Zoom anklagas för att vilseleda användare med 'end-to-end-kryptering'-påståenden mitt i andra säkerhetsproblem [Uppdaterad]

Zoom står inför en ny granskning idag efter en rapport om att videokonferensappens krypteringspåståenden är vilseledande.

Zoom stater på dess hemsida och i dess säkerhetsvitbok att appen stöder end-to-end-kryptering, en term som syftar på ett sätt att skydda användarinnehåll så att företaget inte har tillgång till det överhuvudtaget.

Däremot en utredning av Interceptet avslöjar att Zoom säkrar videosamtal med TLS-kryptering, samma teknik som webbservrar använder för att säkra HTTPS-webbplatser:

Detta är känt som transportkryptering, vilket skiljer sig från end-to-end-kryptering eftersom Zoom-tjänsten själv kan komma åt okrypterat video- och ljudinnehåll i Zoom-möten. Så när du har ett Zoom-möte förblir video- och ljudinnehållet privat för alla som spionerar på ditt Wi-Fi, men det förblir inte privat från företaget.

Som rapporten klargör, för att ett Zoom-möte ska krypteras från slut till ände, måste samtalet krypteras på ett sådant sätt att det säkerställer att endast deltagarna i mötet har möjlighet att dekryptera det genom att använda lokal kryptering nycklar. Men den säkerhetsnivån är inte vad tjänsten erbjuder.

På frågan av Interceptet För att kommentera upptäckten förnekade en talesman för Zoom att företaget vilselett användare:

'När vi använder frasen 'End to End' i vår andra litteratur, är det med hänvisning till att anslutningen krypteras från Zoom-slutpunkt till Zoom-slutpunkt... Innehållet dekrypteras inte eftersom det överförs över Zoom-molnet.'

Tekniskt sett verkar Zooms textchatt under mötet vara den enda funktionen hos Zoom som faktiskt är krypterad från början till slut. Men i teorin kan tjänsten spionera på privata videomöten och tvingas överlämna inspelningar av möten till regeringar eller brottsbekämpande myndigheter som svar på juridiska förfrågningar.

Zoom berättade Interceptet att den bara samlar in användardata som den behöver för att förbättra sin tjänst – detta inkluderar IP-adresser, OS-detaljer och enhetsdetaljer – men det tillåter inte anställda att komma åt innehållet i möten.

använder facetime data eller minuter

Förra veckan kritiserades Zooms datadelningspraxis efter att det visade sig att tjänsten skickade data till Facebook utan att avslöja detta för kunderna. Företaget uppdaterade därefter appen för att ta bort dess Facebook-inloggningsfunktion och förhindra dataåtkomst.

Uppdatering: Som noterat av TechCrunch , har säkerhetsforskaren Patrick Wardle avslöjat två tidigare hemliga nolldagssårbarheter som påverkar Zoom.