Zoom
Prezentacja platformy Zoom na konferencji RSA Conference 2021 była skoncentrowana na kompleksowym szyfrowaniu w aplikacji Zoom Cloud Meetings. Firma wyjaśniła, dlaczego koncentruje się na tym zagadnieniu, jak planuje sprawić, aby połączenia były bardziej bezpieczne, a także jakich innych nowych, związanych z bezpieczeństwem funkcji mogą spodziewać się użytkownicy.
Trochę historii
Pandemia zmusiła wielu z nas do przejścia na długoterminową pracę zdalną i komunikowania się z kolegami i bliskimi za pośrednictwem oprogramowania do telekonferencji. Duża popularność Zooma wzbudziła zainteresowanie zarówno ekspertów w dziedzinie bezpieczeństwa, jak i cyberprzestępców. Szybko jednak okazało się, że bezpieczeństwo tej platformy nie jest na najwyższym poziomie. Na przykład zawierała ona luki, które pozwoliły atakującym szpiegować użytkowników za pośrednictwem ich kamer i mikrofonów, a naloty internetowych trolli nawet otrzymały własną nazwę: Zoombombing. Odpowiedź Zooma była szybka i dalekosiężna, ale nie wszystkie problemy udało się rozwiązać.
Głównym aspektem, na który narzekali użytkownicy platformy Zoom, było to, że używała ona szyfrowania typu punkt-punkt (ang. Point-to-Point Encryption, P2PE) zamiast szyfrowania kompleksowego (ang. End-to-End Encryption, E2EE).
E2EE a P2PE
Na pierwszy rzut oka systemy te wydają się podobne: oba szyfrują dane, które wymieniają użytkownicy. Ale w przypadku P2PE serwer może uzyskać dostęp do wiadomości użytkowników, podczas gdy E2EE szyfruje informacje na urządzeniu nadawcy i odszyfrowuje je dopiero u odbiorcy. Taka sytuacja może potencjalnie przysporzyć kłopotów, które programiści platformy Zoom wskazali na konferencji:
- Cyberprzestępcy mogą włamać się na serwer, ukraść przechowywane tam klucze szyfrowania i dołączyć fizycznie do spotkań, w których umawiają się osoby zaproszone, lub podszywać się pod nich w wiadomościach.
- Oportunistyczni pracownicy dostawcy chmury lub samej platformy Zoom mogą uzyskać dostęp do kluczy i wykraść dane użytkowników.
Nikt nie chce, aby prywatne rozmowy z rodziną i przyjaciółmi, nie mówiąc już o tajnych rozmowach biznesowych, zostały upublicznione. Co więcej, gdyby haker używał skradzionych kluczy tylko do pasywnego podsłuchiwania, byłoby to niezwykle trudne do wykrycia.
Problemy te rozwiązuje system E2EE, w którym klucze deszyfrujące są przechowywane wyłącznie na urządzeniach użytkowników. Oznacza to, że nawet po złamaniu zabezpieczeń serwera intruz nie będzie mógł podsłuchiwać wideokonferencji.
Oczywiście wiele osób czekało, aż Zoom przejdzie na system E2EE, który już jest już standardem dla aplikacji do komunikacji.
Szyfrowanie pełne w platformie Zoom
Programiści wysłuchali krytyki i podjęli kroki na rzecz poprawy bezpieczeństwa platformy, w tym wdrożenia E2EE.
Od jesieni 2020 roku Zoom stosuje E2EE w rozmowach audio i wideo, a także czatach. Gdy funkcja ta jest włączona, Zoom chroni dane uczestników za pomocą tak zwanego klucza szyfrowania konferencji. Klucz ten nie jest przechowywany na serwerach platformy, więc treści rozmów nie mogą odszyfrować nawet jej programiści. Platforma przechowuje tylko zaszyfrowane identyfikatory użytkowników i część metadanych spotkania, takie jak czas trwania połączenia.
Aby chronić przed połączeniami z zewnątrz, programiści wprowadzili również funkcję „Heartbeat” —sygnał, który jest wysyłany automatycznie przez aplikację używaną przez lidera spotkania do innych użytkowników. Informacja ta zawiera między innymi listę uczestników, do których kierownik spotkania wysłał bieżący klucz szyfrowania. Jeśli do spotkania dołączy ktoś, kto nie znajduje się na liście, wszyscy od razu wiedzą, że coś jest nie tak.
Innym sposobem na niewpuszczenie nieproszonych uczestników jest zablokowanie spotkania przy użyciu funkcji „Lock Meeting”, gdy wszyscy się odliczą. Spotkanie należy zablokować ręcznie, a wtedy nikt inny nie będzie mógł do niego dołączyć, nawet jeśli ma identyfikator spotkania i hasło.
Zoom chroni również przed atakami typu man-in-the-middle za pomocą wymiany klucza szyfrowania. Aby upewnić się, że żadna osoba z zewnątrz nie podsłuchuje spotkania, jego lider może w dowolnym momencie kliknąć przycisk, aby wygenerować kod zabezpieczeń na podstawie bieżącego klucza szyfrowania spotkania. Kod ten jest również generowany automatycznie dla innych uczestników spotkania. Lider musi jedynie przeczytać ten kod na głos; jeśli jest on taki sam jak u innych uczestników, oznacza to, że każdy używa tego samego klucza i wszystko jest w porządku.
Jeśli lider opuści spotkanie, a jego funkcję przejmie ktoś inny, aplikacja o tym informuje. Jeśli innym uczestnikom spotkania wyda się to podejrzane, mogą oni wstrzymać wszelkie ściśle tajne dyskusje, aby wyjaśnić tę sytuację.
Oczywiście jeśli jesteś na zwykłym spotkaniu ze znajomymi, raczej nie musisz korzystać ze wszystkich tych mechanizmów bezpieczeństwa. Ale jeśli chodzi o tajemnice biznesowe (lub inne), wspomniane narzędzia ochrony mogą okazać się przydatne, dlatego uczestnicy ważnych spotkań powinni być świadomi ich istnienia i wiedzieć, jak z nich korzystać.
Pomimo wprowadzenia tych innowacji programiści platformy Zoom przyznają, że wciąż mają wiele do zrobienia. Prezentacja przedstawiona podczas konferencji RSA 2021 rzuciła również nieco światła na ścieżkę rozwoju platformy Zoom.
Zoom: co przyniesie przyszłość?
Programiści zidentyfikowali wiele zagrożeń, dla których nie wdrożyli jeszcze skutecznych środków zaradczych. Jednym z nich jest zewnętrzna infiltracja spotkań przez osoby podszywające się pod zaproszonych użytkowników. Inne polega na tym, że system E2EE nie chroni przed poznaniem przez osoby niepożądane niektórych metadanych, takich jak czas trwania połączenia, imiona i nazwiska uczestników czy ich adresy IP. Na liście zagrożeń znajdują się również luki w zabezpieczeniach programu — w teorii cyberprzestępcy mogą umieścić w Zoomie szkodliwy kod.
Mając na uwadze te zagrożenia, programiści odpowiedzialni za platformę Zoom wymienili następujące cele na przyszłość:
- Uniemożliwienie dostępu do wydarzeń wszystkim, oprócz osobom zaproszonym i zatwierdzonym.
- Uniemożliwienie ponowne połączenie się uczestnikom usuniętym z wydarzenia.
- Uniemożliwienie ingerencji ze strony osób niedopuszczonych do spotkania.
- Umożliwienie uczestnikom spotkania zgłaszanie nadużyć zespołowi bezpieczeństwa Zoom.
Mapa postępowania
Aby osiągnąć te założenia, programiści stworzyli czterostopniową mapę postępowania. Etap pierwszy został już wdrożony. Jak już powiedzieliśmy, zmienili oni system zarządzania kluczem szyfrowania konferencji, tak aby był przechowywany tylko na urządzeniach użytkowników, a także poprawili środki ochrony dołączaniem do spotkań osób z zewnątrz.
W etapie drugim planują wprowadzić uwierzytelnianie użytkowników, które będzie niezależne od serwerów Zoom, ale będzie wykorzystywać technologię logowania jednokrotnego (ang. single sign-on, SSO) z udziałem niezależnych dostawców tożsamości (ang. identity providers, IDP).
W rezultacie intruz nie będzie mógł sfałszować tożsamości użytkownika, nawet poprzez przejęcie kontroli nad serwerem Zoom. Jeśli ktoś dołączy do wydarzenia i będzie podszywać się pod osobę zaproszoną, ale będzie mieć nowy klucz publiczny, pozostałe osoby zostaną powiadomione o potencjalnym zagrożeniu.
Etap trzeci wprowadzi koncepcję drzewa transparentności, przechowując wszystkie tożsamości w uwierzytelnionej, podlegającej inspekcji strukturze danych, aby zapewnić wszystkim użytkownikom spójny widok wszelkich tożsamości i umożliwić wykrywanie ataków polegających na podszywaniu się. Celem Zooma jest wzmocnienie ochrony platformy przed atakami typu man-in-the-middle.
W końcowym, czwartym etapie programiści planują ułatwić sprawdzanie tożsamości, gdy użytkownik łączy się z nowym urządzeniem. Aby połączyć nowy gadżet, użytkownik będzie musiał potwierdzić jego legalność, na przykład skanując kod QR na ekranie zaufanego telefonu lub komputera. Uniemożliwi to osobie atakującej połączenie urządzenia z kontem innej osoby.
Bezpieczeństwo bez wyrzeczeń
Podczas wdrażania dodatkowych mechanizmów zabezpieczeń należy wziąć pod uwagę, jaki wpływ będą one miały na zwykłych użytkowników. Programiści platformy Zoom również rozważają ten aspekt. Na przykład jedną z proponowanych innowacji jest wykorzystanie chmur urządzeń osobistych. Taka technologia uprości proces dodawania nowych gadżetów do konta, pomagając jednocześnie w zabezpieczeniu go.
Jeśli na przykład do połączeń na Zoomie zwykle używasz komputera, ale pewnego razu pobierzesz aplikację i zalogujesz się ze smartfona, podczas kolejnego otwarcia Zoomu na komputerze zobaczysz informację, że zalogowane zostało nowe urządzenie. Jeśli je zatwierdzisz, oba urządzenia będą połączone z jednej chmury, a inni uczestnicy spotkania nie będą mieć wątpliwości, że to Ty, a nie Twój dubler.
Chmura urządzeń umożliwia również sprawdzenie, które gadżety są zalogowane na Twoje konto, i anulowanie dostępu dla każdego z nich. Co więcej, programiści planują dodać opcję przejścia na szyfrowanie E2EE w połowie spotkania, jak również wiele innych przydatnych funkcji.
Czy Zoom stanie się bezpieczniejszy?
Odpowiedź brzmi: tak, poziom bezpieczeństwa Zooma jest coraz większy. Firma zrobiła już wiele, aby chronić swoich użytkowników przed ingerencją z zewnątrz, a w planach ma wprowadzenie jeszcze większej liczby narzędzi do ochrony. Fajnie, że Zoom próbuje połączyć bezpieczeństwo z łatwością użytkowania.
Oczywiście, wiele zależy też od użytkowników omawianej platformy. Podobnie jak w przypadku wszystkich innych aktywności w internecie, podczas wideokonferencji warto pamiętać o zdrowym rozsądku, a także zapoznać się z dostępnymi mechanizmami ochrony. Nie warto ignorować ostrzeżeń platformy ani prowadzić za jej pośrednictwem poufnych rozmów, jeśli coś wygląda podejrzanie i nie można wykluczyć, że mogło dojść do wycieku danych.
