Key Takeaways
- Die U. S. Federal Trade Commission gab am 9. November bekannt, dass sie eine Einigung mit Zoom erzielt hat, nachdem sie behauptet hatte, Benutzer in Bezug auf die Sicherheit irregeführt zu haben.
- Der Vergleich erfordert, dass Zoom ein "umfassendes Sicherheitsprogramm" einführt.
- Zoom sagt, es habe sich bereits mit den Problemen befasst und kürzlich angekündigt, dass es eine Ende-zu-Ende-Verschlüsselung einführen werde.
Die beliebte Konferenzplattform Zoom verstärkt ihre Sicherheitspraktiken im Rahmen einer Einigung mit der U. S. Federal Trade Commission (FTC), nachdem die Behörde behauptet hatte, sie habe Benutzer über ihr Sicherheitsniveau in die Irre geführt.
Zoom ist innerhalb weniger Monate zu einem bekannten Namen geworden, da sich die Welt aufgrund der Pandemie, die persönliche Treffen stark einschränkt, an seine Videokonferenzplattform wendet. In einer FTC-Beschwerde wurde jedoch behauptet, dass Zoom „an einer Reihe betrügerischer und unlauterer Praktiken beteiligt war, die die Sicherheit seiner Benutzer untergraben.“
Dies folgte Anfang des Jahres einer Überprüfung durch Sicherheitsexperten, die feststellten, dass die Plattform trotz Marketingbehauptungen keine Ende-zu-Ende-Verschlüsselung verwendet. Zoom hat während seiner zunehmenden Popularität auch andere Sicherheitsprobleme gesehen, wie z. B. unerwünschte Teilnehmer, die Meetings in einer Praxis namens „Zoombombing“zum Absturz bringen. Als Teil der FTC-Vereinbarung hat sich Zoom verpflichtet, ein „umfassendes Sicherheitsprogramm“umzusetzen.
„Während der Pandemie nutzt praktisch jeder – Familien, Schulen, soziale Gruppen, Unternehmen – Videokonferenzen zur Kommunikation, wodurch die Sicherheit dieser Plattformen kritischer denn je wird“, Andrew Smith, Direktor des Bureau of Consumer der FTC Schutz, heißt es in der Pressemitteilung der Agentur.
"Die Sicherheitspraktiken von Zoom haben nicht eingeh alten, was sie versprechen, und diese Maßnahme wird dazu beitragen, sicherzustellen, dass Zoom-Meetings und Daten über Zoom-Benutzer geschützt sind."
Regierungsprüfung
Die FTC-Beschwerde behauptet, dass Zoom seine Benutzer über mehrere sicherheitsrelevante Probleme irregeführt hat, von denen sich das wichtigste auf Behauptungen zur End-to-End-Verschlüsselung bezieht.
Es heißt, dass Zoom seit 2016 behauptet, eine 256-Bit-End-to-End-Verschlüsselung für Zoom-Anrufe anzubieten, aber in Wirklichkeit ein geringeres Sicherheitsniveau bietet. Wenn die Ende-zu-Ende-Verschlüsselung aktiviert ist, haben nur die Teilnehmer eines Anrufs oder Chats Zugriff auf die ausgetauschten Informationen – nicht Zoom, die Regierung oder andere Parteien.
Darüber hinaus wird in der Beschwerde behauptet, Zoom habe aufgezeichnete, unverschlüsselte Meetings bis zu 60 Tage lang auf seinen Servern gespeichert, nachdem es einigen seiner Benutzer mitgeteilt hatte, dass sie sofort verschlüsselt würden.
Ein weiteres Problem betrifft die Mac-Software namens ZoomOpener, die auf den Computern der Benutzer verblieb, selbst wenn Zoom gelöscht wurde, und sie für Hacker anfällig gemacht haben könnte. „Diese Software umging eine Sicherheitseinstellung des Safari-Browsers und setzte Benutzer einem Risiko aus – zum Beispiel hätte sie es Fremden ermöglichen können, Benutzer über die Webkameras ihrer Computer auszuspionieren“, erklärt Alvaro Puig, FTC Consumer Education Specialist, in einem Blogbeitrag.
Antwort von Zoom
Während Zoom die FTC-Beschwerde erst kürzlich beigelegt hat, teilte das Unternehmen Lifewire in einer E-Mail mit, dass es die Probleme "bereits angegangen" habe.
"Die Sicherheit unserer Benutzer hat für Zoom höchste Priorität", sagte ein Unternehmenssprecher Lifewire in einer E-Mail. Zoom hat mehrere Schritte unternommen, um auf die Vorwürfe der FTC zu reagieren, einschließlich der Einführung eines 90-Tage-Plans im April, der mehr als 100 Funktionen in Bezug auf Datenschutz und Sicherheit enthielt.
Zoom hat Ende Oktober eine Ende-zu-Ende-Verschlüsselung eingeführt, die durch die Übernahme einer Firma namens Keybase im Mai ermöglicht wurde. Die Ende-zu-Ende-Verschlüsselung befindet sich immer noch in dem, was Zoom als „technische Vorschau“bezeichnet, und das Unternehmen gibt an, dass die Server von Zoom keinen Zugriff auf die Verschlüsselungsschlüssel haben. Derzeit sind einige Funktionen im End-to-End-Verschlüsselungsmodus eingeschränkt, einschließlich der Möglichkeit, dem Meeting vor dem Gastgeber und den Breakout-Räumen beizutreten.
Wie man die Ende-zu-Ende-Verschlüsselung von Zoom verwendet
Informatikprofessor Nitesh Saxena von der University of Alabama in Birmingham sagt, dass die Bemühungen von Zoom, ein echtes Ende-zu-Ende-Verschlüsselungssystem zu implementieren, ein „Schritt in die richtige Richtung“seien, merkt aber an, dass noch viel zu tun sei.
"Es gibt noch erhebliche Probleme, die angegangen werden müssen, bevor dies wirklich das Maß an Sicherheit bieten kann, das Benutzer möglicherweise von Zoom-Anrufen verlangen", sagt er.
Saxena, der die Sicherheit von Zoom ausgiebig studiert hat, sagt, dass die Sicherheit seiner End-to-End-Verschlüsselungsmethode letztendlich auf dem Prozess beruht, der zur Validierung der kryptografischen Schlüssel der Meeting-Teilnehmer verwendet wird (ein wichtiger Schritt, um Lauscher aus dem Anruf herauszuh alten).
In diesem Fall überprüfen Benutzer dies selbst, bevor sie das Meeting starten. In Zooms erster Phase seines Ende-zu-Ende-Verschlüsselungsprotokolls liest der Gastgeber des Meetings einen 39-stelligen Code, den die anderen auf ihrem Bildschirm überprüfen müssen.
Die Sicherheitspraktiken von Zoom haben nicht ihren Versprechungen entsprochen, und diese Maßnahme wird dazu beitragen, sicherzustellen, dass Zoom-Meetings und Daten über Zoom-Benutzer geschützt sind.
Laut Untersuchungen von Saxena und seinem Team könnte dieser Ansatz anfällig für menschliche Fehler sein, wenn jemand nicht aufpasst und versehentlich einen nicht übereinstimmenden Code akzeptiert oder den Vorgang vollständig überspringt.
Außerdem müssen Meeting-Gastgeber und -Teilnehmer sicherstellen, dass sie die Ende-zu-Ende-Verschlüsselung aktivieren, bevor sie das Meeting starten, da sie nicht standardmäßig aktiviert ist. Die Forschung von Saxena ergab auch, dass die Arten von numerischen Codes, die Zoom verwendet, auch anfällig für eine bestimmte Art von Angriffen sein könnten.
Zoom-Benutzer können sich also erleichtert fühlen, dass die Plattform die wichtigsten Sicherheitsprobleme, die durch die FTC-Beschwerde aufgeworfen wurden, bereits angegangen ist und nun die erste Phase der Ende-zu-Ende-Verschlüsselung anbietet. Konferenzteilnehmer sollten sich jedoch darüber im Klaren sein, dass die korrekte Verwendung des neuen Ende-zu-Ende-Verschlüsselungsmodus besondere Aufmerksamkeit erfordert, wenn es Zeit für den Code-Validierungsprozess zu Beginn des Anrufs ist.
