Zoom understøtter ikke ende-til-ende-kryptering under online-møder

Tirsdag udsendte den britiske premierminister, Boris Johnson, en tweet, som han viste sine tilhængere, hvordan hans kabinet fungerer under krisen forårsaget af den nye coronavirus. Billedet viste et online møde mellem premierminister Johnson og hans kolleger, og dets mål var simpelt - at forsikre nationen om, at selv i disse forfærdelige tider, fortsætter de britiske politikere med at arbejde for alle til gavn for alle. For nogle mennesker gjorde det sandsynligvis sit job som en moralsk booster. Blandt sikkerhedssamfundet løftede det dog ganske mange øjenbryn.

Skærmbillede viser, at Storbritanniens vigtigste styrende organ kommunikerer via Zoom, en videokonferenceplatform, der har været gennem en massiv brugsstigning takket være de millioner af mennesker, der i øjeblikket arbejder hjemmefra. Som en videokonferenceløsning er Zoom temmelig solidt, men sikkerhedspecialister mente, at en organisation, der er så vigtig som den britiske regering, sandsynligvis ville bruge noget tilpasset og skræddersyet til dens behov. Den anden ting, som informationssikkerhedsspecialister bemærkede, var, at Zoom-mødets ID var tydeligt synlig fra Boris Johnsons tweet, hvilket ikke rigtig er en særlig god idé, især når de spørgsmål, der blev drøftet under det nævnte møde, er så følsomme. Derefter begyndte folk at undersøge Zooms marketingmateriale, og tingene blev værre.

Zoommøder kan ikke krypteres fra ende til ende på dette tidspunkt

Også tirsdag offentliggjorde The Intercept en rapport om en af de muligheder, Zoom giver sine brugere, og politikere og personer, der er ansvarlige for store organisationer, skal sandsynligvis læse den grundigt igennem.

Når du opretter et Zoom-møde, kan en bruger aktivere "kryptering til tredjepart-slutpunkter." Hvis de gør det, får deltagerne at vide, at mødet er krypteret fra ende til ende. Den hvidbog om sikkerhed, som Zoom har offentliggjort på sit websted, antyder også, at denne type kryptering er mulig for møder, men The Intercepts undersøgelse afslørede, at dette simpelthen ikke er sandt.

Zoomvideo-møder er krypteret, men krypteringen er ikke ende til ende. I stedet passerer videoen og lyden gennem en normal TLS- eller transportlagsikkerhedsforbindelse. Det er den samme teknologi, websteder og applikationer bruger, når de serverer indhold via HTTPS. Opfangningen nåede Zoom til kommentar, og en talsmand indrømmede, at ægte ende-til-ende-kryptering på grund af teknologiske begrænsninger kun er tilgængelig for chats, der går gennem platformen. Men hvad betyder det egentlig for de mennesker, der bruger tjenesten?

Hvordan påvirker manglen på ende-til-ende-kryptering brugere?

Meddelelsesapplikationer som WhatsApp og Telegram forhindrer sig ikke i at udråbe brugen af ende-til-ende-kryptering og dens personlige fordele. Den største fordel ved krypteret kommunikation fra ende til anden er, at selv om informationen passerer gennem tjenesteudbyderens servere, har tjenesteudbyderen ikke selv midlerne til at dekryptere den.

I tilfælde af Zoom, takket være TLS, er møderne beskyttet mod enhver, der sniffer gennem lyd- og videotransmissionen, mens den rejser mellem brugernes enheder og Zooms servere. Når det er på serverne, kan Zoom-medarbejdere imidlertid teoretisk dekryptere det. Skal de gøre det?

Retshåndhævende agenturer beder måske online konferenceplatformen om at afsløre data om bestemte personer, men sandsynligheden for, at du bliver påvirket af dette, er ikke så stor. Manglen på ende-til-ende-kryptering er bestemt et problem for politikere som Boris Johnson, men for de fleste mennesker, der i øjeblikket arbejder hjemmefra, skulle det ikke være så stort. Hvad der dog er et problem, er Zoom's første forsøg på at nedtone fejlen.

Efter at have været spurgt om, hvad der forårsagede denne forvirring, fortalte en Zoom-talsperson The Intercept, at de med "ende-til-ende-kryptering" betød, at dataene er krypteret på alle forskellige "Zoom-slutpunkter" og med "slutpunkter", de betød brugernes enheder. Denne form for liberal fortolkning af veldefinerede koncepter er ikke rigtig acceptabel, især når du husker, at den platform, vi taler om, bruges af regeringerne i nogle af verdens supermagter. Til sidst indså Zoom, at det ikke gør sig selv favoriserer, og i går offentliggjorde det et blogindlæg, som det indrømmede, at det lod sit marketingteam blive lidt båret væk. Udviklerne af platformen undskyldte forvirringen, og det er nu op til Boris Johnson og millioner af andre Zoom-brugere at beslutte, om de vil acceptere undskyldningen. Mens han er ved det, kan Mr. Johnson også tænke på de cybersikkerhedsforholdsregler, hans kabinet træffer under afholdelsen af dets online-møder.