Lo zoom non supporta la crittografia end-to-end durante le riunioni online

Martedì, il Primo Ministro britannico, Boris Johnson, ha pubblicato un tweet con cui ha mostrato ai suoi seguaci come sta lavorando il suo gabinetto durante la crisi causata dal romanzo coronavirus. La foto mostrava un incontro online tra il Primo Ministro Johnson e i suoi colleghi e il suo obiettivo era semplice: assicurare alla nazione che anche in questi tempi terribili, i politici del Regno Unito continuano a lavorare per il bene più grande di tutti. Per alcune persone, probabilmente ha fatto il suo lavoro come booster morale. Tra la comunità della sicurezza, tuttavia, ha sollevato alcune sopracciglia.

Lo screenshot mostra che il principale organo di governo del Regno Unito comunica tramite Zoom, una piattaforma di videoconferenza che ha attraversato un enorme picco di utilizzo grazie a milioni di persone che attualmente lavorano da casa. Come soluzione di videoconferenza, Zoom è piuttosto solido, ma gli specialisti della sicurezza hanno pensato che un'organizzazione tanto importante quanto il governo del Regno Unito avrebbe probabilmente usato qualcosa di personalizzato e adattato alle sue esigenze. La seconda cosa che gli specialisti della sicurezza delle informazioni hanno notato è che l'ID della riunione di Zoom era chiaramente visibile dal tweet di Boris Johnson, il che non è una buona idea, soprattutto quando le questioni discusse durante la riunione sono così delicate. Quindi, le persone hanno iniziato a frugare nei materiali di marketing di Zoom e le cose sono peggiorate.

Le riunioni con zoom non possono essere crittografate end-to-end a questo punto

Sempre martedì, Intercept ha pubblicato un rapporto su una delle opzioni offerte da Zoom ai suoi utenti, e politici e persone responsabili delle grandi organizzazioni dovrebbero probabilmente leggerle attentamente.

Durante la creazione di una riunione Zoom, un utente può abilitare "la crittografia per endpoint di terze parti". In tal caso, verrà comunicato ai partecipanti che la riunione è crittografata end-to-end. Il white paper sulla sicurezza che Zoom ha pubblicato sul suo sito web suggerisce anche che questo tipo di crittografia è possibile per le riunioni, ma l'indagine di Intercept ha rivelato che semplicemente non è vero.

Le riunioni video con zoom sono crittografate, ma la crittografia non è end-to-end. Al contrario, il video e l'audio passano attraverso una normale connessione TLS o Transport Layer Security. È la stessa tecnologia utilizzata dai siti Web e dalle applicazioni quando forniscono contenuti tramite HTTPS. Intercept ha contattato Zoom per un commento e un portavoce ha ammesso che a causa delle limitazioni tecnologiche, la vera crittografia end-to-end è disponibile solo per le chat che attraversano la piattaforma. Ma cosa significa effettivamente per le persone che usano il servizio?

In che modo la mancanza di crittografia end-to-end influisce sugli utenti?

Le applicazioni di messaggistica come WhatsApp e Telegram non eviteranno di propagandare l'uso della crittografia end-to-end e dei suoi vantaggi sulla privacy. Il vantaggio principale della comunicazione crittografata end-to-end è che sebbene le informazioni passino attraverso i server del fornitore del servizio, il fornitore stesso non ha i mezzi per decrittografarlo.

Nel caso di Zoom, grazie a TLS, le riunioni sono protette da chiunque annusi attraverso la trasmissione audio e video mentre viaggia tra i dispositivi degli utenti e i server di Zoom. Quando si trova sui server, tuttavia, i dipendenti di Zoom possono teoricamente decrittografarlo. Lo faranno?

Le forze dell'ordine potrebbero chiedere alla piattaforma di conferenza online di divulgare dati su determinate persone, ma la probabilità che tu sia influenzato da questo non è eccezionale. La mancanza di crittografia end-to-end è certamente un problema per politici come Boris Johnson, ma per la maggior parte delle persone che attualmente lavorano da casa, non dovrebbe essere un grosso problema. Ciò che costituisce un problema, tuttavia, è il tentativo iniziale di Zoom di minimizzare l'errore.

Dopo essere stato interrogato su ciò che ha causato questa confusione, un portavoce di Zoom ha detto a The Intercept che per "crittografia end-to-end" intendevano che i dati venivano crittografati su tutti i diversi "punti finali Zoom" e per "punti finali" significava dispositivi degli utenti. Questo tipo di interpretazione liberale di concetti ben definiti non è davvero accettabile, specialmente se si tiene presente che la piattaforma di cui stiamo parlando viene utilizzata dai governi di alcune delle superpotenze del mondo. Alla fine, Zoom si è reso conto che non si sta facendo alcun favore e ieri ha pubblicato un post sul blog con il quale ha ammesso di aver lasciato un po 'trascurato il suo team di marketing. Gli sviluppatori della piattaforma si sono scusati per la confusione, e ora tocca a Boris Johnson e milioni di altri utenti Zoom decidere se accettare le scuse. Mentre ci è, il signor Johnson potrebbe anche pensare alle precauzioni di sicurezza informatica che il suo gabinetto prende durante l'organizzazione dei suoi incontri online.