Check Point Research wykrył poważną lukę w zabezpieczeniach popularnej usługi wideokonferencji Zoom, z której korzysta ponad 60% firm z listy Fortune 500. Hakerzy, wykorzystując podatność, mogli podsłuchiwać prowadzone za pomocą Zoom rozmowy i konferencje, generując identyfikatory spotkań.
Zoom jest liderem w nowoczesnej komunikacji wideo dla przedsiębiorstw, zapewniając łatwą platformę chmurową do wideokonferencji, współpracy, czatów oraz seminariów internetowych na urządzeniach mobilnych czy komputerach stacjonarnych. Rozwiązanie często stosowane jest w salach konferencyjnych, grupowych i szkoleniowych, a także w biurach dyrektorów czy klasach lekcyjnych. Firma ma ponad 74 tys. klientów, którzy corocznie przez około 80 miliardów minut dokonują rozmów za pomocą usługi Zoom.
Badacze firmy Check Point odkryli technikę, która pozwoliłaby hakerom doprowadzenie do ataku, umożliwiającego uzyskanie dostępu do wszystkiego, co zostało przekazane podczas spotkań firmowych za pośrednictwem usług Zoom.
Jak zhakowano Zooma?
Identyfikatory spotkań Zoom składają się z 9, 10 lub 11 cyfr. Zdaniem badaczy Check Pointa problem polegał na tym, że jeśli nie została włączona opcja „Wymagaj hasła do spotkania” lub „Poczekalnia”, która umożliwia ręczne przyjmowanie uczestników, te 9- 10-czy 11-cyfrowe kody były jedyną rzeczą, która zabezpieczyła spotkanie, uniemożliwiając połączenie się z osobą nieupoważnioną do tego.
Badacze Check Pointa byli w stanie przewidzieć około 4% losowo generowanych identyfikatorów spotkań, co jest wystarczająco dużą szansą na sukces przejęcia łącza!
Check Point skontaktował się z Zoom w lipcu 2019 r. w ramach odpowiedzialnego procesu ujawniania informacji i zaproponował następujące środki zaradcze:
- Ponownie zaimplementowanie algorytmu generowania identyfikatorów spotkań
- Zastąpienie funkcji randomizacji silną kryptografią.
- Zwiększ liczby cyfr lub symboli w identyfikatorach spotkania.
- Wymuszanie na hoście do używania haseł \ PIN-ów \ SSO do celach autoryzacji.
Jak informuje Check Point, przedstawiciele Zoom byli chętni do współpracy i wprowadzili szereg poprawek łatających odkrytą podatność.