Ключови изводи
- Федералната търговска комисия на САЩ обяви на 9 ноември, че е постигнала споразумение със Zoom, след като твърди, че е подвело потребителите по отношение на сигурността.
- Споразумението изисква Zoom да въведе „всеобхватна програма за сигурност“.
- Zoom казва, че вече е разгледал проблемите и наскоро обяви, че ще въведе криптиране от край до край.
Популярната конферентна платформа Zoom засилва практиките си за сигурност като част от споразумение с Федералната търговска комисия на САЩ (FTC), след обвиненията на агенцията, че е подвела потребителите относно нейното ниво на сигурност.
Zoom се превърна в име на домакинство само за няколко месеца, като светът се обърна към неговата платформа за видеоконференции поради пандемията, която силно ограничава личните срещи. В жалба на Федералната търговска комисия обаче се твърди, че Zoom „е участвал в поредица от измамни и нечестни практики, които подкопават сигурността на неговите потребители.“
Това последва проверка от експерти по сигурността по-рано тази година, които установиха, че платформата не използва криптиране от край до край въпреки маркетинговите твърдения. Zoom се сблъска и с други проблеми със сигурността по време на нарастването на популярността си, като например нежелани участници да провалят срещи в практика, наречена „zoombombing“. Като част от споразумението на Федералната търговска комисия, Zoom се ангажира да внедри „всеобхватна програма за сигурност“.
„По време на пандемията практически всички – семейства, училища, социални групи, фирми – използват видеоконференции за комуникация, което прави сигурността на тези платформи по-критична от всякога“, Андрю Смит, директор на Бюрото за потребители на FTC Protection се казва в прессъобщението на агенцията.
"Практиките за сигурност на Zoom не отговарят на обещанията му и това действие ще помогне да се гарантира, че срещите на Zoom и данните за потребителите на Zoom са защитени."
Правителствен контрол
Жалбата на Федералната търговска комисия твърди, че Zoom е подвел своите потребители относно няколко проблема, свързани със сигурността, най-важният от които е свързан с твърдения за криптиране от край до край.
Той каза, че Zoom твърди, че предлага 256-битово криптиране от край до край за обаждания на Zoom от 2016 г., но всъщност предоставя по-ниско ниво на сигурност. Когато криптирането от край до край е активирано, само участниците в разговор или чат имат достъп до обменената информация – не Zoom, правителството или друга страна.
Освен това в жалбата се твърди, че Zoom е съхранявал записани, некриптирани срещи на сървърите си до 60 дни, когато е казал на някои от потребителите си, че ще бъдат незабавно криптирани.
Друг проблем е свързан със софтуера за Mac, наречен ZoomOpener, който остава на компютрите на потребителите дори при изтриване на Zoom и може да ги направи уязвими за хакери. „Този софтуер заобиколи настройката за сигурност на браузъра Safari и изложи потребителите на риск – например можеше да позволи на непознати да шпионират потребителите чрез уеб камерите на компютъра им“, обяснява специалистът по образование на потребителите на FTC, Алваро Пуиг, в публикация в блог.
Отговорът на Zoom
Докато Zoom едва наскоро уреди жалбата на FTC, компанията каза на Lifewire в имейл, че „вече е разгледала“проблемите.
„Сигурността на нашите потребители е основен приоритет за Zoom“, каза говорител на компанията пред Lifewire в имейл. Zoom предприе няколко стъпки, за да отговори на обвиненията на FTC, включително стартирането на 90-дневен план през април, който предостави повече от 100 функции, свързани с поверителността и сигурността.
Zoom наистина въведе криптиране от край до край в края на октомври, което стана възможно благодарение на придобиването през май на компания, наречена Keybase. Криптирането от край до край все още е в това, което Zoom нарича режим „технически преглед“и компанията казва, че сървърите на Zoom нямат достъп до ключовете за криптиране. Засега някои функции са ограничени в режим на криптиране от край до край, включително възможността за присъединяване към срещата преди хоста и стаите за разбивка.
Как да използвате шифроването от край до край на Zoom
Професорът по компютърни науки от Университета на Алабама в Бирмингам Нитеш Саксена казва, че усилията на Zoom да внедри истинска система за криптиране от край до край е „стъпка в правилната посока“, но отбелязва, че има още работа.
"Има значителни проблеми, които трябва да бъдат решени, преди това наистина да може да осигури нивото на сигурност, което потребителите могат да изискват от обажданията на Zoom", казва той.
Saxena, който е проучил задълбочено сигурността на Zoom, казва, че сигурността на неговия метод за криптиране от край до край в крайна сметка разчита на процеса, използван за валидиране на криптографските ключове на участниците в срещата (ключова стъпка за предпазване на подслушвателите от разговора).
В този случай потребителите проверяват това сами, преди да започнат срещата. В първата фаза на Zoom от неговия протокол за криптиране от край до край домакинът на срещата чете 39-цифрен код, който останалите трябва да проверят на своя екран.
Практиките за сигурност на Zoom не отговарят на обещанията му и това действие ще помогне да се гарантира, че срещите в Zoom и данните за потребителите на Zoom са защитени.
Според изследването на Saxena и неговия екип, този подход може да бъде предразположен към човешка грешка, ако някой не обърне внимание и случайно приеме код, който не съответства или пропусне процеса напълно.
Освен това домакините и участниците на срещата трябва да се уверят, че са активирали криптиране от край до край, преди да започнат срещата, тъй като то не е включено по подразбиране. Изследванията на Saxena също установиха, че видовете цифрови кодове, които Zoom използва, също могат да бъдат предразположени към определен тип атака.
И така, потребителите на Zoom могат да почувстват известно облекчение, че платформата вече е разгледала основните проблеми със сигурността, повдигнати от жалбата на FTC, и сега предлага първата фаза на криптиране от край до край. Участниците в конференцията обаче трябва да знаят, че правилното използване на новия режим на криптиране от край до край изисква допълнително внимание, когато дойде време за процеса на валидиране на кода в началото на разговора.
