Теплица социальных технологий – оператор программы TeploDigital, в рамках которой многие некоммерческие организации могут получить качественные международные IT-сервисы по сниженным ценам. Одним из таких сервисов является сервис для организации звонков и вебинаров Zoom.
В связи с ошеломляющим ростом популярности Zoom внимание к мессенджеру усилилось, а следовательно, появилось больше возможностей следить за различными недостатками сервиса, особенно в области защиты данных пользователей. Вместе с бесперебойностью защита данных (как содержания, так и метаданных) является приоритетом для любого мессенджера.
В рамках наших образовательных видеоуроков мы рассказывали о сервисе. Мало того, мы сами пользуемся Zoom и не собираемся (по крайней мере, пока) отказываться от его использования. Теплица искренне приветствует как дискуссию о важности защиты данных, так и критику конкретных мессенджеров. Мы считаем, что есть разница между утверждениями «Zoom сталкивается с проблемами безопасности, которые он оперативно чинит» и «Zoom структурно небезопасен».
Теплица предлагает разобраться в деталях, за что критикуют мессенджер, и самим составить представление о том, использовать или нет этот сервис.
За что критикуют Zoom
1. End-to-end шифрование
У Zoom, как верно отмечают журналисты, нет сквозного шифрования для видеозвонков (end-to-end или E2E encryption), впрочем, как и у многих других сервисов. То есть звонки и видеоконференции защищены от других пользователей сетей, через которые проходит сигнал, но потенциально доступны администрации Zoom, считают исследователи издания The Intercept, так как доступ к звонкам необходим для оптимизации сигнала (Zoom пока не прокомментировали этого утверждения). По мнению журналистов, полностью оконеченное шифрование есть у текстовых чатов Zoom.
Кроме того, Zoom действительно не публикует так называемый Transparency Report – отчет о запросах национальных государств на доступ к данным пользователей. 18 марта с просьбой начать публиковать подобные отчеты обратилась международная правозащитная организация AccessNow. 1-го апреля 2020 г. Эрик Юань, исполнительный директор Zoom пошел на встречу требованиям правозащитников и пообещал в трехмесячный срок выпустить такой отчет.
По утверждению самой компании, Zoom собирает IP-адреса, данные об операционных системах и моделях устройств для оптимизации звонков. Помимо этого, компания заявляет о мерах предосторожности, не допускающих сотрудников компании к любым данным, которыми делятся пользователи. Помимо этого, Zoom отмечает, что не делится данными пользователей в маркетинговых целях (в отличие от Facebook Messenger или Skype).
Как вас это касается: вы провели очень секретный видеоразговор, о котором кто-то из сотрудников Zoom знал до его проведения и в реальном времени миновал внутренние корпоративные ограничения, чтобы получить к этому разговору доступ. Напомним, у Zoom сейчас 200 миллионов пользователей.
Zoom не записывает разговоры. Запись ведется, только если один из пользователей сам нажал на кнопку «Начать запись». Мало того, ведущий встречи может включить специальную опцию, которая будет спрашивать остальных пользователей, согласны ли они с тем, чтобы началась запись.
2. Генерация ключей шифрования в Китае
3-го апреля 2020 г. исследователи The Citizen Lab (Университет Торонто) обнаружили, что при инициации телеконференции, клиенты Zoom отправляют запросы на генерацию ключей шифрования на сервер в Китай. В тот же день Zoom ответил, что это произошло в связи с пиковыми нагрузками и отключил роутинг в Китай.
Следует отметить, что около 700 разработчиков Zoom работает в Китае (у компании зарегистрировано там 3 юр.лица). Как отмечает Citizen Lab, сотрудники компании могут испытывать давление со стороны китайских спец.служб.
Как вас это касается: Теплица советует быть осторожными с Zoom тем журналистам и правозащитникам, если в их модели угроз (модель угроз составляется во время аудитов безопасности и перечисляет потенциальных акторов, заинтересованных в кибератаке), угрозы могут исходить из Китая, либо связанных с ним государственных и негосударственных акторов.
3. Утечка приватных адресов и почты
Утечка приватных адресов почты и юзерпиков у ряда почтовых провайдеров. Издание Motherboard отмечает, что встроенная функция показывает список контактов на основании домена почтового адреса. То есть если у вас зарегистрированный адрес @te-st.org, вам будут автоматически показываться пользователи с такими адресами, так как система будет считать, что вы работаете в одной корпоративной сети. Вместе с адресами будут показываться юзерпики (небольшие изображения, как правило, портреты людей) и появляется возможность звонить этим людям по видео.
Проблема заключается в том, что если для большинства почтовых сервисов (таких как Gmail, Yahoo и других) Zoom заблокировал подобную функцию, то для почтовых адресов от менее крупных региональных провайдеров (в статье упоминаются достаточно нишевые провайдеры xs4all.nl, dds.nl, и quicknet.nl) пользователям будут доступны данные совершенно случайных людей.
Появление подобной проблемы – результат не самого продуманного дизайна. Удобная функция, которая предполагалась для корпоративных пользователей, для массовых почтовых сервисов, особенно из других стран (включая Россию), обернулась неожиданными последствиями. Остается надеяться, что эта уязвимость будет исправлена. А пока советуем всем пользователям проверить зарегистрированный адрес и, по возможности, либо заменить его на корпоративный, либо на @gmail.com.
Как вас это касается: у вас почта на не самом известном почтовом сервере: @yandex.by, @yandex.kz, @citydom.ru, @starlink.ru. Вероятно, в ближайшее время это тоже починят.
4. Zoom передавал данные Facebook / Zoom что-то не так делал на маках
Два инцидента с Apple и Facebook были своевременно устранены. Инцидент, когда Zoom «передавал данные Facebook», произошел в связи с использованием оригинального пакета разработки Facebook SDK для реализации функции «Залогиниться с помощью Facebook». Разработчики Zoom пришли к выводу о том, что «Фейсбук» забирал слишком много избыточных данных.
Как вас это касается: никак. Это уже починили.
5. Странные люди появляются во время встреч и постят порнографию
Вопрос ZoomBombing (появление на встречах незнакомых людей, которые совершают странные поступки). Meduza пишет: «если вы забыли поставить пароль на вашу сессию в этом мессенджере, в нее могут вторгнуться хакеры и устроить полный бардак – например, отправить в общий чат порнографический ролик». C 5 апреля 2020 года Zoom включил пароли на все встречи по умолчанию.
Как вас это касается: никак. Это уже починили.
6. Zoom следит за скучающими пользователями
У Zoom есть функция attendee tracking, которая позволяет администратору видеть, у каких пользователей окно Zoom не находится в открытом состоянии. Однако эту функцию сложно воспринимать как угрозу безопасности.
Как вас это касается: если эта функция включена, то сачковать на созвоне не удастся.
7. Тысячи записей Zoom утекли в открытый доступ
Тысячи записей Zoom оказались в открытом доступе. Как мы уже отмечали, видео можно записать только по желанию пользователей. Суть данной уязвимости в том, что Zoom использовал один и тот же паттерн в названиях записанных видео, которые были самими пользователями расшарены (то есть переведены в режим ‘Public’ – «доступно для всех»). В результате того, что видео называются примерно одинаково, энтузиастам цифровой безопасности не составило труда получить доступ к большому количеству записей.
Мы считаем, что это серьезная, но устранимая уязвимость.
Как вас это касается: если вы записали видео в облако Zoom (опция недоступна для бесплатных аккаунтов) и расшарили его третьей стороне.
Пока эту уязвимость не починили, мы рекомендуем перевести все ваши записи в закрытый режим. И напомним принцип: «лучший способ защитить ваши данные – их не записывать».
8. Алгоритм шифрования у Zoom нестандартный, и следовательно, менее безопасный
Исследователи Citizen Lab выявили, что Zoom использует не заявленный в официальных документах алгоритм шифрования AES-256, а AES-128 в режиме электронной кодовой книги (режим простой замены). 3-го апреля 2020 г. исполнительный директор признал, что компания могла бы сделать дизайн шифрования лучше и пообещал исправить ситуацию.
Как вас это касается: пока обещанные изменения в шифровании не произведены, Теплица рекомендует воздержаться от использования Zoom для особенно чувствительных/секретных разговоров правозащитникам и журналистам. В случаях обмена особенно чувствительной информацией, Теплица советует использовать Signal. В случаях ведения вебинаров, конференций, групповых звонков без передачи важной или чувствительной информации, Zoom – не несет существенных рисков.
Выводы
Будьте осторожны и всегда будьте критичны к тем цифровым инструментам и сервисам, которыми вы пользуетесь. Только с помощью постоянного внимания мы можем держать эти сервисы подотчетными и по-настоящему безопасными. При анализе надежности следует учитывать долгосрочные факторы, влияющие на безопасность сервиса.
Почему нам кажется, что Zoom пока не стоит списывать со счетов.
- У Zoom есть организационная культура и доказанная репутация исправления ошибок приватности.
- У Zoom есть достаточно ресурсов, чтобы исправлять ошибки.
- У Zoom есть стимул, чтобы ошибки приватности исправлять (у них fee-based бизнес-модель, т.е. деньги они получают за сервис, а не за мониторинг пользователей, как Google или Facebook).
- У Zoom есть достаточно пользователей, чтобы быстро замечать ошибки.
Необходимо учесть и ряд системных рисков:
- Связь с Китаем (более 700 сотрудников, 3 юр.лица), которая пусть и маловероятно, но потенциально может вести к вмешательству со стороны китайского государства в возможные разговоры журналистов и/или правозащитников.
- Нерешенные (на момент публикации) вопросы с шифрованием.
9 настроек конференций, на которые стоит обратить внимание
- Включите «Зал ожидания»: участники не могут войти в конференцию, пока организатор не даст индивидуальное право на вход из зала ожидания;
- На панели организатора появилась кнопка «Безопасность». Отключите трансляцию рабочего стола/экрана для пользователей: отключить трансляцию рабочего стола или экрана в конференции и разрешить трансляцию содержимого только из выбранных приложений;
- Используйте кнопку «Выключить звук всем». Она находится в
панели управления участниками. После этого у всех участников микрофоны будут перечеркнуты и покрашены в красный. Если участник включит звук, он окажется в начале списка, и его микрофон окрасится в серый, так, например, можно вычислить «хулигана», который мешал конференции. Его также можно удалить из трансляции, а трансляцию закрыть; - Устанавливайте пароль при планировании новых конференций: на уровне админа можно сделать так, чтобы участники тарифного плана не могли убрать эту настройку и создавать конференции без пароля;
- Требуйте пароль для общего доступа к записям в облаке.
- Спрашивайте согласие на запись;
- Управляйте доступом по IP-адресу;
- Разрешите доступ к записям в облаке только с IP-адресов из определенного диапазона;
- Не публикуйте ссылку на трансляцию.
