Zoom thừa nhận họ đã chuyển một số cuộc gọi qua Trung Quốc do nhầm lẫn

Đại dịch coronavirus đã chứng kiến ​​sự gia tăng trong việc sử dụng Zoom nhưng phần mềm này đã riêng tư cơn ác mộng cho công ty và các cá nhân trên khắp thế giới. Đầu ngày hôm nay, chúng tôi báo cáo cách các bản ghi Zoom được đưa lên internet và ngay sau đó, các nhà nghiên cứu bảo mật tại Phòng thí nghiệm công dân công bố một báo cáo tuyên bố rằng công ty đã chuyển một số cuộc gọi qua Trung Quốc.

Trong báo cáo, Phòng thí nghiệm công dân nói rằng công ty đã chuyển một số cuộc gọi và các khóa mã hóa tương ứng của họ qua Trung Quốc. chúng tôi báo cáo trước đó công ty đã có các khóa mã hóa như thế nào, đó là lý do tại sao dịch vụ không được mã hóa end-to-end chính xác như tuyên bố của công ty. Trong một blog đăng bài, công ty cho biết họ đã “triển khai các biện pháp kiểm soát nội bộ mạnh mẽ và được xác thực để ngăn chặn truy cập trái phép vào bất kỳ nội dung nào mà người dùng chia sẻ trong các cuộc họp”. Tuy nhiên, điều tương tự không thể xảy ra đối với các nhà chức trách Trung Quốc, những người có thể, về lý thuyết, có thể truy cập các cuộc gọi được chuyển qua Trung Quốc.

Những phát hiện chính của Citizen Lab

• Zoom tài liệu hướng dẫn tuyên bố rằng ứng dụng sử dụng mã hóa “AES-256” cho các cuộc họp nếu có thể. Tuy nhiên, chúng tôi thấy rằng trong mỗi cuộc họp Zoom, một khóa AES-128 duy nhất được tất cả những người tham gia sử dụng ở chế độ ECB để mã hóa và giải mã âm thanh và video. Việc sử dụng chế độ ECB không được khuyến khích vì các mẫu có trong bản rõ được giữ nguyên trong quá trình mã hóa.
• Các khóa AES-128, mà chúng tôi đã xác minh là đủ để giải mã các gói Zoom bị chặn trong lưu lượng truy cập Internet, dường như được tạo bởi các máy chủ Zoom và trong một số trường hợp, được gửi đến những người tham gia cuộc họp Zoom thông qua các máy chủ ở Trung Quốc, ngay cả khi tất cả các cuộc họp những người tham gia và công ty của người đăng ký Zoom ở bên ngoài Trung Quốc.
• Zoom, một công ty có trụ sở tại Thung lũng Silicon, dường như sở hữu ba công ty ở Trung Quốc, thông qua đó ít nhất 700 nhân viên được trả lương để phát triển phần mềm của Zoom. Sự sắp xếp này rõ ràng là một nỗ lực tại chênh lệch giá lao động: Zoom có ​​thể tránh việc trả lương cho người Mỹ trong khi bán hàng cho khách hàng Mỹ, do đó làm tăng tỷ suất lợi nhuận của họ. Tuy nhiên, sự sắp xếp này có thể khiến Zoom phản ứng trước áp lực từ các nhà chức trách Trung Quốc.

Zoom hiện đã xác nhận rằng công ty đã định tuyến các cuộc gọi do nhầm lẫn. Giám đốc điều hành Eric Yuan của công ty đã đưa ra tuyên bố sau:

Trong các hoạt động bình thường, các máy khách Zoom cố gắng kết nối với một loạt các trung tâm dữ liệu chính trong hoặc gần khu vực của người dùng và nếu nhiều lần thử kết nối đó không thành công do tắc nghẽn mạng hoặc các sự cố khác, khách hàng sẽ liên hệ với hai trung tâm dữ liệu thứ cấp trong danh sách một số trung tâm dữ liệu thứ cấp làm cầu nối dự phòng tiềm năng cho nền tảng Zoom. Trong mọi trường hợp, các máy khách Zoom được cung cấp một danh sách các trung tâm dữ liệu phù hợp với khu vực của chúng. Hệ thống này rất quan trọng đối với độ tin cậy thương hiệu của Zoom, đặc biệt là trong thời gian căng thẳng internet lớn.

Tóm lại, các cuộc gọi xuất phát từ Bắc Mỹ được cho là được chuyển qua các máy chủ của Mỹ giống như các cuộc gọi được thực hiện ở Châu Âu. Tuy nhiên, công ty có thể định tuyến các cuộc gọi thông qua máy chủ gần nhất với dung lượng khả dụng nhất nếu nó gặp sự cố lưu lượng truy cập tăng đột biến. Điều này không áp dụng cho Trung Quốc vì các nước phương Tây lo ngại về Trung Quốc và do đó các công ty không định tuyến lưu lượng truy cập qua Trung Quốc ngay cả khi các máy chủ khác bị quá tải. Trong trường hợp này, công ty đã vi phạm điều đó và chuyển các cuộc gọi của Mỹ qua Trung Quốc khi có lượng truy cập tăng đột biến.

Bill Marczak của Citizen Lab nói với TechCrunch rằng anh ấy “lạc quan một cách thận trọng” về phản hồi của Zoom.

Vấn đề lớn hơn ở đây là Zoom rõ ràng đã viết sơ đồ riêng của họ để mã hóa và bảo mật các cuộc gọi, ”ông nói, và rằng“ có các máy chủ Zoom ở Bắc Kinh có quyền truy cập vào các khóa mã hóa cuộc họp.

Nếu bạn là một tổ chức có nguồn lực tốt, việc lấy một bản sao lưu lượng truy cập internet có chứa một số cuộc gọi Zoom được mã hóa đặc biệt có giá trị cao có lẽ không khó lắm.

Sự thay đổi lớn sang các nền tảng như Zoom trong đại dịch COVID-19 khiến các nền tảng như Zoom trở thành mục tiêu hấp dẫn của nhiều loại cơ quan tình báo khác nhau, không chỉ Trung Quốc. May mắn thay, công ty (cho đến nay) đã đạt được tất cả các lưu ý phù hợp để đáp ứng làn sóng giám sát mới này từ các nhà nghiên cứu bảo mật và đã cam kết thực hiện các cải tiến trong ứng dụng của họ.

- Bill Marczak

Mặc dù gần đây công ty đã thông báo rằng công ty sẽ tạm dừng các bản cập nhật tính năng để tập trung vào việc khắc phục các vấn đề bảo mật, nhưng nó vẫn đang phải đối mặt với áp lực lớn từ các cơ quan chức năng trên toàn thế giới để sửa các lỗi bảo mật. Nó cũng sẽ tiến hành đánh giá toàn diện với các chuyên gia bên thứ ba và người dùng đại diện để hiểu và đảm bảo tính bảo mật cho dịch vụ của mình. Tìm hiểu thêm về thông báo này tại đây.