Zoom ondersteunt geen end-to-end-versleuteling tijdens online vergaderingen

De Britse premier, Boris Johnson, plaatste dinsdag een tweet waarmee hij zijn volgers liet zien hoe zijn kabinet werkt tijdens de crisis veroorzaakt door het nieuwe coronavirus. De foto toonde een online ontmoeting tussen premier Johnson en zijn collega's, en het doel ervan was eenvoudig: de natie verzekeren dat zelfs in deze vreselijke tijden de Britse politici blijven werken voor het welzijn van iedereen. Voor sommige mensen deed het waarschijnlijk zijn werk als moreelversterker. Onder de beveiligingsgemeenschap trok het echter nogal wat wenkbrauwen op.

De screenshot laat zien dat het belangrijkste bestuursorgaan van het VK communiceert via Zoom, een platform voor videoconferenties dat een enorme gebruikspiek heeft doorgemaakt dankzij de miljoenen mensen die momenteel vanuit huis werken. Als oplossing voor videoconferenties is Zoom behoorlijk solide, maar beveiligingsspecialisten dachten dat een organisatie die zo belangrijk is als de Britse regering waarschijnlijk iets op maat zou gebruiken dat is afgestemd op haar behoeften. Het tweede dat informatiebeveiligingsspecialisten opmerkten, was dat de Zoom meeting-ID duidelijk zichtbaar was in de tweet van Boris Johnson, wat niet echt een goed idee is, vooral wanneer de zaken die tijdens de genoemde bijeenkomst zijn besproken zo gevoelig liggen. Toen begonnen mensen Zoom's marketingmateriaal te doorzoeken en werd het erger.

Zoomvergaderingen kunnen op dit moment niet end-to-end worden versleuteld

Ook op dinsdag publiceerde The Intercept een rapport over een van de opties die Zoom zijn gebruikers biedt, en politici en mensen die verantwoordelijk zijn voor grote organisaties zouden het waarschijnlijk zorgvuldig moeten lezen.

Bij het maken van een Zoom-vergadering kan een gebruiker 'versleuteling voor eindpunten van derden' inschakelen. Als ze dat doen, wordt de deelnemers verteld dat de vergadering end-to-end versleuteld is. Het beveiligingswitboek dat Zoom op zijn website heeft gepubliceerd, suggereert ook dat dit type codering mogelijk is voor vergaderingen, maar uit het onderzoek van The Intercept bleek dat dit gewoon niet waar is.

Zoom-videovergaderingen zijn gecodeerd, maar de codering is niet end-to-end. In plaats daarvan gaan de video en audio door een normale TLS- of Transport Layer Security-verbinding. Het zijn dezelfde technologie die websites en applicaties gebruiken wanneer ze inhoud aanbieden via HTTPS. The Intercept reikte naar Zoom voor commentaar en een woordvoerder gaf toe dat vanwege technologische beperkingen echte end-to-end-codering alleen beschikbaar is voor chats die via het platform gaan. Maar wat betekent dat eigenlijk voor de mensen die de dienst gebruiken?

Wat betekent het ontbreken van end-to-end encryptie voor gebruikers?

Messaging-applicaties zoals WhatsApp en Telegram zullen het gebruik van end-to-end-codering en de privacyvoordelen ervan niet schuwen. Het belangrijkste voordeel van end-to-end gecodeerde communicatie is dat hoewel de informatie door de servers van de serviceprovider gaat, de serviceprovider zelf niet de middelen heeft om deze te decoderen.

In het geval van Zoom, dankzij TLS, worden de vergaderingen beschermd tegen iedereen die snuffelt door de audio- en videotransmissie terwijl het reist tussen de apparaten van gebruikers en de servers van Zoom. Wanneer het zich echter op de servers bevindt, kunnen Zoom-medewerkers het theoretisch decoderen. Gaan ze het doen?

Wetshandhavingsinstanties kunnen het online vergaderplatform vragen om gegevens over bepaalde personen bekend te maken, maar de kans dat u hierdoor wordt beïnvloed, is niet zo groot. Het gebrek aan end-to-end encryptie is zeker een probleem voor politici zoals Boris Johnson, maar voor de meeste mensen die momenteel vanuit huis werken, zou het niet zo'n groot probleem moeten zijn. Wat wel een probleem is, is de eerste poging van Zoom om de fout te bagatelliseren.

Nadat hem was gevraagd wat de oorzaak was van deze verwarring, vertelde een Zoom-woordvoerder aan The Intercept dat ze met "end-to-end encryptie" bedoelden dat de gegevens werden versleuteld op alle verschillende "Zoom-eindpunten" en met "eindpunten", ze betekende de apparaten van gebruikers. Dit soort liberale interpretatie van goed gedefinieerde concepten is niet echt acceptabel, vooral als je bedenkt dat het platform waar we het over hebben, wordt gebruikt door de regeringen van enkele van de grootmachten van de wereld. Uiteindelijk besefte Zoom dat het zichzelf geen plezier doet, en gisteren publiceerde het een blogpost waarmee het toegaf dat het zijn marketingteam een beetje liet meeslepen. De ontwikkelaars van het platform verontschuldigden zich voor de verwarring en het is nu aan Boris Johnson en miljoenen andere Zoom-gebruikers om te beslissen of ze de verontschuldiging accepteren. Terwijl hij bezig is, kan Mr. Johnson ook nadenken over de cyberbeveiligingsmaatregelen die zijn kabinet neemt tijdens de organisatie van zijn online vergaderingen.