Zoom priznava, da je nekaj klicev po pomoti preusmeril prek Kitajske

Zaradi pandemije koronavirusa se je povečala uporaba Zooma, vendar je programska oprema bolj priljubljena zasebnost nočna mora za podjetja in posamezniki po vsem svetu. Prej danes smo poročali kako so posnetki Zoom prišli na internet in takoj za tem varnostni raziskovalci na Citizen Lab objavil poročilo, v katerem trdi, da je podjetje preusmerilo nekaj klicev prek Kitajske.

V poročilu je dr. Citizen Lab je dejal, da je podjetje nekatere klice in njihove ustrezne šifrirne ključe preusmerilo prek Kitajske. mi poročali prej, kako ima podjetje šifrirne ključe, zaradi česar storitev ni natančno šifrirana od konca do konca, kot trdi podjetje. V blog post, je podjetje dejalo, da je "izvedlo robustne in potrjene notranje kontrole za preprečevanje nepooblaščenega dostopa do katere koli vsebine, ki jo uporabniki delijo med sestanki." Enako pa ne moremo reči za kitajske oblasti, ki bi teoretično lahko dostopale do klicev, usmerjenih prek Kitajske.

Ključne ugotovitve Citizen Lab

• Zoom Dokumentacija trdi, da aplikacija uporablja šifriranje »AES-256« za sestanke, kjer je to mogoče. Vendar pa ugotavljamo, da na vsakem srečanju Zoom vsi udeleženci uporabljajo en ključ AES-128 v načinu ECB za šifriranje in dešifriranje zvoka in videa. Uporaba načina ECB ni priporočljiva, ker so vzorci, ki so prisotni v odprtem besedilu, ohranjeni med šifriranjem.
• Zdi se, da ključe AES-128, za katere smo preverili, da zadostujejo za dešifriranje paketov Zoom, prestreženih v internetnem prometu, generirajo strežniki Zoom, v nekaterih primerih pa so dostavljeni udeležencem srečanja Zoom prek strežnikov na Kitajskem, tudi če so vsi sestanki udeleženci in podjetje naročnika Zooma so zunaj Kitajske.
• Zdi se, da ima Zoom, podjetje iz Silicijeve doline, tri podjetja na Kitajskem, prek katerih je vsaj 700 zaposlenih plačanih za razvoj programske opreme Zoom. Ta ureditev je očitno naporna delovna arbitraža: Zoom se lahko izogne ​​plačilu ameriških plač med prodajo ameriškim strankam in tako poveča njihovo stopnjo dobička. Vendar se lahko zaradi te ureditve Zoom odzove na pritisk kitajskih oblasti.

Zoom je zdaj potrdil, da je podjetje klice preusmerilo po pomoti. Izvršni direktor podjetja Eric Yuan je dal naslednjo izjavo:

Odjemalci Zoom se med običajnimi operacijami poskušajo povezati z vrsto primarnih podatkovnih centrov v uporabniškem območju ali blizu njega, in če ti večkratni poskusi povezave ne uspejo zaradi preobremenjenosti omrežja ali drugih težav, bodo stranke dosegle dva sekundarna podatkovna centra s seznama več sekundarnih podatkovnih centrov kot potencialni rezervni most do platforme Zoom. Odjemalcem Zoom je v vseh primerih na voljo seznam podatkovnih centrov, ki ustrezajo njihovi regiji. Ta sistem je ključnega pomena za zanesljivost blagovne znamke Zoom, zlasti v času velikega stresa na internetu.

Če povzamemo, naj bi klici, ki izvirajo iz Severne Amerike, preusmerjeni prek ameriških strežnikov, tako kot klici v Evropi. Vendar pa lahko podjetje klice preusmeri prek najbližjega strežnika z najbolj razpoložljivo zmogljivostjo, če doživi skok prometa. To ne velja za Kitajsko, saj imajo zahodne države pomisleke glede Kitajske in zato podjetja ne usmerjajo prometa skozi Kitajsko, tudi če so drugi strežniki preobremenjeni. Podjetje je v tem primeru to prekršilo in preusmerilo ameriške klice prek Kitajske, ko je prišlo do skokov prometa.

Bill Marczak iz Citizen Laba je povedal TechCrunch da je bil "previdno optimističen" glede Zoomovega odziva.

Večja težava je, da je Zoom očitno napisal svojo shemo za šifriranje in varovanje klicev,« je dejal, in da »v Pekingu obstajajo strežniki Zoom, ki imajo dostop do ključev za šifriranje sestanka.

Če ste subjekt z dobrimi sredstvi, pridobitev kopije internetnega prometa, ki vsebuje en šifriran klic Zooma z posebno vrednostjo, morda ni tako težko.

Zaradi velikega prehoda na platforme, kot je Zoom, med pandemijo COVID-19 so platforme, kot je Zoom, privlačne tarče za številne različne vrste obveščevalnih agencij, ne samo za Kitajsko. Na srečo je podjetje (do zdaj) zadelo vse prave opombe pri odzivu na ta nov val nadzora varnostnih raziskovalcev in se je zavezalo, da bo izboljšalo svojo aplikacijo.

– Bill Marczak

Medtem ko je podjetje pred kratkim objavilo, da bo začasno ustavilo posodobitve funkcij, da bi se osredotočilo na odpravljanje varnostnih težav, se še vedno sooča z velikim pritiskom oblasti po vsem svetu, da odpravi varnostne pomanjkljivosti. Prav tako bo izvedel izčrpen pregled s strokovnjaki tretjih oseb in reprezentativnimi uporabniki, da bi razumel in zagotovil varnost svoje storitve. Več o tej objavi tukaj.