PSA: Zoom non dovrebbe essere fidato per le videochiamate/chiamate in conferenza.

La lettura veloce: Zoom dovrebbe essere considerato affidabile per mantenere segrete le tue chiamate di gruppo? Solo quanto ti fideresti di Microsoft, Google o Facebook — per quanto riguarda CLDC, per niente. Se proprio devi continuare a usare Zoom, assicurati che tutti i partecipanti alla tua chiamata sappiano che sta non un canale di comunicazione sicuro (pensalo come un incontro semi-aperto o una formazione in un forum pubblico dove potresti essere registrato). Limita le tue conversazioni ad argomenti meno sensibili.

Ricorda, tutti Le tue comunicazioni interne valgono la pena di essere protette. Se intercettate, possono essere usate contro di te per limitare il successo delle tue campagne. Ci sono anche ottime alternative.

Consigliamo queste due opzioni:

• L'opzione super semplice (basta cliccare su un link per avviare la videoconferenza) è https://meet.mayfirst.org. Funziona con la stessa facilità di condividere un link di Zoom e ha funzionato molto bene nei nostri test con 20 o più persone/dispositivi.
• Wire: sicurezza di prim'ordine per chiamate solo vocali fino a 10 dispositivi (quindi radunatevi attorno a un laptop con i vostri compagni locali per chiamate di coalizione di massa). Le chiamate di gruppo di Wire richiedono un piccolo sforzo per essere impostate, quindi potrebbero funzionare meglio per piccoli gruppi che effettuano chiamate regolari. Possiamo aiutarti a iniziare!

Ora, la storia completa.

La tecnologia migliore è facile da usare, sicura, protetta e ampiamente utilizzata da amici, compagni e colleghi. Tutti conosciamo un'app facile da usare quando la vediamo, e convincere tutti quelli che conosci a usarla richiede di impegnarsi in conversazioni convincenti e sviluppare una cultura della sicurezza condivisa.

Tecnologia ragionevolmente sicura e protetta ci dà la sicurezza di non doverci fidare di sconosciuti, e soprattutto di aziende che possiamo ragionevolmente presumere non condividano le nostre priorità di attivisti. La maggior parte ci tradirebbe all'istante o ci farebbe la spia alla minima pressione.

Le app crittografate end-to-end e open-source offrono la migliore sicurezza possibile.

La crittografia end-to-end significa che le uniche persone in grado di leggere i tuoi messaggi o ascoltare le tue chiamate sei tu e le persone con cui vuoi comunicare. Non devi fidarti di un'azienda o di chiunque altro con le tue informazioni poiché, per tutto il tempo in cui i tuoi dati sono fuori dalle tue mani, mentre viaggiano attraverso le onde radio, i circuiti di Internet, i server aziendali, router e switch, sono crittografati. Chiunque origlierebbe non sarebbe in grado di capirci nulla.

Open source significa che non è necessario fidarsi degli sviluppatori affinché un'app faccia ciò che dichiara di fare: il codice sottostante può essere esaminato per individuare errori onesti o backdoor deliberati.

Per le chiamate vocali o video individuali, Signal e Wire offrono esattamente questo livello di sicurezza ottimale. Tuttavia, la situazione per le chiamate di gruppo è molto più incerta. Entra in gioco Zoom: un'azienda e un'app che afferma di offrire conferenze crittografate end-to-end di alta qualità.

Purtroppo, i materiali di marketing di Zoom sembrano essere altamente fuorvianti. Non sono riusciti a convincerci che ciò che l'app Zoom sta facendo fornisca una crittografia end-to-end significativa. Vale a dire, devi solo fidarti di loro.

Il documento che descrive il design tecnico di Zoom non specifica alcun tipo di crittografia a chiave pubblica o altro schema che potrebbe abilitare la crittografia end-to-end. Afferma solo che Zoom utilizza la “crittografia AES a 256 bit”, che potrebbe significare qualsiasi cosa. Abbiamo altre gravi preoccupazioni riguardo agli elementi del loro design che possiamo vedere direttamente:

1. La crittografia end-to-end può essere attivata o disattivata dalla pagina web del tuo account Zoom. La cosa non è altro che una richiesta di utilizzare la crittografia end-to-end inviata al tuo client Zoom tramite i server di Zoom. Il personale di Zoom potrebbe semplicemente disattivarla ogni volta che lo desidera.
2. La funzione di registrazione su cloud potrebbe essere utilizzata dal personale di Zoom per ottenere registrazioni di videoconferenze. Queste registrazioni sono accessibili tramite la pagina web del tuo account Zoom, senza coinvolgere alcuna chiave di crittografia gestita dal client.
3. Non c’è gestione o verifica delle chiavi lato client, solo nome utente-password
4. Il personale di supporto di Zoom (in una chat) ha confermato che un ingegnere di back-end potrebbe visualizzare un video, ma che “questo vale per qualsiasi azienda”. In realtà, questo non è vero, ad esempio, per Wire o Signal.

Zoom non ha risposto alle ripetute richieste via email per chiarire questi punti.

In assenza di qualcosa di veramente sconvolgente nei design di sicurezza di Zoom, la riservatezza delle chiamate in conferenza Zoom dipende completamente da:

1. Zoom segue le sue politiche sulla privacy; e
2. Zoom non ricevere un ordine legale (inclusi ordini permanenti di sicurezza nazionale, ad esempio il programma PRISM) per registrare le videoconferenze del tuo gruppo.

In altre parole, bisogna fidarsi che Zoom agisca sempre nel modo giusto nei confronti dei propri utenti. Non è mai una buona idea riporre una fiducia cieca in un’azienda, sperando che faccia la cosa giusta. Questo rende la tecnologia di Zoom affidabile più o meno quanto quella di Google o di Skype (Microsoft).

Il messaggio chiave?

Zoom.us dovrebbe essere considerato semi-pubblico, cioè non più sicuro di Skype o Google Hangouts.

Nonostante le affermazioni di marketing secondo cui utilizzano la “crittografia end-to-end”, le conversazioni che abbiamo avuto con il personale di supporto di Zoom indicano che Zoom archivia una copia di tutte le chiavi private degli utenti sui propri server. Ciò non soddisfa il requisito fondamentale della crittografia end-to-end: che le chiavi private debbano essere detenute *solo* da te e dai tuoi amici/compagni/colleghi.

A peggiorare le cose, Zoom ha anche avuto recenti problemi critici di sicurezza (attivazione remota della webcam) che l'azienda non sembra aver preso sul serio. Anche se, per quanto ne sappiamo, le due vulnerabilità descritte in questo articolo sono stati risolti con un aggiornamento del 14 luglio 2019.

L'azienda ha risposto a questi preoccupazioni in questi blog articoli. Secondo Zoom, finché aggiornerai le tue app, sarai al sicuro da quei problemi.

Tuttavia, molti nella comunità della sicurezza hanno espresso sgomento per il fatto che, evidentemente, l'azienda fosse a conoscenza ma abbia lasciato i bug non corretti per 90 giorni, per poi rilasciare correzioni solo in risposta alla pressione pubblica. Ciò non indica che l'azienda dia priorità alla sicurezza. Sfortunatamente, questo si allinea perfettamente con le loro estremamente scarse garanzie di sicurezza.

“Ma devo fare videoconferenze!”

Jitsi Meetmeet.mayfirst.org), è attualmente il miglior sostituto di Zoom. Non è possibile chiamare da un telefono normale (cioè non utilizzando l'app desktop o mobile), e la qualità può risentirne un po' se una o più persone hanno connessioni Internet lente, ma ha funzionato bene per noi (in test con circa 20 persone) e sta migliorando sempre di più man mano che l'app e la tecnologia sottostante vengono ulteriormente sviluppate. Non è crittografato end-to-end, ma la privacy delle tue conferenze telefoniche è protetta da un'organizzazione tecnologica di movimento, May First, che ha preso forti impegni politici a non condividere mai i dati dei propri utenti.

Se puoi vivere senza video e desideri la migliore sicurezza possibile, Wire offre chiamate vocali criptate end-to-end per un massimo di 10 connessioni.

Nel caso in cui non riusciate ancora a convincere i vostri commilitoni o colleghi ad abbandonare Zoom, vi preghiamo almeno di diffondere la voce che Zoom è non fornendo crittografia a livello di segnale. Se tu e il tuo equipaggio siete un bersaglio, Zoom rende piuttosto facile che le vostre chiamate finiscano nelle mani dello Stato.

Rimanete sintonizzati per maggiori dettagli su come impostare videoconferenze sicure e alcune best practice!