, "smo to pripravljeni rešiti."

Varnostni pomisleki glede Zooma so zdaj na videz dobro opaženi v skupnosti. Spodbuden znak je, da je Zoom opazil, se opravičil in obljubil, da bo odpravil vse te težave v naslednjih 90 dneh, medtem pa nove funkcije zamrznil.