Seguridad de Zoom: esto es lo que necesita saber

La aplicación de videoconferencia Zoom ganó alrededor de 2 millones de nuevos usuarios en los primeros dos meses de 2020, y eso fue antes de que la Organización Mundial de la Salud declarara el brote de coronavirus como una pandemia. Con tantas personas que ahora dependen de la videoconferencia para comunicarse con sus amigos, familiares y colegas, no es de extrañar que Zoom haya experimentado un aumento significativo en el precio de las acciones de su compañía. Pero la firma también ha atraído algo de prensa negativa recientemente por cuestiones relacionadas con su privacidad y seguridad.

Trabajé en la industria de las videoconferencias durante 10 años. Durante este tiempo, comencé un doctorado. sobre si dichos sistemas satisfacen las necesidades de las organizaciones que tienen que comunicarse en circunstancias adversas, como las ONG internacionales y los grupos de oposición bajo regímenes opresivos. Mi investigación casi terminada muestra que Zoom ha tenido muchos problemas, pero está lejos de ser la única plataforma con problemas de seguridad y privacidad.

Varios problemas con Zoom han atraído la atención del público, sobre todo el secuestro de llamadas o “Bombardeo de zoom.” Cualquier persona que ingrese el código de reunión de nueve a 11 dígitos puede acceder a las llamadas que no están configuradas como privadas o protegidas con contraseña, y los investigadores han demostrado cómo se pueden identificar fácilmente los códigos de reunión válidos (algo que Zoom ahora dice que previene).

Zoom también ha tenido que hacer cambios recientemente en sus aplicaciones de iPhone y iPad para evitar que Facebook pueda recopilar datos sobre los usuarios. Y el año pasado se vio obligado a solucionar un problema que podría haber permitido a los sitios web encender las cámaras de los usuarios de Mac sin permiso.

Otro problema, destacado recientemente por The Intercept, es que Zoom afirma que sus llamadas se pueden cifrar, pero no utiliza el tipo de cifrado de extremo a extremo que muchas personas han llegado a entender como estándar para los servicios de comunicación privada. Los mensajes o llamadas enviados con cifrado de extremo a extremo se bloquean de manera efectiva con la clave pública del usuario receptor a la que cualquiera puede acceder, pero solo se puede desbloquear con la clave privada del usuario. Este sistema es utilizado por aplicaciones de mensajería como WhatsApp para garantizar que solo el destinatario de un mensaje pueda leerlo, o incluso el proveedor de la aplicación tenga acceso.

En cambio, Zoom utiliza el método de cifrado AES-256 ECB, que comparte la clave utilizada para cifrar las llamadas con los servidores de Zoom en todo el mundo. Esto potencialmente les da acceso completo a las transmisiones de audio y video, aunque la compañía ha declarado que no hay contenido de usuario disponible para sus empleados o servidores una vez encriptado.

Los investigadores también han descubierto que las claves de cifrado se igualan en los servidores de Zoom con sede en China (donde la empresa tiene sitios de desarrollo) incluso cuando no hay participantes chinos en la llamada. Esto abre la posibilidad de que el gobierno chino, famoso por su control de las comunicaciones por Internet en el país, pueda escuchar las llamadas. Zoom ahora ha comenzado a ofrecer a los clientes que pagan la posibilidad de optar por que los datos no se enruten a través de China u otras regiones.

Si bien Zoom ha desarrollado medidas u opciones para abordar, al menos en parte, todos los problemas destacados, y dijo que congelará el desarrollo de nuevas funciones durante 90 días para poder concentrarse en mejorar la seguridad, la letanía de problemas que ya se han identificado debería provocar pensamiento serio entre sus usuarios. Además de esto, podría decirse que la política de privacidad de Zoom no es fácil de usar. Al descargar la aplicación, esencialmente le otorga permiso a la empresa para hacer con sus datos personales lo que quiera.

El problema para cualquiera que busque un sistema más privado es que muchos de los competidores de Zoom tienen sus propios problemas de seguridad similares. Por ejemplo, los servicios de Microsoft Skype y Teams también utilizan formas de cifrado que le dan a la empresa control sobre las claves.

Alternativas

Entonces cuales son las alternativas? Las opciones más seguras son posiblemente aquellas que usan cifrado de extremo a extremo y están construidas con código de fuente abierta porque se puede revisar públicamente para verificar que no tenga ningún problema oculto.

Signal es una aplicación de mensajería que pertenece a esta categoría y también ofrece videollamadas desde teléfonos inteligentes, pero no videollamadas de escritorio o videoconferencias con varias partes. Jitsi también es de código abierto y proporciona videollamadas encriptadas de un extremo a otro a través de un navegador web, y está trabajando para hacer lo mismo para las videoconferencias multipartitas.

Si estas opciones no le convienen, hay cosas que puede hacer al usar Zoom u otros servicios de videollamadas que tienen problemas de seguridad potenciales para maximizar su privacidad y seguridad.

• Aplique el cifrado de forma predeterminada y asegúrese de que sea de un extremo a otro si es posible
• Bloquear y proteger reuniones con contraseña
• Los usuarios no autenticados deben permanecer en una sala de espera para que el organizador pueda verificar su identidad antes de admitirlos a la llamada.
• Asegúrese de que el organizador de la reunión supervise la lista de participantes y se asegure de que ningún participante desconocido se una
• Tenga cuidado con las grabaciones de las reuniones y obtenga el consentimiento de los participantes
• Tenga en cuenta que los participantes de solo audio que llamen a través de una opción de marcación telefónica regular “rotura” el cifrado
• Tenga cuidado con las capacidades para compartir archivos y pantallas. Podrían revelar accidentalmente información confidencial o usarse para difundir programas maliciosos.

En respuesta a las cuestiones planteadas en este artículo, un portavoz de Zoom dijo:

“Zoom se toma muy en serio la privacidad, la seguridad y la confianza del usuario. Zoom fue desarrollado originalmente para uso empresarial y ha sido seleccionado con confianza para su implementación completa por un gran número de instituciones a nivel mundial, luego de revisiones de seguridad de nuestras capas de usuarios, redes y centros de datos.

“Durante la pandemia de COVID-19, trabajamos las 24 horas del día para garantizar que las empresas, las escuelas y otras organizaciones de todo el mundo puedan permanecer conectadas y operativas. A medida que más y nuevos tipos de usuarios comienzan a usar Zoom durante este tiempo, Zoom se ha involucrado de manera proactiva para asegurarse de que comprendan las políticas relevantes de Zoom, así como las mejores formas de usar la plataforma y proteger sus reuniones.”