夸称全程加密误导消费者遭调查起诉，Zoom承诺强化安全以换取与FTC和解

Zoom因为先前被发现不实宣称提供256-bit、全程加密等安全措施，遭到美国联邦贸易委员会（federal trade committee，FTC）调查及起诉。FTC昨（9）日表示Zoom已同意导入一系列安全措施换取和解。

根据FTC今年稍早提出的法律文件，至少从2016年起，Zoom就已提供端到端（end to end）256-bit等级加密的说法来误导消费者。但FTC调查发现多项Zoom行销说词言过其实。

首先，端到端加密的业界定义包括没有任何人，包括服务平台供应商都无法读取内容，但Zoom保留加／解密金钥使其得以存取用户的会议，Zoom的加密金钥也不如宣称的256-bit，而只有128-bit。此外，Zoom宣称用户视讯会议在一结束后就会加密储存到云端，但其实这些影像资料以未加密状态储存在Zoom服务器内至少60天，才会移转到加密云端储存。

其他“罪状”包括，2018年Zoom Mac版App在安装到用户电脑后会悄悄安装并启动ZoomOpener web server，其间绕过了苹果Safari浏览器的警告机制，使用户在不知情下加入到会议中，陷用户于被陌生人远端监控的风险中。而且即使用移除Zoom App，ZoomOpener web server还是会留在用户电脑中。但Zoom对此皆未向用户揭露。此外Zoom也被发现有资料隐码及跨网站脚本程式（cross-site scripting，XSS）漏洞、漏洞被发现一年多才修补、以及未能有效防范网络上匿名活动等。

作为双方和解的条件，FTC要求Zoom必须导入一系列安全强化措施，包括导入多因素验证、资料删除控管、防范用户帐密盗用；漏洞管理方案；强化内、外安全风控。此外，Zoom 需检查软件更新是否有漏洞、不得危及第三方软件，并且必须老实公告其隐私及安全措施，包括用户个资搜集、使用及用户权利等。最后Zoom也必须同意由第三方单位对其安全措施进行1年2次的稽核。

FTC并要求，前述要求未来每违反一项，就会遭到4.3万美元的罚金。

Zoom已在10月底对付费、免费版正式提供端到端加密，先从桌机及手机版本开始。Zoom预计2021年内会再陆续加入其他安全功能，包括提升身份管理及E2EE单一签入（SSO）整合。