PSA: No se debe confiar en Zoom para videollamadas/conferencias.

La lectura corta: ¿Se debe confiar en Zoom para mantener en secreto las llamadas grupales? Solo hasta el punto en que confiarías en Microsoft, Google o Facebook; en lo que respecta a CLDC, en absoluto. Si debes seguir usando Zoom, asegúrate de que todos en tu llamada sepan que es no un canal de comunicación seguro (piensa en ello como una reunión o capacitación informal en un foro público donde podrías ser grabado). Limita tus conversaciones a temas menos sensibles.

Recuerda, todo de tus comunicaciones internas valen la pena de protegerse. Si son capturadas, pueden usarse en tu contra para limitar el éxito de tus campañas. También existen excelentes alternativas.

Recomendamos estas dos opciones:

• La opción súper fácil (solo haz clic en un enlace para iniciar la videoconferencia) es https://meet.mayfirst.org. Funciona tan fácilmente como compartir un enlace de Zoom y ha funcionado muy bien en nuestras pruebas con 20 personas/dispositivos o más.
• Wire: seguridad de primera categoría para llamadas solo de voz para hasta 10 dispositivos (así que reúnanse alrededor de una laptop con sus camaradas locales para llamadas masivas de coalición). Las llamadas grupales de Wire requieren un pequeño esfuerzo para configurarse y, por lo tanto, podrían funcionar mejor para grupos pequeños que tienen llamadas regulares. ¡Podemos ayudarle a empezar!

Ahora, la historia completa.

La mejor tecnología es fácil de usar, segura, confiable y ampliamente utilizada por amigos, compañeros y colegas. Todos reconocemos una aplicación fácil de usar cuando la vemos, y lograr que todos tus conocidos la usen requiere entablar conversaciones convincentes y desarrollar una cultura de seguridad compartida.

La tecnología razonablemente segura y confiable nos da la confianza de que no tenemos que confiar en humanos desconocidos, y especialmente en compañías que podemos asumir con seguridad que no comparten nuestras prioridades como activistas. La mayoría nos traicionaría en un instante o nos delataría bajo la más mínima presión.

Las aplicaciones de código abierto con cifrado de extremo a extremo ofrecen la mejor seguridad posible.

El cifrado de extremo a extremo significa que las únicas personas que pueden leer tus mensajes o escuchar tus llamadas eres tú y las personas con las que quieres comunicarte. No tienes que confiarle tu información a una empresa ni a nadie más, porque todo el tiempo que tus datos están fuera de tus manos, atravesando las ondas de radio, los tubos de internet, los servidores corporativos, los routers y los switches, están cifrados. Quienquiera que te espíe, no podría entender nada.

Código abierto significa que no necesitas confiar en los desarrolladores para que una aplicación haga lo que dice que hace; el código subyacente puede ser auditado en busca de errores honestos o puertas traseras deliberadas.

Para llamadas de voz o video uno a uno, Signal y Wire ofrecen exactamente este nivel de seguridad óptima. Sin embargo, la situación para las llamadas grupales es mucho más turbia. Aquí entra Zoom: una empresa y una aplicación que afirma proporcionar conferencias encriptadas de extremo a extremo y de alta calidad.

Desafortunadamente, los materiales de marketing de Zoom parecen ser muy engañosos. No nos han convencido de que lo que hace la aplicación de Zoom proporcione un cifrado de extremo a extremo significativo. Es decir, solo tienes que confiar en ellos.

El documento que describe el diseño técnico de Zoom no especifica ningún tipo de criptografía de clave pública u otro esquema que pudiera permitir el cifrado de extremo a extremo. Solo indica que Zoom usa “cifrado AES de 256 bits”, lo que podría significar cualquier cosa. Tenemos otras preocupaciones serias sobre los elementos de su diseño que podemos ver directamente:

1. El cifrado de extremo a extremo se puede activar o desactivar en la página web de tu cuenta de Zoom. Esto simplemente equivale a una solicitud para usar el cifrado de extremo a extremo, enviada a tu cliente de Zoom a través de los servidores de Zoom. El personal de Zoom podría simplemente desactivarlo en cualquier momento que lo deseen.
2. La función de grabación en la nube podría ser utilizada por el personal de Zoom para obtener grabaciones de las videoconferencias. Estas grabaciones se pueden acceder utilizando la página web de tu cuenta de Zoom, sin involucrar ninguna clave de cifrado administrada por el cliente.
3. No hay administración ni verificación de claves del lado del cliente—solo un nombre de usuario y contraseña.
4. El personal de soporte de Zoom (en un chat) confirmó que un ingeniero de back-end podría ver un video, pero que eso “es cierto para cualquier empresa”. De hecho, esto no es cierto, por ejemplo, para Wire o Signal.

Zoom no ha respondido a repetidas solicitudes por correo electrónico para aclarar estos puntos.

En ausencia de algo verdaderamente alucinante sobre los diseños de seguridad de Zoom, la confidencialidad de las llamadas de conferencia de Zoom depende completamente de:

1. Zoom cumpliendo con sus políticas de privacidad; y
2. Zoom no recibir una orden legal (incluyendo órdenes nacionales de seguridad vigentes, como el programa PRISM) para grabar las videoconferencias de tu grupo.

En otras palabras, hay que confiar en que Zoom siempre hará lo correcto por sus usuarios. Nunca es buena idea confiar ciegamente en que una empresa haga lo correcto. Esto hace que la tecnología de Zoom sea tan confiable como la de Google o la de Skype (Microsoft).

¿El mensaje principal?

Zoom.us debería considerarse semipúblico, es decir, no más seguro que Skype o Google Hangouts.

A pesar de sus afirmaciones de marketing de que utilizan “cifrado de extremo a extremo”, las conversaciones que hemos tenido con el personal de soporte de Zoom indican que Zoom almacena una copia de todas las claves privadas de los usuarios en su servidor. Esto incumple el requisito básico del cifrado de extremo a extremo: que las claves privadas deben ser conservadas *únicamente* por usted y sus amigos/compañeros/colegas.

Para empeorar las cosas, Zoom también ha tenido problemas críticos de seguridad recientes (activación remota de la cámara web) que la empresa parece no haberse tomado en serio. Aunque, por lo que hemos podido saber, las dos vulnerabilidades descritas en este artículo han sido corregidos en una actualización del 14 de julio de 2019.

La empresa ha respondido a estas preocupaciones en estos blogs publicaciones. Según Zoom, siempre y cuando actualices tus aplicaciones, estarás a salvo de esos problemas.

Sin embargo, muchos en la comunidad de seguridad han expresado su consternación de que, evidentemente, la compañía estaba al tanto pero aun así dejó los errores sin corregir durante 90 días, y luego solo emitió correcciones en respuesta a la presión pública. Esto no indica que la compañía priorice la seguridad. Desafortunadamente, esto coincide perfectamente con sus garantías de seguridad extremadamente deficientes.

“¡Pero necesito tener videollamadas!”

Jitsi Meet (meet.mayfirst.org), es actualmente el mejor reemplazo para Zoom. No es posible llamar desde un teléfono normal (es decir, sin usar la aplicación de escritorio o móvil) y la calidad puede verse afectada si una o más personas tienen conexiones a Internet lentas, pero nos ha funcionado bien (en pruebas de aproximadamente 20 personas) y está mejorando cada vez más a medida que la aplicación y la tecnología subyacente se desarrollan. No está cifrado de extremo a extremo, pero la privacidad de sus conferencias telefónicas está protegida por una organización de tecnología de movimientos, May First, que ha asumido fuertes compromisos políticos de no compartir nunca los datos de sus usuarios.

Si puedes vivir sin video y quieres la mejor seguridad posible, Wire ofrece llamadas de solo voz cifradas de extremo a extremo para hasta 10 conexiones.

En caso de que aún no puedas convencer a tus compañeros o colegas de que cambien de Zoom, al menos corre la voz de que Zoom es no proporcionando cifrado a nivel de señal. Si usted y su equipo son un objetivo, Zoom lo hace bastante fácil para que sus llamadas terminen en manos del Estado.

¡Mantente atento para más detalles sobre cómo configurar videoconferencias seguras y algunas mejores prácticas!