Zoom的安全问题不只是漏洞，更是信任问题

对于近期Zoom爆出的许多隐私与安全漏洞，尽管Zoom已经承诺要在90天内强化资安，当中一些漏洞也已及时修补，不过，到底Zoom有哪些安全问题是真正值得注意呢？

Zoom在加密上的作法，最受质疑

在这一连串的事件中，最引发关注的资安疑虑，就是在Zoom平台加密方面所被揭露的安全问题，外界认为其该公司宣称的产品安全能力，与实际不符，有误导与欺骗的问题存在，还有加密作法不够周延，以及其他地区的会议金钥会由中国资料中心传递等问题，都让各界对于Zoom抱持不信任的态度，因为这意味着，Zoom过去在本身的安全设计与心态上，可能有很大的问题。

例如，有一家以调查新闻见长的媒体The Intercept在3月31日爆料，指出Zoom号称采用的全程加密技术（End-to-end encryption，E2EE），然而，Zoom虽在文字传输上确实做到此事，但视讯与音讯的传输，却只是透过TCP与UDP进行加密。对此问题，Zoom坦承此事，除了解释他们不会建立视讯相关解密机制，也没有要刻意误导使用者，因为在用户端到服务器端，以及服务器端到用户端，即使中间透过Zoom服务器，分别还是有加密保护。

但这还是让外界质疑，将让使用者误以为该平台所有会议内容的传递，都是采全程加密，明显有误导之嫌。

另一事件，也与Zoom的加密有关。根据加拿大多伦多大学市民实验室（Citizen Lab）在4月3日的研究报告，再度指出类似的问题。他们的研究人员发现，Zoom的说明文件虽然宣称其应用程序是使用AES-256加密法来保护通讯内容，但经测试发现，所有与会者都是使用同一把AES-128金钥，来加解密视讯与音讯内容，并是在ECB模式下。此外，虽然该白皮书也有提及AES-128的加密，但指的只有是应用在手机SIP注册认证及VoIP上。

这次的发现，除了再抓包Zoom可能夸大其服务的安全性，还有一个严重的问题被突显出，那就是ECB模式加密。他们的研究人员指出，这是不建议使用的加密模式，因为不够安全，在加密后仍有很大的明文特征会被保留（关于ECB模式缺点请参阅维基百科），这也显示该公司在加密方面，并没有经过良好的设计与实作。

对此，就连被誉为资安大师的密码学专家Bruce Schneier也提出看法，他觉得使用AES-128没问题，但用ECB模式并不可取，表示该公司无人了解密码学。

Citizen Lab还发现，在有些案例中，即便Zoom的与会者皆位在北美，却有由中国服务器产生及递送金钥的状况。

同时，该报告也阐述了相关风险，说明他们虽然没有证据指出中国或其他国家当局取得Zoom会议的加密金钥，但也说明，如果透过位于中国的服务器来传递金钥，在中国的体制下，将能要求Zoom揭露这些金钥，这对不同国家的用户来说，都是很大的风险。因此，他们也明确表示，如有高机密和隐私的通讯需求，并不建议使用Zoom。

加拿大多伦多大学市民实验室（Citizen Lab）在4月3日公布的Zoom的通讯安全分析中，除了指出该平台使用非业界标准的加密法来加密线上会议等问题，同时也针对Zoom这家设在美国硅谷，却有着中国背景的公司，指出相关隐忧。他们提到，在Zoom最新的文件中，显示该公司在中国有三间公司，共约700名员工，负责Zoom程式的开发，以及该公司建立的73个服务器中，有68个位于美国，其他5个位于中国。

曾在个人端电脑进行奇怪行为，让人觉得别有居心

事实上，在之前发现的资安问题与漏洞中，我们也可以看到Zoom在欺骗行为上，已有前例。例如，在去年7月资安研究员Jonathan Leitschuh揭露Zoom的安全漏洞时，就指出Mac版的Zoom程式会在电脑中安装了一个本地主机网页服务器（Localhost），如果用户曾经安装过Zoom，之后又解除安装，而该Localhost将让用户浏览网页时，可将用户端程式重新安装回电脑上。

还有，今年4月网络安全公司VMRay研究人员Felix Seele的发现中，也指出Mac版Zoom安装程式的问题，例如，在安装前跳出的讯息是：“此一执行将确定能否安装程式”，但它并不只是检查硬件的相容性，还会执行完整的安装。此外，在需要管理权限才能安装的情形下，Zoom跳出的讯息是“系统需要你的权限进行变更”，Felix Seele认为这样的文字描述，给用户的感觉是操作系统的需求，但应该是Zoom需要你的密码才能更新既有程式。

对于这些资安事件，资安大师Bruce Schneier也提出看法，他将Zoom的问题分成3大类型，包括：不良的隐私惯例、不良的安全惯例，以及不良的使用者设置。当中指出，该公司其实收集了很多用户资料，并且借由这些资料来牟利，并认为Zoom的安全决策相当糟糕，他相信还有更多软件漏洞问题要改善。

无论如何，综观上述这些Zoom的安全问题，直到被揭露后才修正，都让使用者对于Zoom的安全充满疑虑。如同现代人会重视食安问题一样，黑心食品会遭拒买，而产品资安上的信任其实也是同一道理。

对于资安，除了重视产品资安事件应变，资讯揭露透明，这次事件也突显出，业者在安全设计上的草率，以及一些看似投机取巧、欺骗的手法，在事情曝光之后，不论是有意或无意，需要花更多成本来挽回使用者信心，都让公司品牌形象大受伤害。

被誉为资安大师的密码学专家Bruce Schneier对近期Zoom的安全问题提出他的观察，简单来说，他将问题分为三大类：第一，不良的隐私惯例（bad privace practices）；第二，不良的安全惯例（bad security practices）；以及第三，不良的用户配置（bad user configurations）。当中他针对指出Zoom在隐私政策的新旧版上的问题，并引用Doc Searls对Zoom在隐私上见解，同时他对于Zoom使用ECB模式加密，认为该公司竟没人懂密码学。

公务机关为何火速禁用Zoom？行政院资安处透露其考量

行政院资安处处长简宏伟　摄影／洪政伟

在这次Zoom的安全风暴下，全球接连传出有-单位或企业要禁用该软件的消息。例如，在3月底就传出美国SpaceX、NASA禁用Zoom的消息，原因是该软件有显著的隐私及安全问题，而Google也同样是禁用，他们认为该工具未符合内部使用程式的安全标准。而后续，又还有其他国家单位陆续禁用Zoom的消息。

在台湾，我国行政院资安处在4月8日也已宣布，远端视讯应以国产品及共同供应契约品项为优先，不应用Zoom，而教育部也通函各校禁用，推荐其他6款替代产品。

只是，这次禁用事件在国内教育界引起不小的反弹声浪，像是台大教授叶丙成的言论也在这段期间成为焦点，其中多数人对禁用会表反对意见，主要是因为很多学校的老师与学生，都开始学习用Zoom线上教学，还有线上教学没有机密内容。

对于这样的争议，我们也询问行政院资安处处长简宏伟，他提到禁用决策时的关键考量。关于这次决定，他们其实已经评估一阵子，随着情资越来越多，也是到了让他们觉得不能不处理的地步，认为该产品已具有高风险，因此要大家不应该用。

同时，他并从国家对于法治的观念来谈安全问题，在普遍民主法治国家中，国家是依法行政，法律会告诉-什么能做及什么不能做，但对于有些国家而言，法治是协助-，因此站在行政院资安处的立场，应该是要谨慎。

对于教育单位，简宏伟表示，在资安管理法通过后，之前未在资安防护或规范的对象，多数对于资安法并不清楚，像是他们发现很多学校在谈个资与隐私，但较少谈资安。他并举例，像是去年发生学校邮件服务器被入侵，遭长期监控多年的状况，也有老师受-委托做政策研究等情形，他借此说明，教育领域同样需要资安防护，而从-与社会的层次来看，也都是整体资安防护的一环。

 相关报导  为何Zoom资安受到各界质疑？