今天你Zoom了嗎？近日，疫情期間大火的視頻會(huì)議軟件Zoom又爆出重大安全漏洞：數(shù)以萬(wàn)計(jì)私人視頻被上傳至公開(kāi)網(wǎng)頁(yè)，任何人都可在線圍觀！驚喜變驚嚇！創(chuàng)始人袁征坦言，如果安全問(wèn)題不解決，甚至?xí)紤]開(kāi)源Zoom代碼。
冠狀病毒疫情期間，視頻會(huì)議軟件使用量激增，其中表現(xiàn)尤其搶眼的軟件就是Zoom。Zoom的日活躍用戶從去年12月份的1000萬(wàn)人激增到現(xiàn)在的2億人，成為了視頻會(huì)議軟件中的當(dāng)紅炸子雞，無(wú)法出門的歐美用戶用Zoom開(kāi)會(huì)、上課、做培訓(xùn)，探親、訪友、看醫(yī)生，甚至連辦婚禮、開(kāi)葬禮這樣的事也被Zoom承包了。
Zoom最吸引人的就是“簡(jiǎn)單好用”，但“簡(jiǎn)單好用”的代價(jià)就是安全漏洞多，隱私問(wèn)題沒(méi)辦法保證。
數(shù)萬(wàn)隱私視頻遭泄漏，源于視頻命名方式？
15000個(gè)視頻被公開(kāi)
近日，華盛頓郵報(bào)又報(bào)道出Zoom存在的重大安全漏洞：數(shù)以萬(wàn)計(jì)的私人Zoom視頻被上傳至公開(kāi)網(wǎng)頁(yè)，任何人都可在線圍觀！很驚悚有沒(méi)有！
向華盛頓郵報(bào)爆料的是美國(guó)國(guó)家安全局的前研究員帕特里克·杰克遜（Patrick Jackson），他爆料稱在開(kāi)放的云存儲(chǔ)空間中一次性搜到了15000個(gè)Zoom視頻。
華盛頓郵報(bào)依著這條線索看到的Zoom視頻包括：一對(duì)一治療方案；遠(yuǎn)程醫(yī)療呼叫人員最新的培訓(xùn)方向，其中還有參會(huì)人員的名字和電話號(hào)碼；小公司開(kāi)會(huì)視頻，帶財(cái)務(wù)報(bào)表的那種；小學(xué)生上網(wǎng)課，孩子的臉、聲音和樣貌細(xì)節(jié)都能看見(jiàn)。很多視頻都包含個(gè)人可識(shí)別信息，還有在家里進(jìn)行的很多私密談話，甚至還有美容師傳授脫毛技巧的裸露視頻。
命名方式單一安全性差
Zoom在視頻通話時(shí)，默認(rèn)狀態(tài)下是不會(huì)錄制視頻的，但是會(huì)議主持人可以無(wú)需參加者同意錄制視頻保存在Zoom服務(wù)器或任何云端、公開(kāi)網(wǎng)站，而且，錄制好的Zoom視頻都是相同的命名方式保存。
Jackson就發(fā)現(xiàn)了這個(gè)問(wèn)題，并用免費(fèi)的在線搜索引擎掃描了一下開(kāi)放的云存儲(chǔ)空間，在默認(rèn)命名規(guī)則下，一次性搜索出了15000個(gè)視頻。另外，還有一些視頻保存在未受保護(hù)的Amazon存儲(chǔ)桶中，用戶無(wú)意間改成了公開(kāi)訪問(wèn)，YouTube和Vimeo也能找到Zoom視頻。
15000個(gè)視頻就足以說(shuō)明這不是用戶的粗心大意，而是產(chǎn)品的設(shè)計(jì)問(wèn)題。Zoom的設(shè)計(jì)師繞過(guò)了一些視頻聊天程序常用的安全保護(hù)功能，如要求用戶在保存視頻時(shí)使用唯一的文件名。Zoom默認(rèn)單一的命名方式是簡(jiǎn)單好操作，但也更容易受到黑客攻擊。
Jackson稱：“Zoom應(yīng)該在提醒用戶保護(hù)好視頻方面做得更好，在設(shè)計(jì)上做一些調(diào)整，例如使用一種無(wú)法預(yù)測(cè)的方式命名視頻，讓視頻能難在公開(kāi)領(lǐng)域找到。”
Zoom發(fā)言人隨后發(fā)表了一份聲明，建議用戶在視頻錄音上傳時(shí)要謹(jǐn)慎行事：
“Zoom會(huì)議主持人錄制視頻時(shí)，Zoom將通知所有參會(huì)人員，并為主持人提供一種安全可靠的方式存儲(chǔ)會(huì)議記錄。Zoom會(huì)議視頻僅按照主持人的選擇保存在本地設(shè)備或Zoom云端，如果主持人選擇將會(huì)議記錄上傳到其他位置，我們敦促務(wù)必格外謹(jǐn)慎，并與參會(huì)人員保持透明，仔細(xì)考慮會(huì)議是否包含敏感信息，符合參會(huì)人員合理期望?！?/p>
Zoom漏洞頻發(fā)還涉嫌虛假宣傳
分析了 Zoom 代碼的安全研究人員說(shuō)，Zoom 的軟件依賴于一些技術(shù)，這些技術(shù)可能會(huì)使人們的電腦暴露給黑客。Zoom的數(shù)據(jù)共享設(shè)計(jì)，使得一些用戶在未經(jīng)所有會(huì)議相關(guān)人員同意的情況下可以錄制談話內(nèi)容，可能會(huì)泄漏與會(huì)人員的隱私。
Zoom 的默認(rèn)設(shè)置允許新用戶在打電話時(shí)突然向其他用戶的電腦發(fā)送文本和圖片，而這種屏幕共享功能會(huì)被“ zoombombing”隨意利用。在接受《華盛頓郵報(bào)》采訪時(shí)說(shuō)，Zoom表示這項(xiàng)功能是為其核心用戶群設(shè)計(jì)的，最近改變了學(xué)校的默認(rèn)設(shè)置，只允許教師共享他們的屏幕。
前 Facebook 安全主管、現(xiàn)任斯坦?；ヂ?lián)網(wǎng)天文臺(tái)(Stanford Internet Observatory)負(fù)責(zé)人Alex Stamos表示，Zoom 的問(wèn)題包括從愚蠢的設(shè)計(jì)到嚴(yán)重的產(chǎn)品安全缺陷，其中許多缺陷讓他十分擔(dān)心。
據(jù)網(wǎng)絡(luò)安全公司 VMRay 的一位技術(shù)分析師說(shuō)，Zoom 用來(lái)加速安裝的代碼依賴于“糟糕的安全措施和 對(duì)用戶撒謊”。Zoom 的首席執(zhí)行官袁征在回應(yīng)中說(shuō)，該公司利用這些做法來(lái)“平衡”用戶在使用該程序之前所需的“點(diǎn)擊次數(shù)”。
Zoom 此次曝光的一系列安全漏洞中，最主要的是沒(méi)有在視頻通話中使用端到端加密，僅在部分文本信息和部分模式的音頻中使用了這一加密方式，但卻在視頻應(yīng)用中顯示Zoom is using end to end encrypted connection。
Zoom 的發(fā)言人隨后表示：現(xiàn)階段不可能為 Zoom 平臺(tái)上的視頻會(huì)議提供端到端加密。
Zoom為啥不用端到端
要了解端到端加密，首先要了解什么是信息加密。
在密碼學(xué)中，加密是將明文信息改變?yōu)殡y以讀取的密文內(nèi)容，使之不可讀的過(guò)程。只有擁有解密方法的對(duì)象，經(jīng)由解密過(guò)程，才能將密文還原為正?？勺x的內(nèi)容。
而端到端加密 (End-to-end encryption，E2EE)是一個(gè)只有參與通訊的用戶可以讀取信息的通信加密系統(tǒng)?？偟膩?lái)說(shuō)，它可以防止?jié)撛诘母`聽(tīng)者——包括電信供應(yīng)商、互聯(lián)網(wǎng)服務(wù)供應(yīng)商甚至是該通訊系統(tǒng)的提供者——獲取能夠用以解密通訊的密鑰。此類系統(tǒng)可以防止?jié)撛诘谋O(jiān)視或篡改，因?yàn)闆](méi)有密鑰的第三方難以破譯系統(tǒng)中傳輸或儲(chǔ)存的數(shù)據(jù)。使用端到端加密的通訊提供商比如whatsapp，就無(wú)法將其客戶的通訊數(shù)據(jù)提取出來(lái)，所以這種加密方式也會(huì)給警方調(diào)查取證造成一定困擾。
無(wú)加密的情況下，A到B的任何一個(gè)環(huán)節(jié)都可以查看和修改信息；SSL加密從A到服務(wù)器，服務(wù)器到B的信息傳輸都是安全的，但服務(wù)器上的信息是解密的；端到端加密A端使用用戶B的公鑰加密，服務(wù)器是沒(méi)有密鑰的，B端用戶再用私鑰解密，整個(gè)傳輸過(guò)程都是加密的。
1994年，NetScape公司設(shè)計(jì)了SSL協(xié)議（Secure Sockets Layer），1999年，互聯(lián)網(wǎng)標(biāo)準(zhǔn)化組織ISOC接替NetScape公司，發(fā)布了SSL的升級(jí)版TLS，而TLS就是Zoom現(xiàn)在使用的視頻加密方式，所以用戶數(shù)據(jù)還是可以被竊取的。
端到端加密這么好，為什么Zoom不用呢？
首先，端到端加密只能提高通訊內(nèi)容的保密性，它不能阻止通訊被徹底中斷；然后是，端到端加密時(shí)，通訊雙方的地址必須是公開(kāi)的。比如Zoom幫你傳遞一段端到端加密的視頻，Zoom可能沒(méi)法知道視頻的內(nèi)容，但它肯定知道收發(fā)雙方的地址、收貨人和發(fā)貨人是誰(shuí)，而且Zoom也保證不了一定能送達(dá)。因此對(duì)于有更高保密需求的應(yīng)用環(huán)境，還必須與其他層次的加密方式相結(jié)合，才能夠達(dá)到較好的效果。
立即停止開(kāi)發(fā)新功能，全力補(bǔ)作業(yè)
3月20日，幫助用戶解決了平臺(tái)上的騷擾事件(或所謂的“ Zoombombing”) ，提醒用戶可以防止騷擾的辦法，例如等候室、密碼、靜音控制和限制屏幕共享等。
3月27日，移除了iOS客戶端的Facebook SDK。
3月29日，更新了隱私政策，明確聲明我們不出售用戶數(shù)據(jù)，我們過(guò)去從未出售過(guò)用戶數(shù)據(jù)，將來(lái)也沒(méi)有打算出售用戶數(shù)據(jù)。
對(duì)于教育用戶，Zoom推出了一個(gè)管理員指南幫助更好地維護(hù)虛擬教室，還專門建立了一個(gè)K-12隱私政策。
4月1日，Zoom中文公告顯示，Zoom將停止所有新功能的開(kāi)發(fā)，并將全部工程資源用于解決最近的安全漏洞問(wèn)題。
Zoom創(chuàng)立只是因?yàn)閻?ài)情，今天你Zoom了嗎？
“我們已經(jīng)認(rèn)識(shí)到我們沒(méi)有達(dá)到用戶在隱私安全方面的期望。對(duì)此，我深表歉意?！?/p>
在Zoom的致歉信里，創(chuàng)始人兼CEO袁征重申了公司創(chuàng)立的初衷，聽(tīng)起來(lái)有為泄露事件脫罪之嫌，但言語(yǔ)之間也不乏真誠(chéng)。“我們?cè)O(shè)計(jì)這個(gè)產(chǎn)品時(shí)并沒(méi)有預(yù)見(jiàn)到，在幾個(gè)星期內(nèi)，全世界所有人都會(huì)突然在家辦公，學(xué)習(xí)和社交。”
“無(wú)論是跨國(guó)公司要保持業(yè)務(wù)連貫性，地方政府要維持社區(qū)運(yùn)轉(zhuǎn)，學(xué)校老師要開(kāi)展遠(yuǎn)程教育，還是隔離期間想和朋友共度美好時(shí)光，我們都極其榮幸能夠幫助大家保持聯(lián)系?！?/p>
“我們深感責(zé)任重大。Zoom 的用戶量一夜之間激增，遠(yuǎn)超預(yù)期。其中包括來(lái)自20個(gè)國(guó)家的90,000多所學(xué)校，這些學(xué)校已經(jīng)開(kāi)展了遠(yuǎn)程教育。今年3月，我們每天的會(huì)議參與人數(shù)已超2億人，有免費(fèi)也有付費(fèi)。我們一直在日以繼夜地工作，以確保我們所有的新老用戶可以保持聯(lián)系和正常運(yùn)作?！?/p>
簡(jiǎn)言之，核心思想是，Zoom所做的事業(yè)初衷是好的，對(duì)于疫情期間人與人的交流很有意義，大家不要過(guò)分苛責(zé)我們了。
讓我們回到Zoom成立之初的愿景。
Zoom的創(chuàng)辦靈感來(lái)自創(chuàng)始人袁征大一時(shí)期的女朋友，那時(shí)候他們還是異地戀，兩個(gè)人相隔10幾個(gè)小時(shí)的火車路程，每年只有寒暑假能夠見(jiàn)上幾面。對(duì)女友的思念讓他萌生了創(chuàng)辦共享視頻網(wǎng)站的念頭。對(duì)愛(ài)情的堅(jiān)持讓他最終抱得美人歸。
2018年，他在美國(guó)求職網(wǎng)站GlaSSDoor發(fā)布的2018年全美Top100 CEO榜單上，以99%的支持率被評(píng)為最受歡迎CEO，甚至超過(guò)了Mark Zuckerburg和Tim Cook。2019年胡潤(rùn)百富榜上，他排名第78位。今年4月即將發(fā)布的《福布斯》億萬(wàn)富翁排行榜上，他也榜上有名。
袁征是個(gè)傳奇人物。相比于其他科技圈大佬，他遠(yuǎn)不能算得上是天資過(guò)人。袁征出生在山東泰安的一個(gè)采礦工程師家庭，1987年畢業(yè)于山東科技大學(xué)應(yīng)用數(shù)學(xué)。1994年，他在日本出差時(shí)聽(tīng)到比爾蓋茨的一次演講，從此萌生了收拾行囊，來(lái)到大洋彼岸加入互聯(lián)網(wǎng)大潮的想法。
赴美時(shí)，袁征普通話都有嚴(yán)重的口音，英語(yǔ)更是磕磕絆絆，當(dāng)時(shí)美國(guó)海關(guān)要了他的英文名片，上面寫的頭銜是顧問(wèn)，卻被簽證官理解成了兼職承包商。兩年的時(shí)間里，他一共被拒簽9次。1997年終于如愿赴美，一走就是二十載。初到美國(guó)以后，他開(kāi)始邊刷盤子邊投簡(jiǎn)歷，后來(lái)加入一家早期的網(wǎng)絡(luò)會(huì)議應(yīng)用公司W(wǎng)ebEx開(kāi)始寫代碼。
2000年左右，他每天和客戶打交道心情都會(huì)變得很差，客戶越來(lái)越不滿，工作也開(kāi)始束手束腳。2007年，WebEx被Cisco收購(gòu)。
后來(lái)的故事，當(dāng)上了Cisco工程副總裁的袁征帶走了原公司的40多名工程師自立門戶。2011年，Zoom正式成立，一開(kāi)始為組織機(jī)構(gòu)提供的服務(wù)都是無(wú)償?shù)摹?/p>
雖然犯錯(cuò)，但初心是造福世界
在創(chuàng)業(yè)邦的采訪中他表示，“我年輕的時(shí)候想要理解生活是為了什么，但卻找不到答案。后來(lái)明白生活就是為了追求幸福，而為他人創(chuàng)造幸福，你自己的幸福才能持續(xù)。所以我創(chuàng)辦公司也遵循這個(gè)原則，努力讓客戶幸福?！?/p>
袁征的兒子在上大一，因?yàn)橐咔橐查_(kāi)始用Zoom上課。袁征在福布斯采訪中說(shuō)：“我告訴我兒子，我終于明白我這么努力工作的意義了。我做這些工具就是為了讓你們上網(wǎng)課用的?！?/p>
初心是好的，但越是風(fēng)頭正緊，越容易出問(wèn)題。
泄露事件爆發(fā)后，和袁征同住一個(gè)屋檐下的母親總是擔(dān)心他的身體健康。袁征每天都躲在家中的辦公室里，只睡兩三個(gè)小時(shí)。
采訪中他承認(rèn)：“ 如果我有選擇的話，我肯定會(huì)回到B2B業(yè)務(wù)上，而現(xiàn)在，游戲規(guī)則完全不同了?！?袁征甚至表示，如果不能把Zoom變成世界上最安全的平臺(tái)，在接下來(lái)的幾年里，他會(huì)考慮開(kāi)源Zoom的代碼。
此情此景有些似曾相識(shí)。Facebook爆出用戶數(shù)據(jù)泄露事故以后，袁征最敬佩的企業(yè)家小扎表示，“臉書是我創(chuàng)辦的，直到最后一天，我都會(huì)對(duì)平臺(tái)上發(fā)生的事情負(fù)責(zé)?！?/p>
不知道對(duì)愛(ài)情和事業(yè)都永葆初心的袁征此時(shí)此刻正作何感想。
