【用户数暴增20倍，Zoom的资安隐忧成各界焦点】Zoom接连爆发隐私与安全问题

随着武汉肺炎疫情扩散至全球，远端协作与视讯会议需求大增，在这样的风潮之下，有一家云端视讯会议业者Zoom，其安全议题掀起相当大的波澜，因为他们提供的SaaS服务在资安加密的做法引争议，以及资安漏洞接连被爆出，成为瞩目焦点。

尽管该公司近期的漏洞修补都很即时，但却被人发现夸大其安全性，也有会议金钥经中国服务器传送的状况，再加上过去他们对于隐私与资安的不够重视，也被重新被检讨，更是牵动着各界对于该公司产品的看法。这样的态势，不仅导致使用者被迫临时改选用其他平台，甚至，也促使全球开始有企业与-开始规范要求禁用。到底，这次Zoom是如何引发资安争议与关注呢？

远距工作安全风险成焦点，提醒用户注意安全使用Zoom

在疫情冲击之下，为防止群聚感染传播的风险，现在-机关与企业都制定了远距工作对策，以此作为顾及持续营运的重要防疫措施，在此态势之下，远距工作时所要注意的相关资安风险，也成企业与个人的关注重点。

例如，需注意公司VPN的安全管理，以及资料存取与身份验证等面向，而视讯会议工具的安全使用，也成不容忽略的一环。

的确，近期各界使用视讯会议的需求暴增。从视讯会议程式的下载次数，可以看出其热门程度，根据行动程式分析机构App Annie的分析统计，单是3月中旬的一周下载量，不论是Google Hangouts Meet（现称Google Meet）、Microsoft Teams与Zoom等，与2019年第四季的周平均相比，几乎都有10倍到30倍的超高成长。而这样的现象，也使得各协作平台也传出连线不稳与断线的状况，原因就是同时上线用户太多，导致系统难以负荷。

但没想到的是，在提醒使用者注意远端工作安全的趋势之下，在3月下旬，视讯会议Zoom成为资安焦点，并且爆出了一连串的隐私与资安问题。

例如，在3月26日，资安业者Check Point发布了安全使用Zoom的四大注意事项，包括随时更新软件、启用会议密码、管理与会者发言，以及随时为会议记录影片泄漏做好准备。

事实上，Check Point之所以这么做，是因为他们在去年7月22日曾通报Zoom的安全问题，指出攻击者将能透过猜测Zoom会议连结的会议ID（随机9码、10码与11码数字），偷偷加入到会议之中，并提及缺乏会议密码保护的问题，而他们的研究人员利用随机产生的会议ID，以自动化方式找出4%有效会议。无独有偶，另一家资安业者Cequence Security，也曾揭露相关的安全问题。

对于这样的问题，其实Zoom在3月20日也于官方部落格提出建议，告知用户如何避免不速之客闯入。

在台湾，中央研究院的2位专家也在3月26日于部落格发表文章，该单位资讯服务处吕绍勋与资讯科学所研究员陈伶志，特别针对Zoom提供安全使用上的建议，在网络上受到相当大的关注。当中虽无揭露具体事证，但也整理了对于Zoom资安隐忧的正反方意见，而最令人不安之处在于，Zoom开发团队皆在中国境内，而中国-向来有干预境内高科技公司的前例。

在短短一周内，Zoom接连不断的隐私与安全漏洞被爆出

但这场资安风暴才刚刚开始。

虽然Zoom在2019年曾被揭露的几个资安漏洞，但都已是过去式，弱点早已被修复，却也在此时被重新议论，更没想到的是，新的隐私与漏洞问题遭连续爆出，让Zoom在短短一周时间内，深陷隐私与安全的泥沼。

首先，在3月24日，一名代号为@_g0dmod的安全人员在推特上指出，Windows版Zoom程式的聊天功能，可张贴像是\\\\x.x.x.x\\xyz之类的连结，此问题，将让他人尝试窃取点击者的NTLM杂凑密码。属于UNC注入漏洞。

在3月26日，科技网站Motherboard揭露iOS版Zoom程式的隐私问题，在使用者不知情的状况下，这支App将资料传送给脸书，但在Zoom的隐私政策中，只说明可能会搜集用户在脸书上的个人档案资讯。隔日，Zoom立即移除脸书SDK以撇清关系。

到了3月30日，Zoom的安全风暴越演越烈，随着使用人数的大幅成长，更多Zoom的漏洞讨论快速获得关注。

首先，网络安全公司VMRay的恶意程式研究人员Felix Seele，在推特上指出macOS版的Zoom程式的安装问题，质疑为何使用者不用点击就可以完成，于是，他决定着手进行深入的研究；接着，另一macOS安全研究人员Patrick Wardle（网络昵称为Objective-See），也从Felix Seele的发现找出其他问题，在部落格上直接公开其发现，他指出Mac版Zoom程式存在可偷偷存取Mac网络摄影机与麦克风的安全漏洞。

同日，美国联邦调查局（FBI）发出公告，提醒大家需注意干扰视讯会议的乱象，并举出两起当地麻州学校在使用Zoom进行线上教学遭乱入的案例，警告用户注意这样的行为，并建议使用者应落实管控，例如，举行的会议或课程不应设为公开，以及设定会议密码与会议主持人管理等措施。

接下来的几日，更是天天都有Zoom的相关新闻曝光，有些是新的问题，有些是相关事件的后续。

例如，英国首相Boris Johnson在3月31日于推特上张贴了一张照片，表示自己用Zoom与内阁成员开会，但照片暴露了会议ID等 资讯，引发安全争议。

同时，国外媒体陆续揭发更多问题及不同单位禁用Zoom的消息。例如，在3月31日，根据The Intercept爆料指出，Zoom的端对端加密技术，只有应用在文字传输，而视讯与音讯的传输并没有；在4月1日，根据路透社报导，美国太空公司SpaceX在3月28日就以电子邮件通知员工，要禁止使用Zoom，而美国太空总署（NASA）也同样禁用。

同时，先前指出Mac版Zoom程式安全问题的VMRay研究人员Felix Seele，在官方部落格也公布其完整研究发现，当中提到Zoom的安装使用了与MacOS恶意软件相同的技巧，并有误导性的说明。

创办人上火线，Zoom公开承诺要在90天内强化资安

【Zoom宣布90天资安强化计划】视讯会议平台Zoom被揭露的一连串隐私与安全问题，该公司首席执行官袁征（Eric S. Yuan）在4月1日出面回应与道歉，指出暴增的用户数为他们的服务带来挑战，允诺将在90天内专注于安全及隐私问题的改善。到了4月8日，他们也宣布将设立资安长会议与顾问委员会。

面对种种的产品安全疑虑，在4月1日，Zoom的创办人暨首席执行官袁征（Eric S. Yuan）在部落格上亲自道歉，说明用户数在三个月内从1千万暴增至2亿，如此暴增的用户数与各式使用情境，其实超出了Zoom的规划，他并承诺，将在90天内暂缓开发新功能，将资源完全投入以解决平台的安全及隐私问题。

关于近期被揭露的资安漏洞，Zoom也采取行动。例如，先前研究人员@_g0dmod指出的Windows版Zoom程式安全问题，在日前获得其他研究人员证实，并曝光于媒体后，他表示Zoom已修补这个UNC连结的安全问题，同时修补前几日的Mac版Zoom程式漏洞，并更新资料搜集的隐私政策。

Zoom对于漏洞的快速修补，也受到不少资安研究人员的肯定。他们认为，Zoom近期的产品安全应变做得很不错，其中也包括发现Zoom漏洞的Felix Seele，他在推特上表示，Zoom的快速修补令他印象深刻。

只是，虽然Zoom更明确地揭露该平台的加密能力，也表示他们没有建立解密的机制，但先前号称端对端加密却不实的情形，显然其安全问题可能不小。

确实，事情并未就此告一段落。尽管Zoom对于新漏洞的修补很即时，也已经大动作表明要强化其产品安全，但是，接下来，又有一波新的问题曝光，再让大众对Zoom的资安无法放心。

资讯安全与人权团体发布研究报告，再次揭发Zoom更多安全隐忧

在4月3日，加拿大多伦多大学市民实验室（Citizen Lab）的研究人员发布研究报告，为Zoom的不够安全投下震撼弹。该报告指出三大重要发现，首先，是Zoom宣称使用256位元的AES加密金钥，但其实只有128位元，并且是较不理想的ECB模式；其次，是Zoom使用了上述非标准的加密方式，而且会议金钥在特定情况会经中国服务器产生与传送；第三，则指出担心Zoom会受制于中国-的问题。

综观这次研究报告的内容，Citizen Lab发现，Zoom在加密方面有夸大安全性之嫌，并指出未采用最佳安全实务设计，而会议的加密金钥传送至中国服务器一事，虽然他们没有具体事证指出中国官方实际介入取得，但也无法忽视因此暴露的可能风险。

而这份报告一公开，也让Zoom的品牌形象再次受影响，而Zoom首席执行官袁征在同日于官方部落格快速做出回应。他表示，在地理围栏的机制方面，通常Zoom是依据用户位置来决定所使用的资料中心，但如果多次连线失败，将连线至两个备用的资料中心。只不过，今年2月他们为了暴增的连线需求，在匆忙之中，不慎错误将两个位于中国的资料中心，加入到国际备用服务器的白名单，进而导致美国服务连往中国服务器的情况，现在他们已修正此问题；对于加密的议题，袁征则表示会与第三方专家共同讨论，以找出更适合的解决方案。显然，他们希望借由坦承错误，以重新赢得大众信任。

陆续有多国高机敏单位、-机关，以及教育与企业单位宣布禁用

只是，不信任的效应已经形成，并遍及全球各地。继先前SpaceX与NASA禁用后，在4月4日，根据美国媒体CNN的报导，指出纽约市教育局发言人Danielle Filson正指示当地学校，尽快停止使用Zoom。

在台湾，Zoom很早就进入台湾市场，国内已有许多使用者，因此，大家对于Zoom的议题也同样相当关心，而陆续传出停用消息。例如，在4月6日傍晚，中华电信率先宣布，在厘清资安疑虑前，先停售该公司的Zoom服务方案，4月7日，行政院资通安全处也对远端视讯的使用发出公告，指出应以国内产品及共同供应契约所列品项为优先，并已通函国内公务机关与非公务机关，不应用Zoom。

接下来，教育部也在同日下午发表声明，指出在收到第1091069976号函后，将通知各级学校全面禁用，同时也会移除教育云之线上学习页面的使用说明文件。不过，这样急转弯的政策，却在国内教育界引起不小的反弹声浪，例如，已有很多学校的老师与学生开始学习用Zoom线上教学，而部分人士认为，在不需要考量保护机密性的状况下，教育单位不一定要禁用。

为了强调在资安的投入，Zoom在4月8日宣布成立资安长会议及顾问委员会，将找来VMWare、Netflix、Uber等多家公司的CISO担任成员，并将聘请前脸书安全长Alex Stamos担任外部资安顾问，希望挽回消费者信心。

但是，难以让用户继续信任Zoom的状况，还是持续上演。例如，又有以色列安全情报业者Sixgill的消息，指出有骇客在暗网公布352个Zoom账号的名单。

后续，国际间则是出现更多禁用Zoom的消息，包括-机关与企业。例如，在4月6日，根据澳洲媒体The Australian的报导，当地禁止国防人员使用Zoom来进行视讯会议。在4月8日，美国媒体BuzzFeed News报导，指出Google其实在上个星期，就已经以电子邮件通知员工禁用Zoom，说明该工具未符合内部使用程式的安全标准，因此将限制Zoom在企业电脑上的执行；同样是在8日，德国媒体Handelsblatt报导了该国外交部通知机关人员，禁止在公家装置使用Zoom，但考量合作伙伴可能使用，因此通融以个人装置用Zoom进行公事交流。

而在4月9日，根据美国Cnet等媒体报导，美国参议院也要求所有的议员不要使用Zoom；而新加坡也传出教育部要求教师暂停使用Zoom，根据当地媒体Channel News Asia报导，当地教育部在收到Zoom Bombing事件的报告后，为了预防起见，也要教师暂停使用Zoom，而在相隔4日后，才又允许逐步恢复使用。

无论如何，尽管Zoom强调要在90天强化资安，但目前事件还在持续，不只是漏洞接连爆出，而先前被揭露其产品并非真的贯彻端对端加密，以及加密作法不够周延，还有会议金钥误经中国资料中心等安全问题，再加上许多事件突显该公司有误导、欺骗性的行为，上述这些被公开的资安问题，都暴露其产品的高风险性。

此外，我们也要提醒大家不只是注意单一厂商，更难防的是，他们生产的软件元件，也可能输出给其他厂商使用，而以不同厂牌的解决方案供应给用户。例如，去年就有研究人员提出相关发现，市面上两款取得Zoom技术授权的视讯会议App：RingCentral和Zhumu，存在与Zoom相同的弱点。

何谓Zoom Bombing？

若要防止与会者擅自分享屏幕画面干扰开会，主持人在会议前或会议进行时，可以在Zoom的进阶设定选项中，限制仅主持人可以共享屏幕画面。

在Zoom本身的多项隐私与资安漏洞之外，近期最多讨论的安全问题就是Zoom Bombing，简单来说，就是有其他使用者擅自闯入视讯会议的行为，并且故意在视讯画面上分享色情或冒犯性的内容，干扰了会议的正常进行。

为何这些人能够做出这样的恶作剧行为？这事因为，他们可以找到公开在网络上的Zoom会议连结网址或会议ID，或是透过自动化工具找出有回应的会议ID。

对于如何不被外人闯入的问题，Zoom于官方部落格中，建议了3大使用原则。

（一）要对屏幕的控制权有所掌握：在会议前或进行期间，设定自己是唯一可分享屏幕的成员

（二）应做好与会者的管理：包括会议锁定与删除不需要的参与者等，而现在所有单一会议室主持人在召开会议时，需要强制设定密码，用户也应每次会议都设立不同的会议密码

（三）开启等候室的功能：让与会者不会立即进入会议，需要会议主持人一个个手动批准与会者进入会议室。

市面上有那些云端视讯会议平台？

早年的网页视讯会议，多数企业最为熟知的产品就是Webex、GotoMeeting，直到后来行动装置、云端兴起，以及视讯压缩技术的进步下，在6、7年前，我们看到云端视讯服务产品的兴起，包括Zoom、Blue Jeans、Fuze、Starleaf与Vidyo等。在这些产品当中，我们看到像是Zoom与Vidyo等，都进入台湾市场，其他新兴服务在国内的知名度则不高。

以当时的Zoom而言，最大特色就是界面相当简单直觉，虽然提供的操作功能项目还不如老牌产品，但当时以免费版与低价推出市场，加上其他新兴云端视讯未进入台湾市场，又有繁体中文界面语系的支援，因此获得不少用户青睐。而在这么多年发展之后，Zoom在全球市场同样大有斩获，已是这些视讯会议新创中最知名的业者。

另一方面，除了硬件视讯会议与云端视讯会议的介接变得更普遍，早年强调的整合通讯也朝向云端协作平台的潮流来发展，像是微软从Lync到Skype for Business，到现在的Microsoft Teams，而从云端出发的Google，本身也提供Hangouts Meet（现改名为Google Meet）。

另外，还有一些云端视讯会议产品的动向，也很值得一提，例如，早年我们介绍过的GotoMeeting与Join.me，现在成为LogMeIn旗下产品，而硬件视讯业者Lifesize后来也顺应了云端潮流，推出了Lifesize Cloud，该公司之后则被罗技并购，不过，这些产品在国内受关注的程度是比较小；另外，还有影像编辑软件大厂Adobe很早推出的Adobe Connect，近年也活跃于台湾教育市场。

此外，以PowerDVD闻名的讯连科技，在2017年开始切入此一领域，是起步较晚的业者，并是少见的台湾产品；至于国内的共同供应契约当中，我们还看到一些市面上较少注意到的产品，例如，状态互联网的Status PowerMeeting，泰溥科技的TOPMeeting，以及太御科技（JoinNet）代理的美国HomeMeeting等多款产品。而在开源软件产品中，近年则有Jitsi Meet受到不少使用者推荐。

附带一提的是，原是属于远端控制类型的工具软件，其实也有加入视讯会议的功能，例如TeamViewer，因为技术相近，但使用者必须对这类软件的功能有所认识，它的功能还包括远端控制你或对方电脑，不只是单纯的视讯会议软件。

 相关报导  为何Zoom资安受到各界质疑？