PSA: Zoom sollte für Video-/Konferenzgespräche nicht vertraut werden.

Der Kurzbericht: Sollte Zoom vertraut werden, Ihre Gruppengespräche geheim zu halten? Nur so weit, wie Sie Microsoft, Google oder Facebook vertrauen würden – soweit CLDC betroffen ist, gar nicht. Wenn Sie Zoom weiterhin nutzen müssen, stellen Sie bitte sicher, dass jeder in Ihrem Gespräch weiß, dass es sich um nicht Ein sicherer Kommunikationskanal (stellen Sie ihn sich als eine halböffentliche Besprechung oder Schulung in einem öffentlichen Forum vor, in dem Sie möglicherweise aufgezeichnet werden). Beschränken Sie Ihre Gespräche auf weniger sensible Themen.

Denk dran, alle Ihre internen Kommunikationen sind schützenswert. Wenn sie abgefangen werden, können sie gegen Sie verwendet werden, um den Erfolg Ihrer Kampagnen zu beeinträchtigen. Es gibt auch großartige Alternativen.

Wir empfehlen diese beiden Optionen:

• Die super einfache Option (klicken Sie einfach auf einen Link, um die Videokonferenz zu starten) ist https://meet.mayfirst.org. Das funktioniert so einfach wie das Teilen eines Zoom-Links, und es hat in unseren Tests mit 20 Personen/Geräten oder mehr sehr gut funktioniert.
• Wire: erstklassige Sicherheit für reine Sprachanrufe für bis zu 10 Geräte (also kommen Sie mit Ihren lokalen Kameraden für massive Koalitionsgespräche um einen Laptop zusammen). Wire-Gruppenanrufe erfordern etwas Aufwand bei der Einrichtung und funktionieren daher am besten für kleine Gruppen, die regelmäßig telefonieren. Wir helfen Ihnen beim Einstieg!

Nun, die ganze Geschichte.

Die beste Technologie ist einfach zu bedienen, sicher, geschützt und wird von Freunden, Kameraden und Kollegen weit verbreitet genutzt. Wir alle erkennen eine einfach zu bedienende App, wenn wir sie sehen, und damit alle, die Sie kennen, sie nutzen, erfordert es ansprechende Konversationen und die Entwicklung einer gemeinsamen Sicherheitskultur.

Ziemlich sichere Technologie gibt uns die Gewissheit, dass wir unbekannten Menschen – und insbesondere Unternehmen, von denen wir sicher annehmen können, dass sie unsere Prioritäten als Aktivisten nicht teilen – nicht vertrauen müssen. Die meisten würden uns im Handumdrehen verraten oder auf den geringsten Druck hin petzen.

Ende-zu-Ende-verschlüsselte Open-Source-Apps bieten die bestmögliche Sicherheit.

Ende-zu-Ende-Verschlüsselung bedeutet, dass nur Sie und die Personen, mit denen Sie kommunizieren möchten, Ihre Nachrichten lesen oder Ihre Anrufe abhören können. Sie müssen keinem Unternehmen oder sonst jemandem Ihre Informationen anvertrauen, denn die ganze Zeit, in der Ihre Daten außer Kontrolle sind und durch die Luftwellen, Internet-Leitungen, Firmenserver, Router und Switches wandern, sind sie verschlüsselt. Jeder, der mithört, könnte keinen Sinn daraus machen.

Open Source bedeutet, dass Sie den Entwicklern nicht vertrauen müssen, dass eine App das tut, was sie vorgibt zu tun – der zugrunde liegende Code kann auf ehrliche Fehler oder absichtliche Hintertüren überprüft werden.

Für Einzelgespräche per Sprach- oder Videoanruf bieten Signal und Wire genau diese Art von bestmöglicher Sicherheit. Bei Gruppenanrufen ist die Situation jedoch unübersichtlicher. Hier kommt Zoom ins Spiel: ein Unternehmen und eine App, die behauptet, Ende-zu-Ende-verschlüsselte, qualitativ hochwertige Konferenzgespräche zu führen.

Bedauerlicherweise scheinen die Marketingmaterialien von Zoom höchst irreführend zu sein. Sie konnten uns nicht davon überzeugen, dass das, was die Zoom-App tut, eine aussagekräftige Ende-zu-Ende-Verschlüsselung bietet. Das heißt, man muss ihnen einfach vertrauen.

Das Dokument, das Zooms technisches Design beschreibt, gibt keine Art von Public-Key-Kryptografie oder ein anderes Schema an, das eine Ende-zu-Ende-Verschlüsselung ermöglichen könnte. Es besagt lediglich, dass Zoom eine “AES-256-Bit-Verschlüsselung” verwendet, was alles bedeuten könnte. Wir haben weitere ernste Bedenken hinsichtlich der Elemente ihres Designs, die wir direkt sehen können:

1. Ende-zu-Ende-Verschlüsselung kann auf der Webseite Ihres Zoom-Kontos ein- und ausgeschaltet werden. Dies läuft lediglich auf eine Anfrage hinaus, Ende-zu-Ende-Verschlüsselung zu verwenden, die über die Zoom-Server an Ihren Zoom-Client gesendet wird. Zoom-Mitarbeiter können dies jederzeit nach Belieben ausschalten.
2. Das Cloud-Aufzeichnungsfeature könnte vom Zoom-Personal genutzt werden, um Aufzeichnungen von Webkonferenzen zu erhalten. Diese Aufzeichnungen können über die Webseite Ihres Zoom-Kontos abgerufen werden, ohne dass ein vom Client verwalteter Verschlüsselungsschlüssel involviert ist.
3. Es gibt kein clientseitiges Schlüsselmanagement oder keine clientseitige Verifizierung – nur Benutzername und Passwort.
4. Zoom-Supportmitarbeiter (in einem Chat) bestätigten, dass ein Backend-Ingenieur ein Video sehen könne, aber das sei “bei jedem Unternehmen der Fall”. Tatsächlich ist dies beispielsweise bei Wire oder Signal nicht der Fall.

Zoom hat es versäumt, auf wiederholte E-Mail-Anfragen zur Klärung dieser Punkte zu antworten.

Mangels etwas wirklich Bahnbrechendem an Zooms Sicherheitsdesigns hängt die Vertraulichkeit von Zoom-Konferenzgesprächen vollständig davon ab:

1. Zoom hält sich an seine Datenschutzrichtlinien; und
2. Zoom nicht eine rechtliche Anordnung (einschließlich stehender nationaler Sicherheitsanordnungen, z. B. des PRISM-Programms) zur Aufzeichnung der Videokonferenzen Ihrer Gruppe zu erhalten.

Mit anderen Worten: Man muss darauf vertrauen können, dass Zoom im Interesse seiner Nutzer stets das Richtige tut. Es ist niemals eine gute Idee, blind darauf zu vertrauen, dass ein Unternehmen das Richtige tut. Damit ist die Technologie von Zoom etwa genauso vertrauenswürdig wie die von Google oder Skype (Microsoft).

Die Quintessenz?

Zoom.us sollte als semi-öffentlich betrachtet werden, d.h. nicht sicherer als Skype oder Google Hangouts.

Trotz ihrer Marketingaussagen, dass sie eine “Ende-zu-Ende-Verschlüsselung” verwenden, deuten Gespräche, die wir mit dem Zoom-Support hatten, darauf hin, dass Zoom eine Kopie aller privaten Schlüssel der Benutzer auf seinem Server speichert. Dies erfüllt die grundlegende Anforderung der Ende-zu-Ende-Verschlüsselung nicht: dass private Schlüssel *nur* von Ihnen und Ihren Freunden/Kameraden/Kollegen gehalten werden sollten.

Um die Sache noch schlimmer zu machen, hatte Zoom auch kürzlich kritische Sicherheitsprobleme (Fernaktivierung der Webcam), die das Unternehmen anscheinend nicht ernst genommen hat. Obwohl, soweit wir das beurteilen können, die beiden beschriebenen Schwachstellen dieser Artikel wurden mit einem Update vom 14. Juli 2019 behoben.

Das Unternehmen hat darauf geantwortet Anliegen In diesen Blogs Beiträge. Laut Zoom sind Sie sicher vor diesen Problemen, solange Sie Ihre Apps aktualisieren.

Jedoch äußerten viele aus der Sicherheitsgemeinschaft ihr Entsetzen darüber, dass das Unternehmen offenbar Kenntnis von den Fehlern hatte, diese aber 90 Tage lang ungepatcht ließ und Patches erst nach öffentlichem Druck veröffentlichte. Dies deutet nicht darauf hin, dass das Unternehmen Sicherheit priorisiert. Leider passt dies perfekt zu seinen äußerst schlechten Sicherheitsgarantien.

“Aber ich brauche Videokonferenzgespräche!”

Jitsi Meetmeet.mayfirst.org), ist derzeit der beste Ersatz für Zoom. Es ist nicht möglich, von einem normalen Telefon aus anzurufen (d. h. ohne die Desktop- oder mobile App), und die Qualität kann einige Abstriche hinnehmen, wenn eine oder mehrere Personen langsame Internetverbindungen haben, aber es hat für uns gut funktioniert (in Tests mit ca. 20 Personen) und wird mit der Weiterentwicklung der App und der zugrunde liegenden Technologie immer besser. Es ist nicht Ende-zu-Ende verschlüsselt, aber die Privatsphäre Ihrer Konferenzgespräche wird durch eine technologische Organisation, May First, geschützt, die starke politische Verpflichtungen eingegangen ist, niemals Daten ihrer Nutzer weiterzugeben.

Wenn du ohne Video leben kannst und die bestmögliche Sicherheit wünschst, bietet Wire Ende-zu-Ende-verschlüsselte reine Sprachanrufe für bis zu 10 Verbindungen.

Falls Sie Ihre Kameraden oder Kollegen noch nicht davon überzeugen können, von Zoom wegzukommen, verbreiten Sie zumindest die Nachricht, dass Zoom nicht bietet Ende-zu-Ende-Verschlüsselung. Wenn du und deine Crew ein Ziel seid, macht es Zoom ziemlich einfach, dass eure Anrufe in die Hände des Staates geraten.

Bleiben Sie dran für weitere Details zur Einrichtung sicherer Videokonferenzen und einige Best Practices!