Zoom kryptering har "allvarliga, välkända svagheter", enligt rapporten

Två separata rapporter har avslöjat ytterligare problem inom den populära videokonferensappen Zoom.

Först upp, en rapport från Gränsen konstaterar att en säkerhetspersonal har använt ett automatiserat verktyg som kan söka efter möten för att hitta sådana som inte är skyddade av lösenord. Tydligen kunde den hitta 2400 samtal på en enda dag och extraherade en länk till information om möte, datum, tid, arrangör och mötesämne. Från rapporten:

Säkerhetsprofessionell Trent Lo och medlemmar i SecKC, en Kansas City-baserad säkerhetsmötesgrupp, gjorde ett program som heter zWarDial som kan gissa automatiskt Zoom-mötes-ID, som är nio till 11 siffror långa, och få information om dessa möten, enligt Rapportera.

Förutom att kunna hitta cirka 100 möten per timme kan en instans av zWarDial framgångsrikt bestämma ett legitimt mötes-ID 14 procent av tiden, sa Lo till Krebs on Security. Och som en del av de nästan 2400 kommande eller återkommande Zoom-mötena zWarDial som hittades på en enskild dag, skannade programmet extraherade ett mötes zoomlänk, datum och tid, mötesarrangör och mötesämne, enligt data Lo delade med Krebs på Säkerhet.

instagram viewer

I ett uttalande till The Verge angående denna fråga Zoom sa:

"Zoom uppmanar användare att implementera lösenord för alla sina möten för att säkerställa att oinbjudna användare inte kan gå med... Lösenord för nya möten har aktiverats som standard sedan slutet av förra året, såvida inte kontoägare eller administratörer har valt bort. Vi undersöker unika kantfall för att avgöra om användare under vissa omständigheter inte är kopplade till en kontoägare eller administratör kanske inte har aktiverat lösenord som standard när ändringen skedde gjord."

En andra separat rapport från Avlyssningen publicerad idag hävdar att Zooms krypteringsalgoritm har "allvarliga, välkända svagheter" och det nycklar utfärdas av servrar som ibland är baserade i Kina, även om alla deltagare är baserade i USA.

MÖTEN PÅ ZOOM, den allt populärare videokonferenstjänsten, krypteras med en algoritm med allvarliga, välkända svagheter och ibland använder de nycklar som utfärdats av servrar i Kina, även när mötesdeltagare alla är i Nordamerika, enligt forskare vid University of Toronto.

Forskarna fann också att Zoom skyddar video- och ljudinnehåll med hjälp av ett hemodlat krypteringsschema, att det finns en sårbarhet i Zooms "väntrum" -funktion, och att Zoom verkar ha minst 700 anställda i Kina fördelade på tre dotterbolag. De drar i en rapport för universitetets Citizen Lab - allmänt följt i informationssäkerhetskretsar - att Zooms tjänst inte är " lämpade för hemligheter "och att det kan vara juridiskt skyldigt att avslöja krypteringsnycklar till kinesiska myndigheter och" lyhörd för tryck "från dem.

Zoom har inte kommenterat denna fråga, vilket också var rapporterad av Forbes som noterar:

"... i en intervju som publicerades på Forbes på fredag ​​sa VD Eric Yuan att företaget skulle kontrollera hur det dirigerade konversationer till Kina, men betonade att uppgifterna var skyddade. Eftersom Citizen Lab inte hade skickat sina resultat till Zoom och sa att det var i allmänhetens intresse att släppa information så snart som möjligt, skulle videokonferensföretaget inte ha varit medveten om resultat. Men Yuan försäkrade att om användardata överfördes till Kina när användare inte ens var baserade där, "är vi villiga att ta itu med det."

Säkerhetsproblem med Zoom är nu till synes väl noterade i samhället. Det uppmuntrande tecknet är att Zoom har lagt märke till, bad om ursäkt och lovade att åtgärda alla dessa problem under de närmaste 90 dagarna och frysa nya funktioner under tiden.