Zoom geeft toe dat het per ongeluk een aantal oproepen door China heeft geleid

Door de pandemie van het coronavirus is het gebruik van Zoom toegenomen, maar de software is meer een privacy nachtmerrie For bedrijven en individuen over de hele wereld. Eerder vandaag hebben we gerapporteerd hoe Zoom-opnames het internet bereikten en onmiddellijk daarna, beveiligingsonderzoekers van Citizen Lab publiceerde een rapport waarin werd beweerd dat het bedrijf enkele oproepen via China had gerouteerd.

In het rapport Citizen Lab zei dat het bedrijf een deel van de oproepen en hun respectievelijke coderingssleutels door China heeft geleid. We gerapporteerd eerder hoe het bedrijf de coderingssleutels heeft, en daarom is de service niet bepaald end-to-end gecodeerd zoals het bedrijf beweert. In een blogpost, zei het bedrijf dat het "robuuste en gevalideerde interne controles heeft geïmplementeerd om ongeautoriseerde toegang tot inhoud die gebruikers tijdens vergaderingen delen te voorkomen." Hetzelfde kan echter niet worden gezegd van Chinese autoriteiten die in theorie toegang zouden kunnen krijgen tot oproepen die via China worden gerouteerd.

Belangrijkste bevindingen van Citizen Lab

• Zoom documentatie beweert dat de app waar mogelijk "AES-256" -codering gebruikt voor vergaderingen. We zien echter dat in elke Zoom-vergadering een enkele AES-128-sleutel in ECB-modus wordt gebruikt door alle deelnemers om audio en video te coderen en te decoderen. Het gebruik van de ECB-modus wordt niet aanbevolen omdat de patronen in de leesbare tekst behouden blijven tijdens de codering.
• De AES-128-sleutels, waarvan we hebben geverifieerd dat ze voldoende zijn om Zoom-pakketten te decoderen die zijn onderschept in internetverkeer, lijken te worden gegenereerd door Zoom-servers en worden in sommige gevallen aan deelnemers aan een Zoom-vergadering geleverd via servers in China, zelfs wanneer alle vergaderingen deelnemers en het bedrijf van de Zoom-abonnee bevinden zich buiten China.
• Zoom, een in Silicon Valley gevestigd bedrijf, lijkt eigenaar te zijn van drie bedrijven in China waarmee ten minste 700 werknemers worden betaald om de software van Zoom te ontwikkelen. Deze regeling is ogenschijnlijk een poging om arbeidsarbitrage: Zoom kan voorkomen dat hij Amerikaanse lonen betaalt terwijl hij verkoopt aan Amerikaanse klanten, waardoor hun winstmarge toeneemt. Door deze regeling kan Zoom echter reageren op druk van de Chinese autoriteiten.

Zoom heeft nu bevestigd dat het bedrijf oproepen per ongeluk heeft doorgeschakeld. De CEO van het bedrijf, Eric Yuan, gaf de volgende verklaring:

Tijdens normale bewerkingen proberen Zoom-clients verbinding te maken met een reeks primaire datacenters in of nabij de regio van een gebruiker, en als die meerdere verbindingspogingen mislukken vanwege netwerkcongestie of andere problemen, zullen clients contact opnemen met twee secundaire datacenters uit een lijst met verschillende secundaire datacenters als potentiële back-upbrug naar het Zoom-platform. In alle gevallen krijgen Zoom-clients een lijst met datacenters die passen bij hun regio. Dit systeem is van cruciaal belang voor de betrouwbaarheid van Zooms handelsmerk, vooral in tijden van enorme internetstress.

Samengevat, de oproepen die uit Noord-Amerika komen, zouden net als de oproepen in Europa via Amerikaanse servers moeten worden gerouteerd. Het bedrijf kan de oproepen echter doorsturen naar de dichtstbijzijnde server met de meeste beschikbare capaciteit als het een verkeerspiek ervaart. Dit is niet van toepassing op China, aangezien westerse landen zich zorgen maken over China en daarom leiden bedrijven geen verkeer door China, zelfs niet wanneer andere servers overweldigd zijn. Het bedrijf overtrad dat in dit geval en leidde Amerikaanse oproepen door China toen er verkeerspieken waren.

Bill Marczak van Citizen Lab vertelde: TechCrunch dat hij "voorzichtig optimistisch" was over de reactie van Zoom.

Het grotere probleem hier is dat Zoom blijkbaar zijn eigen schema heeft geschreven voor het versleutelen en beveiligen van oproepen, "zei hij, en dat er Zoom-servers in Peking zijn die toegang hebben tot de coderingssleutels voor vergaderingen.

Als je een goed uitgeruste entiteit bent, is het misschien niet zo moeilijk om een ​​kopie te krijgen van het internetverkeer met een bijzonder hoogwaardige versleutelde Zoom-oproep.

De enorme verschuiving naar platforms zoals Zoom tijdens de COVID-19-pandemie maakt platforms zoals Zoom aantrekkelijke doelen voor veel verschillende soorten inlichtingendiensten, niet alleen voor China. Gelukkig heeft het bedrijf (tot nu toe) alle juiste opmerkingen gemaakt door te reageren op deze nieuwe golf van kritische blikken van beveiligingsonderzoekers en hebben ze zich ertoe verbonden verbeteringen aan te brengen in hun app.

– Bill Marczak

Hoewel het bedrijf onlangs heeft aangekondigd dat het functie-updates zal pauzeren om zich te concentreren op het oplossen van de beveiligingsproblemen, staat het nog steeds onder enorme druk van autoriteiten over de hele wereld om de beveiligingsfouten te verhelpen. Het zal ook een uitgebreide evaluatie uitvoeren met externe experts en representatieve gebruikers om de veiligheid van zijn service te begrijpen en te waarborgen. Meer informatie over deze aankondiging hier.