PSA: O Zoom não deve ser confiável para chamadas de vídeo/conferência.

A leitura rápida: O Zoom deve ser confiável para manter suas chamadas em grupo em segredo? Apenas na medida em que você confiaria na Microsoft, Google ou Facebook — no que diz respeito à CLDC, de forma alguma. Se você precisa continuar usando o Zoom, por favor, certifique-se de que todos na sua chamada saibam que ele é não um canal de comunicação seguro (pense nisso como uma reunião ou treinamento semiaberto em um fórum público onde você pode ser gravado). Limite suas conversas a tópicos menos sensíveis.

Lembre-se, tudo das suas comunicações internas valem a pena ser protegidas. Se interceptadas, elas podem ser usadas contra você para limitar o sucesso das suas campanhas. Existem também ótimas alternativas.

Recomendamos estas duas opções:

• A opção super fácil (basta clicar em um link para iniciar a videoconferência) é https://meet.mayfirst.org. Isso funciona tão facilmente quanto compartilhar um link do Zoom, e funcionou muito bem em nossos testes com 20 pessoas/dispositivos ou mais.
• Wire: segurança de ponta para chamadas apenas de voz para até 10 dispositivos (então reúna-se em torno de um laptop com seus camaradas locais para chamadas massivas de coalizão). Chamadas em grupo do Wire exigem um pequeno esforço para serem configuradas, portanto, podem funcionar melhor para grupos pequenos que têm chamadas regulares. Podemos ajudá-lo a começar!

Agora, a história completa.

A melhor tecnologia é fácil de usar, segura, confiável e amplamente utilizada por amigos, colegas e companheiros de trabalho. Todos reconhecemos um aplicativo fácil de usar quando o vemos, e fazer com que todos que você conhece o utilize exige conversas envolventes e o desenvolvimento de uma cultura de segurança compartilhada.

Tecnologia razoavelmente segura e protegida nos dá a confiança de que não precisamos confiar em humanos desconhecidos — e especialmente em empresas que podemos supor com segurança que não compartilham nossas prioridades como ativistas. A maioria nos venderia num piscar de olhos ou nos delataria sob a menor pressão.

Aplicativos de código aberto com criptografia de ponta a ponta oferecem a melhor segurança possível.

Criptografia de ponta a ponta significa que as únicas pessoas que podem ler suas mensagens ou ouvir suas chamadas é você e as pessoas com quem você deseja se comunicar. Você não precisa confiar em uma empresa ou em mais ninguém com suas informações porque o tempo todo, enquanto seus dados estão fora de suas mãos, viajando pelo ar, conexões de internet, servidores corporativos, roteadores e switches, eles estão criptografados. Qualquer pessoa que escute não conseguiria entender nada.

Código aberto significa que você não precisa confiar nos desenvolvedores para criar um aplicativo que faz o que promete — o código subjacente pode ser auditado em busca de erros honestos ou backdoors deliberados.

Para chamadas de voz ou vídeo individuais, Signal e Wire oferecem exatamente este nível de segurança máxima. No entanto, a situação para chamadas em grupo é muito mais obscura. Entra Zoom: uma empresa e um aplicativo que afirmam fornecer conferências criptografadas de ponta a ponta e de alta qualidade.

Infelizmente, os materiais de marketing do Zoom parecem ser altamente enganosos. Eles falharam em nos convencer de que o que o aplicativo Zoom está fazendo fornece criptografia de ponta a ponta significativa. Ou seja, você tem que confiar neles.

O documento que descreve o projeto técnico do Zoom não especifica nenhum tipo de criptografia de chave pública ou outro esquema que possa possibilitar criptografia de ponta a ponta. Ele afirma apenas que o Zoom usa “criptografia AES de 256 bits”, o que pode significar qualquer coisa. Temos outras preocupações graves em relação aos elementos de seu projeto que podemos ver diretamente:

1. A criptografia de ponta a ponta pode ser ativada ou desativada na página da web da sua conta Zoom. Isso se resume a uma solicitação para usar a criptografia de ponta a ponta, enviada ao seu cliente Zoom através dos servidores da Zoom. A equipe da Zoom poderia simplesmente desativá-la a qualquer momento que desejasse.
2. A funcionalidade de gravação em nuvem pode ser utilizada pela equipe do Zoom para obter gravações de videoconferências. Essas gravações podem ser acessadas usando a página da web da sua conta Zoom, sem envolver nenhuma chave de criptografia gerenciada pelo cliente.
3. Não há gerenciamento ou verificação de chaves do lado do cliente — apenas um nome de usuário e senha.
4. A equipe de suporte do Zoom (em um chat) confirmou que um engenheiro de back-end poderia visualizar um vídeo, mas isso “é assim para qualquer empresa”. Na verdade, isso não é verdade, por exemplo, para Wire ou Signal.

A Zoom falhou em responder a repetidas solicitações por e-mail para esclarecer esses pontos.

Na ausência de algo realmente impressionante nos projetos de segurança do Zoom, a confidencialidade das teleconferências do Zoom depende inteiramente de:

1. Zoom seguindo suas políticas de privacidade; e
2. Zoom não recebendo uma ordem judicial (incluindo ordens nacionais permanentes de segurança, como o programa PRISM) para gravar as videoconferências do seu grupo.

Em outras palavras, é preciso confiar que o Zoom sempre agirá da maneira correta em relação aos seus usuários. Nunca é uma boa ideia confiar cegamente que uma empresa agirá da maneira correta. Isso faz com que a tecnologia do Zoom seja tão confiável quanto a do Google ou do Skype (Microsoft).

A mensagem principal?

Zoom.us deve ser considerado semi-público, ou seja, não mais seguro do que Skype ou Google Hangouts.

Apesar de suas alegações de marketing de que usam “criptografia de ponta a ponta”, conversas que tivemos com a equipe de suporte do Zoom indicam que o Zoom armazena uma cópia de todas as chaves privadas dos usuários em seus servidores. Isso falha no requisito básico da criptografia de ponta a ponta: que as chaves privadas devem ser mantidas *apenas* por você e seus amigos/camaradas/colegas de trabalho.

Para piorar a situação, o Zoom também teve recentes falhas críticas de segurança (ativação remota de webcam) que a empresa parece não ter levado a sério. Embora, ao que tudo indica, as duas vulnerabilidades descritas em este artigo foram corrigidos em uma atualização de 14 de julho de 2019.

A empresa respondeu a estas preocupações neste blog posts. De acordo com a Zoom, desde que você mantenha seus aplicativos atualizados, você estaria seguro desses problemas.

No entanto, muitos na comunidade de segurança expressaram desânimo pelo fato de que, evidentemente, a empresa estava ciente, mas mesmo assim deixou os bugs sem correção por 90 dias e, em seguida, apenas emitiu correções em resposta à pressão pública. Isso não indica que a empresa prioriza a segurança. Infelizmente, isso se alinha perfeitamente com suas garantias de segurança extremamente fracas.

“Mas eu preciso fazer videochamadas!”

Jitsi Meet (meet.mayfirst.org), atualmente é o melhor substituto para o Zoom. Não é possível fazer chamadas de um telefone comum (ou seja, sem usar o aplicativo para desktop ou celular), e a qualidade pode ser um pouco comprometida se uma ou mais pessoas tiverem conexões de internet lentas, mas tem funcionado bem para nós (em testes com cerca de 20 pessoas) e está ficando cada vez melhor à medida que o aplicativo e a tecnologia subjacente são desenvolvidos. Não é criptografado de ponta a ponta, mas a privacidade de suas chamadas de conferência é protegida por uma organização de tecnologia de movimento, a May First, que se comprometeu politicamente a nunca compartilhar os dados de seus usuários.

Se você puder abrir mão do vídeo e quiser a melhor segurança possível, o Wire oferece chamadas apenas de voz com criptografia de ponta a ponta para até 10 participantes.

Caso você ainda não consiga convencer seus companheiros ou colegas de trabalho a deixar de usar o Zoom, por favor, pelo menos divulgue que o Zoom é não oferecendo criptografia no nível do Signal. Se você e sua equipe forem alvo de espionagem, o Zoom facilita bastante que suas chamadas acabem nas mãos do Estado.

Fique ligado para saber mais detalhes sobre como configurar videoconferências seguras e conhecer algumas práticas recomendadas!