Zoom隱私安全問題大爆發(fā)， 過程真的太痛苦了

隨著新冠肺炎疫情在全球蔓延，遠(yuǎn)程辦公需求愈發(fā)增加，主打多人視頻會(huì)議的Zoom公司受到了越來越多的關(guān)注，不僅全球用戶數(shù)量激增，而且市值逆勢上揚(yáng)，較去年IPO翻了兩倍，一時(shí)間風(fēng)頭無兩。

“Zoom炸彈”入侵視頻會(huì)議的事故數(shù)量激增

可是人紅是非多，Zoom的確吸引了大量用戶，但同時(shí)也吸引了網(wǎng)絡(luò)安全專家和媒體的目光，旗下產(chǎn)品幾乎是被放在顯微鏡下觀察，成立9年以來從未有過。

近期以來，這款視頻會(huì)議軟件接二連三地被爆出安全和隱私漏洞，遭到SpaceX和NASA內(nèi)部禁用，甚至連美國聯(lián)邦調(diào)查局（FBI）也發(fā)出警告，提醒用戶使用Zoom時(shí)注意網(wǎng)絡(luò)安全問題，不要在社交媒體上廣泛分享會(huì)議鏈接，以防機(jī)密信息被黑客獲取。

經(jīng)統(tǒng)計(jì)，Zoo：m經(jīng)歷的問題和質(zhì)疑可以概括如下：由于Zoom軟件的默認(rèn)設(shè)置，有人可以在未被邀請的情況下參與和惡意攪亂視頻會(huì)議，迫使會(huì)議中止。這種惡搞行為被稱為“Zoom-bombing （Zoom炸彈）”;Zoom宣稱視頻使用了端到端加密，但實(shí)際情況并非如此;數(shù)據(jù)收集和使用不透明，沒有透明度報(bào)告，而且iOS版Zoom應(yīng)用會(huì)在未經(jīng)用戶授權(quán)的情況下，問Facebook發(fā)送分析數(shù)據(jù);桌面版Zoom程序存在漏洞，可能會(huì)泄露Windows和MacOS用戶的登錄憑據(jù)。

面對大大小小的漏洞和質(zhì)疑，Zoom公司C.EO袁征正式公開道歉，承諾在未來90天內(nèi)暫停所有新功能開發(fā)，動(dòng)用全部工程師資源解決現(xiàn)有問題，修復(fù)過程保持透明，并且出臺(tái)有關(guān)用戶數(shù)據(jù)的透明度報(bào)告，以重塑信心。同時(shí)還會(huì)強(qiáng)化現(xiàn)有漏洞懸賞計(jì)劃，在每周三召開視頻講話，向社區(qū)透露問題修復(fù)的最新進(jìn)展。

“我們歡迎您繼續(xù)提出問題和提供反饋，我們一直以來的首要目標(biāo)都是讓用戶滿意，并確保我們平臺(tái)的安全性和隱私性值得所有人信任，”袁征在信中寫道。

損人不利己的“Zoom炸彈”

隨著北美新冠肺炎疫情愈發(fā)嚴(yán)重，不僅各大公司開始強(qiáng)制要求員工在家工作，很多學(xué)校也紛紛開始遠(yuǎn)程授課。雖然Zoom此前一直主要針對企業(yè)用戶，但作為一款可以免費(fèi)使用的在線視頻會(huì)議軟件，也受到了很多老師的青睞，把它當(dāng)成是“云上課”工具。

這本來是zoorri擴(kuò)大用戶群的絕佳機(jī)會(huì)，然而有多家媒體紛紛爆出學(xué)生使用Zoom上課卻遭遇不明人士亂入的事故，從中學(xué)生，到大學(xué)教授，再到瑜伽老師都沒能幸免。

很多人在社交媒體上大吐苦水，抱怨惡搞者故意大吼大叫，播放歌曲，還有人貼出種族歧視圖片，甚至公然播放成人視頻，迫使授課或會(huì)議中斷，造成了十分惡劣的影響。更過分的是，如果會(huì)議主持人不熟悉Zoom設(shè)置，那么即使封掉入侵者，他還會(huì)換個(gè)馬甲重新進(jìn)入，導(dǎo)致會(huì)議根本無法繼續(xù)。

由于這種現(xiàn)象不在少數(shù)，故而得名“Zoom-bombing （Zoom炸彈）”。南加州大學(xué)校長C.arol L'Folt專門發(fā)表公開信譴責(zé)這種行為：“我對學(xué)生和教師不得不親眼目睹這種卑劣的行為感到非常難過。”在缺乏有效監(jiān)管，而且很多人都閑在家里極度無聊的情況下，模仿這種行為的風(fēng)氣愈演愈烈，一度有人在某些論壇上傳授如何制造“Zoom炸彈”。好多人還會(huì)沆韰一氣，在社交平臺(tái)上召集戰(zhàn)友，有針對性地聯(lián)手破壞一場會(huì)議。

云會(huì)議本身的機(jī)制導(dǎo)致人們很難追蹤他們，更別提懲罰他們。必須強(qiáng)調(diào)的是，不懷好意的惡搞者是罪魁禍?zhǔn)?，但Zoom軟件面臨的輿論譴責(zé)并非無理。由于Zoom會(huì)議ID的規(guī)律性（9位—11位數(shù)字），一名網(wǎng)絡(luò)安全專家已經(jīng)編寫出程序，可以自動(dòng)掃描未經(jīng)加密的會(huì)議，一小時(shí)就能搜到100個(gè)左右。

對于搗亂者來說，Zoom的很多默認(rèn)設(shè)置就相當(dāng)于敞開大門，歡迎他們來搞事情;這大大增加了會(huì)議受到不速之客打擾的概率。比如改版前的會(huì)議鏈接默認(rèn)不需要密碼，任何人都能加入，同時(shí)“允許其他與會(huì)者共享屏幕內(nèi)容（無需主持人批準(zhǔn)）”也是默認(rèn)選項(xiàng)。這兩條合起來就好比告訴陌生人：這是我家地址，不用鑰匙就能進(jìn)，來了就別客氣，把這當(dāng)成自己的家。相比之下，微軟等公司的同類云辦公軟件更加克制，通常默認(rèn)由會(huì)議主持者控制屏幕共享等功能。好在Zoom亡羊補(bǔ)牢，幾周內(nèi)連續(xù)出臺(tái)了補(bǔ)救措施和設(shè)置指南，包括如何讓會(huì)議更安全的教程，以及默認(rèn)開啟會(huì)議密碼和等待室選項(xiàng)，防止有人不請自來，或者在主持人準(zhǔn)備好之前進(jìn)入會(huì)議搗亂。

為了進(jìn)一步打擊“Zoom炸彈”，美國司法部下屬的密歇根州東區(qū)檢察官辦公室發(fā)表聲明稱，非法入侵視頻會(huì)議的人可能會(huì)被指控犯有州或聯(lián)邦罪行，任何受到騷擾的人都可以向FBI舉報(bào)?！澳阌X得Zoom炸彈很好玩？讓我們走著瞧，看看你被捕了之后還覺得它好玩嗎？”州檢察官M(fèi)atthew Schneider直言不諱。

端到端加密危機(jī)

退一步講，在“Zoom炸彈”事故中，Zoom出現(xiàn)設(shè)計(jì)邏輯漏洞情有可原。畢竟疫情發(fā)酵之前，其目標(biāo)群體是企業(yè)內(nèi)部員工，類似“無需允許就可以共享屏幕”的產(chǎn)品邏輯，基于會(huì)議參與者都是受信賴的前提考慮也說得過去，并非觸及網(wǎng)絡(luò)安全的根本問題。然而它接下來被曝光的安全問題，則將其面臨的考驗(yàn)提升了一個(gè)新高度。

首先是Zoom宣稱其視頻經(jīng)過端到端加密，這被廣泛認(rèn)為是最私密的互聯(lián)網(wǎng)通信方式，能有效保護(hù)用戶的通信內(nèi)容不被第三方（包括Zoom自己）接觸到。但據(jù)The Intercept網(wǎng)站報(bào)道，實(shí)際上Zoo]m僅在部分文本信息和部分模式的音頻中使用了端到端加密，而在至關(guān)重要的視頻和電話通信方面則并未使用這一加密方式。

事實(shí)上，Zoorri曾在一份官方文件中承諾，將使用端到端方式對會(huì)議內(nèi)容進(jìn)行加密，甚至是在加密模式下使用該應(yīng)用進(jìn)行視頻會(huì)議時(shí)，界面上方還有“正在使用端到端加密”的字樣。但被問及視頻會(huì)議是否在實(shí)際上通過端到端加密時(shí)，Zoom的發(fā)言人表示：現(xiàn)階段，不可能為Zoom平臺(tái)上的視頻會(huì)議啟用端到端加密。在端到端加密的模式下，視頻和音頻內(nèi)容需要經(jīng)過加密處理，而只有會(huì)議的參與者才擁有密鑰，有能力對數(shù)據(jù)進(jìn)行解密。在這過程中，Zoom雖然可以訪問到加密內(nèi)容，但由于不掌握密鑰而不具備解鎖的能力。

在實(shí)際的運(yùn)營中，Zoom在保護(hù)會(huì)議視頻內(nèi)容的加密方式是TLS

（Transport LayerSecurity，傳輸層安全協(xié)議），跟很多網(wǎng)站使用的HTTPS傳輸協(xié)議相同。也就是說，其安全程度跟保護(hù)網(wǎng)頁流量不被監(jiān)聽差不多。具體來說，用戶在電腦或手機(jī)上運(yùn)行Zoom時(shí)，設(shè)備端到Zoom的服務(wù)器之間是加密的。但不同于端到端加密的關(guān)鍵點(diǎn)在于，Zoom自己具備訪問未被加密的視頻和音頻內(nèi)容的能力。因此在采用TLS加密方式下，用戶的視頻或音頻內(nèi)容可以防止被第三方竊取，比如通過WIFI監(jiān)視的方式，但這些內(nèi)容和數(shù)據(jù)并不能在Zoom這里保證安全。在這一問題上，Zoom回應(yīng)稱，Zoom不會(huì)訪問、竊取和出售用戶數(shù)據(jù)。

? ? 截圖顯示Zoom特意在使用時(shí)強(qiáng)調(diào)自己使用了端到端加密連接，見左上角

Zoom發(fā)言人解釋道，公司在文件中提到的“端到端”指的是不同的Zoom端點(diǎn)之間的加密。這種說法是將Zoom的服務(wù)器視作是一個(gè)端點(diǎn)，這種做法和以往的常規(guī)理解并不相同。約翰·霍普金斯大學(xué)的密碼學(xué)家和計(jì)算機(jī)科學(xué)教授Matthew Green指出，多人參與的在線視頻本身是很難進(jìn)行端到端加密的，這是因?yàn)槠脚_(tái)需要在會(huì)議過程中識(shí)別哪個(gè)用戶正在通話，并將這名用戶的高分辨率視頻流分發(fā)給其他參會(huì)者，而對于其他的未講話的參與者，平臺(tái)只會(huì)提供低分辨率的視頻流。“如果都是端到端加密，你需要更多額外的步驟?！瘪R修·格林表示，“這是可行的，但并不容易”。他指出，蘋果在自家的視頻通話軟件Facenme上就使用了端到端加密。對于這種疑似欺瞞行為，他表示，Zoom在端到端加密的解釋上有點(diǎn)模糊。

泄露系統(tǒng)登陸憑據(jù)

除了備受爭議的加密手段，Zoom還被多個(gè)信息安全專家點(diǎn)名，稱其Windows和Mac版軟件均存在暴露用戶登錄憑據(jù)的風(fēng)險(xiǎn)。

以Windows版本為例，Zoom的聊天系統(tǒng)會(huì)自動(dòng)將URL，地址轉(zhuǎn)換為可以點(diǎn)擊的鏈接，以便其他用戶導(dǎo)航到對應(yīng)網(wǎng)站。比如發(fā)送google.com文本，就會(huì)以鏈接的形式發(fā)出。但是Zoom還會(huì)將Windows系統(tǒng)的UNC路徑同樣轉(zhuǎn)換為鏈接。UNC路徑通常被用于訪問網(wǎng)絡(luò)路徑、設(shè)備或文件，比如連接局域網(wǎng)內(nèi)的打印機(jī)。如果用戶點(diǎn)擊這種鏈接，Windows會(huì)使用SMB文件共享協(xié)議與該地址通信。默認(rèn)情況下，系統(tǒng)會(huì)嘗試使用用戶名和NTLM密碼哈希值登錄，以訪問該設(shè)備或網(wǎng)絡(luò)文件夾，有經(jīng)驗(yàn)的黑客可以借助Hashcat這樣的免費(fèi)工具來逆向運(yùn)算，破解密碼。通常來說，很多軟件都會(huì)區(qū)分對待URL和UNC，后者不應(yīng)該被默認(rèn)加上可以點(diǎn)擊的鏈接樣式，而是應(yīng)該以純文本的形式發(fā)送，以防有人誤點(diǎn)。

最早公布這一漏洞的安全人員已經(jīng)證實(shí)了UNC.注入攻擊的可行性，不僅捕獲和破解了登錄憑據(jù)，還能啟動(dòng)命令提示符（cMD）等本地程序。

目前Zoom已經(jīng)獲悉了漏洞的存在，尚不清楚是否已經(jīng)修復(fù)。

數(shù)據(jù)不透明

最后，作為一款視頻會(huì)議軟件，另一個(gè)老生常談的話題就是用戶數(shù)據(jù)收集和透明度。在這方面，ZOOm 顯然還需要更多努力。

根據(jù)Motherboard的分析，由于Zoom的iOS版應(yīng)用使用了Facebook的Graph API，即使用戶沒有Facebook賬戶，該應(yīng)用也會(huì)向Facebook發(fā)送一些分析數(shù)據(jù)，比如在應(yīng)用開啟時(shí)通知Facebook，并且發(fā)送設(shè)備型號(hào)、時(shí)區(qū)、所在城市、電信運(yùn)營商和廣告ID等信息。經(jīng)媒體曝光后，Zoom目前已經(jīng)刪除了發(fā)送數(shù)據(jù)的代碼。

事實(shí)上，這種行為并不少見，亞馬遜旗下的智能門鈴Ring也出現(xiàn)過類似問題。鑒于這種數(shù)據(jù)發(fā)送行為并未明確出現(xiàn)在Zoom公司和軟件的隱私條款中，目前已經(jīng)有人對其提起了集體訴訟，

理由是未經(jīng)用戶允許向Facebook發(fā)送數(shù)據(jù)。

一些用戶還發(fā)現(xiàn)，Zoo：m會(huì)議管理者可以獲得的監(jiān)管信息非常多，包括與會(huì)者的Zoom窗口是否活躍，短時(shí)間內(nèi)是否開啟了其他頁面，以及他們的IP地址、設(shè)備信息和所在地等等。這讓人們開始擔(dān)憂自己的隱私是否過分暴露。紐約總檢察長萊蒂西亞·詹姆斯最近也向Zoom寫信，要求公司提供保護(hù)數(shù)據(jù)隱私和安全的詳細(xì)資料，稱其“解決安全漏洞的速度一直很慢”，擔(dān)心惡意第三方能夠秘密訪問用戶的網(wǎng)絡(luò)攝像頭。

除此之外，在單邊主義抬頭的大環(huán)境下，Zoom創(chuàng)始人袁征和公司研發(fā)團(tuán)隊(duì)的中國背景也被放在聚光燈下審視。加拿大多倫多大學(xué)C）1tizen Lab 的研究人員披露，Zoom軟件偶爾會(huì)將包含加密密鑰的數(shù)據(jù)發(fā)往中國服務(wù)器，即使用戶身在北美。他們多次測試后發(fā)現(xiàn)，該軟件使用的AES-1281256密鑰足夠有效，但使用美國還是中國的密鑰服務(wù)器似乎沒有規(guī)律。雖然研究人員在安全測試報(bào)告中還指出了其他問題，比如會(huì)議等待室存在安全漏洞（待修復(fù)后披露），也肯定了Zoom的一些加密措施。

Zoom公司首席執(zhí)行官袁征

也正是基于這一問題，多倫多大學(xué)的研究人員不建議涉及機(jī)密和敏感信息的會(huì)議使用Zoom，實(shí)現(xiàn)“防患于未然”。對于Zoom來說，如果不做出改變，恐怕還會(huì)有更多麻煩找上門來。Zoom公司顯然深知這一點(diǎn)，僅用不到一天的時(shí)間就公開回應(yīng)，稱已經(jīng)修復(fù)了這一意外錯(cuò)誤。官方給出的理由是近兩個(gè)月用戶量激增，導(dǎo)致北美服務(wù)器承擔(dān)了過大壓力，為了緩解壓力額外增配了服務(wù)器。

正所謂樹大招風(fēng)，短時(shí)間內(nèi)獲得如此之高的關(guān)注度，谷歌和微軟可能都沒享受過這種待遇。我們也不得不承認(rèn)，Zoom這一個(gè)月真是太難了，一系列問題接踵而至。但歸根結(jié)底，拋開地緣政治問題不談，如果產(chǎn)品品質(zhì)過硬，技術(shù)扎實(shí)，邏輯完善，經(jīng)得起推敲和拆解，自然也不會(huì)經(jīng)歷這些。對于一家成立9年，市值超300億美元的公司來說，關(guān)于數(shù)據(jù)、隱私和安全的要求并不苛刻。

有一說一，Zoom目前處理問題的態(tài)度可圈可點(diǎn)，經(jīng)常能看到及時(shí)發(fā)表的長篇聲明，言辭懇切，整改問題的效率也不低。如果能夠化危機(jī)為機(jī)會(huì)好好把握，經(jīng)歷陣痛未嘗不是一件好事?！拔颐刻炀透杏X好像有某股力量在暗中搗鬼，想要摧毀我們。可是我太忙了，根本沒時(shí)間想這些陰謀論?！痹谧罱淮谓邮堋度A爾街日報(bào)》采訪時(shí)，CEO袁征坦誠地表示，“我希望在（疫情）之后可以回歸商業(yè)客戶群，但如果我們能吸取教訓(xùn)，變得更好更強(qiáng)，這一切也許是值得的，只是過程真的太痛苦了?！保ū究C合整理）（編輯/小文）