Pesquisadores descobrem novas falhas de segurança no Zoom — e até mesmo ligações com a China – MacMagazine
03/04/2020 • 17:20
Acharam que as polêmicas relacionadas ao aplicativo de videoconferências Zoom já tinham acabado? Pois acharam errado!
Vamos, primeiro, a uma recapitulação de tudo o que já aconteceu nos últimos meses:
App de vídeoconferência Zoom tem vulnerabilidade grave no macOS
Zoom envia dados para o Facebook mesmo se você não tiver uma conta na rede
Após a última notícias, imaginávamos que as polêmicas cessariam — ledo engano, entretanto: o pesquisador Brian Krebs informou que mais vulnerabilidades foram encontradas no aplicativo. Mais especificamente, um grupo de especialistas em segurança digital foi capaz de acessar informações sensíveis sobre mais de 2.400 reuniões acontecendo nos servidores do Zoom usando simples técnicas de força bruta para realizar os ataques.
O grupo de pesquisadores da firma de segurança SecKC, liderados pelo especialista Trent Lo, criaram um programa, batizado de zWarDial, que é capaz de "adivinhar" as IDs das reuniões do Zoom — simples códigos numéricos que variam de 9 a 11 dígitos e podem ser facilmente gerados com combinações aleatórias.
O programa criado pelos pesquisadores é capaz de encontrar uma ID legítima em 14% das tentativas, e é capaz de encontrar até 100 reuniões por hora, extraindo dados como link de acesso, nome do organizador e de participantes, assunto da reunião e mais.
É bom notar que o zWarDial só é capaz de encontrar e extrair dados de reuniões que não sejam protegidas por senha, mas isso também levanta uma sobrancelha: o Zoom afirma em seu centro de ajuda que já requer, por padrão, que qualquer reunião tenha uma senha de acesso configurada. Ou seja, para o programa encontrar tantas reuniões desprotegidas, algo não está batendo. A equipe de desenvolvimento do serviço afirmou que está investigando o caso.
Na última semana, o The Intercept revelou também que a plataforma não apresentava criptografia de ponta a ponta nas suas videoconferências, apesar de prometer o recurso de segurança no seu material de divulgação. Pois hoje o site divulgou informações ainda mais preocupantes em relação a isso.
Baseada numa investigação do Citizen Lab (grupo de pesquisa de segurança digital da Universidade de Toronto), a reportagem revelou que o Zoom gera chaves de criptografia que, durante as reuniões, permanecem compartilhadas entre os servidores da plataforma e os participantes das conversas; as chaves são compartilhadas, inclusive, em servidores externos do Zoom, que não têm a ver com aquela reunião em si.
É aí que mora o problema: o Citizen Lab descobriu que algumas dessas chaves de criptografia são geradas em servidores do Zoom na China — mesmo em reuniões que nada têm a ver com o País da Muralha, nem contam com nenhum membro daquele país. Isso é o suficiente para levantar suspeitas, considerando a vigilância constante das autoridades chinesas em relação aos servidores localizados no país.
Em outras palavras, de acordo com a lei chinesa, o Zoom pode ser obrigado legalmente a compartilhar essas chaves de criptografia com Pequim — potencialmente oferecendo ao governo acesso até mesmo a reuniões de fora da China.
Além disso, o próprio sistema de criptografia utilizado pelo Zoom não é ideal: a plataforma usa chaves de 128 bits, que já vêm sendo abandonadas por empresas há quase uma década em prol do sistema de 256 bits, muito mais seguro. Naturalmente, qualquer proteção já é uma proteção, ao menos, mas isso mostra que a segurança dos dados não é (ou era?) exatamente a preocupação nº 1 do serviço.
Obviamente, toda essa torrente de polêmicas não poderia passar silenciosamente: de acordo com o Gizmodo, ao menos dois estados americanos já abriram investigações acerca do Zoom, suas operações e tecnologias.
O primeiro a tomar uma providência foi o de Nova York, que iniciou uma investigação no começo desta semana por meio da Procuradora Geral Letitia James; hoje, Connecticut seguiu pelo mesmo caminho. Além disso, os escritórios do FBI em Boston (Massachussetts) já alertaram os usuários do Zoom de possíveis falhas de segurança na plataforma.
As investigações são motivadas pelo fato de o uso do Zoom estar crescendo rapidamente durante a pandemia do Coronavírus (COVID-19) — usuários, alunos, professores e empresas (mesmo as grandes) têm recorrido aos serviços da plataforma para mitigar os efeitos do isolamento social e manter suas atividades, na medida do possível.
Isso fez, inclusive, o valor de mercado da empresa mais que dobrar em menos de três meses — superando, no processo, gigantes do ramos hoteleiro, aéreo e até mesmo o Uber. As informações são do New York Times:
Zoom shares have more than doubled this year and the company is worth more in market cap than airlines and hotels… via @nytimes pic.twitter.com/3UHTl4hmaI
— Christian Sanchez (@csancheznyc) March 24, 2020
As ações do Zoom mais do que dobraram este ano e a empresa já é maior, em valor de mercado, do que companhias aéreas e hotéis… via @nytimes
Ou seja, a situação é problemática — e parece cada vez mais profunda.
MacMagazine no Ar #366: Neon no Apple Pay, compra da Dark Sky, rumores sobre o watchOS 7, "AirTags" e muito mais!