Problemy z bezpieczeństwem Zoom: Oto wszystko, co poszło nie tak (do tej pory)

Czy korzystasz z Zoom? Prawdopodobnie jesteś. Każdy, kto musiał pracować lub odrabiać lekcje w domu podczas trwającej pandemii koronawirusa, korzysta z platformy wideokonferencyjnej do spotkań, zajęć, a nawet spotkań towarzyskich.

Istnieją dobre powody, dla których Zoom wystartował, a inne platformy nie radzą sobie tak dobrze. Powiększenie jest łatwe w konfiguracji, łatwe w użyciu, pozwala do 100 osób dołącza do spotkania za darmo, a teraz nawet generuje napisy na żywo. To po prostu działa.

Jednak łatwość obsługi Zoomu ułatwiła osobom sprawiającym kłopoty „bombardowanie” otwartych spotkań Zoom. Specjaliści od bezpieczeństwa informacji twierdzą, że bezpieczeństwo Zoom ma wiele dziur, chociaż większość z nich została naprawiona w ciągu ostatnich kilku lat.

Po rozpoczęciu blokady Zoom dodał uwierzytelnianie dwuskładnikowe jako opcja bezpieczeństwa, dająca użytkownikom potężną broń chroniącą ich konta przed przejęciem. Oto jak skonfigurować 2FA dla Zoom.

Przeprowadzono również kontrolę Polityka prywatności Zoom, która na początku 2020 roku wydawała się dawać Zoomowi prawo do robienia wszystkiego, co chce z danymi osobowymi użytkowników, oraz jej polityki szyfrowania, które były raczej mylące.

To wywołało sprzeciw wobec Zoomu. na początku pandemii. W kwietniu 2020 r. Szkoły publiczne w Nowym Jorku przeniosły zakaz spotkań Zoom i inne systemy szkolne zrobiły to samo, chociaż Nowy Jork zniósł zakaz Zoom miesiąc później.

Z wszystkimi tymi problemami ludzie szukali alternatyw dla Zoom, więc sprawdź nasze Skype vs Zoom, aby zobaczyć, jak stara aplikacja wideo przystosowała się do wideokonferencji. Porównaliśmy także Zoom i Google Hangouts.

Zoom jest nadal bezpieczny w większości przypadków

Czy używanie Zoomu jest niebezpieczne? Nie. O ile nie omawiasz tajemnic państwowych lub korporacyjnych ani nie ujawniasz pacjentowi osobistych informacji dotyczących zdrowia, Zoom powinien być w porządku.

W przypadku zajęć szkolnych, spotkań po pracy, a nawet spotkań w miejscu pracy, które pozostają przy rutynowej działalności biznesowej, korzystanie z Zoom nie wiąże się z dużym ryzykiem. Dzieci prawdopodobnie nadal będą się do niego przyciągać, ponieważ mogą nawet korzystać z filtrów Snapchat w Zoom .

Wskazówki dotyczące bezpieczeństwa powiększania

Dołączaj do spotkań Zoom za pomocą przeglądarki internetowej zamiast używania Zoom oprogramowanie komputerowe. Wersja przeglądarki internetowej zapewnia szybsze ulepszenia zabezpieczeń.

„Wersja internetowa znajduje się w piaskownicy w przeglądarce i nie ma uprawnień, jakie ma zainstalowana aplikacja, co ogranicza ilość szkód, jakie może ona potencjalnie spowodować” notatki firma zajmująca się bezpieczeństwem informacji Kaspersky.

Kiedy klikniesz link, aby dołączyć do spotkania, Twoja przeglądarka otworzy nową kartę i poprosi o użycie lub zainstalowanie pulpitu Zoom oprogramowanie. Ale drobnym drukiem jest link „dołącz z przeglądarki”. Kliknij to zamiast.

Jeśli organizujesz spotkanie Zoom, poproś uczestników spotkania, aby zalogowali się za pomocą hasła. Dzięki temu bombardowanie Zoomem będzie znacznie mniej prawdopodobne.

Skonfiguruj uwierzytelnianie dwuskładnikowe dla swojego konta Zoom. Jeszcze raz oto jak.

Zoom tworzy ogromną”powierzchnię ataku”, a hakerzy będą się do niej zbliżać w każdy możliwy sposób. Zarejestrowali już wiele fałszywych domen związanych z Zoomem i opracowują złośliwe oprogramowanie o tematyce Zoom.

Zaletą jest to, że jeśli wiele błędów w Zoom zostanie znalezionych i naprawionych od razu, Zoom będzie dla niego lepszy i bezpieczniejszy.

„Zoom będzie wkrótce najbezpieczniejszym narzędziem konferencyjnym” – napisał na Twitterze dziennikarz techniczny Kim Zetter w kwietniu 2020 r. „Ale szkoda, że ​​nie oszczędzili sobie trochę żalu i nie przeprowadzili pewnych ocen bezpieczeństwa własnych, aby uniknąć tej próby przez ogień.”

Wszystko, co ostatnio poszło nie tak z Zoomem

Aby utrzymać siebie (i ciebie) przy zdrowych zmysłach, umieściliśmy najnowsze problemy z Zoomem na górze i podzieliliśmy starsze problemy na te, które nie zostały rozwiązane, te, które zostały naprawione i te, które nie pasują do dowolnej kategorii.

Czerwiec 4: Nowa polityka prywatności Zoom

Zoom wydał „prostsze, jaśniejsza“polityka prywatności, która odzwierciedla fakt, że podczas pandemii COVID-19 usługa spotkań online „przekształciła się z produktu skoncentrowanego głównie na przedsiębiorstwach w taki, który jest również szeroko stosowany przez osoby fizyczne”.

Zaktualizowana polityka prywatności zawiera więcej informacji na temat tego, kto może „wyświetlać, zapisywać i udostępniać” zawartość spotkania Zoom oraz rodzaje danych, które Zoom zbiera z urządzeń użytkowników.

Możesz przeczytać w pełni zaktualizowany Zoom „oświadczenie” o prywatności tutaj.

1 maja: Zoom wprowadza powiadomienia dotyczące prywatności

W poście na blogu Zoom ogłosił, że dodał powiadomienia o prywatności do najnowszej wersji oprogramowania klienckiego.

„Użytkownicy zobaczą nowe powiadomienia w usłudze, które ułatwiają zrozumienie, kto może zobaczyć, zapisać i udostępniać swoje treści i informacje, gdy dołączają do spotkań i doświadczeń hostowanych w Zoom” — czytamy w poście.

Powiadomienia pojawiają się w oknie czatu podczas spotkania jako przycisk oznaczony „Kto może zobaczyć Twoje wiadomości?” Kliknij na to myszką, a pojawi się dymek z odpowiedzią.

„Użytkownicy znajdą podobne informacje, gdy będą korzystać z innych funkcji spotkań” — czytamy w poście na blogu — „takich jak transkrypcja, ankiety i pytania i odpowiedzi”.

Dodano, że przyszłe aktualizacje będą zawierać powiadomienia, gdy gospodarz spotkania lub uczestnik użyje aplikacji Zoom do transkrypcji lub planowania podczas spotkania.

Czwartek, 8 kwietnia: Błąd Zoom pozwala hakerowi przejąć kontrolę nad komputerami PC i Mac

Dwóch badaczy zademonstrowało w konkursie Pwn2Own, że mogą zdalnie przejmij komputery PC i Mac z systemem Windows, wykorzystując co najmniej jedną nieznaną wcześniej lukę w aplikacji komputerowej Zoom.

Na szczęście jedynymi osobami, które w pełni rozumieją, jak działa ten exploit, są dwaj badacze i sam Zoom, który pracuje nad poprawką. Szanse na użycie tego ataku „na wolności” są niskie, ale jeśli się martwisz, zamiast tego używaj interfejsu przeglądarki Zoom podczas spotkań, dopóki nie zostanie to naprawione.

Piątek, 19 marca: Błąd pozwala innym użytkownikom Zoom zobaczyć zbyt wiele

Zoom umożliwia uczestnikom spotkania współdzielenie wszystkich ekranów komputerów , część ich ekranów lub tylko określone okna aplikacji z innymi osobami na tym samym spotkaniu.

Dwóch niemieckich badaczy odkryło, że przez krótką chwilę cały ekran może być widoczny nawet wtedy, gdy użytkownik Zoom udostępniający ekran ma być tylko częścią ekranu. Wszyscy uczestnicy nagrywający spotkanie mogliby zamrozić klatki podczas odtwarzania i wyświetlić potencjalnie poufne informacje.

Zoom powiedział, że pracuje nad rozwiązaniem problemu, ale w momencie pisania tego tekstu usterka nadal była obecna w najnowsza wersja oprogramowania klienckiego Zoom dla komputerów stacjonarnych przynajmniej dla systemów Windows i Linux.

Wtorek, 23 lutego: Zaszyfrowany czat Keybase firmy Zoom naprawia poważną usterkę

Keybase, zaszyfrowany system weryfikacji w mediach społecznościowych i aplikacja do czatu kupiona przez Zoom w maju 2020 r., miała poważna wada które zachowywały obrazy w katalogach online nawet po ich usunięciu przez użytkownika.

Usterka została zgłoszona Zoomowi na początku stycznia 2021 r., a aktualizacja oprogramowania Keybase w celu naprawienia usterki została wydana później w tym samym miesiącu.

Poniedziałek, 8 lutego: Badanie mówi, że próba powstrzymania bombardowania Zoom często nie działa

Nowe badanie przeprowadzone przez naukowców z Boston University i Binghamton University odkryły, że próby powstrzymania „bombardowania zoomem”, takie jak wymaganie haseł lub zmuszanie uczestników do gulaszu w „poczekalniach”, często nie działają.

To dlatego, że wiele ataków jest przeprowadzanych przez „wtajemniczonych”, którzy są już upoważnieni do udziału w spotkaniach.

„Nasze ustalenia wskazują, że zdecydowana większość wezwań do bombardowania Zoomem nie jest dokonane przez napastników, którzy natkną się na zaproszenia na spotkania lub brutalnie wymuszają swój identyfikator spotkania, ale raczej przez osoby z wewnątrz, które mają legalny dostęp do tych spotkań, zwłaszcza uczniów w szkole średniej i na studiach”, stwierdza dokument zatytułowany „Pierwsze spojrzenie na Zoombombowanie.”

Jedyną skuteczną obroną przed takimi atakami wewnętrznymi, jak argumentuje gazeta, jest stworzenie „unikalnych linków dołączających dla każdego uczestnika”.

Piątek, 29 stycznia: Miasto stara się zakazać bombardowania Zoomem

Dotknięte epidemią bombardowań Zoomem podczas zgromadzeń miejskich, miasto Juneau na Alasce bada sposoby na zakazanie tej praktyki.

“Mamy kilka na poziomie zgromadzeń, mieliśmy kilka na poziomie zarządu szkoły, mieliśmy kilka na niektórych zebraniach zarządu komisji” – powiedział prawnik miejski Rob Palmer, według strony internetowej stacji radiowej KTOO.

Policja w stolicy Alaski miałem trudności z wyśledzeniem bombowców Zoom. Miasto ma nadzieję, że czyniąc tę ​​praktykę nielegalną, może zmusić Zoom do przekazania informacji identyfikujących cyfrowych złoczyńców.

Poniedziałek, 21 grudnia: Dyrektor Zoom oskarżony o bycie chińskim szpiegiem

W bombardowanym ogłoszeniu USA Departament Sprawiedliwości poinformował, że wydał nakaz aresztowania byłego dyrektora Zooma Jin Xinjianga, znanego również jako Julien Jin, który do niedawna był łącznikiem między Zoomem a chińskim rządem.

Oskarżone przez USA. Jin wykorzystał swoją pozycję do zakłócania i przerywania spotkań Zoom wśród amerykańskich użytkowników Zoom z okazji rocznicy masakry na placu Tiananmen w 1989 roku oraz do przekazywania chińskiemu rządowi informacji na temat użytkowników Zoom i spotkań Zoom. Uważa się, że Jin mieszka w Chinach.

Jin rzekomo korzystał z pomocy nienazwanych współspiskowców, którzy stworzyli fałszywe konta e-mail i konta Zoom na nazwiska znanych chińskich dysydentów „w celu sfabrykowania dowodów na to, że gospodarze i uczestnicy podczas spotkań upamiętniających masakrę na placu Tiananmen wspierali organizacje terrorystyczne, podżegali do przemocy lub rozpowszechniali pornografię dziecięcą”.

Departament Sprawiedliwości powiedział, że chiński rząd wykorzystał informacje dostarczone przez Jina do zemsty na użytkownikach Zoom w Chinach lub mieszkających w Chinach rodzin użytkowników Zoom poza Chinami.

Ogłoszenie Departamentu Sprawiedliwości i nakaz aresztowania odnoszą się tylko do nienazwanej-1” jako pracodawca Jina, ale w poście na blogu Zoom przyznał, że to była firma i prowadziła własne dochodzenie po otrzymał wezwanie od rządu USA w czerwcu 2020 r.

Post wyjaśniał dalej, że Jin został zatrudniony przez Zoom w październiku 2019 r. w ramach umowy z chińskim rządem, który we wrześniu 2019 r. „przekształcił się z naszej usługi w Chinach bez ostrzeżenia”.

Ceną za ponowne włączenie Zoom w Chinach było zatrudnienie „wewnętrznego przedstawiciela do spraw organów ścigania” – tj. Jin – i przeniesienie danych Chińscy użytkownicy do serwerów w Chinach. Usługa Zoom została przywrócona w Chinach w listopadzie 2019 r., a nakaz aresztowania Jin wydany przez Departament Sprawiedliwości rok później.

„W trakcie naszego dochodzenia dowiedzieliśmy się, że ten były pracownik naruszył zasady firmy Zoom przez , między innymi, próbując obejść pewne wewnętrzne kontrole dostępu” – powiedział Zoom.. „Rozwiązaliśmy zatrudnienie tej osoby”.

Zoom przyznał, że Jin „udostępnił lub kierował udostępnianiem ograniczonej ilości danych użytkownika z chińskimi władzami” oraz że informacje „mniej niż dziesięć…użytkownicy spoza Chin” zostały również dostarczone do Chin.

Poniedziałek, 7 grudnia: Powiększ oszustwa phishingowe

Better Business Bureau ostrzega użytkowników Zoom przed oszustami kradzieży ich nazw użytkowników i haseł za pomocą wiadomości e-mail i SMS-ów phishingowych, zgłasza Threatpost.

Komunikaty informują, że „Twoje konto Zoom zostało zawieszone” lub że „przeoczyłeś spotkanie” i zaoferuj pomocny link do ponownego zalogowania się. Ale nie daj się nabrać – strona logowania jest naprawdę pułapką do przechwycenia twoich danych logowania użytkownika Zoom, za pomocą których oszuści mogą użyć, a nawet ukraść twoje konto Zoom unt.

Poniedziałek, 16 listopada: Zoom w końcu rozbija bombę Zoom

Jeden z Największym problemem z Zoomem było „bombardowanie Zoomem”, w którym nieproszeni uczestnicy rozbijają spotkanie Zoom i zakłócają je. W weekend Zoom udostępnił dwie nowe funkcje do walki z tym.

Pierwsza opcja „Zawieś działania uczestników” umożliwia gospodarzowi spotkania wstrzymanie spotkania, usunięcie przeszkadzających uczestników, a następnie wznowienie spotkania. Drugi, „Raport przez uczestników”, rozszerza na uczestników spotkania możliwość zgłaszania przeszkadzających uczestników, co wcześniej było dostępne tylko dla gospodarzy spotkania.

Wtorek, 10 listopada: FTC twierdzi, że Zoom kłamał w sprawie bezpieczeństwa

Federalna Komisja Handlu ogłosiła, że ​​Zoom”wprowadzonych w błąd użytkowników”i”zaangażowanych w szereg oszukańczych i nieuczciwych praktyk” dotyczących własnego bezpieczeństwa. FTC powołała się na fałszywe szyfrowanie end-to-end odkryte w marcu i oprogramowanie, które Zoom zainstalował na komputerach Mac bez autoryzacji w 2018 i 2019 roku.

Zoom musi zgadzać się na coroczne wewnętrzne przeglądy bezpieczeństwa i zewnętrzne przeglądy bezpieczeństwa co dwa lata i musi wdrożyć lukę w zabezpieczeniach-program zarządzania. Innym zastrzeżeniem było to, że Zoom oferuje klientom uwierzytelnianie wieloskładnikowe, które już wdrożył.

Piątek, 6 listopada: Podglądanie po naciśnięciu klawisza Zoom

Naukowcy z Teksasu i Oklahomy odkryli, że można stwierdzić, co ktoś pisze podczas połączenia Zoom, obserwując jego ramiona i ramiona.

Korzystając z komputera, zespół badawczy był w stanie odkryć hasła użytkowników do 75% przypadków, w zależności od rozdzielczości kamery i tego, czy osoba miała na sobie koszulę z rękawami, czy też miała długie włosy.

Do tego celu można wykorzystać dowolny rodzaj platformy do wideokonferencji, stwierdzili naukowcy, podobnie jak filmy z YouTube lub platformy strumieniowe, takie jak Twitch.

Wtorek, październik 27

Funkcja kompleksowego szyfrowania Zoom w końcu została uruchomiona, z wyjątkiem iOS, gdzie musiała czekać na zatwierdzenie przez Apple. Mamy instrukcje jak włączyć pełne szyfrowanie Zoom.

Środa, 15 października

Po długim okresie bez wiadomości o Zoomie, firma ogłosiła, że ​​szyfrowanie end-to-end to nad którym pracowałem od wielu miesięcy, wkrótce będzie dostępny do testów beta.

Użytkownicy będą musieli poczekać na aktualizację oprogramowania klienckiego Zoom w trzecim tygodniu października. Gospodarze spotkania będą decydować, czy zaszyfrować spotkanie Zoom w całości. Te spotkania nie będą działać (na razie) dla użytkowników próbujących dołączyć przez interfejs przeglądarki internetowej lub przez telefon.

Piątek, 31 lipca

Jeśli pamiętasz, że interfejs internetowy Zoom nie działał przez kilka dni w kwietniu 2020 r., Teraz wiemy, dlaczego: firma naprawiła bardzo poważną lukę w zabezpieczeniach, która mogła pozwolić każdemu dołączyć do prywatnego spotkania Zoom.

Brytyjski badacz bezpieczeństwa Tom Anthony szczegółowo opisał na swoim blogu w tym tygodniu, jak odkrył, że może rób niekończące się losowe zgadywanie 6-cyfrowych kodów PIN, które Zoom przypisuje do prywatnych spotkań. To milion możliwości do przejścia, co może być trudne dla człowieka, ale nie jest trudne dla przyzwoicie zasilanego komputera z wieloma wątkami.

Anthony odkrył, że może włamać się na spotkania Zoom w ciągu około pół godziny , daj albo bierz. To na długo przed zakończeniem wielu spotkań.

Wada została już naprawiona, więc nie musisz się martwić tą konkretną drogą bombardowania Zoom.

STATUS: Naprawiono.

Piątek, 10 lipca

Nienazwany badacz bezpieczeństwa znalazł krytyczna luka w oprogramowaniu klienckim Zoom dla Windows, która pozwoliłaby hakerowi zdalnie przejąć kontrolę nad dowolnym komputerem z systemem Windows 7 lub starszym. Zoom naprawił usterkę za pomocą aktualizacji oprogramowania wkrótce po tym, jak usterka stała się publicznie znana.

STATUS: Naprawiono.

Środa, 17 czerwca: Powiększ jaskinie krytykom, zaoferuje wszystkim kompleksowe szyfrowanie

Wycofując się po ciągłej krytyce ze strony zwolenników ochrony prywatności, Zoom ogłosił w blog publikujący 17 czerwca, że zbliża się koniec Szyfrowanie do końca (E2E) nie byłoby już tylko dla płatnych użytkowników. Miliony ludzi, którzy używają Zoom za darmo do szkoły, spotkań towarzyskich i pracy, również otrzymają kompleksowe szyfrowanie.

„Zidentyfikowaliśmy ścieżkę naprzód, która równoważy uzasadnione prawo wszystkich użytkowników do prywatności i bezpieczeństwo użytkowników naszej platformy” – napisał dyrektor generalny Eric S. Yuan. „Umożliwi nam to oferowanie E2EE jako zaawansowanej funkcji dodatkowej dla wszystkich naszych użytkowników na całym świecie – bezpłatnej i płatnej – przy jednoczesnym zachowaniu możliwości zapobiegania nadużyciom i zwalczania ich na naszej platformie”.

Ale jeśli jesteś darmowym użytkownikiem, który chce E2E, najpierw musisz zweryfikować swoją tożsamość w Zoom za pomocą jednorazowego hasła lub podobnej usługi. Utrudni to „zoom bomb” spotkań.

Szyfrowanie E2E pozostanie funkcją opcjonalną, przypomniał Yuan, ponieważ po aktywacji nikt nie może dołączyć do spotkania przez telefon lub przy użyciu określonego sprzętu do telekonferencji w biurze. Od gospodarzy spotkania zależeć będzie, czy aktywować E2E.

Piątek, 12 czerwca

Zbliżenie w gorącej wodzie w USA w stosunku do wolności słowa i cenzura po tym, jak, kłaniając się żądaniom chińskiego rządu, czasowo zawiesiła konta trzech chińskich dysydentów, którzy byli gospodarzami otwarte spotkania upamiętniające 4 czerwca rocznicę masakry na placu Tiananmen.

Firma przeprosiła za działania w poście na blogu z 11 czerwca i powiedział, że opracuje sposób blokowania uczestników spotkania z określonych lokalizacji (np. z Chin) bez całkowitego zamykania spotkań.

To nie wystarczyło, aby usatysfakcjonować kilkunastu amerykańskich kongresmenów i senatorów z obu partii, którzy napisali listy do urodzonego w Chinach dyrektora generalnego Zoom, Erica S. Yuana, żądając, aby dowiedzieć się, jak przytulna jest jego firma z Pekinem rządu.

Czwartek, 4 czerwca: Cisco Talos ujawnia dwie poważne wady Zooma

Talos, firma badająca bezpieczeństwo informacji należąca do Cisco, ujawniła 3 czerwca, że ​​znalazła dwie poważne wady w aplikacjach klienckich Zoom, które zostały teraz załatane.

pierwsza wada pozwoliłaby atakującemu użyć specjalnie stworzonego animowanego GIF-a umieszczonego na czacie spotkania Zoom do zhakowania oprogramowania klienckiego Zoom na komputerach innych osób w celu wymuszenia instalacji złośliwego oprogramowania lub, jak ujął Talos to „osiągnij wykonanie dowolnego kodu”.

druga wada dotyczy również funkcji czatu w oprogramowaniu klienckim Zoom Meeting, co może mieć równie poważne potencjalne konsekwencje. Problem polegał na tym, że Zoom nie sprawdzał poprawności zawartości udostępnionych plików skompresowanych, takich jak pliki.zip.

Atakujący mógł wysłać złośliwe oprogramowanie w postaci skompresowanego pliku do użytkownika za pośrednictwem czatu spotkania Zoom, a klient Zoom użytkownika zapisałby i otworzył złośliwe oprogramowanie w katalogu aplikacji Zoom.

Co gorsza, gdyby użytkownik zapisywał skompresowany plik Zoom w innym miejscu na komputerze, na przykład na pulpicie, atakowany mógłby wysłać zmienioną wersję pierwszego pliku o tej samej nazwie.

Zoom automatycznie otworzy drugą wersję (ale nie pierwszą), pozwalając złośliwemu oprogramowaniu „umieszczać pliki binarne w niemal dowolnych ścieżkach i… potencjalnie nadpisywać ważne pliki i prowadzić do wykonania dowolnego kodu”.

p>

STATUS: Naprawiono.

Poniedziałek, 1 czerwca

Nadchodzące kompleksowe szyfrowanie Zoom jest przeznaczone głównie dla płatnych użytkowników, jak sam Zoom stwierdził w maju 7. Ale Alex Stamos, znany ekspert ds. bezpieczeństwa informacji, który doradza Zoomowi w sprawach bezpieczeństwa, powiedział Reuters w zeszłym tygodniu, że szkoły i inne organizacje non-profit przedsiębiorstwa mogą również uzyskać kompleksowe szyfrowanie swoich kont.

„Dyrektor generalny patrzy na różne argumenty” – powiedział Stamos Reuterowi. „Obecny plan to płatni klienci oraz konta firmowe, na których firma wie, kim są”.

Środa, 27 maja

Wszyscy administratorzy Zoom Pokoje muszą zaktualizuj ich oprogramowanie do 30 maja Zoom powiedział w blogu opublikowanym 26 maja.

Aktualizacja Zoom 5.0 zapewni „większe kontrole bezpieczeństwa i prywatności hosta”, powiedział Zoom, ale także „spełni minimalne wymagania wersji 5.0 lub większe dla szyfrowania GCM, które będzie włączone i wymagane dla wszystkich spotkań 30 maja”.

Więcej informacji na temat aktualizacji Zoom Rooms znajduje się tutaj. Aktualizacje 5.0 dla oprogramowania klienckiego Zoom zostały udostępnione użytkownikom systemów Windows, Mac, Android, iOS, Chrome OS, Amazon Fire i Linux pod koniec kwietnia.

czwartek, 21 maja

Dwa kolejne wystąpienia uszkodzone instalatory Zoom zostały znalezione przez badaczy firmy Trend Micro.

Pierwszy otwiera tylne drzwi na komputerze PC; drugi szpieguje właściciela komputera za pomocą zrzutów ekranu, keyloggera i przechwytywania kamery internetowej, a następnie umieszcza komputer w botnecie Devil Shadow.

Oba instalatory instalują klienta oprogramowania Zoom, więc ofiary mogą nie być mądrzejsze. Jak zawsze, pobierz oprogramowanie Zoom prosto ze strony Zoom na Zoom.us lub dołącz do spotkania Zoom bezpośrednio z przeglądarki internetowej.

Poniedziałek, 18 maja

Poniedziałek, 18 maja

Zoom doznał niewyjaśnionej awarii Niedziela, 17 maja, czyniąc go niedostępnym dla tysięcy użytkowników w USA i Wielkiej Brytanii Przestój, który rozpoczął się w niedzielę rano czasu brytyjskiego, trwał kilka godzin i wpłynął na nabożeństwa online w obu krajach. Nawet codzienne podsumowanie dotyczące koronawirusa został naruszony, co uniemożliwiło dziennikarzom zadawanie pytań w Zoom.

Niektórzy użytkownicy zgłaszali na Twitterze, że wylogowanie się z kont Zoom, a następnie ponowne zalogowanie, wydawało się rozwiązać problem.

Strona stanu Zoom zauważyła, że ​​aktualizacja zaplecza miała miejsce wcześniej w niedzielę rano, ale wydawało się, że nie ma żadnego powiązania między tą aktualizacją a awarią, która rozpoczęła się kilka godzin później.

The Zoom status page said at the time that the outages”appear to be limited to a subset of users”and that Zoom was”working to identify the root cause and scope of this issue.”A few hours later, the problem was declared”resolved”without further details.

Tuesday, May 12

Cybercriminals may have registered hundreds of new Zoom-related website addresses in the past few weeks, according to researchers at Israeli security firm Check Point.

Many of these sites are being used in phishing attacks to grab victims’Zoom usernames and passwords, and similar scams are leveraging rival video-conferencing platforms such as Google Meet and Microsoft Teams.

Over the weekend, online vandals hijacked the graduation ceremony at Oklahoma City University, replacing the Zoom video feed with racist language and symbols. It wasn’t immediately clear whether this was a result of regular Zoom-bombing or if the attackers used less well-known methods to disrupt the video feed.

Friday, May 8

Zoom bans free users from tech-support calls

Zoom announced May 7 that due to its technical-support staff being overwhelmed with calls, it would be able to give personal technical assistance only to”owners and administrators”of paid accounts.

In other words, any user, owner or administrator of a free Zoom account, and end users of paid accounts, won’t be entitled to human help. Instead, they’ll have to rely on the FAQs and how-to’s list on the Zoom online resources page.

For now, this provision applies only to May and June 2020. If the coronavirus lockdown last longer than that, Zoom may have to hire more tech-support staffers.

Zoom promises to beef up security in agreement with N.Y. attorney general

New York State Attorney General Letitia James’office reached an agreement with Zoom May 7 following an investigation into Zoom’s security and privacy practices.

There isn’t a lot of new stuff in the agreement. Most of the NYAG’s complaints with Zoom involved issues discussed in this story you’re reading. Most of the stipulations Zoom agreed to are things the company is already doing, including making passwords mandatory and using better encryption.

In the long term, Zoom has to conduct regular code reviews and conduct yearly penetration-testing exercises, in which paid hackers try to break through the company’s defenses.

Only two new things will directly affect consumers. Zoom has to beef up password security by preventing automated password-stuffing attacks (such as by adding CAPTCHAs to login pages) and must automatically reset compromised passwords.

It also has to update its Acceptable Use policies to ban”abusive conduct include hatred against others based on race, religion, ethnicity, national origin, gender, or sexual orientation.”

Frankly, these are longstanding standard policies at many other online companies, so we’re a little surprised that they weren’t already Zoom policies.

Thursday, May 7

Zoom is buying the small New York City startup Keybase in a bid to quickly implement true end-to-end encryption for Zoom meetings, Zoom CEO Eric S. Yuan announced. The purchase price or other terms of the deal were not disclosed.

Keybase makes user-friendly software to easily and securely encrypt messaging and social media posts.

In March, Zoom had to admit that its touted”end-to-end”encryption was not the real thing because Zoom’s own servers are always able to access the contents of meetings. Once Keybase’s technology is incorporated, that will no longer always be the case.

Wednesday, May 6

Meeting passwords and waiting rooms will be required by default for all Zoom meetings, free or paid, beginning May 9, Zoom announced. Only hosts will be able to share their screens by default, but like the other settings, that can be changed.

Tuesday, May 5: Zoom CEO Yuan addresses security, nationality issues

In a company blog post, Zoom CEO Eric S. Yuan said the massive increase in Zoom usage since the beginning of the coronavirus lockdown had been”challenging,”but also provided”opportunities for us to drive meaningful change and improvement.”

Yuan admitted that”we failed to set pre-configured security features for our new customers, especially for schools,”referring to meeting passwords and waiting rooms.”Instead, we assumed they would understand our platform like our business customers understand our platform and customize these features themselves.”

That resulted in”uninvited, offensive, and sometimes even truly evil people disrupting meetings,”Yuan wrote. (Such a person disrupted a Zoom meeting on sexual violence in the Bay Area last week.)

Yuan also addressed rumors about his own, and Zoom’s, ties to China. He said he had lived in the U.S. since 1997 and had become a U.S. citizen in 2007, and that Zoom is a fully American company.

“Similar to many multinational technology companies, Zoom has operations and employees in China…. operated by subsidiaries of the U.S. parent company,”Yuan wrote.”Our operations in China are materially similar to our U.S. peers who also operate and have employees there.”

“We have 1 (one) co-located data center in China [that is] run by a leading Australian company and is geofenced,”Yuan added.”It exists primarily to satisfy our Fortune 500 customers that have operations or customers in China and want to use our platform to connect with them.”

Monday, May 4

A reporter for London’s Financial Times resigned after he was caught crashing internal Zoom meetings at rival London newspapers.

Mark Di Stefano announced his resignation on Twitter after The Independent documented how Di Stefano had last week joined an Independent staff meeting regarding pay cuts and furloughs, first under his own name, then anonymously.

Shortly thereafter, the Financial Times ran a story by Di Stefano about The Independent making cutbacks. Di Stefano cited his sources as”people on the call,”The Independent said.

The Independent also found that Di Stefano’s cellphone had earlier been used to access a Zoom meeting at the Evening Standard, another London newspaper. That meeting was followed by a Financial Times piece about Evening Standard furloughs and pay cuts.

Friday, May 1

Zoom isn’t the only video-conferencing platform to have questionable privacy policies, Consumer Reports said in a blog post: Cisco Webex, Microsoft’s Teams and Skype, and Google’s Duo, Meet and Hangouts do too.

“All three companies can collect data while you’re in a videoconference, combine it with information from data brokers and other sources to build consumer profiles, and potentially tap into the videos for purposes like training facial recognition systems,”Consumer Reports said.

Consumer Reports said you should know that everything in a video meeting may be recorded, either by the host or another participant.

It also recommended dialing into video-conference meetings over the phone, not creating accounts with the services if possible, and using”burner”email addresses otherwise.

Thursday, April 30

Zoom caught fibbing again

Zoom stock shares dipped nearly 9% Thursday, April 30, the day the company joined the NASDAQ 100 stock index.

After prodding from reporters at The Verge, Zoom admitted that it did not in fact have a recent peak of 300 million daily users, as stated in a blog post last week.

Rather, Zoom had a peak of 300 million daily”participants.”If you attend more than one Zoom meeting per day, then you’re counted as a separate”participant”each time.

“We unintentionally referred to these participants as’users’and’people,'”Zoom said in a statement to The Verge.”This was a genuine oversight on our part.”

So how many daily users does Zoom now have? The company hasn’t said.

More malware-embedded Zoom installers

Researchers at Trend Micro spotted another Zoom installer file that had been corrupted with malware.

In this case, it’s spyware that can turn on the webcam, take screenshots and log keystrkes, as well as collecting diagnostic data about the system it’s running on. It also installs a fully working version of the Zoom desktop client.

“Since the system downloaded a legitimate Zoom application version (4.6), it won’t make the users suspicious,”the Trend Micro team noted in a blog post.”However, the system has already been compromised at this point.”

You don’t need to install any software on your desktop to run Zoom. But if you must, then get that software only from the official website at https://zoom.us/download.

Wednesday, April 29

Zoom a target for foreign hackers

Zoom is a prime target for foreign spies, especially Chinese intelligence operatives, the Department of Homeland Security has warned U.S. government agencies and law-enforcement agencies, according to ABC News.

“Zoom’s sudden immense growth and use across both public and private sector entities in combination with its highly publicized cybersecurity issues creates a vulnerable, target-rich environment,”the DHS intelligence analysis purportedly says.”Any organization currently using–or considering using–Zoom should evaluate the risk of its use.”

Foreign spies would be interested in any internet-based communications medium that saw such a steep increase in growth. But the DHS report singled out China as a likely meddler in Zoom security because Zoom has a substantial number of staffers in that country.

“China’s access to Zoom servers makes Beijing uniquely positioned to target U.S. public and private sector users,”ABC News quoted the DHS report as stating.

However, Zoom in the past week has given paid meeting hosts the option of avoiding Zoom servers in specific regions, including China and North America. Unpaid Zoom hosts will by default use only servers in their home regions.

A Zoom spokesperson told ABC News that the DHS report was”heavily misinformed”and included”blatant inaccuracies.”

Tuesday, April 28

Zoom safer to use than Apple’s FaceTime?

A new report from Mozilla, the non-profit maker of the Firefox web browser, says that Zoom’s privacy and security policies and practices are better than those of Apple FaceTime.

Zoom scores 5/5 on encryption, password strength, updates, bug reporting and privacy, the report says, matching Skype, Signal, Bluejeans and Google’s trio of Duo, Hangouts and Meet.

FaceTime got only 4.5/5 because the Apple video-call service doesn’t require the user to log into the app independently.

Zoom phishing scam preys on work-from-home fears

A new Zoom phishing scam is sure to get the attention of anyone working from home during the coronavirus lockdown.

It seems to come from your employer’s HR department, and invites you to join a Zoom meeting starting in a few minutes to discuss possible termination of your employment.

If you click on the link in the email to join the meeting, you’re taken to a very real-looking Zoom login page. It’s fake. If you enter your credentials, then the crooks can take over your Zoom account.

Monday, April 27

Zoom 5.0 has been released

Zoom has finally updated its meeting-client software to version 5.0, announced last week. Here’s our guide on how to update to Zoom 5.0.

The update is not yet available for iOS, as Apple has to vet the software before the new version of the app can be pushed out. We also couldn’t see in the Google Play app store as of Monday afternoon Eastern time (April 27), but odds are it will appear soon.

Friday, April 24

Zoom company stock rose again Friday after the NASDAQ stock exchange announced that Zoom would join the NASDAQ 100 index Thursday, April 30.

No other company may have benefited more from the stay-at-home orders during the coronavirus crisis. It’s hard to imagine that Zoom would be joining the NASDAQ 100 if its daily traffic had not soared from 10 million users in December 2019 to 300 million in mid-April.

Thursday, April 23

Despite all the bad news about Zoom, the company’s stock price surged on Thursday, gaining 9% after the announcement that the number of daily users had risen to 300 million.

To put that in perspective, daily usage peaked at 200 million people per day in March, the company said on April 1. In December 2019, Zoom usage peaked at 10 million daily users.

Wednesday, April 22

In a somewhat misleading press announcement/blog post, Zoom trumpeted the arrival of version 5.0 of its desktop software for Windows, Mac and Linux.

The new version will include many of the security fixes we’ve recently seen for the Zoom web interface, including the abilities to kick out Zoom bombers from meetings,  make sure meeting data doesn’t go through China, and put everyone waiting for a meeting in a”waiting room.”It also adds a security icon to the host screen and better encryption to Zoom meetings.

We checked the Zoom changelogs and discovered that the update won’t be available until Sunday, April 26. 

Information scraping with fake Zoom client software

Cisco Talos researchers said Zoom’s meeting chat function made it too easy for outsiders to find all Zoom users in an particular organization.

If you had a valid Zoom account, Cisco Talos explained in a blog post, you could pretend that you worked at any organization and get the full names and chat IDs of every registered Zoom user whose email address used that organization’s email domain.

You would not have to verify that you worked there, and you wouldn’t even need to be in a Zoom meeting to get the information.

That information”could be leveraged to disclose further contact information including the user’s email address, phone number and any other information that is present in their vCard,”or digital business card, Cisco Talos wrote.

“This vulnerability could be exploited by a spear-phishing attack against known individuals with an organization in order to dump the email addresses of all the Zoom users within the organization,”the Cisco Talos post said.”Users who have recently had to install new software in order to set-up remote working may be particularly susceptible to socially-engineered emails that purport to instruct users to install a new or updated trojan horse’Zoom client’.”

Fortunately, Zoom has fixed this issue, which lay entirely on the server side.

STATUS: Fixed.

Tuesday, April 21

In a blog post April 20, Zoom said the option of excluding certain countries from call routing was now live. This will let Zoom meeting administrators avoid having meeting data routed through Zoom servers in China, the U.S., or seven other regions and countries.

New updates to the Zoom platform for the web interface rolled out April 19 include masking some participant personal information, such as email addresses or phone numbers, during meetings. Another change is that users who share the same email domain will no longer be able to search for each other by name.

Monday, April 20

The New York Times reported that Dropbox executives were so concerned about security flaws in Zoom that in 2018 Dropbox created its own secret bug-bounty program for Zoom flaws.

In other words, Dropbox would pay hackers for security vulnerabilities they found in Zoom. (Dropbox staffers used Zoom regularly, and Dropbox was an investor in Zoom.) The Times reported that Dropbox would confirm the flaws, then pass them along to Zoom so that Zoom could fix them.

Friday, April 17

Zoom meeting recordings are easy to find online, part 2

Zoom-meeting video recordings saved on Zoom’s cloud servers can be easily discovered and often viewed, a security researcher told Cnet.

Phil Guimond noticed that online recordings of Zoom meetings have a predictable URL structure and are thus easy to find. (The Washington Post reported last week on a similar issue with Zoom recordings that had been uploaded by users to third-party cloud servers. In those cases, the file names of meeting recordings followed a predictable pattern.) 

Until Zoom pushed out a series of updates this past Tuesday, Zoom meeting recordings were not required to be password-protected.

Guimond built a simple tool that automatically searches for Zoom meeting recordings and tries to open them.

If a meeting has a password, his tool tries to brute-force access by running through millions of possible passwords. If a meeting recording is viewable, so is the Zoom meeting ID, and the attacker might be able to access future recurring meetings.

To defeat Guimond’s automated tool, Zoom added a Captcha challenge, which forces the would-be meeting-recording watcher to prove they’re a human. But, Guimond said, the URL pattern is still the same, and attackers could still try to open each generated result manually.

STATUS: Mitigated with additional obstacles against attack, but not really fixed.

Thursday, April 16

Zoom announced it was hiring Luta Security, a consulting firm headed by Katie Moussouris, to revamp Zoom’s”bug bounty”program, which pays hackers to find software flaws.

Moussouris set up the first bug-bounty programs at Microsoft and the Pentagon. In her own blog post, she announced that Zoom was bringing in other well-regarded information-security firms and researchers to improve its security.

In its weekly webinar, according to ZDNet, Zoom also said it would also let meeting hosts report abusive users, and newly hired security consultant Alex Stamos said Zoom would be switching to a more robust encryption standard after Zoom’s existing encryption was found to be lacking.

In other news, a congressman has complained that a congressional briefing held over Zoom on April 3 was”zoom-bombed” at least three times.

Wednesday, April 15

The head of Standard Chartered, a London-based multinational bank, has warned employees to nut use Zoom or Google Hangouts for remote meetings, citing security concerns, according to Reuters.

Standard Chartered primarily uses the rival Blue Jeans video-conferencing platform, according to two bank staffers who spoke anonymously.

Last year, Standard Chartered agreed to pay British and American regulators $1.1 billion after admitting the bank violated trade sanctions on Iran.

Zoom zero-day exploits on sale for $500,000

Hackers are apparently offering to sell two”zero-day”exploits in Zoom to the highest bidder, Vice reports.

Zero-days are hacks that take advantage of vulnerabilities the software maker doesn’t know about, and which users have little or no defense against.

Sources who told Vice about the zero-days said one exploit is for Windows and lets a remote attacker get full control of a target’s computer. The catch is that the attacker and the target have to be on the same Zoom call. Its asking price is $500,000.

“I think it’s just kids who hope to make a bang,”one unnamed source told Vice.

The other zero-day is said to be for macOS and to be less serious.

STATUS: Apparently unfixed.

Tuesday, April 14

Zoom announced April 13 that users of paid Zoom accounts would be able to choose through which region of the world their data would be routed: Australia, Canada, China, Europe, India, Japan/Hong Kong, Latin America or the United States.

This is a reaction to the discovery earlier in April that many Zoom meetings hosted by and involving U.S. residents had been routed through servers based in China, a country that retains the right to see anything happening on a domestically l ocated server without a warrant.

Users of Zoom’s free service will have their data handled only by servers in their regions.

STATUS: This option is now available for paid Zoom users who use the web interface rather than the desktop software. The Zoom desktop software for Windows, Mac and Linux will be getting this April 26.

Open/unresolved issues

More than 500,000 Zoom accounts up for grabs

Usernames and passwords for more than 500,000 Zoom accounts are being sold or given away in criminal marketplaces.

These accounts were not compromised as the result of a Zoom data breach, but instead through credential stuffing. That’s when criminals try to unlock accounts by re-using credentials from accounts compromised in previous data breaches. It works only if an account holder uses the same password for more than one account.

STATUS: Unknown, but this isn’t Zoom’s fault.

2,300 sets of Zoom login credentials found online

Researchers from IngSights discovered a set of 2,300 Zoom login credentials being shared in a criminal online forum.

“Aside from personal accounts, there were many corporate accounts belonging to banks, consultancy companies, educational facilities, healthcare providers, and software vendors, amongst others,”IntSight’s Etay Maor wrote in a blog post April 10. 

“While some of the accounts’only’included an email and password, others included meeting IDs, names and host keys,”Maor wrote.

Maor told Threatpost it didn’t seem like the credentials came from a Zoom data breach, given their relatively small number. He theorized that they came from”small lists and databases kept by other companies/agencies.”

It’s also possible that some of the credentials were the result of”credential stuffing.”That’s the (largely) automated process by which criminals try to log into websites by cycling through likely email addresses and likely passwords, and then harvest whatever yields a positive result.

STATUS: Unknown. This likely isn’t a Zoom issue per se.

Zoom’zero-day’exploits

Information-security researchers know of several Zoom”zero-day”exploits, according to Vice. Zero-days are exploits for software vulnerabilities that the software maker doesn’t know about and hasn’t fixed, and hence has”zero days”to prepare before the exploits appear.

However, one Vice source implied that other video-conferencing solutions also had security flaws. Another source said that Zoom zero-days weren’t selling for much money due to lack of demand.

STATUS: Unresolved until some of these flaws come to light.

Zoom compromised accounts traded online

Criminals are trading compromised Zoom accounts on the”dark web,”Yahoo News reported.

This information apparently came from Israeli cybersecurity firm Sixgill, which specializes in monitoring underground online-criminal activity. We weren’t able to find any mention of the findings on the Sixgill website.

Sixgill told Yahoo it had spotted 352 compromised Zoom accounts that included meeting IDs, email addresses, passwords and host keys. Some of the accounts belonged to schools, and one each to a small business and a large healthcare provider, but most were personal.

STATUS: Not really a bug, but definitely worth worrying about. If you have a Zoom account, make sure its password isn’t the same as the password for any other account you have.

Zoom installer bundled with malware

Researchers at Trend Micro discovered a ver sion of the Zoom installer that has been bundled with cryptocurrency-mining malware, i.e. a coin-miner.

The Zoom installer will put Zoom version 4.4.0.0 on your Windows PC, but it comes with a coin-miner that Trend Micro has given the catchy name Trojan.Win32.MOOZ.THCCABO. (By the way, the latest Zoom client software for Windows is up to version 4.6.9, and you should get it only from here.)

The coin-miner will ramp up your PC’s central processor unit, and its graphics card if there is one, to solve mathematical problems in order to generate new units of cryptocurrency. You’ll notice this if you fans suddenly speed up or if Windows Task Manager (hit Ctrl + Shift + Esc) shows unexpectedly heavy CPU/GPU use.

To avoid getting hit with this malware, make sure you’re running one of the best antivirus programs, and don’t click on any links in emails, social media posts or pop-up messages that promise to install Zoom on your machine.

STATUS: Open, but this isn’t Zoom’s problem to fix. It can’t stop other people from copying and redistributing its installation software.

Zoom encryption not what it claims to be

Not only does Zoom mislead users about its”end-to-end encryption”(see further down), but its seems to be flat-out, um, not telling the truth about the quality of its encryption algorithm.

Zoom says it use AES-256 encryption to encode video and audio data traveling between Zoom servers and Zoom clients (i.e., you and me). But researchers at the Citizen Lab at the University of Toronto, in a report posted April 3, found that Zoom actually uses the somewhat weaker AES-128 algorithm.

Even worse, Zoom uses an in-house implementation of encryption algorithm that preserves patterns from the original file. It’s as if someone drew a red circle on a gray wall, and then a censor painted over the red circle with a while circle. You’re not seeing the original message, but the shape is still there.

“We discourage the use of Zoom at this time for use cases that require strong privacy and confidentiality,”the Citizen Lab report says, such as”governments worried about espionage, businesses concerned about cybercrime and industrial espionage, healthcare providers handling sensitive patient information”and”activists, lawyers, and journalists working on sensitive topics.”

STATUS: Unresolved. In a blog post April 3, Zoom CEO Eric S. Yuan acknowledged the encryption issue but said only that”we recognize that we can do better with our encryption design”and”we expect to have more to share on this front in the coming days.”

In Zoom’s announcement of the upcoming April 26 desktop-software update, Zoom said it would be upgrading the encryption implementation to a better format for all users by May 30.

Zoom software can be easily co rrupted

Good software has built-in anti-tampering mechanisms to make sure that applications don’t run code that’s been altered by a third party.

Zoom has such anti-tampering mechanisms in place, which is good. But those anti-tampering mechanisms themselves are not protected from tampering, said a British computer student who calls himself”Lloyd“in a blog post April 3. 

Needless to say, that’s bad. Lloyd showed how Zoom’s anti-tampering mechanism can easily be disabled, or even replaced with a malicious version that hijacks the application.

If you’re reading this with a working knowledge of how Windows software works, this is a pretty damning passage:”This DLL can be trivially unloaded, rendering the anti-tampering mechanism null and void. The DLL is not pinned, meaning an attacker from a 3rd party process could simply inject a remote thread.”

In other words, malware already present on a computer could use Zoom’s own anti-tampering mechanism to tamper with Zoom. Criminals could also create fully working versions of Zoom that have been altered to perform malicious acts.

STATUS: Unresolved.

Zoom bombing

Anyone can”bomb”a public Zoom meeting if they know the meeting number, and then use the file-share photo to post shocking images, or make annoying sounds in the audio. The FBI even warned about it a few days ago.

The host of the Zoom meeting can mute or even kick out troublemakers, but they can come right back with new user IDs. The best way to avoid Zoom bombing is to not share Zoom meeting numbers with anyone but the intended participants. You can also require participants to use a password to log into the meeting.

On April 3, the U.S. Attorney’s Office for the Eastern District of Michigan said that”anyone who hacks into a teleconference can be charged with state or federal crimes.”It’s not clear whether that applies only to eastern Michigan.

STATUS: There are easy ways to avoid Zoom bombing, which we go through here.

Leaks of email addresses and profile photos

Zoom automatically puts everyone sharing the same email domain into a”company”folder where they can see each other’s information.

Exceptions are made for people using large webmail clients such as Gmail, Yahoo, Hotmail or Outlook.com, but not apparently for smaller webmail providers that Zoom might not know about.

Several Dutch Zoom users who use ISP-provided email addresses suddenly found that they were in the same”company”with dozens of strangers–and could see their email addresses, user names and user photos.

STATUS: Unresolved, but an April 19 Zoom software update for Zoom web-interface users makes sure users on the same email domain can no longer automatically search for each other by name. The Zoom desktop client software will get similar fixes April 26.

Sharing of personal data with advertisers

Several privacy experts, some working for Consumer Reports, pored over Zoom’s privacy policy and found that it apparently gave Zoom the right to use Zoom users’personal data and to share it with third-party marketers.

Following a Consumer Reports blog post, Zoom quickly rewrote its privacy policy, stripping out the most disturbing passages and asserting that”we do not sell your personal data.”

STATUS: Unknown. We don’t know the details of Zoom’s business dealings with third-party advertisers.

You can’war drive’to find open Zoom meetings

You can find open Zoom meetings by rapidly cycling through possible Zoom meeting IDs, a security researcher told independent security blogger Brian Krebs.

The researcher got past Zoom’s meeting-scan blocker by running queries through Tor, which randomized his IP address. It’s a variation on”war driving”by randomly dialing telephone numbers to find open modems in the dial-up days.

The researcher told Krebs that he could find about 100 open Zoom meetings every hour with the tool, and that”having a password enabled on the [Zoom] meeting is the only thing that defeats it.”

STATUS: Unknown.

Zoom meeting chats don’t stay private

Two Twitter users pointed out that if you’re in a Zoom meeting and use a private window in the meeting’s chat app to communicate privately with another person in the meeting, that conversation will be visible in the end-of-meetin g transcript the host receives.

STATUS: Unknown.

Resolved/fixed issues

Zoom flaw allowed account hijacking

A Kurdish security researcher said Zoom paid him a bug bounty–a reward for finding a serious flaw–for finding how to hijack a Zoom account if the account holder’s email address was known or guessed.

The researcher, who calls himself”s3c”but whose real name may be Yusuf Abdulla, said if he tried to log into Zoom with a Facebook account, Zoom would ask for the email address associated with that Facebook account. Then Zoom would open a new webpage notifying him that a confirmation email message had been sent to that email address.

The URL of the notification webpage would have a unique identification tag in the address bar. As an example that’s much shorter than the real thing, let’s say it’s”zoom.com/signup/123456XYZ”.

When s3c received and opened the confirmation email message sent by Zoom, he clicked on the confirmation button in the body of the message. This took him to yet another webpage that confirmed his email address was now associated with a new account. So far, so good.

But then s3c noticed that the unique identification tag in the Zoom confirmation webpage’s URL was identical to the first ID tag. Let’s use the example”zoom.com/confirmation/123456XYZ”.

The matching ID tags, one used before confirmation and the other after confirmation, meant that s3c could have avoided receiving the confirmation email, and clicking on the confirmation button, altogether.

In fact, he could have entered ANY email address–yours, mine or [email protected]–into the original signup form. Then he could have copied the ID tag from the resulting Zoom notification page and pasted the ID tag into an already existing Zoom account-confirmation page.

Boom, he’d have access to any Zoom account created using the targeted email address.

“Even if you already linked your account with a Facebook account Zoom automatically unlink it and link it with the attacker Facebook account,”s3c wrote in his imperfect English.

And because Zoom lets anyone using a company email address view all other users signed up with the same email domain, e.g.”company.com”, s3c could have leveraged this method to steal ALL of a given company’s Zoom accounts.

“So if an attacker create an account with email address [email protected] and verify it with this bug,”s3c wrote,”the attacker can view all emails that created with *@companyname.com in Zoom app in Company contacts so that means the attacker can hack all accounts of the company.”

Zoom is fortunate that s3c is one of the good guys and didn’t disclose this flaw publicly before Zoom could fix it. But it’s such a simple flaw that it’s hard to imagine no one else noticed it before.

STATUS: Fixed, thank God.

Zoom removes meeting IDs from screens

Zoom has released updates for its Windows, macOS and Linux desktop client software so that meeting IDs will not display onscreen during meetings. British Prime Minister Boris Johnson accidentally displayed a Zoom meeting ID in a tweet, and the Belgian cabinet made a similar mistake.

‘Potential security vulnerability’with Zoom file sharing

In an”ask me anything”webinar in early April, Zoom CEO Eric S. Yuan said that Zoom had discovered”a potential security vulnerability with file sharing, so we disabled that feature.”

Until this week, participants in a Zoom meeting could share files with each other using the meeting’s chat function.

STATUS: Fixed.

Zoom cryptographic keys issued by Chines e servers

Those AES128 encryption keys are issued to Zoom clients by Zoom servers, which is all well and good, except that the Citizen Lab found several Zoom servers in China issuing keys to Zoom users even when all participants in a meeting were in North America.

Since Zoom servers can decrypt Zoom meetings, and Chinese authorities can compel operators of Chinese servers to hand over data, the implication is that the Chinese government might be able to see your Zoom meetings.

That’s got to be bad news for the British government, which has held at least one Cabinet meeting over Zoom.

STATUS: Apparently fixed. In a blog post April 3, Zoom CEO Eric S. Yuan responded to the Citizen Lab report by saying that”it is possible certain meetings were allowed to connect to systems in China, where they should not have been able to connect. We have since corrected this.”

Security flaw with Zoom meeting waiting rooms

Zoom advises meeting hosts to set up”waiting rooms”to avoid”Zoom bombing.”A waiting room essentially keeps participants on hold until a host lets them in, either all at once or one at a time.

The Citizen Lab said it found a serious security issue with Zoom waiting rooms, and advised hosts and participants to not use them for now. The Citizen Lab is not disclosing the details yet, but has told Zoom of the flaw.

“We advise Zoom users who desire confidentiality to not use Zoom Waiting Rooms,”the Citizen Lab said in its report.”Instead, we encourage users to use Zoom’s password feature.”

STATUS: Fixed. In a follow-up to their initial report. the Citizen Lab researchers disclosed that uninvited attendees to a meeting could nonetheless get the meeting’s encryption key from the waiting room.

“On April 7, Zoom reported to us that they had implemented a server-side fix for the issue,”the researchers said.

Windows password stealing

Zoom meetings have side chats in which participants can sent text-based messages and post web links.

But according to Twitter user @_g0dmode and Anglo-American cybersecurity training firm Hacker House, Zoom until the end of March made no distinction between regular web addresses and a different kind of remote networking link called a Universal Naming Convention (UNC) path. That left Zoom chats vulnerable to attack.

If a malicious Zoom bomber slipped a UNC path to a remote server that he controlled into a Zoom meeting chat, an unwitting participant could click on it.

The participant’s Windows computer would then try to reach out to the hacker’s remote server specified in the path and automatically try to log into it using the user’s Windows username and password.

The hacker could capture the password”hash”and decrypt it, giving him access to the Zoom user’s Windows account.

STATUS: Yuan’s blog post says Zoom has now fixed this problem.

Windows malware injection

Mohamed A. Baset of security firm Seekurity said on Twitter that the same filepath flaw also would let a hacker insert a UNC path to a remote executable file into a Zoom meeting chatroom.

If a Zoom user running Windows clicked on it, a video posted by Baset showed, the user’s computer would try to load and run the software. The victim would be prompted to authorize the software to run, which will stop some hacking attempts but not all.

STATUS: If the UNC filepath issue is fixed, then this should be as well.

iOS profile sharing

Until late March, Zoom sent iOS user profiles to Facebook as part of the”log in with Facebook”feature in the iPhone and iPad Zoom apps. After Vice News exposed the practice, Zoom said it hadn’t been aware of the profile-sharing and updated the iOS apps to fix this.

STATUS: Fixed.

Malware-like behavior on Macs

We learned last summer that Zoom used hacker-like methods to bypass normal macOS security precautions. We thought that problem had been fixed then, along with the security flaw it created.

But a series of tweets March 30 from security researcher Felix Seele, who noticed that Zoom installed itself on his Mac without the usual user authorizations, revealed that there was still an issue.

“They (ab)use preinstallation scripts, manually unpack the app using a bundled 7zip and install it to/Applications if the current user is in the admin group (no root needed),”Seele wrote.

“The application is installed without the user giving his final consent and a highly misleading prompt is used to gain root privileges. The same tricks that are being used by macOS malware.”(Seele elaborated in a more user-friendly blog post here.)

Zoom founder and CEO Eric S. Yuan tweeted a friendly response.

“To join a meeting from a Mac is not easy, that is why this method is used by Zoom and others,”Yuan wrote.”Your point is well taken and we will continue to improve.”

UPDATE: In a new tweet April 2, Seele said Zoom had released a new version of the Zoom client for macOS that”completely removes the questionable’preinstall’-technique and the faked password prompt.”

“I must say that I am impressed. That was a swift and comprehensive reaction. Good work, @zoom_us!”Seele added.

STATUS: Fixed.

A backdoor for Mac malware

Other people could use Zoom’s dodgy Mac installation methods, renowned Mac hacker Patrick Wardle said in a blog post March 30.

Wardle demonstrated how a local attacker–such as a malicious human or already-installed malware–could use Zoom’s formerly magical powers of unauthorized installation to”escalate privileges”and gain total control over the machine without knowing the administrator password.

Wardle also showed that a malicious script installed into the Zoom Mac client could give any piece of malware Zoom’s webcam and microphone privileges, which do not prompt the user for authorization and could turn any Mac with Zoom installed into a potential spying device.

“This affords malware the ability to record all Zoom meetings, or simply spawn Zoom in the background to access the mic and webcam at arbitrary times,”Wardle wrote.

STATUS: Yuan’s blog post says Zoom has fixed these flaws.

Other issues

Zoom pledges to fix flaws

In a blog post April 1, Zoom CEO and founder Eric S. Yuan acknowledged Zoom’s growing pains and pledged that regular development of the Zoom platform would be put on hold while the com pany worked to fix security and privacy issues.

“We recognize that we have fallen short of the community’s–and our own–privacy and security expectations,”Yuan wrote, explaining that Zoom had been developed for large businesses with in-house IT staffers who could set up and run the software.

“We now have a much broader set of users who are utilizing our product in a myriad of unexpected ways, presenting us with challenges we did not anticipate when the platform was conceived,”he said.”These new, mostly consumer use cases have helped us uncover unforeseen issues with our platform. Dedicated journalists and security researchers have also helped to identify pre-existing ones.”

To deal with these issues, Yuan wrote, Zoom would be”enacting a feature freeze, effectively immediately, and shifting all our engineering resources to focus on our biggest trust, safety, and privacy issues.”

Among other things, Zoom would also be”conducting a comprehensive review with third-party experts and representative users to understand and ensure the security of all of our new consumer use cases.”

Zoom now requires passwords by default for most Zoom meetings, although meetings hosts can turn that feature off. Passwords are the easiest way to stop Zoom bombing.

And on April 8, former Facebook and Yahoo chief security officer Alex Stamos said he would be working with Zoom to improve its security and privacy. Stamos is now an adjunct professor at Stanford and is highly regarded within the information-security community.

Phony end-to-end encryption

Zoom claims its meetings use”end-to-end encryption”if every participant calls in from a computer or a Zoom mobile app instead of over the phone. But under pressure from The Intercept, a Zoom representative admitted that Zoom’s definitions of”end-to-end”and”endpoint”are not the same as everyone else’s.

“When we use the phrase’End to End’,”a Zoom spokeperson told The Intercept,”it is in reference to the connection being encrypted from Zoom end point to Zoom end point.”

Sound good, but the spokesperson clarified that he counted a Zoom server as an endpoint.

Every other company considers an endpoint to be a user device–a desktop, laptop, smartphone or tablet–but not a server. And every other company takes”end-to-end encryption”to mean that servers that relay messages from one endpoint to another can’t decrypt the messages.

When you send an Apple Message from your iPhone to another iPhone user, Apple’s servers help the message get from one place to another, but they can’t read the content.

Not so with Zoom. It can see whatever is going on in its meetings, and sometimes it  may have to in order to make sure everything works properly. Just don’t believe the implication that it can’t.

UPDATE: In a blog post April 1, Zoom Chief Product Officer Oded Gal wrote that”we want to start by apologizing for the confusion we have caused by incorrectly suggesting that Zoom meetings were capable of using end-to-end encryption.”

“We recognize that there is a discrepancy between the commonly accepted definition of end-to-end encryption and how we were using it,”he wrote.

Gal assured users that all data sent and received by Zoom client applications (but not regular phone lines, business conferencing systems or, presumably, browser interfaces) is indeed encrypted and that Zoom servers or staffers”do not decrypt it at any point before it reaches the receiving clients.”

However, Gal added,”Zoom currently maintains the key management system for these systems in the cloud”but has”implemented robust and validated internal controls to prevent unauthorized access to any content that users share during meetings.”

The implication is that Zoom doesn’t decrypt user transmissions by choice. But because it holds the encryption keys, Zoom could if it had to, such as if it were presented with a warrant or a U.S. National Security Letter (essentially a secret warrant).

For those worried about government snooping, Gal wrote that”Zoom has never built a mechanism to decrypt live meetings for lawful intercept purposes, nor do we have means to insert our employees or others into meetings without being reflected in the participant list.”

He added that companies and other enterprises would soon be able to handle their own encryption process.

“A solution will be available later this year to allow organizations to leverage Zoom’s cloud infrastructure but host the key management system within their environment.”

STATUS: This is an issue of misleading advertising rather than an actual software flaw. We hope Zoom stops using the term”end-to-end encryption”incorrectly, but just keep in mind that you won’t be getting the real thing with Zoom until it fully implements the technology it’s buying with Keybase.

Zoom meeting recordings can be found online

Privacy researcher Patrick Jackson noticed that Zoom meeting recordings saved to the host’s computer generally get a certain type of file name.

So he searched unprotected cloud servers to see if anyone had uploaded Zoom recordings and found more than 15,000 unprotected examples, according to The Washington Post. Jackson also found some recorded Zoom meetings on YouTube and Vimeo.

This isn’t really Zoom’s fault. It’s up to the host to decide whether to record a meeting, and Zoom gives paying customers the option to store recordings on Zoom’s own servers. It’s also up to the host to decide to change the recording’s file name.

If you host a Zoom meeting and decide to record it, then make sure you change the default file name after you’re done.

STATUS: This is not really Zoom’s problem, to be honest.