Whitepaper liefert Roadmap für End-to-End-Verschlüsselung Zoom setzt Fokus auf Sicherheit
Anbieter zum Thema
Mit der eigenen Konferenzplattform gibt sich Zoom als Experte für Kommunikation; in Sachen Sicherheit kommunizierten der Anbieter und seine Kunden in den vergangenen Wochen jedoch nicht immer ganz glücklich mit- und untereinander. Mittlerweile hat eine klare Roadmap die vagen Worthülsen abgelöst.

Am Ende war es ein unvermeidliches Eingeständnis. Nachdem die Sicherheitsbedenken gegen Zoom Ende März immer lauter wurden, hat der Anbieter mittlerweile zweifelsfrei eingestehen müssen: Es gibt bei etlichen Details Nachbesserungsbedarf, eine Ende-zu-Ende-Verschlüsselung könne man bislang gar nicht anbieten.
Das hatten zuvor bereits Recherchen des Online-Portals The Intercept ergeben. Gleiches bestätigt die Mozilla Foundation in einer Online-Übersicht zu Privatsphäre und Sicherheit verbreiteter Videoanwendungen.
:quality(80)/images.vogel.de/vogelonline/bdb/1695400/1695409/original.jpg)
Zoom-Bombing und anderer Missbrauch
Risiko Zoom-Videokonferenz und die Gegenmaßnahmen
Dabei sprach Zoom selbst in einem Blogpost vom ersten April noch etwas ausweichend über „eine Unstimmigkeit zwischen der allgemein akzeptierten Definition von End-to-End-Verschlüsselung und der Art und Weise, wie wir den Begriff verwenden“. Ein am 22. Mai nachgereichtes Whitepaper wird allerdings deutlicher. Verfasst wurde das Papier gemeinsam von Zoom-Mitarbeitern sowie Forschern der Johns Hopkins University und Stanford University.
Schonungsloses Whitepaper: „E2E Encryption for Zoom Meetings“
Das Dokument stellt einerseits klar, dass es der Plattform bislang an einer durchgehenden Schlüsselverwaltung fehle. Andererseits skizziert der Entwurf konkrete Angriffsszenarien. So könnten passive Angreifer möglicherweise die Zoom-Server überwachen und die bestehende Verschlüsselung aufhebeln.
Darüber hinaus liefert das unter dem Titel „E2E Encryption for Zoom Meetings“ auf GitHub bereitgestellte Whitepaper weitere Details zu möglichen Angriffsformen und stellt dar, mit welchen Schritten Zoom gegensteuern will. Ausgesprochen offen diskutiert Zoom dabei allerdings auch die Grenzen des technisch Machbaren. So werden Nutzer auch künftig nicht komplett vor Personen mit gefälschten Identitäten sicher sein. Genausowenig ausschließen könne man Softwarefehler oder die Analysten von (verschlüsseltem) IP-Traffic und Metadaten. Auch werde man bei klassischen Telefonen oder externen VoIP-Systemen keine durchgehende Verschlüsselung realisieren können.
I’m sitting outside during quarantine reading Zoom’s new “E2E Encryption for Zoom Meetings” and it’s pretty interesting.
— Micah Lee (@micahflee) May 26, 2020
First things I notice: I recognize some of these names, and it uses a Creative Commons license! pic.twitter.com/kuxxGaw1Fx
Nichtsdestotrotz präsentiert das Whitepaper eine Roadmap, die Zoom sukzessive sicherer machen soll. Ausgehend von der aktuellen Architektur, plant der Anbieter dabei konkret vier Phasen. Zunächst wolle man das Key Management auf die Clients verlagern. Anschließend werde man Nutzernamen und Public Keys akkurat miteinander mappen. In Phase drei wolle man einen Transparency Tree einrichten, mit dem Server von Zoom und externer SSO-Anbieter (Single Sign-On) Keys signieren und unveränderbar speichern müssen. In Phase vier sollen schließlich Maßnahmen zur Real-Time Security folgen.
:quality(80)/p7i.vogel.de/wcms/8e/f5/8ef5c910f6c6b7cd865a928a7d462a7b/89010666.jpeg)
Meilenstein der 90-Tage-Fokusinitiative
Zoom 5.0 verspricht mehr Sicherheit
Zoom 5.0 verbessert Steuerung und Verschlüsselung
Mit dem Whitepaper stärkt Zoom zweifelsohne auch seine 90-Tage-Fokusinitiative. Während dieser ordnet der Anbieter alle Entwicklungskapazitäten ausschließlich den Aspekten Vertrauen, Sicherheit und Privatsphäre unter.
Ein Ergebnis davon ist die kürzlich jetzt veröffentlichte Version Zoom 5.0. Die führt zwar noch nicht die oben beschriebene End-to-End-Verschlüsselung ein, solle Sitzungsdaten jedoch per AES 256-Bit-GCM besser als bisher schützen. Zudem gibt es weitere Stzeuerungsoptionen für Gastgeber – die damit ungebetene Gäste aus Konferenzen fernhalten und als „Zoombombing“ bezeichnete Störungen verhindern sollen.
Ende-zu-Ende kommt als Geschäftsoption
Bevor Zoom die oben ausgiebig diskutierten Ende-zu-Ende-Verschlüsselung umsetzt, will der Anbieter noch die Rückmeldungen zu seinen bisherigen Überlegungen abwarten. Erst nach einer zwei Wochen dauernden Frist werde es dann also konkrete Aussagen zu Implementierung und Zeitplan geben.
Klar ist allerdings jetzt schon: Die Ende-zu-Ende-Verschlüsselung wird es ausschließlich für zahlende Nutzer geben.
Bewertung und Relevanz für Webmeetings
Schien Zoom zunächst auf Verschleierung und Marketing zu setzen, muss man das Vorgehen des Anbieters mittlerweile als ernsthaft und entschlossen bezeichnen. Der Dienstleister hat sich nicht nur externe Hilfe ins Boot geholt, sondern kommuniziert regelmäßig sowie umfassend über die Fortschritte seiner 90-Tage-Fokusinitiative. Bemerkenswert ist hierbei insbesondere das geradezu schonungslose „E2E Encryption for Zoom Meetings“-Whitepaper.
Das kommt offenbar auch in der Branche gut an. Die Mozilla Foundation lobt Zoom beispielsweise für die rasche Reaktion. Die könne jedoch auch auf ein starkes Konkurrenzumfeld zurückzuführen sein – meint Mozilla:
„Zoom acted quickly to address concerns. This isn’t something we necessarily see with companies like Facebook, which don’t have a true competitor“.
Im Ranking der Mozilla Foundation erreicht Zoom übrigens eine Gesamtsicherheitsbewertung von fünf Sternen – und liegt dabei beispielsweise noch vor FaceTime mit viereinhalb Sternen. Grund hierfür ist ein weniger sicheres Passwort.
Nutzer öffentlicher Zoom-Webinare dürften die jetzt groß angelegte Sicherheitsdiskussion mit einer gewissen Gelassenheit betrachten. Mit den mittlerweile implementierten Steuerungsoptionen dürften es potentielle Störer deutlich schwerer haben als bisher, Meetings zu sprengen. Wer vor großem Publikum vorgetragene Veranstaltungen mit auch sonst frei verfügbaren Informationen plant oder besucht dürfte mangels vertraulicher Geheimnisse zudem häufig auf eine durchgehende Verschlüsselung verzichten können.
(ID:46619935)