موارد مهم
- کمیسیون تجارت فدرال ایالات متحده در 9 نوامبر اعلام کرد که پس از ادعای گمراه کردن کاربران در مورد امنیت، با Zoom به توافق رسیده است.
- حل و فصل به Zoom نیاز دارد تا یک "برنامه جامع امنیتی" را راه اندازی کند.
- Zoom می گوید که قبلاً به مشکلات رسیدگی کرده است و اخیراً اعلام کرده است که رمزگذاری سرتاسر را معرفی خواهد کرد.
پلت فرم کنفرانس محبوب Zoom در پی ادعاهای این آژانس مبنی بر گمراه کردن کاربران در مورد سطح امنیت خود، به عنوان بخشی از توافق با کمیسیون تجارت فدرال ایالات متحده (FTC) اقدامات امنیتی خود را تقویت می کند.
Zoom تنها در عرض چند ماه به یک نام آشنا تبدیل شده است و جهان به دلیل شیوع بیماری همه گیر به پلتفرم ویدئو کنفرانس خود روی آورده است که جلسات حضوری را به شدت محدود کرده است. با این حال، یک شکایت FTC ادعا کرد که Zoom "درگیر یک سری اقدامات فریبکارانه و ناعادلانه است که امنیت کاربرانش را تضعیف کرده است."
این به دنبال بررسی دقیق کارشناسان امنیتی در اوایل سال جاری بود که متوجه شدند علیرغم ادعاهای بازاریابی، این پلت فرم از رمزگذاری سرتاسر استفاده نمی کند. Zoom همچنین در طول افزایش محبوبیت خود شاهد مسائل امنیتی دیگری نیز بوده است، از جمله شرکت کنندگان ناخواسته که جلسات را در عملی به نام "zoombombing" خراب می کنند. به عنوان بخشی از توافق FTC، Zoom متعهد به اجرای یک "برنامه امنیتی جامع" شده است.
اندرو اسمیت، مدیر دفتر مصرف کنندگان FTC، "در طول همه گیری، عملا همه -خانواده ها، مدارس، گروه های اجتماعی، مشاغل- از ویدئو کنفرانس برای برقراری ارتباط استفاده می کنند و امنیت این پلتفرم ها را از همیشه مهم تر می کند." حفاظت در بیانیه مطبوعاتی آژانس می گوید.
«روش‌های امنیتی Zoom با وعده‌هایش مطابقت نداشت، و این اقدام به اطمینان از محافظت از جلسات و داده‌های Zoom درباره کاربران Zoom کمک می‌کند.»
تحقیقات دولت
شکایت FTC ادعا می کند که Zoom کاربران خود را در مورد چندین مورد مربوط به امنیت گمراه کرده است، که مهمترین آنها به ادعاهای مطرح شده در مورد رمزگذاری سرتاسر مربوط می شود.
گفته شد که زوم از سال 2016 ادعا کرده است که رمزگذاری 256 بیتی را برای تماس‌های زوم ارائه می‌کند، اما واقعاً سطح پایین‌تری از امنیت را ارائه می‌دهد. وقتی رمزگذاری سرتاسر فعال است، فقط شرکت کنندگان در یک تماس یا چت به اطلاعات رد و بدل شده دسترسی دارند - نه زوم، دولت یا هر طرف دیگر.
علاوه بر این، شکایت ادعا می کند که Zoom جلسات ضبط شده و رمزگذاری نشده را تا 60 روز در سرورهای خود ذخیره می کند، زیرا به برخی از کاربران خود گفته بود که بلافاصله رمزگذاری خواهند شد.
مشکل دیگر مربوط به نرم افزار Mac به نام ZoomOpener است که حتی در هنگام حذف Zoom روی رایانه های کاربران باقی می ماند و می توانست آنها را در برابر هکرها آسیب پذیر کند. آلوارو پویگ، متخصص آموزش مصرف کننده FTC، در یک پست وبلاگ توضیح می دهد: "این نرم افزار یک تنظیمات امنیتی مرورگر Safari را دور زد و کاربران را در معرض خطر قرار داد - برای مثال، می توانست به افراد غریبه اجازه دهد از طریق دوربین های وب رایانه خود از کاربران جاسوسی کنند."
پاسخ زوم
در حالی که Zoom اخیراً شکایت FTC را حل و فصل کرد، این شرکت در ایمیلی به Lifewire گفت که "از قبل به این مشکلات رسیدگی کرده است".
سخنگوی شرکت در ایمیلی به Lifewire گفت: "امنیت کاربران ما اولویت اصلی زوم است." Zoom چندین گام برای پاسخ به ادعاهای FTC برداشته است، از جمله راه اندازی یک برنامه 90 روزه در آوریل که بیش از 100 ویژگی مرتبط با حریم خصوصی و امنیت را به همراه داشت.
Zoom در اواخر اکتبر رمزگذاری سرتاسری را معرفی کرد که با خرید شرکتی به نام Keybase در ماه مه امکان‌پذیر شد. رمزگذاری انتها به انتها هنوز در حالتی است که زوم آن را «پیش‌نمایش فنی» می‌نامد و این شرکت می‌گوید که سرورهای زوم به کلیدهای رمزگذاری دسترسی ندارند. در حال حاضر، برخی از ویژگی‌ها در حالت رمزگذاری سرتاسر محدود شده‌اند، از جمله امکان پیوستن به جلسه قبل از میزبان و اتاق‌های شکست.
چگونه از رمزگذاری سرتاسر زوم استفاده کنیم
نیتش ساکسنا، استاد علوم کامپیوتر دانشگاه آلاباما در بیرمنگام، می‌گوید که تلاش‌های زوم برای پیاده‌سازی یک سیستم رمزگذاری سرتاسر واقعی «گامی در مسیر درست» است، اما خاطرنشان می‌کند که هنوز کار برای انجام دادن وجود دارد.
مسائل مهمی وجود دارد که باید قبل از اینکه واقعاً سطح امنیتی را که کاربران از تماس‌های Zoom درخواست می‌کنند، مورد توجه قرار گیرند.
Saxena که امنیت Zoom را به طور گسترده مورد مطالعه قرار داده است، می‌گوید که امنیت روش رمزگذاری سرتاسر آن در نهایت به فرآیندی بستگی دارد که برای اعتبارسنجی کلیدهای رمزنگاری شرکت‌کنندگان در جلسه (گامی کلیدی برای دور نگه‌داشتن استراق‌جویان از تماس) استفاده می‌شود.).
در این مورد، کاربران قبل از شروع جلسه، خودشان این موضوع را بررسی می کنند. در مرحله اول Zoom از پروتکل رمزگذاری سرتاسر خود، میزبان جلسه یک کد 39 رقمی را می‌خواند که دیگران باید آن را روی صفحه نمایش خود بررسی کنند.
روش‌های امنیتی Zoom با وعده‌هایش مطابقت نداشت، و این اقدام به اطمینان از محافظت از جلسات و داده‌های Zoom در مورد کاربران Zoom کمک می‌کند.
طبق تحقیقات ساکسنا و تیمش، این رویکرد می‌تواند مستعد خطای انسانی باشد، اگر کسی توجه نکند و به‌طور تصادفی کدی را بپذیرد که با آن مطابقت ندارد یا به طور کامل از فرآیند رد شود.
همچنین، میزبانان جلسه و شرکت کنندگان باید مطمئن شوند که رمزگذاری انتها به انتها را قبل از شروع جلسه فعال کرده اند، زیرا به طور پیش فرض روشن نیست. تحقیقات Saxena همچنین نشان داد که انواع کدهای عددی که Zoom استفاده می‌کند نیز می‌تواند مستعد نوع خاصی از حمله باشد.
بنابراین، کاربران زوم می توانند احساس آرامش کنند که این پلتفرم قبلاً به مسائل امنیتی اصلی مطرح شده توسط شکایت FTC رسیدگی کرده است و اکنون فاز اول رمزگذاری سرتاسر را ارائه می دهد.با این حال، شرکت‌کنندگان در کنفرانس باید بدانند که استفاده صحیح از حالت رمزگذاری سرتاسر جدید، مستلزم توجه بیشتر زمانی است که زمان فرآیند اعتبارسنجی کد در ابتدای تماس فرا می‌رسد.
