Το Zoom αναφέρει κρυπτογράφηση end-to-end, αλλά δεν ισχύει

[trib]

Το σίριαλ αναφορικά με την κρυπτογράφηση των δεδομένων και την ασφάλεια που παρέχει στις υπηρεσίες του η εφαρμογή Zoom, καλά κρατεί.

Πριν λίγες ημέρες έγινε γνωστό πως η εφαρμογή θα μπορούσε να στείλει τα δεδομένα του χρήστη στο Facebook, ακόμη και χωρίς τη συγκατάθεσή του ή ακόμη κι αν δεν έχει λογαριασμό. Η επόμενη μέρα όμως δεν είναι καλύτερη από την προηγούμενη, αφού αναφορά του The Intercept, επισημαίνει πως το Zoom δεν προσφέρει κρυπτογράφηση end-to-end.

Τα πράγματα παίρνουν σοβαρή τροπή αφού η ίδια η εφαρμογή στη δική της σελίδα που μιλάει για την ασφάλεια των υπηρεσιών της, αναφέρει ξεκάθαρα για end-to-end κρυπτογράφηση. Παρ’ όλα αυτά η αναφορά του The Intercept, κάνει λόγο για κρυπτογράφηση τύπου Transport. Ποια είναι όμως η διαφορά και τι ισχύει τελικά;

Η κρυπτογράφηση Transport πρόκειται για το πρωτόκολλο TLS το οποίο διασφαλίζει την επικοινωνία μεταξύ του δικού σου υπολογιστή και του server που συνδέεσαι. Είναι το ίδιο πρωτόκολλο το οποίο χρησιμοποιείται στα website και το οποίο βλέπουμε ως HTTPS.

Η διαφορά της κρυπτογράφησης Transport με την end-to-end είναι ότι ο server του Zoom στον οποίο συνδέεσαι, μπορεί να δει και να έχει πρόσβαση στα αρχεία σου. Με άλλα λόγια, η κρυπτογράφηση end-to-end αποτρέπει τα δεδομένα σου να υποστούν οποιουδήποτε είδους επεξεργασία μετά τη μεταφορά τους.

Το Zoom έσπευσε να σχολιάσει τα ευρήματα του The Intercept, επιβεβαιώνοντας ότι αυτή τη στιγμή δεν παρέχει τελικά κρυπτογράφηση end-to-end, αλλά ουσιαστικά αναφέρονται στην ασφάλεια που παρέχει ο ίδιος ο server, λειτουργώντας ως κόμβος επικοινωνίας μεταξύ των χρηστών.

Αυτή τη στιγμή δεν είναι δυνατή η ενεργοποίηση κρυπτογράφησης E2E για τις βίντεο κλήσεις. Οι βίντεο-διασκέψεις χρησιμοποιούν συνδέσεις TCP και UDP. Οι συνδέσεις TCP πραγματοποιούνται με κρυπτογράφηση TLS ενώ οι UDP συνδέσεις κρυπτογραφούνται με AES (Advanced Encryption Standard) χρησιμοποιώντας ένα κλειδί μέσω TLS σύνδεσης.

Αν και τα πράγματα δείχνουν αρκετά τεχνικά, η εταιρία διαψεύδει ότι έχει πρόσβαση ή μοιράζει σε τρίτους, τα δεδομένα τα χρηστών. Σε κάθε περίπτωση όμως θα ήταν καλύτερο να γνώριζαν εξαρχής οι χρήστες τα πρωτόκολλα ασφαλείας που χρησιμοποιούν.

The Next Web

Διαβάστε ολόκληρο το άρθρο

[Questioner]

Επόμενη είδηση: "Το Zoom δηλώνεται ως video conferencing app, αλλά δεν ισχύει"

[mader]

τι το παιδεύουμε.. και το E2EE σπάει...

Επεξ/σία 3 Απριλίου 2020 από mader

[Retromaniac]

3 λεπτά πριν, mader είπε

τι το παιδεύουμε.. και το end2end σπάει...

Η διαφορα ειναι οτι τωρα ΟΛΑ τα δεδομενα ειναι διαθεσιμα και ξεκλειδωτα για το zoom, ενω με το e2e θα επρεπε να μπει και αυτο στην διαδικασια να σπασει το κλειδωμα... Κατι που προφανως δεν μπορει να κατσει να το κανει για εκ. χρηστες

[kotronas]

Εχουμε ξεβρακωθεί τελείως με την επηδημία δυστυχώς κρατάγαμε κάποια πράγματα για το εγώ μας τώρα πλέον γνωρίζουνε περισσότερα και απο την μάνα μου.

[stafaf]

17 λεπτά πριν, kotronas είπε

Εχουμε ξεβρακωθεί τελείως με την επηδημία δυστυχώς κρατάγαμε κάποια πράγματα για το εγώ μας τώρα πλέον γνωρίζουνε περισσότερα και απο την μάνα μου.

Ενώ πριν την πανδημία όλα ήταν confidential και κανείς δεν ήξερε τπτ για μας. 

[kotronas]

2 λεπτά πριν, stafaf είπε

Ενώ πριν την πανδημία όλα ήταν confidential και κανείς δεν ήξερε τπτ για μας. 

Αναλόγως,εγώ τώρα έβαλα webex,viber,skype,jitsi,whatsapp,facebook,messenger κ.α. 

Πρίν την επηδημία κλείναμε ένα μεγάλο τραπέζι και πίναμε ρακές και το μόνο που έκανα ήταν να στέλνω ομαδικά sms ελπίζω όταν τελειώσει όλο αυτό να το δοκιμάσεις να δείς απο τί είσαι φτιαγμένος.

[Επισκέπτης]

7 λεπτά πριν, kotronas είπε

Αναλόγως,εγώ τώρα έβαλα webex,viber,skype,jitsi,whatsapp,facebook,messenger κ.α. 

Πρίν την επηδημία κλείναμε ένα μεγάλο τραπέζι και πίναμε ρακές και το μόνο που έκανα ήταν να στέλνω ομαδικά sms ελπίζω όταν τελειώσει όλο αυτό να το δοκιμάσεις να δείς απο τί είσαι φτιαγμένος.

Κοιτα...και πατέρας μου μπορεί να. την βάλει με ένα απλό σμς ή στην τελική να πάρει δύο Τρι τηλέφωνα να μιλήσει με τα φιλαράκια του να δει αν είναι όλοι καλά...

Αλλά το 15χρονο ανηψακι μου. δεν γίνεται...τα θέλει όλα..

Αν με εννοείς...

 

Μόλις τώρα, Antilogos1975 είπε

 

 

Επεξ/σία 3 Απριλίου 2020 από Επισκέπτης

[carma]

Φοβερό το ότι το Zoom έχει επιλεγεί ως η πλατφόρμα της ελληνικής κυβέρνησης (epresence.gov.gr)...

[cp5120]

18 λεπτά πριν, carma είπε

Φοβερό το ότι το Zoom έχει επιλεγεί ως η πλατφόρμα της ελληνικής κυβέρνησης (epresence.gov.gr)...

Αν κάποιος (NSA, Mosad κ.τ.ό.) θέλει να έχει πρόσβαση σε κυβερνητικά δεδομένα, δεν χρειάζεται να χακάρει τους servers του zoom για να κατεβάσει τα βίντεο από τις τηλεδιασκέψεις. Μετα από την παρακολούθηση από τη Vodafone του κινητού του Κωστάκη το 2005 και της Merkel από την NSA, κανείς σοβαρός ηγέτης δεν αποκαλύπτει (ελπίζω) σοβαρά κρατικά μυστικά μέσα από πλατφόρμες τηλεδιασκέψεων, mobile κτλ.
Για τους υπόλοιπους, που ήδη έχουν κρεμάσει όλα τους τα "απόκρυφα" μυστικά σε Viber, Messenger, Whatsapp, Facebook, Skype κ.ά. δεν χρειάζεται να ανησυχούν. Κανείς δεν μπορεί να ξεπεράσει τους παραπάνω σε data mining...

Για όλους εμάς τους άλλους το Zoom είναι εξαιρετικό για μια mini (40 λεπτά της ώρας) τηλεδιάσκεψη.

[polaki]

32 λεπτά πριν, cp5120 είπε

Για όλους εμάς τους άλλους το Zoom είναι εξαιρετικό για μια mini (40 λεπτά της ώρας) τηλεδιάσκεψη.

Γιατί για μία μίνι μόνο? Πρόσφατα το χρησιμοποίησα για 3ωρα meeting, μια χαρά μου φάνηκε αν και δεν έχω ιδιαίτερη εμπειρία τηλεδιάσκεψης εκτός από τα βασικά (βιντεοκλήσεις). 

[ProponitisTouKanape]

14 λεπτά πριν, polaki είπε

Γιατί για μία μίνι μόνο? Πρόσφατα το χρησιμοποίησα για 3ωρα meeting, μια χαρά μου φάνηκε αν και δεν έχω ιδιαίτερη εμπειρία τηλεδιάσκεψης εκτός από τα βασικά (βιντεοκλήσεις). 

Πρέπει να είσαι premium για να εχεις πάνω απο 40' 

[Επισκέπτης]

Το Zoom συστηματικά αποτυγχάνει σε privacy issues, με χειρότερο το γεγονός ότι άφηνε απομεινάρια (ένα server process) κατά την απεγκατάσταση που μπορούσαν να χρησιμοποιηθούν μέχρι και για να ανοίξουν την κάμερα remotely. 

To iOS app έστελνε data στο Facebook (κι ας μην έχεις καν facebook account), το macOS app χρησιμοποιούσε τεχνικές malware κατά την εγκατάστασή του, ενώ ζητούσε user password.

Τα διορθώνουν υποτίθεται, κατόπιν εορτής βέβαια, αφού τους κράξουν τα Verge, Motherboard etc, αλλά απλά δεν τους εμπιστεύομαι.

[tsakvas]

4 λεπτά πριν, ProponitisTouKanape είπε

Πρέπει να είσαι premium για να εχεις πάνω απο 40' 

οταν εισαι εσυ και αλλος ενας δεν εχεις χρονο . αλλα πανω απο δυο ειναι 40 λεπτα

 

[polaki]

1 ώρα πριν, ProponitisTouKanape είπε

Πρέπει να είσαι premium για να εχεις πάνω απο 40' 

Οκ, άρα δηλαδή ο host μας ήταν premium, σωστά? Ευχαριστώ για την διευκρίνιση!