PSA: Zoom не стоит доверять для видео/конференц-звонков.

Краткое чтение: Стоит ли доверять Zoom соблюдение секретности ваших групповых звонков? Только в той мере, в какой вы готовы доверять Microsoft, Google или Facebook — по мнению CLDC, ни в коем случае. Если вы вынуждены продолжать пользоваться Zoom, пожалуйста, убедитесь, что все участники вашего звонка знают, что это нет канал безопасной связи (представьте это как полуоткрытое собрание или тренинг на открытом форуме, где вас могут записывать). Ограничьте свои разговоры менее чувствительными темами.

Помни, все ваши внутренние коммуникации стоят того, чтобы их защищали. Если они будут перехвачены, их можно будет использовать против вас, чтобы ограничить успех ваших кампаний. Есть и отличные альтернативы.

Мы рекомендуем эти два варианта:

• Супер простой вариант (просто нажмите на одну ссылку, чтобы начать видеоконференцию) https://meet.mayfirst.org. Это работает так же просто, как поделиться ссылкой Zoom, и отлично себя зарекомендовало в наших тестах с 20 и более людьми/устройствами.
• Wire: высококлассная безопасность для голосовых звонков до 10 устройств (так что соберитесь вокруг ноутбука со своими местными товарищами для массовых коалиционных звонков). Групповые звонки Wire требуют небольших усилий для настройки, поэтому они могут быть лучше всего подходить для небольших групп, которые регулярно звонят. Мы можем помочь вам начать работу!

Теперь, вся история.

Лучшие технологии просты в использовании, безопасны, надежны и широко используются друзьями, товарищами и коллегами. Все мы узнаем простое в использовании приложение, когда видим его, а чтобы все, кого вы знаете, начали его использовать, потребуется вести увлекательные разговоры и развивать общую культуру безопасности.

Разумно безопасная и надежная технология дает нам уверенность в том, что нам не нужно доверять незнакомым людям, и особенно компаниям, которым, как можно с уверенностью предположить, не близки наши приоритеты как активистов. Большинство продадут нас в мгновение ока или донесут под малейшим давлением.

Приложения со сквозным шифрованием и открытым исходным кодом обеспечивают наилучшую возможную безопасность.

Сквозное шифрование означает, что единственные люди, которые могут читать ваши сообщения или слушать ваши звонки, — это вы и те, с кем вы хотите общаться. Вам не придется доверять компании или кому-либо еще вашу информацию, потому что все время, пока ваши данные находятся вне ваших рук, проходят через эфир, интернет-каналы, корпоративные серверы, маршрутизаторы и коммутаторы, они зашифрованы. Любой подслушивающий не сможет ничего понять.

Открытый исходный код означает, что вам не нужно доверять разработчикам, чтобы приложение делало то, что оно заявляет, — базовый код можно проверить на наличие непреднамеренных ошибок или преднамеренных бэкдоров.

Для индивидуальных голосовых или видеозвонков Signal и Wire обеспечивают именно такой уровень максимальной безопасности. Однако ситуация с групповыми звонками гораздо более туманна. Тут-то и появляется Zoom: компания и приложение, которые утверждают, что обеспечивают сквозное шифрование высококачественных конференц-звонков.

К сожалению, маркетинговые материалы Zoom кажутся весьма вводящими в заблуждение. Они не смогли убедить нас в том, что приложение Zoom обеспечивает надежное сквозное шифрование. То есть, вам просто приходится доверять им.

Документ, описывающий технический дизайн Zoom, не указывает на наличие какой-либо криптографии с открытым ключом или другой схемы, которая могла бы обеспечить сквозное шифрование. В нем лишь говорится, что Zoom использует “шифрование AES-256 бит”, что может означать что угодно. У нас есть другие серьезные опасения по поводу тех элементов их дизайна, которые мы можем видеть напрямую:

1. Сквозное шифрование можно включить или выключить на веб-странице вашей учетной записи Zoom. Это всего лишь запрос на использование сквозного шифрования, отправленный на ваш клиент Zoom через серверы Zoom. Сотрудники Zoom могут просто отключить его в любое время, когда захотят.
2. Функция облачной записи может быть использована сотрудниками Zoom для получения записей веб-конференций. Доступ к этим записям можно получить через веб-страницу вашей учетной записи Zoom, не используя ключ шифрования, управляемый клиентом.
3. Нет управления ключами или проверки на стороне клиента — только имя пользователя и пароль.
4. Сотрудник поддержки Zoom (в чате) подтвердил, что инженер на стороне сервера может просмотреть видео, но это “характерно для любой компании”. На самом деле, это не так, например, для Wire или Signal.

Zoom не ответил на неоднократные запросы по электронной почте с просьбой прояснить эти моменты.

В отсутствие чего-то действительно ошеломляющего в дизайне безопасности Zoom, конфиденциальность конференц-звонков Zoom полностью зависит от:

1. Zoom соблюдает свою политику конфиденциальности; и
2. Зум нет получение законного предписания (включая стандартные предписания национальной безопасности, например, программу PRISM) для записи видеоконференций вашей группы.

Другими словами, нужно быть уверенным в том, что Zoom всегда будет действовать в интересах своих пользователей. Никогда не стоит слепо доверять компании, полагая, что она поступит правильно. В связи с этим технологии Zoom вызывают примерно такое же доверие, как и технологии Google или Skype (Microsoft).

Главный вывод?

Zoom.us следует рассматривать как полупубличный, то есть не более безопасный, чем Skype или Google Hangouts.

Несмотря на заявления компании в маркетинговых материалах об использовании “сквозного шифрования”, в беседах с сотрудниками службы поддержки Zoom мы выяснили, что Zoom хранит копии всех закрытых ключей пользователей на своем сервере. Это не соответствует основному требованию сквозного шифрования: закрытые ключи должны храниться *только* у вас и ваших друзей/товарищей/коллег.

Более того, у Zoom также в последнее время были критические проблемы с безопасностью (удаленная активация веб-камеры), к которым компания, похоже, не отнеслась серьезно. Хотя, насколько нам известно, две уязвимости, описанные в эта статья были исправлены в обновлении от 14 июля 2019 года.

Компания отреагировала на эти опасения в этих блогах посты. Согласно Zoom, до тех пор, пока вы обновляете свои приложения, вы будете в безопасности от этих проблем.

Однако многие представители сообщества по безопасности выразили разочарование тем, что, очевидно, компания знала, но тем не менее оставляла уязвимости неотремонтированными в течение 90 дней, а затем выпустила исправления только под давлением общественности. Это не свидетельствует о том, что компания ставит безопасность в приоритет. К сожалению, это идеально соответствует их чрезвычайно слабым гарантиям безопасности.

“Но мне нужно проводить видеоконференции!”

Jitsi Meet (meet.mayfirst.org), на данный момент является лучшей альтернативой Zoom. Звонки с обычного телефона (т. е. без использования настольного или мобильного приложения) невозможны, и качество связи может немного ухудшиться, если у одного или нескольких участников медленное интернет-соединение, но у нас приложение работало хорошо (в тестах с участием около 20 человек) и становится всё лучше по мере дальнейшего развития приложения и лежащих в его основе технологий. Оно не имеет сквозного шифрования, но конфиденциальность ваших конференц-звонков защищена технологической организацией May First, которая взяла на себя твердые политические обязательства никогда не передавать данные своих пользователей.

Если вы можете обойтись без видеосвязи и вам нужна наилучшая возможная безопасность, Wire предлагает голосовые звонки с оконечным шифрованием для максимум 10 участников.

На случай, если вы пока не сможете убедить своих товарищей или коллег отказаться от Zoom, пожалуйста, хотя бы распространите информацию о том, что Zoom нет предоставляя шифрование на уровне сигналов. Если вы и ваша команда являетесь целью, Zoom облегчает попадание ваших звонков в руки государства.

Оставайтесь с нами, чтобы узнать подробности о настройке безопасных видеоконференций и лучших практиках!