Zoom爆重大安全漏洞：數万視頻被公開圍觀CEO考慮開源
今天你Zoom了嗎？近日，疫情期間大火的視頻會議軟件Zoom又爆出重大安全漏洞：數以萬計私人視頻被上傳至公開網頁，任何人都可在線圍觀！驚喜變驚嚇！創始人袁征坦言，如果安全問題不解決，甚至會考慮開源Zoom代碼。
冠狀病毒疫情期間，視頻會議軟件使用量激增，其中表現尤其搶眼的軟件就是Zoom。Zoom的日活躍用戶從去年12月份的1000萬人激增到現在的2億人，成為了視頻會議軟件中的當紅炸子雞，無法出門的歐美用戶用Zoom開會、上課、做培訓，探親、訪友、看醫生，甚至連辦婚禮、開葬禮這樣的事也被Zoom承包了。
Zoom最吸引人的就是“簡單好用”，但“簡單好用”的代價就是安全漏洞多，隱私問題沒辦法保證。
數万隱私視頻遭洩漏，源於視頻命名方式？
15000個視頻被公開
近日，華盛頓郵報又報導出Zoom存在的重大安全漏洞：數以萬計的私人Zoom視頻被上傳至公開網頁，任何人都可在線圍觀！很驚悚有沒有！
向華盛頓郵報爆料的是美國國家安全局的前研究員帕特里克·傑克遜（Patrick Jackson），他爆料稱在開放的雲存儲空間中一次性搜到了15000個Zoom視頻。
華盛頓郵報依著這條線索看到的Zoom視頻包括：一對一治療方案；遠程醫療呼叫人員最新的培訓方向，其中還有參會人員的名字和電話號碼；小公司開會視頻，帶財務報表的那種；小學生上網課，孩子的臉、聲音和样貌細節都能看見。很多視頻都包含個人可識別信息，還有在家裡進行的很多私密談話，甚至還有美容師傳授脫毛技巧的裸露視頻。
命名方式單一安全性差
Zoom在視頻通話時，默認狀態下是不會錄製視頻的，但是會議主持人可以無需參加者同意錄製視頻保存在Zoom服務器或任何云端、公開網站，而且，錄製好的Zoom視頻都是相同的命名方式保存。
Jackson就發現了這個問題，並用免費的在線搜索引擎掃描了一下開放的雲存儲空間，在默認命名規則下，一次性搜索出了15000個視頻。另外，還有一些視頻保存在未受保護的Amazon存儲桶中，用戶無意間改成了公開訪問，YouTube和Vimeo也能找到Zoom視頻。
15000個視頻就足以說明這不是用戶的粗心大意，而是產品的設計問題。Zoom的設計師繞過了一些視頻聊天程序常用的安全保護功能，如要求用戶在保存視頻時使用唯一的文件名。Zoom默認單一的命名方式是簡單好操作，但也更容易受到黑客攻擊。
Jackson稱：“Zoom應該在提醒用戶保護好視頻方面做得更好，在設計上做一些調整，例如使用一種無法預測的方式命名視頻，讓視頻能難在公開領域找到。”
Zoom發言人隨後發表了一份聲明，建議用戶在視頻錄音上傳時要謹慎行事：
“Zoom會議主持人錄製視頻時，Zoom將通知所有參會人員，並為主持人提供一種安全可靠的方式存儲會議記錄。Zoom會議視頻僅按照主持人的選擇保存在本地設備或Zoom雲端，如果主持人選擇將會議記錄上傳到其他位置，我們敦促務必格外謹慎，並與參會人員保持透明，仔細考慮會議是否包含敏感信息，符合參會人員合理期望。”
Zoom漏洞頻發還涉嫌虛假宣傳
分析了Zoom 代碼的安全研究人員說，Zoom 的軟件依賴於一些技術，這些技術可能會使人們的電腦暴露給黑客。Zoom的數據共享設計，使得一些用戶在未經所有會議相關人員同意的情況下可以錄製談話內容，可能會洩漏與會人員的隱私。
Zoom 的默認設置允許新用戶在打電話時突然向其他用戶的電腦發送文本和圖片，而這種屏幕共享功能會被“ zoombombing”隨意利用。在接受《華盛頓郵報》採訪時說，Zoom表示這項功能是為其核心用戶群設計的，最近改變了學校的默認設置，只允許教師共享他們的屏幕。
前Facebook 安全主管、現任斯坦福互聯網天文台(Stanford Internet Observatory)負責人Alex Stamos表示，Zoom 的問題包括從愚蠢的設計到嚴重的產品安全缺陷，其中許多缺陷讓他十分擔心。
據網絡安全公司VMRay 的一位技術分析師說，Zoom 用來加速安裝的代碼依賴於“糟糕的安全措施和對用戶撒謊”。Zoom 的首席執行官袁征在回應中說，該公司利用這些做法來“平衡”用戶在使用該程序之前所需的“點擊次數”。
Zoom此次曝光的一系列安全漏洞中，最主要的是沒有在視頻通話中使用端到端加密，僅在部分文本信息和部分模式的音頻中使用了這一加密方式，但卻在視頻應用中顯示Zoom is using end to end encrypted connection。
Zoom的發言人隨後表示：現階段不可能為Zoom平台上的視頻會議提供端到端加密。
Zoom為啥不用端到端
要了解端到端加密，首先要了解什麼是信息加密。
在密碼學中，加密是將明文信息改變為難以讀取的密文內容，使之不可讀的過程。只有擁有解密方法的對象，經由解密過程，才能將密文還原為正常可讀的內容。
而端到端加密(End-to-end encryption，E2EE)是一個只有參與通訊的用戶可以讀取信息的通信加密系統。總的來說，它可以防止潛在的竊聽者——包括電信供應商、互聯網服務供應商甚至是該通訊系統的提供者——獲取能夠用以解密通訊的密鑰。此類系統可以防止潛在的監視或篡改，因為沒有密鑰的第三方難以破譯系統中傳輸或儲存的數據。使用端到端加密的通訊提供商比如whatsapp，就無法將其客戶的通訊數據提取出來，所以這種加密方式也會給警方調查取證造成一定困擾。
無加密的情況下，A到B的任何一個環節都可以查看和修改信息；SSL加密從A到服務器，服務器到B的信息傳輸都是安全的，但服務器上的信息是解密的；端到端加密A端使用用戶B的公鑰加密，服務器是沒有密鑰的，B端用戶再用私鑰解密，整個傳輸過程都是加密的。
1994年，NetScape公司設計了SSL協議（Secure Sockets Layer），1999年，互聯網標準化組織ISOC接替NetScape公司，發布了SSL的升級版TLS，而TLS就是Zoom現在使用的視頻加密方式，所以用戶數據還是可以被竊取的。
端到端加密這麼好，為什麼Zoom不用呢？
首先，端到端加密只能提高通訊內容的保密性，它不能阻止通訊被徹底中斷；然後是，端到端加密時，通訊雙方的地址必須是公開的。比如Zoom幫你傳遞一段端到端加密的視頻，Zoom可能沒法知道視頻的內容，但它肯定知道收發雙方的地址、收貨人和發貨人是誰，而且Zoom也保證不了一定能送達。因此對於有更高保密需求的應用環境，還必須與其他層次的加密方式相結合，才能夠達到較好的效果。
立即停止開發新功能，全力補作業
3月20日，幫助用戶解決了平台上的騷擾事件(或所謂的“ Zoombombing”) ，提醒用戶可以防止騷擾的辦法，例如等候室、密碼、靜音控制和限制屏幕共享等。
3月27日，移除了iOS客戶端的Facebook SDK。
3月29日，更新了隱私政策，明確聲明我們不出售用戶數據，我們過去從未出售過用戶數據，將來也沒有打算出售用戶數據。
對於教育用戶，Zoom推出了一個管理員指南幫助更好地維護虛擬教室，還專門建立了一個K-12隱私政策。
4月1日，Zoom中文公告顯示，Zoom將停止所有新功能的開發，並將全部工程資源用於解決最近的安全漏洞問題。
Zoom創立只是因為愛情，今天你Zoom了嗎？
“我們已經認識到我們沒有達到用戶在隱私安全方面的期望。對此，我深表歉意。”
在Zoom的致歉信裡，創始人兼CEO袁征重申了公司創立的初衷，聽起來有為洩露事件脫罪之嫌，但言語之間也不乏真誠。“ 我們設計這個產品時並沒有預見到，在幾個星期內，全世界所有人都會突然在家辦公，學習和社交。 ”
“無論是跨國公司要保持業務連貫性，地方政府要維持社區運轉，學校老師要開展遠程教育，還是隔離期間想和朋友共度美好時光，我們都極其榮幸能夠幫助大家保持聯繫。”
“我們深感責任重大。Zoom的用戶量一夜之間激增，遠超預期。其中包括來自20個國家的90,000多所學校，這些學校已經開展了遠程教育。今年3月，我們每天的會議參與人數已超2億人，有免費也有付費。我們一直在日以繼夜地工作，以確保我們所有的新老用戶可以保持聯繫和正常運作。”
簡言之，核心思想是，Zoom所做的事業初衷是好的，對於疫情期間人與人的交流很有意義，大家不要過分苛責我們了。
讓我們回到Zoom成立之初的願景。
Zoom的創辦靈感來自創始人袁征大一時期的女朋友，那時候他們還是異地戀，兩個人相隔10幾個小時的火車路程，每年只有寒暑假能夠見上幾面。對女友的思念讓他萌生了創辦共享視頻網站的念頭。對愛情的堅持讓他最終抱得美人歸。
2018年，他在美國求職網站Gla SSD oor發布的2018年全美Top100 CEO榜單上，以99%的支持率被評為最受歡迎CEO，甚至超過了Mark Zuckerburg和Tim Cook。2019年胡潤百富榜上，他排名第78位。今年4月即將發布的《福布斯》億萬富翁排行榜上，他也榜上有名。
袁征是個傳奇人物。相比於其他科技圈大佬，他遠不能算得上是天資過人。袁征出生在山東泰安的一個採礦工程師家庭，1987年畢業於山東科技大學應用數學。1994年，他在日本出差時聽到比爾蓋茨的一次演講，從此萌生了收拾行囊，來到大洋彼岸加入互聯網大潮的想法。
赴美時，袁征普通話都有嚴重的口音，英語更是磕磕絆絆，當時美國海關要了他的英文名片，上面寫的頭銜是顧問，卻被簽證官理解成了兼職承包商。兩年的時間裡，他一共被拒簽9次。1997年終於如願赴美，一走就是二十載。初到美國以後，他開始邊刷盤子邊投簡歷，後來加入一家早期的網絡會議應用公司WebEx開始寫代碼。
2000年左右，他每天和客戶打交道心情都會變得很差，客戶越來越不滿，工作也開始束手束腳。2007年，WebEx被Cisco收購。
後來的故事，當上了Cisco工程副總裁的袁征帶走了原公司的40多名工程師自立門戶。2011年，Zoom正式成立，一開始為組織機構提供的服務都是無償的。
雖然犯錯，但初心是造福世界
在創業邦的採訪中他表示，“ 我年輕的時候想要理解生活是為了什麼，但卻找不到答案。後來明白生活就是為了追求幸福，而為他人創造幸福，你自己的幸福才能持續。所以我創辦公司也遵循這個原則，努力讓客戶幸福。”
袁征的兒子在上大一，因為疫情也開始用Zoom上課。袁征在福布斯採訪中說：“我告訴我兒子，我終於明白我這麼努力工作的意義了。我做這些工具就是為了讓你們上網課用的。”
初心是好的，但越是風頭正緊，越容易出問題。
洩露事件爆發後，和袁征同住一個屋簷下的母親總是擔心他的身體健康。袁征每天都躲在家中的辦公室裡，只睡兩三個小時。
採訪中他承認：“如果我有選擇的話，我肯定會回到B2B業務上，而現在，遊戲規則完全不同了。” 袁征甚至表示，如果不能把Zoom變成世界上最安全的平台，在接下來的幾年裡，他會考慮開源Zoom的代碼。
此情此景有些似曾相識。Facebook爆出用戶數據洩露事故以後，袁征最敬佩的企業家小扎表示，“臉書是我創辦的，直到最後一天，我都會對平台上發生的事情負責。”
不知道對愛情和事業都永葆初心的袁征此時此刻正作何感想。
參考鏈接：
https://www.cyzone.cn/article/520637.html