Zoom mengakui telah mengalihkan beberapa panggilan melalui China secara tidak sengaja

Pandemi virus corona telah melihat peningkatan penggunaan Zoom tetapi perangkat lunaknya lebih dari a pribadi mimpi buruk untuk perusahaan dan individu di seluruh dunia. Sebelumnya hari ini, kami melaporkan bagaimana rekaman Zoom sampai ke internet dan segera setelah itu, peneliti keamanan di Citizen Lab menerbitkan sebuah laporan yang mengklaim bahwa perusahaan telah mengalihkan beberapa panggilan melalui China.

Dalam laporan itu, Citizen Lab mengatakan bahwa perusahaan merutekan beberapa panggilan dan kunci enkripsi masing-masing melalui China. Kita melaporkan sebelumnya bagaimana perusahaan memiliki kunci enkripsi, itulah sebabnya layanan ini tidak sepenuhnya dienkripsi ujung-ke-ujung seperti yang diklaim oleh perusahaan. Di sebuah posting blog, perusahaan mengatakan bahwa mereka telah "menerapkan kontrol internal yang kuat dan tervalidasi untuk mencegah akses tidak sah ke konten apa pun yang dibagikan pengguna selama rapat." Namun, hal yang sama tidak dapat dikatakan untuk otoritas China yang secara teori dapat mengakses panggilan yang dialihkan melalui China.

Temuan Kunci oleh Citizen Lab

• zoom dokumentasi mengklaim bahwa aplikasi menggunakan enkripsi "AES-256" untuk rapat jika memungkinkan. Namun, kami menemukan bahwa dalam setiap rapat Zoom, satu kunci AES-128 digunakan dalam mode ECB oleh semua peserta untuk mengenkripsi dan mendekripsi audio dan video. Penggunaan mode ECB tidak disarankan karena pola yang ada dalam teks biasa dipertahankan selama enkripsi.
• Kunci AES-128, yang kami verifikasi cukup untuk mendekripsi paket Zoom yang dicegat dalam lalu lintas Internet, tampaknya dihasilkan oleh server Zoom, dan dalam beberapa kasus, dikirimkan ke peserta dalam rapat Zoom melalui server di China, bahkan ketika semua rapat peserta, dan perusahaan pelanggan Zoom, berada di luar China.
• Zoom, sebuah perusahaan yang berbasis di Silicon Valley, tampaknya memiliki tiga perusahaan di China di mana setidaknya 700 karyawan dibayar untuk mengembangkan perangkat lunak Zoom. Pengaturan ini seolah-olah merupakan upaya untuk arbitrase tenaga kerja: Zoom dapat menghindari membayar upah AS saat menjual ke pelanggan AS, sehingga meningkatkan margin keuntungan mereka. Namun, pengaturan ini dapat membuat Zoom responsif terhadap tekanan dari otoritas China.

Zoom sekarang telah mengkonfirmasi bahwa perusahaan mengalihkan panggilan secara tidak sengaja. CEO perusahaan Eric Yuan memberikan pernyataan berikut:

Selama operasi normal, klien Zoom berusaha untuk terhubung ke serangkaian pusat data utama di atau dekat wilayah pengguna, dan jika beberapa upaya koneksi gagal karena kemacetan jaringan atau masalah lain, klien akan menjangkau dua pusat data sekunder dari daftar beberapa pusat data sekunder sebagai jembatan cadangan potensial ke platform Zoom. Dalam semua kasus, klien Zoom diberikan daftar pusat data yang sesuai dengan wilayah mereka. Sistem ini sangat penting untuk keandalan merek dagang Zoom, khususnya selama masa tekanan internet yang hebat.

Singkatnya, panggilan yang berasal dari Amerika Utara seharusnya dialihkan melalui server Amerika seperti panggilan yang dilakukan di Eropa. Namun, perusahaan dapat merutekan panggilan melalui server terdekat dengan kapasitas paling tersedia jika mengalami lonjakan lalu lintas. Ini tidak berlaku untuk China karena negara-negara barat memiliki kekhawatiran tentang China dan karenanya perusahaan tidak merutekan lalu lintas melalui China bahkan ketika server lain kewalahan. Perusahaan, dalam hal ini, melanggar itu dan mengalihkan panggilan Amerika melalui China ketika ada lonjakan lalu lintas.

Bill Marczak dari Citizen Lab memberi tahu TechCrunch bahwa dia "sangat optimis" tentang tanggapan Zoom.

Masalah yang lebih besar di sini adalah bahwa Zoom tampaknya telah menulis skema mereka sendiri untuk mengenkripsi dan mengamankan panggilan,” katanya, dan bahwa “ada server Zoom di Beijing yang memiliki akses ke kunci enkripsi rapat.

Jika Anda adalah entitas yang memiliki sumber daya yang baik, mendapatkan salinan lalu lintas internet yang berisi beberapa panggilan Zoom terenkripsi bernilai tinggi mungkin tidak terlalu sulit.

Pergeseran besar ke platform seperti Zoom selama pandemi COVID-19 membuat platform seperti Zoom menjadi target menarik bagi berbagai jenis badan intelijen, bukan hanya China. Untungnya, perusahaan (sejauh ini) telah mencapai semua catatan yang tepat dalam menanggapi gelombang pengawasan baru dari peneliti keamanan ini, dan telah berkomitmen untuk membuat peningkatan pada aplikasi mereka.

– Bill Marczak

Sementara perusahaan baru-baru ini mengumumkan bahwa perusahaan akan menghentikan pembaruan fitur untuk berkonsentrasi pada perbaikan masalah keamanan, itu masih menghadapi tekanan besar dari otoritas di seluruh dunia untuk memperbaiki kelemahan keamanan. Ini juga akan melakukan tinjauan komprehensif dengan pakar pihak ketiga dan pengguna perwakilan untuk memahami dan memastikan keamanan layanannya. Pelajari lebih lanjut tentang pengumuman ini di sini.