Zoom gibt zu, dass es einige Anrufe versehentlich durch China geleitet hat

Die Coronavirus-Pandemie hat zu einem Anstieg der Nutzung von Zoom geführt, aber die Software war eher ein Datenschutz Alptraum für Unternehmen und Einzelpersonen auf der ganzen Welt. Heute früh, wir berichtet wie Zoom-Aufnahmen ins Internet gelangten und gleich danach Sicherheitsforscher bei Citizen Lab veröffentlichte einen Bericht, in dem behauptet wurde, das Unternehmen habe einige Anrufe über China geleitet.

In dem Bericht Citizen Lab sagte, dass das Unternehmen einige der Anrufe und ihre jeweiligen Verschlüsselungsschlüssel durch China geleitet habe. Wir berichtet früher, wie das Unternehmen über die Verschlüsselungsschlüssel verfügt, weshalb der Dienst nicht genau Ende-zu-Ende-verschlüsselt ist, wie vom Unternehmen behauptet. In einem Blog-Post, sagte das Unternehmen, dass es „robuste und validierte interne Kontrollen implementiert hat, um unbefugten Zugriff auf Inhalte zu verhindern, die Benutzer während Meetings teilen“. Das Gleiche gilt jedoch nicht für chinesische Behörden, die theoretisch auf Anrufe zugreifen könnten, die über China geleitet werden.

Wichtige Ergebnisse von Citizen Lab

• Zoom  Dokumentation behauptet, dass die App nach Möglichkeit „AES-256“-Verschlüsselung für Besprechungen verwendet. Wir stellen jedoch fest, dass in jedem Zoom-Meeting ein einziger AES-128-Schlüssel im ECB-Modus von allen Teilnehmern verwendet wird, um Audio und Video zu verschlüsseln und zu entschlüsseln. Die Verwendung des ECB-Modus wird nicht empfohlen, da im Klartext vorhandene Muster bei der Verschlüsselung erhalten bleiben.
• Die AES-128-Schlüssel, von denen wir überprüft haben, dass sie ausreichen, um im Internetverkehr abgefangene Zoom-Pakete zu entschlüsseln, scheinen von Zoom-Servern generiert worden zu sein und werden in einigen Fällen den Teilnehmern eines Zoom-Meetings über Server in China zugestellt, selbst wenn alle Meetings stattfinden Teilnehmer und das Unternehmen des Zoom-Abonnenten befinden sich außerhalb Chinas.
• Zoom, ein im Silicon Valley ansässiges Unternehmen, scheint drei Unternehmen in China zu besitzen, über die mindestens 700 Mitarbeiter für die Entwicklung der Software von Zoom bezahlt werden. Diese Anordnung ist vordergründig ein Versuch Arbeitsarbitrage: Zoom kann die Zahlung von US-Löhnen beim Verkauf an US-Kunden vermeiden und so seine Gewinnmarge erhöhen. Diese Anordnung kann jedoch dazu führen, dass Zoom auf den Druck der chinesischen Behörden reagiert.

Zoom hat nun bestätigt, dass das Unternehmen Anrufe versehentlich weitergeleitet hat. Der CEO des Unternehmens, Eric Yuan, gab die folgende Erklärung ab:

Während des normalen Betriebs versuchen Zoom-Clients, eine Verbindung zu einer Reihe von primären Rechenzentren in oder in der Nähe der Region eines Benutzers herzustellen. Wenn diese mehreren Verbindungsversuche aufgrund einer Netzwerküberlastung oder anderer Probleme fehlschlagen, erreichen Clients zwei sekundäre Rechenzentren aus einer Liste von Mehrere sekundäre Rechenzentren als potenzielle Backup-Brücke zur Zoom-Plattform. In allen Fällen erhalten Zoom-Clients eine Liste von Rechenzentren, die ihrer Region entsprechen. Dieses System ist für die Zuverlässigkeit der Zoom-Marke von entscheidender Bedeutung, insbesondere in Zeiten massiven Internetstresses.

Zusammenfassend sollen die Anrufe aus Nordamerika genauso über amerikanische Server geroutet werden wie die Anrufe aus Europa. Das Unternehmen kann die Anrufe jedoch über den nächstgelegenen Server mit der größten verfügbaren Kapazität leiten, wenn es zu einer Verkehrsspitze kommt. Dies gilt nicht für China, da westliche Länder Bedenken hinsichtlich China haben und Unternehmen daher den Datenverkehr nicht durch China leiten, selbst wenn andere Server überlastet sind. Das Unternehmen hat in diesem Fall dagegen verstoßen und amerikanische Anrufe durch China geleitet, als es Verkehrsspitzen gab.

Bill Marczak von Citizen Lab erzählte TechCrunch dass er in Bezug auf Zooms Antwort „vorsichtig optimistisch“ war.

Das größere Problem hier ist, dass Zoom anscheinend ein eigenes Schema zum Verschlüsseln und Sichern von Anrufen geschrieben hat“, sagte er, und dass „es Zoom-Server in Peking gibt, die Zugriff auf die Verschlüsselungsschlüssel der Besprechungen haben.

Wenn Sie ein gut ausgestattetes Unternehmen sind, ist es vielleicht nicht so schwierig, eine Kopie des Internetverkehrs zu erhalten, die einige besonders hochwertige verschlüsselte Zoom-Anrufe enthält.

Die enorme Umstellung auf Plattformen wie Zoom während der COVID-19-Pandemie macht Plattformen wie Zoom zu attraktiven Zielen für viele verschiedene Arten von Geheimdiensten, nicht nur für China. Glücklicherweise hat das Unternehmen (bisher) alle richtigen Töne getroffen, um auf diese neue Welle der Überprüfung durch Sicherheitsforscher zu reagieren, und sich verpflichtet, Verbesserungen an seiner App vorzunehmen.

– Bill Marczak

Während das Unternehmen kürzlich bekannt gab, dass das Unternehmen Feature-Updates pausieren wird, um sich auf die Behebung der Sicherheitsprobleme zu konzentrieren, sieht es sich immer noch massivem Druck von Behörden auf der ganzen Welt ausgesetzt, die Sicherheitslücken zu beheben. Es wird auch eine umfassende Überprüfung mit externen Experten und repräsentativen Benutzern durchführen, um die Sicherheit seines Dienstes zu verstehen und zu gewährleisten. Erfahren Sie mehr über diese Ankündigung hier.