As reuniões de zoom não oferecem suporte à criptografia de ponta a ponta

O Zoom, o serviço de videoconferência cujo uso disparou em meio à pandemia do Covid-19, afirma implementar criptografia de ponta a ponta, amplamente entendida como a forma mais privada de comunicação na Internet, protegendo as conversas de todas as partes externas. De fato, o Zoom está usando sua própria definição do termo, uma que permite ao próprio Zoom acessar vídeo e áudio não criptografado das reuniões. Com milhões de pessoas em todo o mundo trabalhando em casa, a fim de retardar a disseminação do coronavírus, os negócios estão crescendo para o Zoom, atraindo mais atenção para a empresa e suas práticas de privacidade, incluindo uma política, mais tarde atualizada, que parecia dar à empresa permissão para extrair mensagens e arquivos compartilhados durante reuniões para fins de segmentação de anúncios. Ainda assim, o Zoom oferece confiabilidade, facilidade de uso e pelo menos uma garantia de segurança muito importante: contanto que você garanta que todos em uma reunião do Zoom se conectem usando “áudio do computador” em vez de ligar para um telefone, a reunião será protegida com o fim criptografia completa, pelo menos de acordo com o site da Zoom, seu white paper de segurança e a interface do usuário no aplicativo. Mas, apesar desse marketing enganador, o serviço na verdade não suporta criptografia de ponta a ponta para conteúdo de vídeo e áudio, pelo menos como o termo é comumente entendido. Em vez disso, oferece o que geralmente é chamado de criptografia de transporte, explicada mais abaixo. Ao passar o mouse sobre o cadeado verde no canto superior esquerdo do aplicativo de desktop Zoom, ele diz: “O zoom está usando uma conexão criptografada de ponta a ponta” Captura de tela: no white paper do InterceptIn Zoom, há uma lista de “recursos de segurança pré-reunião” disponíveis para o host da reunião que começa com “Ativar uma reunião criptografada de ponta a ponta (E2E)”. Posteriormente, neste documento, ele lista “Proteger uma reunião com criptografia E2E” como um “recurso de segurança na reunião” disponível para os hosts da reunião. Quando um host inicia uma reunião com a configuração “Exigir criptografia para pontos de extremidade de terceiros” ativada, os participantes vêem um cadeado verde que diz: “O zoom está usando uma conexão criptografada de ponta a ponta” ao passar o mouse sobre ela. Porém, quando procuramos comentários sobre se as videoconferências são realmente criptografadas de ponta a ponta, um porta-voz da Zoom escreveu: “Atualmente, não é possível ativar a criptografia E2E para videoconferências da Zoom. As videoconferências com zoom usam uma combinação de TCP e UDP. As conexões TCP são feitas usando TLS e as conexões UDP são criptografadas com o AES usando uma chave negociada em uma conexão TLS. ” A criptografia usada pelo Zoom para proteger as reuniões é o TLS, a mesma tecnologia que os servidores da Web usam para proteger sites HTTPS. Isso significa que a conexão entre o aplicativo Zoom em execução no computador ou telefone de um usuário e o servidor do Zoom é criptografada da mesma forma que a conexão entre o navegador da web e este artigo (em https://theintercept.com). Isso é conhecido como criptografia de transporte, que é diferente da criptografia de ponta a ponta porque o próprio serviço Zoom pode acessar o conteúdo de vídeo e áudio não criptografado das reuniões do Zoom. Portanto, quando você realiza uma reunião com o Zoom, o conteúdo de vídeo e áudio fica privado de qualquer pessoa que esteja espionando seu Wi-Fi, mas não fica privado da empresa. (Em um comunicado, o Zoom disse que não acessa, extrai ou vende diretamente os dados do usuário; mais abaixo.) Para que uma reunião do Zoom seja criptografada de ponta a ponta, o conteúdo de vídeo e áudio precisará ser criptografado maneira que somente os participantes da reunião têm a capacidade de descriptografá-la. O próprio serviço Zoom pode ter acesso ao conteúdo da reunião criptografado, mas não possui as chaves de criptografia necessárias para descriptografá-lo (apenas os participantes da reunião teriam essas chaves) e, portanto, não teria a capacidade técnica de ouvir suas reuniões particulares. É assim que a criptografia ponta a ponta em aplicativos de mensagens como o Signal funciona: o serviço Signal facilita o envio de mensagens criptografadas entre os usuários, mas não possui as chaves de criptografia necessárias para descriptografar essas mensagens e, portanto, não pode acessar o conteúdo não criptografado. “Quando usamos a frase ‘End to End’ em nossa outra literatura, ela se refere à conexão criptografada do ponto final do Zoom ao ponto final do Zoom”, escreveu o porta-voz do Zoom, aparentemente se referindo aos servidores Zoom como “pontos finais” mesmo que eles estejam entre clientes Zoom. “O conteúdo não é descriptografado, pois é transferido pela nuvem Zoom” através da rede entre essas máquinas. Matthew Green, professor de criptografia e ciência da computação na Universidade Johns Hopkins, destaca que é difícil criptografar videoconferência em grupo de ponta a ponta. Isso ocorre porque o provedor de serviços precisa detectar quem está falando para agir como uma central telefônica, o que permite enviar apenas um fluxo de vídeo de alta resolução da pessoa que está falando no momento ou quem o usuário seleciona para o resto do grupo, e enviar fluxos de vídeo de baixa resolução de outros participantes. Esse tipo de otimização é muito mais fácil se o provedor de serviços puder ver tudo porque não está criptografado. Capturas de tela na página de segurança no site da Zoom. Captura de tela: The Intercept “Se tudo estiver criptografado de ponta a ponta, você precisará adicionar alguns mecanismos extras para garantir que você possa fazer esse tipo de opção ‘quem está falando’ e de uma maneira que não vaze muita informação. Você precisa levar essa lógica aos pontos finais ”, disse ele ao The Intercept. Isso não é impossível, disse Green, como demonstrado pelo FaceTime da Apple, que permite videoconferência em grupo criptografada de ponta a ponta. “É factível. Simplesmente não é fácil. ” “Eles estão um pouco confusos sobre o que é criptografado de ponta a ponta”, disse Green sobre o Zoom. “Acho que eles estão fazendo isso de uma maneira um pouco desonesta. Seria bom se eles simplesmente aparecessem. O único recurso do Zoom que parece estar criptografado de ponta a ponta é o bate-papo por texto nas reuniões. “A criptografia de bate-papo do Zoom E2E permite uma comunicação segura, na qual apenas o destinatário pretendido pode ler a mensagem segura”, afirma o white paper. “O zoom usa chave pública e privada para criptografar a sessão de bate-papo com o Advanced Encryption Standard (AES-256). As chaves de sessão são geradas com um ID de hardware exclusivo do dispositivo para evitar a leitura de dados de outros dispositivos. ” Um porta-voz do Zoom escreveu: “Quando a criptografia de ponta a ponta para bate-papo está ativada, as chaves são armazenadas nos dispositivos locais e o Zoom não tem acesso às chaves para descriptografar os dados.” “Acho que eles estão fazendo isso em de uma maneira um pouco desonesta. ”Sem criptografia de ponta a ponta, o Zoom tem a capacidade técnica de espionar videoconferências privadas e pode ser obrigado a entregar gravações de reuniões a governos ou órgãos policiais em resposta a solicitações legais. Enquanto outras empresas, como Google, Facebook e Microsoft, publicam relatórios de transparência que descrevem exatamente quantas solicitações governamentais de dados de usuários recebem de quais países e quantas delas cumprem, o Zoom não publica um relatório de transparência. Em 18 de março, o grupo de direitos humanos Access Now publicou uma carta aberta chamando o Zoom para lançar um relatório de transparência para ajudar os usuários a entender o que a empresa está fazendo para proteger seus dados. “Os relatórios de transparência são uma d
as maneiras mais fortes de as empresas divulgarem ameaças à privacidade e à liberdade de expressão do usuário. Eles nos ajudam a entender as leis de vigilância em diferentes jurisdições, fornecem informações úteis sobre desligamentos e interrupções da rede e mostram-nos quais empresas estão pressionando contra solicitações indevidas de informações do usuário ”, disse Isedua Oribhabor, analista de políticas dos EUA da Access Now. O Índice de relatórios de transparência do Access Now mostra uma tendência de queda nos relatórios de transparência consistentes, que Oribhabor disse que remove uma ferramenta essencial para que os usuários e a sociedade civil responsabilizem governos e empresas. Oribhabor apontou que o Zoom poderia ser obrigado a entregar dados a governos que desejam monitorar assembléias on-line ou controlar a disseminação de informações à medida que ativistas movem protestos on-line. A falta de um relatório de transparência torna difícil determinar se houve um aumento nas solicitações e não está claro como o Zoom responderia. “As empresas têm a responsabilidade de serem transparentes sobre esses tipos de solicitações, de ajudar os usuários e a sociedade civil a ver onde está ocorrendo abuso do governo e como a empresa está reagindo”, disse Oribhabor. “O Zoom cumpre nossas obrigações legais ou obrigações legais de nossos clientes. Isso inclui responder a processos legais válidos ou conforme razoavelmente necessário para preservar os direitos legais da Zoom. O Zoom é legalmente obrigado a trabalhar com a aplicação da lei quando houver uma violação dos Termos de Serviço Online da Zoom ”, disse um porta-voz da Zoom em um e-mail. A Zoom tem a capacidade técnica de espionar videoconferências privadas. É possível que o marketing da Zoom possa ser considerado uma prática comercial injusta ou enganosa que viesse a faltar à Federal Trade Commission. Em 2014, o Fandango e o Credit Karma liquidaram as cobranças junto à FTC após não implementar adequadamente a criptografia SSL para processar as informações do cartão de crédito, apesar de suas promessas de segurança. Isso deixou os dados pessoais do cliente vulneráveis ​​a ataques intermediários. O tecnólogo independente Ashkan Soltani, que anteriormente era o principal tecnólogo da FTC, disse que não está claro para ele se o Zoom está realmente implementando criptografia de ponta a ponta; ele não sabia que alegava fazê-lo antes de falar com o Intercept. Mas ele disse que, se um consumidor razoável tomar a decisão de usar o Zoom com o entendimento de que ele possui criptografia de ponta a ponta para o bate-papo por vídeo, quando na verdade não tinha, e se a representação do Zoom for enganosa, pode ser enganosa. prática comercial. Esse tipo de marketing pode impactar não apenas os consumidores, mas também outras empresas. “Se o Zoom alegou que possui criptografia de ponta a ponta, mas na verdade não investiu os recursos para implementá-la, e o Google Hangouts não fez essa reivindicação e você escolheu o Zoom, além de ser prejudicado como consumidor, mas também Na verdade, o Hangouts está sendo prejudicado porque o Zoom está fazendo reivindicações sobre seu produto que não são verdadeiras ”, afirmou ele. “Portanto, ele está realmente se beneficiando de falsas alegações, e as pessoas estão recebendo essencialmente mais participação de mercado por causa dessas falsas alegações.” Os clientes corporativos do Zoom com no mínimo 10 hosts têm a opção de usar um Meeting Connector local, que permite que as empresas hospedem essencialmente um servidor Zoom em sua rede corporativa interna. Com essa configuração, os metadados da reunião, como os nomes e horários das reuniões e quais participantes se juntam a eles, passam pelos servidores de Zoom, mas “a própria reunião é hospedada na rede interna do cliente”, de acordo com o informe oficial. “Todo o tráfego de reuniões em tempo real, incluindo áudio, vídeo e compartilhamento de dados, passa pela rede interna da empresa. Isso aproveita a configuração de segurança de rede existente para proteger o tráfego da reunião. ” Embora as reuniões do Zoom não sejam criptografadas de ponta a ponta, a empresa não deve ter acesso ao vídeo e áudio das reuniões que passam pelo servidor do Meeting Connector de um cliente; somente o cliente deve ter acesso a isso. O Zoom forneceu a seguinte declaração ao The Intercept: “O Zoom leva a privacidade de seus usuários extremamente a sério. O Zoom coleta apenas dados de indivíduos que usam a plataforma Zoom, conforme necessário, para fornecer o serviço e garantir que ele seja entregue da maneira mais eficaz possível. O zoom deve coletar informações técnicas básicas, como endereço IP dos usuários, detalhes do SO e detalhes do dispositivo para que o serviço funcione corretamente. O Zoom implantou proteções em camadas para proteger a privacidade de nossos usuários, o que inclui impedir que qualquer pessoa, incluindo funcionários da Zoom, acesse diretamente quaisquer dados que os usuários compartilhem durante as reuniões, incluindo – mas não se limitando ao – conteúdo de vídeo, áudio e bate-papo dessas reuniões. . É importante ressaltar que o Zoom não extrai dados de usuários nem vende dados de qualquer tipo a ninguém. ”