所有已知 Zoom 问题的半技术性解释

（或者Zoom 选择让他们陷入了麻烦）

（以上观点仅代表我个人，不代表DEV）

对 Zoom 困境的（温和）辩护

首先，我引用一下Citizenlab 的报告：

对于那些使用 Zoom 与朋友保持联系、举办社交活动或组织可能在公共或半公共场所举办的课程或讲座的人来说，我们的发现并不一定会令人担忧。

对于那些别无选择只能使用 Zoom 的人，包括在可能共享秘密的情况下，我们推测浏览器插件可能具有一些略微更好的安全属性，因为数据传输是通过 TLS 进行的。

不幸的是，几个小时后，也就是同一天，网页客户端进行维护，因此暂时无法使用，希望这种情况不会持续太久。更新： 经多方确认，网页客户端已恢复。请将“从浏览器加入”设置为默认设置。

Zoom 可能没有预料到在短短几周内使用量会从 0 增长到 100（根据一些估计，实际上使用量增加了 1126%），而且他们的网络没有崩溃并导致所有呼叫无法拨打，这证明了底层技术的质量。

我们都可以想象，快速扩大规模会面临诸多挑战，但迄今为止发现的大多数问题实际上与可扩展性或可靠性本身没有太大关系，而是与可疑的软件设计选择以及公司做出的糟糕的隐私或营销决策有关。

平心而论，当你正处于产品热潮之中时，走捷径有时看起来是个好主意，但用的人越多，这些捷径反过来又会给产品带来麻烦的可能性就越大。而且，Zoom 的开发者也是人，和所有人一样，他们有时也会做出一些并非出于恶意的错误决定。让我担心的是，公司管理层（据我所知，他们也完全是人）是如何应对这次事件的，稍后会详细介绍。

最后但同样重要的一点是：媒体对这些问题进行了大量的报道，如果我们没有被隔离，一些安全漏洞（可能除了“zoombombing”）对于那些本来会在公共场合举行的会议来说并不是一个固有的问题，尽管用户生成内容的问题程度在于其严重程度因情况而异，而且这里有数百万个案例（每个 Zoom 通话）需要分析。

每个人都在使用 Zoom：个人、机构、治疗师、教师、医生、宗教和世俗组织、政府官员甚至国家元首。

自 2020 年 4 月 1 日起，Zoom 停止了所有功能开发，并承诺在接下来的 90 天内解决隐私和安全问题。

所犯的错误也是一个警示故事，它告诉我们从第一天起就实施安全措施和关心用户隐私的重要性，因为以他们现在的规模，他们试图到处灭火是可以理解的。

它有什么问题或曾经有什么问题

TLDR;Zoom 存在许多已知的安全漏洞。有些漏洞已经修复，有些则尚未修复。

该公司还做出了（在某些情况下仍然在做出）与隐私相关的令人质疑的决定。

（当我合理地证实问题已经得到解决时，我将使用过去时）

1. Zoom 的“等候室”功能存在安全问题。由于安全研究人员已向 Zoom Inc. 披露了此问题，并给予他们时间修复，以免其落入恶意攻击者手中，因此该问题目前尚不清楚。安全研究人员建议用户使用密码，而不是使用等候室功能。

2. 录音在网上很容易找到：Zoom 会以可猜测的命名模式保存录音，因此如果录音上传到公开网络，很容易找到。搜索引擎的设计初衷就是为了在网络上查找公开数据。同样，如果内容合理，“通过隐蔽性来保障安全”并非良策，而事实也确实如此：《华盛顿邮报》通过扫描网页就能够观看其他人的治疗课程和小学在线课程（！！！！）。

3. 会议室的 ID 是数字，这意味着人们可以猜测它（手动或使用脚本），因此，由于默认开放，人们可以劫持会议，从而进行“Zoombombing”。会议 ID 有 9 到 11 位数字，甚至没有“隐藏”。安全研究人员确实发现了一些会议，并且使用脚本猜测正确会议 URL 的成功率高达 14%。

4. 可以找到定期的 Zoom 会议链接：它们还包含会议组织者的信息以及组织者在主题或描述中披露的任何信息。安全研究人员发现了大型银行、政府承包商和其他公司的会议。

5. 默认情况下，所有参与者的屏幕共享功能均处于开启状态，这意味着人们可以不受监督地传输任何内容。这对于私人和受监管的会议非常方便，但如果会议室默认开放，则不太方便。

6. 文件传输默认开启：在公开会议的应用中，这无需解释。你甚至可以向数十人甚至数百人发送恶意软件，希望至少有人会点击它。

7. 这款应用的设置太多了：我浏览了应用和网页版（在被禁用之前）的配置面板，但一半的选项我都看不懂，几分钟（几分钟！！！）就觉得无聊了。作为软件开发者，我们都知道默认设置很重要（大多数用户甚至不会查看应用设置），默认情况下，你应该尊重用户的隐私并确保安全，否则，当足够多的人拿着收据来敲门时，情况就会变得很糟糕。

8. 该公司谎称自己使用了端到端加密，仅此而已。他们声称使用端到端加密 (e2e)，但实际上并没有。他们还拥有线路加密数据的解密密钥，这绝对不是“端到端加密” 。*仅供参考：真正的端到端加密意味着只有通信交换的参与者才能真正看到明文数据。提供服务的公司、任何政府或受邀者以外的任何人，都无法看到。

9. Zoom 使用的加密技术较弱：即使服务并非端到端加密，通话也不会在传输网络上以明文形式传输。通话使用持有密钥的中央加密服务器进行加密。问题在于，Zoom 在 ECB 模式下使用单个 AES 128 位密钥，这种密钥显然已被弃用，并且存在安全漏洞。安全研究人员能够解密“加密”通话中的视频和音频帧。

10. Zoom 的加密和安全协议并未经过独立审计，这意味着它们肯定存在缺陷。我们都知道，正确加密有多难，更难以想象对视频、音频、文本和普通媒体进行加密有多难。“自行加密”在 99.99% 的情况下都是个坏主意，而在这种情况下，更是糟糕至极。正如Bruce Scheiner 所写：

我可以接受 AES-128，但使用 ECB（电子密码本）模式表明公司里没有人了解密码学。

1. Zoom 的加密密钥有时会存储在中国政府管辖的服务器上：根据中国法律，中国政府可以要求公司披露其加密密钥和工具以供监管。即使所有参与者都在境外，这种情况也时有发生。这可能是数据路由问题（Zoom 会尝试将通话控制在参与者本地），但这仍然令人担忧。这也让我联想到科幻场景：政府或攻击者解密所有这些通话，并使用面部识别技术来创建大规模监控工具。👀

2. 该公司在用户不知情的情况下将数据发送给 Facebook：这种情况在嵌入 Facebook SDK 且未进行任何调整的应用中可能相当常见（而且这种情况只发生在 iOS 应用上，这可能意味着它并非有意为之），但无论如何，这都不是好事。Facebook 已经掌握了大量用户信息（包括使用和不使用 Facebook SDK 的用户）。这个问题在被发现后已经得到修复。

3. Zoom 的隐私政策非常全面。它基本上规定所有个人数据（包括录音、聊天和上传的文件）都可能与第三方共享。该政策后来进行了修订。

4. Zoom 允许主持人监控参与者的注意力。这就像《1984》里那样的东西😱。它自 4 月 1 日被发现以来就被移除了。

5. 该应用绕过了常规的安装流程。这样做可能是为了在用户收到链接但电脑上没有安装该应用的情况下，对用户更友好，因为用户通常需要尽快加入视频通话。这正是恶意软件的伎俩。自发现以来，该漏洞已被修复。

6. Zoom 将您的联系信息共享给特定电子邮件域内的所有人。实际情况是，数千名来自荷兰电子邮件提供商的用户被集中到一起，他们的个人信息被相互共享。

7. 该应用程序允许 Windows 用户点击任何类似链接的内容。基本上，它可以自动打开共享驱动器上的文件，并将您的网络凭据发送给攻击者。此问题已得到修复。

8. Zoom 将您的联系方式数据发送到 Linkedin。在某些情况下，如果他们能以某种方式将您与 Linkedin 个人资料匹配，他们就会这样做，而不会告知您，也不会将您的 Linkedin 数据分享给其他人。此功能已于 4 月 1 日被移除。

9. 发现了可导致硬件接管的零日漏洞。此类漏洞发生的可能性非常低（漏洞窗口仅涵盖整个安装过程）。漏洞也已于4月1日修复。

10. 导出功能中提供了与主持人的私人消息记录。理论上这不是什么大问题，因为导出内容不包含除主持人之外的其他参与者之间的私人消息。

11. Zoom 追踪大量用户数据，其网站上也有很多第三方追踪器。我觉得这是一个非常刻意的选择。前几天发布的新隐私政策中，部分数据已经进行了修改。

“后果”

迄今为止：

1. 隐私和倡导团体开始注意到
2. 集体诉讼开始增多
3. 美国政府和联邦调查局已经开始注意到👀
4. NASA、SpaceX、迪士尼等公司已不再使用 Zoom
5. 纽约市禁止学校使用 Zoom

结论

我相信你已经注意到这篇文章根本没有讨论替代方案。替代方案的问题实际上取决于用户的需求，如果你的用户遍布全球，那么很难当场评估。评估所有选项也需要花费大量时间，我认为需要几天时间才能出现深入研究替代方案优缺点的文章。你还需要一组分布在世界各地的人员对每个应用进行彻底的测试。

我们也别忘了，我们一开始对 Zoom 还挺满意的，直到一夜之间，数千万人开始使用它，它才引起了专家的关注。其他替代方案可能也同样存在缺陷，只是现在不那么受欢迎而已。

对公司的信任很重要，所以我确实理解为什么普通人会急于寻找替代品。

我也不是技术专栏作家或安全专家，所以我不能声称“X 在各方面都比 Zoom 更好”。

我将看看能否在接下来的几天内找到一个合理的替代方案比较，我认为这些比较应该是通用的要求：出色的视频和音频通话性能、默认使用独立审查的加密和协议的安全性，以及绝对没有针对所有这些敏感数据的广告技术（如果他们有 e2e，这无论如何都不可能，尽管从技术上讲你仍然可以出售有关用户的元数据......）。

我在网上看到其他人也有同样的看法：如果苹果开放 Facetime，对其进行审核，并确保其端到端加密没有“后门”，那么他们就坐拥金矿。

最后我留下了一长串链接，其中有一些摘录，是我在写这篇摘要时读过的内容。

媒体（和其他来源）报道（按时间顺序）

尽管存在一些过去的问题（例如 2019 年的“开放网络服务器”事件），但我只关注 2020 年 3 月至 4 月的近期媒体报道。

1. 20200317- (Techcrunch) -警惕“ZoomBombing”：屏幕共享污秽内容进入视频通话

2. 20200326- (Motherboard, Vice) -即使您没有 Facebook 帐户，Zoom iOS 应用也会向 Facebook 发送数据

3. 20200330-（数字隐私专家 Doc Searls）- Zoom 的新隐私政策：

如果服务和网站根本不涉及广告技术，Zoom 就无需区分它们。这样，Zoom 就能更好地宣扬其对隐私的承诺。

话虽如此，这次隐私政策的重写还是很有帮助的。感谢 Zoom 的倾听。

1. 20200331- (Motherboard, Vice) - Zoom 因与 Facebook 共享数据面临集体诉讼

2. 20200401- (主板、Vice) - Zoom 正在向陌生人泄露人们的电子邮件地址和照片：

“我被这件事震惊了！我订阅了（幸好是用了化名），然后就看到了 995 个我不认识的人，还有他们的姓名、照片和邮箱地址。”

我刚刚查看了 Zoom 的免费私人版本，并用我的私人邮箱注册了。现在，我在公司通讯录里找到了 1000 个人的姓名、邮箱地址，甚至还有照片。这是故意的吗？

1. 20200401-（webrtcH4cKS，WebRTC 技术专家）-你的视频通话有端到端加密吗？可能没有……

所以，Zoom 确实没有端到端加密。WebRTC 通常也没有——至少目前还没有。如果您正在使用 WebRTC 服务，请检查他们的服务条款和隐私政策，并确保您了解他们对此的说明。希望随着 WebRTC 可插入流技术的成熟，我们能尽快看到这一变化。

1. 20200402-（为未来而战，数字权利组织）-新的活动呼吁 Zoom（实际上）实施端到端加密以确保人们的安全：

数字权利组织“为未来而战”以组织大规模在线抗议以维护网络中立和互联网隐私而闻名，该组织发起了一项新活动，呼吁视频会议服务 Zoom 对所有视频、音频和聊天内容实施默认端到端加密。

1. 20200402-（安全研究员兼教授 Steven Bellovin）- Zoom 安全性：优点、缺点和商业模式：

不过，有一类问题让我担心：以方便或易用为名，偷偷摸摸地使用安全捷径。想想 Zoom 中第一个众所周知的缺陷：一项设计决策允许“任何网站在未经用户许可的情况下，强行将用户加入 Zoom 通话，并激活其摄像头”。为什么会这样呢？它原本是作为一项功能设计的。

我乐观地认为事情正在朝着正确的方向发展。然而，最让我担心的是那些捷径。这些问题不仅他们可以解决，还让我对开发团队的安全态度感到担忧。我不相信他们理解这一点——这很糟糕。解决这个问题需要一个拥有真正权力的首席信息安全官办公室，以及足够的教育，以确保首席信息安全官不必经常行使这种权力。他们还需要一个拥有真正权力的隐私官；他们许多较早的设计决策严重影响着隐私。

1. 20200402-（Krebs on Security，安全专家）- “战争拨号”工具暴露了 Zoom 的密码问题：

根据名为“zWarDial”的新型自动 Zoom 会议发现工具收集的数据，大量大型公司的会议没有受到密码保护。

罗表示，zWarDial 通过使用 Tor（一款允许用户匿名浏览网页的免费开源软件）中的多个代理进行搜索，规避了 Zoom 阻止自动会议扫描的尝试。

他说：“在会议上启用密码是唯一能破解它的方法。”

Lo 分享了 zWarDial 一天的扫描结果，揭示了近 2400 场即将举行或定期举行的 Zoom 会议的信息。这些信息包括加入每场会议所需的链接、会议的日期和时间、会议组织者的姓名以及会议组织者提供的有关会议主题的任何信息。

1. 20200402-（路透社）-伊隆·马斯克的 SpaceX 因隐私问题禁止 Zoom - 备忘录：

在 3 月 28 日的一封电子邮件中，SpaceX 告知员工，所有 Zoom 访问权限已立即被禁用。

1. 20200403-（纽约时报）- “Zoombombing” 成为一项危险的有组织行为：

Zoom 袭击者经常使用令人震惊的图像、种族歧视的绰号和亵渎的语言来破坏视频会议。

骚扰者开始利用 Zoom 平台的各项功能进行辱骂。他们利用该应用的自定义背景功能，在匿名戒酒会上向与会者投射一个人喝酒的 GIF 动图，并在巴黎举行的美国犹太人委员会会议上利用其注释功能写下种族主义言论。

Zoom 事件发生的频率和影响范围促使 FBI 于周二发出警告，特别针对该应用

1. 20200403- (TidBITS) -到目前为止，Zoom 的所有安全和隐私漏洞，以及您可以采取哪些措施来保护自己：

尽管本文详尽无遗，但我担心这份问题和选择清单远非我们最后一次听到有关 Zoom 安全和隐私问题的报道。事实上，在过去 48 小时撰写和编辑这篇文章的过程中，我们不得不添加六个额外的漏洞、设计选择错误以及隐私问题。

Zoom 已经陷入了所谓的“技术债务”。该公司的开发人员过去做出了很多糟糕的决策，这些决策很可能难以修复，而且成本高昂。Zoom 解决核心问题的时间越长，未来的修复难度和成本就越高，因为额外的代码是建立在薄弱的基础之上的。

1. 20200403-（华盛顿邮报）-数千个 Zoom 视频通话被暴露在公开网络上：

《华盛顿邮报》观看的视频包括一对一的治疗课程；为进行远程医疗通话的工作人员提供的培训指导，其中包括人员姓名和电话号码；小型企业会议，其中包括私人公司财务报表；以及小学课堂，其中暴露了孩子们的面孔、声音和个人信息。

1. 20200403- (Citizenlab) -快速行动，打造自己的加密技术：快速了解 Zoom 会议的保密性：

直到几周前，高风险的商业谈判、高层外交、政治战略会议和内阁会议在安全特性未知的平台上进行还是很不常见的。

Zoom 尚未公开披露政府数据请求的统计数据，以及 Zoom 对这些请求的响应情况。Zoom 关于向用户发出数据泄露通知或向政府移交数据的政策也不得而知。

在分析过程中，我们还发现了 Zoom 等候室功能的一个安全问题。鉴于该问题对用户构成风险，我们已与 Zoom 启动了负责任的漏洞披露流程。目前，我们不会公开该问题的相关信息，以防止其被滥用。

由于这些令人担忧的安全问题，我们目前不鼓励在需要高度隐私和保密性的用例中使用 Zoom

对于那些别无选择只能使用 Zoom 的人，包括在可能共享秘密的情况下，我们推测浏览器插件可能具有一些略微更好的安全属性，因为数据传输是通过 TLS 进行的。

与此同时，我们建议希望保持隐私的 Zoom 用户不要使用 Zoom 等候室。我们鼓励用户使用 Zoom 的密码功能，该功能似乎比等候室提供更高的隐私级别。

1. 20200403- (Politico) -多个州检察长正在调查 Zoom 的隐私做法

2. 20200403-（传奇安全研究员 Bruce Scheiner）- Zoom 的安全和隐私影响：

隐私至上：Zoom 会为了个人利益而监视用户。自从大家开始关注这个问题以来，Zoom 似乎已经有所收敛，但它仍然在继续这种行为。

我确信还会有更多此类糟糕的安全决策、草率的编码错误和随机的软件漏洞出现。

但情况更糟。Zoom 的加密技术糟糕透顶。首先，该公司声称提供端到端加密，但实际上并非如此。它只提供链路加密，这意味着公司服务器上的所有内容都是未加密的。

1. 20200404-（安全研究员兼教授 Steven Bellovin）- Zoom 密码学和身份验证问题：

当公司推出自己的加密技术时，我预料到它肯定会有缺陷。我并不认为这些缺陷是本科生入门课程中不可接受的错误，但这里就发生了这种情况。

1. 20200404-（Chalkbeat，与美国学校相关的组织）-出于隐私和安全方面的考虑，纽约市禁止学校使用 Zoom 进行远程学习：

相反，该指南称，学校应“尽快”切换到 Microsoft Teams，教育部门认为它具有类似的功能并且更安全。

1. 20200404- (Techcrunch) - Zoom 承认一些电话被错误地转接到中国：

Zoom 在 2 月份表示，其中国地区“迅速增加了容量”以满足需求，同时还被列入了国际备份数据中心白名单，这意味着当其他地区的数据中心不可用时，非中国用户在某些情况下可以连接到中国的服务器。

1. 20200410- (The Verge) -出于安全考虑，谷歌禁止其员工使用 Zoom：

“最近，我们的安全团队通知使用 Zoom 桌面客户端的员工，由于其不符合我们对员工使用的应用程序的安全标准，该客户端将不再在公司电脑上运行。一直使用 Zoom 与家人和朋友保持联系的员工可以继续通过网页浏览器或移动设备使用。”

1. 20200412-（纽约时报）-鲍勃·伊格尔本以为他会在巅峰时期离开。现在，他正在为迪士尼的生存而战。

在让查佩克掌管几周后，艾格通过一次又一次的 BlueJeans 视频通话，顺利地重新掌控了局面。（出于安全考虑，迪士尼不使用 Zoom 进行会议。）