Wykład Karen Wilson 13 marca miał odbywać się w formie regularnych zajęć zdalnych. Zamiast tego przerodziło się to w chaotyczną inwazję. Dziesięć minut po prezentacji z głośników rozległ się śmiech. Przez dźwięk przebił się głos pytający: „Jaka to lekcja?”
Na pytanie, kto tam jest, dwie licealistki przyznały, że dołączyły przez przypadek. Zadali kilka pytań i wyszli. Potem pojawił się kolejny intruz. Anonimowy. Człowiek. Głośne mówienie o marihuanie.
Wilson nie wiedział, jak to powstrzymać. Dopiero zaczynała korzystać z Zoomu. Myślała, że to hałas w tle. Zanim zdała sobie sprawę, że na jej spotkanie mogą wtargnąć obcy ludzie, szkody były już wyrządzone. Była ofiarą zamachu Zoom.
Mechanika inwazji
Bombardowanie Zoomem to skrót oznaczający nieznajomych atakujących prywatne spotkania. Czasami po prostu słuchają. Czasami zakłócają spotkanie, wypowiadając mowę nienawiści, grożąc lub pokazując pornografię. Wilson zmierzył się z wersją miękką. Innym dzieje się znacznie gorzej.
Jak to się dzieje? To nie magia. To jest brutalna siła.
Dan Desko, ekspert ds. cyberbezpieczeństwa w firmie Schneider Downs, wyjaśnia, że są to zasadniczo kombinacje adresów URL polegające na brutalnym wymuszaniu. Aby dołączyć do spotkania na Zoomie, użyj linku takiego jak https://zoom.us/j/55555523222. Liczby na końcu to identyfikator spotkania. Jeśli spotkanie nie ma hasła, dostęp uzyska każdy, kto odgadnie identyfikator.
Desko to przetestowało. W niecałą minutę znalazł ważny identyfikator spotkania. W tym momencie spotkanie nie było aktywne, ale identyfikator istniał. Luka jest prosta: jeśli odgadniesz właściwy identyfikator we właściwym czasie, zaczynasz. To jak podsłuch. Potrzebujesz tylko szczęścia i odrobiny wytrwałości.
Dlaczego Zoom nie był gotowy
Zoom wzrósł z 10 milionów użytkowników dziennie w grudniu 2019 r. do 200 milionów w marcu. Firma rozwijała się zbyt szybko. Nie został zaprojektowany dla tej skali.
„Zoom to przede wszystkim narzędzie do współpracy korporacyjnej” – mówi David Tafley, wykładowca na Uniwersytecie Griffith. „W przeciwieństwie do platform mediów społecznościowych, aż do teraz nie była to usługa, która wymagałaby opracowania sposobów zarządzania zakłócającymi zachowaniami użytkowników”.
Platforma zakładała, że użytkownicy są współpracownikami. Nie spodziewała się, że staną się celem. Nagły wzrost popularności ujawnił podstawowe luki w zabezpieczeniach. Brak szyfrowania. Konta Darknet sprzedające dostęp. 30 marca FBI wydało ostrzeżenie. Google zakazało używania Zoom na firmowych laptopach. Niektóre organizacje po prostu przestały z niego korzystać.
Luka w szyfrowaniu
Bezpieczeństwo to nie tylko hasła. To także sposób przesyłania danych. Desko wskazuje na trzy filary: poufność, integralność, dostępność.
Prywatność zawiodła jako pierwsza. Laboratorium Citizen Lab na Uniwersytecie w Toronto odkryło, że szyfrowanie Zooma nie jest tak silne, jak twierdził. Technologia była możliwa do zhakowania. Naprawa zajęła miesiące. Nawet w sierpniu 2020 roku odnotowano przypadki zamachów bombowych Zoom.
Uczciwość jest trudniejsza do zdefiniowania. W miarę rozwoju Zoom korzystał z serwerów w Chinach i zatrudniał chińskich pracowników. To wywołało niepokój. Wzrosły obawy dotyczące prywatności. Senat USA poprosił członków, aby unikali korzystania z Zoomu. Pentagon poszedł w jego ślady 10 kwietnia.
Co to oznacza dla użytkowników
Nie możesz polegać na platformie, która Cię ochroni. Musisz to skonfigurować samodzielnie.
Spotkania bez haseł są zaproszeniami otwartymi. Odgadnięcie identyfikatora jest łatwe, jeśli zakres jest mały. Rozwiązanie nie jest skomplikowane. To jest dyscyplina.
Skorzystaj z poczekalni. Wymagaj haseł. Wyłącz funkcję Dołącz przed hostem. Sprawdź swoje ustawienia prywatności. Zoom zapewnia te narzędzia. Większość ludzi ich nie używa.
Dlaczego? Ponieważ udostępnienie linku jest łatwe. Ponieważ ufasz ludziom po drugiej stronie. Ponieważ jesteś zajęty.
Ale zaufanie to nie bezpieczeństwo. Szczęście nie jest strategią.
Gdy następnym razem dołączysz do spotkania, sprawdź adres URL. Poszukaj pola hasła. Wyłącz mikrofon. Załóżmy, że jesteś obserwowany. To nie jest paranoja. To podstawowa higiena.
Internet nie obchodzi, czy jesteś profesorem. Nie obchodzi go, czy jesteś dyrektorem generalnym. Jedyne, co go interesuje, to to, czy zostawiłeś otwarte drzwi.
Zoom nie naprawił wszystkiego. Serwery są nadal globalne. Szyfrowanie wciąż ewoluuje. Przestępcy ciągle zgadują.
Nadal jesteś bezbronny. Czy podążasz za tym?
Ochrona Twojej przestrzeni wirtualnej
Krajobraz się zmienił. Zoom nie pozostawia już domyślnie szeroko otwartych drzwi. Dostrzegając chaos spowodowany Zoombombingiem, platforma wdraża teraz bardziej rygorystyczne protokoły natychmiast po instalacji. Każde nowe spotkanie wymaga podania hasła. Poczekalnia jest domyślnie aktywna i pełni funkcję ochroniarza, który sprawdza uczestników przed wejściem na główne wydarzenie. Jeśli wcześniej podczas udostępniania korzystałeś z identyfikatora spotkania wyświetlanego na pasku tytułu, ta funkcja również została usunięta. Identyfikator jest ukryty, co znacznie utrudnia atakującym odgadnięcie lub znalezienie Twojego linku.
Desko postrzega to jako konieczną ewolucję. Ukrycie identyfikatora spotkania uniemożliwia powiązanie określonej sesji z Twoją tożsamością lub organizacją. To jest warstwa ochronna. Jako przestrogę przytacza Borisa Johnsona. Kiedy w marcu były brytyjski premier zamieścił na Twitterze zrzut ekranu zawierający identyfikator jego spotkania, nie podał tylko numeru; ujawnił adres. Nawet jeśli Legowisko Nietoperzy jest bezpieczne, ujawnienie jego lokalizacji czyni go celem. Hasło staje się jedyną realną barierą.
Dla tych, którzy poważnie traktują bezpieczeństwo, automatyzacja nie wystarczy. Dla każdego połączenia należy zmienić identyfikator spotkania i hasło. Zoom umożliwia automatyczne wygenerowanie nowego identyfikatora, ale możesz także ustawić własne hasło. Za sprawdzenie tych ustawień odpowiadasz Ty.
Jeśli masz spotkania cykliczne skonfigurowane ze starymi ustawieniami domyślnymi, mogą one nadal być podatne na ataki. Musisz wrócić do ustawień i je zaktualizować. Można to szybko naprawić, ale łatwo o tym zapomnieć.
Oprócz haseł kontroluj pokój. Ogranicz udostępnianie ekranu tylko do prezentera. Wycisz uczestników, pozostawiając włączony tylko głos mówiącego. Po zalogowaniu się wszystkich uczestników zablokuj spotkanie. Zapobiegnie to nieautoryzowanemu dostępowi osób, które mogły przypadkowo natknąć się na stary link. I nigdy nie publikuj publicznych linków do swoich spotkań w mediach społecznościowych ani na forach publicznych. Otwarty link jest zaproszeniem dla niechcianej publiczności.
Szersza rzeczywistość bezpieczeństwa
Zoom mocno ucierpiał z powodu luk w zabezpieczeniach podczas pandemii. To jest słoń w pokoju. Ale nie myśl, że inne platformy są czystsze. Skype, Webex, Google Hangouts – wszystkie mają luki w zabezpieczeniach. Żadne narzędzie do wideokonferencji nie jest odporne na problemy. Prywatność Twoich spotkań online gwarantuje nie tylko oprogramowanie, ale także sposób jego konfiguracji. Zastosuj ten sam poziom rygoru do każdej innej wirtualnej przestrzeni, w której jesteś obecny.
Często zadawane pytania dotyczące bombardowania zoomem
Czy Zoombombing jest przestępstwem?
Tak. W komunikacie prasowym z kwietnia 2020 r. Biuro Prokuratora Okręgowego Stanów Zjednoczonych wyjaśniło, że sprawcom mogą zostać postawione poważne zarzuty. Obejmuje to zakłócanie zgromadzeń publicznych, nieuprawniony dostęp do komputera, używanie komputera do popełnienia przestępstwa, przestępstwa z nienawiści, oszustwo lub przesyłanie wiadomości z pogróżkami. Kara jest surowa: przewidziana jest grzywna i kara pozbawienia wolności.
Jak zatrzymać bombardowanie zoomem?
Poczekalnia to Twoja pierwsza linia obrony. Nie pozwala uczestnikom na dołączenie, chyba że gospodarz wyraźnie im na to pozwoli. Ogranicz także udostępnianie ekranu tylko do prezentera. Wycisz wszystkie mikrofony z wyjątkiem aktywnego głośnika. Zablokuj spotkanie po dołączeniu wszystkich zaplanowanych uczestników. Narzędzia te są dostępne bezpośrednio z paska narzędzi Zoom.
Co to jest Zoombombing?
Jest to działanie niechcianych gości zakłócających spotkanie online Zoom. Trolle internetowe przyłączają się specjalnie w celu bombardowania innych członków rozpraszającymi, obraźliwymi lub niepokojącymi treściami. To jest cyfrowy wandalizm.
Jak działają Zoom Bomby?
Czasami atakujący po prostu słucha, pozostając cichym i niewidocznym. Innym razem zakłóca spotkanie, zachowując się wulgarnie lub grożąc. Metody mogą się różnić, ale cel jest ten sam – zakłócenia.
Czy używanie Zoombomb na zajęciach jest legalne?
Nie. Departament Sprawiedliwości Stanów Zjednoczonych wyraźnie ostrzegł, że bombardowania Zoomem są nielegalne. W zależności od zachowania niechcianego gościa, może on zostać oskarżony o popełnienie przestępstwa na mocy prawa stanowego i federalnego. Akt ten sam w sobie nie jest chroniony jako wolność słowa; To jest przestępstwo.
