Dave Kennedy, fundador da TrustedSec, defesa binária
Amit Serper, vice-presidente de estratégia de segurança e principal pesquisador de segurança da Cybereason.
Russ Handorf, PhD. Principal hacker de inteligência contra ameaças, WhiteOps
Esta publicação NÃO é patrocinada ou afiliada à Zoom de qualquer forma.
O Zoom não é um malware. O Zoom é seguro para uso pessoal e comercial, mas você deve ler sobre a melhor forma de proteger a si e à sua empresa. Ao longo dos últimos dias, as mídias sociais (principalmente o infosec twitter) estão repletas de opiniões e takes quentes sobre o Zoom ser um malware devido a vários problemas encontrados. Algumas dessas questões são realmente problemáticas (e são / foram tratadas pelo Zoom) e algumas das questões que estão sendo levantadas e discutidas nas mídias sociais não são de fato bugs ou problemas com o próprio Zoom, mas problemas com o funcionamento dos sistemas operacionais.
Queremos deixar claro que, se houver exposições de segurança identificadas, elas devem ser abordadas e, até agora, a Zoom fez isso. Além disso, com base no que vimos na resposta do CEO na Zoom – a segurança é um foco direto e eles estão tomando medidas adicionais para resolver preocupações e garantir a segurança e a privacidade do produto. Pode haver vulnerabilidades e exposições adicionais que são identificadas ao longo dos próximos dias, semanas, meses ou anos – é como uma empresa responde a abordá-las e como elas procuram melhorar seu programa de segurança que é o passo importante aqui.
Algumas críticas são justificadas no sentido de seu marketing redefinir a criptografia de ponta a ponta, que era apenas para o recurso de bate-papo e não para o vídeo que era TLS (camada de transporte). Isso já foi esclarecido e, na atualização mais recente, reflete as alterações na terminologia. Por outro lado, o WebEx da Cisco suporta E2E, no entanto, interrompe gravemente a funcionalidade normal da solução da Cisco. Isso reflete mais a importância de que a terminologia consistente seja usada em todo o setor e não seja ambígua, como quando as organizações tentam renomear ou redefinir os padrões para atender às capacidades de seus produtos.
De acordo com a Cisco:
“Observe que quando a criptografia de ponta a ponta está ativada, os seguintes recursos não são suportados: • Web App • Gravações baseadas em rede • Ingressar antes do host • Endpoints de vídeo” – https://www.cisco.com/c/dam /en/us/products/collateral/conferencing/webex-meeting-center/white-paper-c11-737588.pdf
Houve alguns relatórios responsáveis e essa não é uma declaração geral para todos. As notícias devem cobrir riscos e exposições de maneira medida e não criar detalhes alarmantes para indivíduos que podem não entender as ramificações. Algumas menções notáveis sobre boas reportagens:
https://www.theverge.com/interface/2020/4/3/21203720/zoom-backlash-apology-zoom-bombings-eric-yuan
https://www.wired.com/story/zoom-backlash-zero-days/
Embora seja verdade que alguns dos problemas sejam mais graves que outros e possam, potencialmente, ser explorados pela engenharia social, também é muito fácil proteger e mitigar esses problemas. Queremos elogiar o Zoom a tomar medidas proativas acima e além de tudo o que vimos antes. Dentro de um dia de dois dias zero (explorações que não possuem patch) foram apresentados, o Zoom já havia lançado uma nova versão abordando as ameaças à segurança. Essas ameaças eram principalmente um problema de escalonamento de privilégios locais que permitiria a um invasor que já comprometesse seu sistema obter acesso elevado. O segundo era um problema de design no Windows que poderia ser abusado para executar arquivos remotos – esse problema de design poderia abusar em muitos outros aplicativos e nãos somente no Zoom.
A Zoom corrigiu esses dois problemas quase imediatamente e enviou aos clientes. Para colocar em perspectiva, todos os softwares tiveram exposições ou vulnerabilidades de segurança. Normalmente, levam-se de várias semanas a meses para que as empresas reconheçam uma exposição e a corrijam. Nesse caso, o Zoom não teve a oportunidade e o código de exploração foi publicado on-line ao público. A resposta da Zoom dessa maneira foi louvável, além da resposta do CEO.
No blog, o CEO enfatiza a privacidade e a segurança como elementos fundamentais da empresa e as etapas para garantir ao público que o Zoom é um produto seguro para uso. Queremos ser claros, os pesquisadores de segurança devem absolutamente fazer análises sobre software e ajudar as empresas a melhorarem com segurança. O objetivo do setor é tornar o mundo um lugar mais seguro ao aproveitar a tecnologia. Quando não usa a divulgação responsável, faz com que a mídia passe demais e o que vimos transpirou.
Leia a versão original desta matéria (em inglês) no Medium.
