Zoom støtter ikke kryptering fra ende til ende under nettmøter

Tirsdag la Storbritannias statsminister, Boris Johnson, ut en tweet som han viste sine følgere hvordan kabinettet hans fungerer under krisen forårsaket av romanen coronavirus. Bildet viste et online møte mellom statsminister Johnson og hans kolleger, og målet var enkelt - å forsikre nasjonen om at selv i disse forferdelige tider, fortsetter Storbritannias politikere å arbeide for alle til fordel for alle. For noen mennesker gjorde det sannsynligvis jobben sin som en moralsk booster. Blant sikkerhetssamfunnet løftet det imidlertid ganske mange øyebryn.

Skjermdumpen viser at Storbritannias viktigste styringsorgan kommuniserer gjennom Zoom, en videokonferanseplattform som har vært gjennom en massiv brukspike takket være millioner av mennesker som for tiden jobber hjemmefra. Som en videokonferanseløsning er Zoom ganske solid, men sikkerhetsspesialister mente at en organisasjon som er så viktig som den britiske regjeringen, sannsynligvis vil bruke noe tilpasset og skreddersydd til dets behov. Den andre tingen som spesialistene innen informasjonssikkerhet la merke til, var at Zoom-møte-ID-en var tydelig synlig fra Boris Johnsons tweet, noe som egentlig ikke er veldig god ide, spesielt når sakene som ble diskutert under det nevnte møtet er så følsomme. Deretter begynte folk å pirke gjennom Zooms markedsføringsmateriell, og ting ble verre.

Zoommøter kan ikke krypteres fra ende til ende på dette tidspunktet

Også på tirsdag publiserte The Intercept en rapport om et av alternativene Zoom gir sine brukere, og politikere og personer med ansvar for store organisasjoner bør sannsynligvis lese den nøye.

Når du oppretter et Zoom-møte, kan en bruker aktivere "kryptering for tredjepart-sluttpunkter." Hvis de gjør det, vil deltakerne få beskjed om at møtet er kryptert fra ende til annen. Sikkerhetsmeldingen Zoom har publisert på sin hjemmeside antyder også at denne typen kryptering er mulig for møter, men The Intercepts undersøkelse avdekket at dette rett og slett ikke stemmer.

Zoom videomøter er kryptert, men krypteringen er ikke ende til ende. I stedet passerer videoen og lyden gjennom en normal TLS- eller Transport Layer Security-tilkobling. Det er den samme teknologien nettsteder og applikasjoner bruker når de serverer innhold gjennom HTTPS. Interceptet nådde Zoom for kommentar, og en talsperson innrømmet at på grunn av teknologiske begrensninger er ekte ende-til-ende-kryptering bare tilgjengelig for chatter som går gjennom plattformen. Men hva betyr det egentlig for menneskene som bruker tjenesten?

Hvordan påvirker mangelen på ende-til-ende-kryptering brukere?

Meldingsapplikasjoner som WhatsApp og Telegram vil ikke avvike fra å angi bruken av ende-til-ende-kryptering og dens personvernfordeler. Den største fordelen med kryptert kommunikasjon fra en til ende er at selv om informasjonen går gjennom tjenesteleverandørens servere, har ikke tjenesteleverandøren selv mulighet til å dekryptere den.

Når det gjelder Zoom, takket være TLS, er møtene beskyttet mot at enhver snuser gjennom lyd- og videooverføringen mens den reiser mellom brukernes enheter og Zooms servere. Når det er på serverne, kan imidlertid Zoom-ansatte teoretisk dekryptere det. Skal de gjøre det?

Advokatbyråer kan be online konferanseplattformen om å avsløre data om bestemte personer, men sannsynligheten for at du blir påvirket av dette er ikke så stor. Mangelen på ende-til-ende-kryptering er absolutt et problem for politikere som Boris Johnson, men for de fleste som for tiden jobber hjemmefra, burde det ikke være så stort. Det som imidlertid er et problem, er Zoom sitt første forsøk på å bagatellisere feilen.

Etter å ha blitt spurt om hva som forårsaket denne forvirringen, fortalte en talsperson for Zoom The Intercept at med "en-til-ende-kryptering" mente de at dataene er kryptert på alle forskjellige "Zoom-sluttpunkter", og med "sluttpunkter", de betydde brukernes enheter. Denne typen liberale tolkninger av veldefinerte begreper er egentlig ikke akseptabelt, spesielt når du husker at plattformen vi snakker om brukes av regjeringene til noen av verdens supermakter. Etter hvert skjønte Zoom at det ikke gjør seg noen fordeler, og i går publiserte det et blogginnlegg som det innrømmet at det lot markedsføringsteamet sitt bli litt revet med. Utviklerne av plattformen ba om unnskyldning om forvirringen, og det er nå opp til Boris Johnson og millioner av andre Zoom-brukere å bestemme seg for om de vil godta unnskyldningen. Mens han er inne på det, kan Mr. Johnson også tenke på de cybersikkerhetsforholdsregler kabinettet hans tar under organiseringen av nettmøtene.