کمپانی زوم بار دیگر کنترل امنیتی خود را افزايش داده تا از Zoom-bombing و ديگر حملات سايبری به جلسات جلوگيری كند. اين دو قابليت جديد Zoom اين امكان را برای مدیران فراهم می‌كند تا مانند Club Bouncers عمل كنند و بتوانند شركت‌كنندگان اخلالگر در جلسات را حذف كرده و گزارش كنند. قابليت Suspend Participant Activities به طور پيش‌فرض برای همه كاربران Zoom كه از نسخه‌های رايگان يا پولی استفاده می‌كنند، فعال شده است. به علاوه، شرکت کنندگان در جلسه می‌توانند مستقيما از قسمت Zoom Client و با كليك بر نشان Security در گوشه سمت چپ بالا، كاربر اخلالگر را گزارش كنند. جدا از اين موضوع، اين شركت بزرگ در حوزه كنفرانس ويدیويی همچنين يك ابزار داخلی عرضه كرده كه مانند فيلتر عمل می‌كند و از اختلالات نظير Zoom-bombing پيش از وقوع جلوگيریی می‌كند.
حذف شركت‌كنندگان اخلالگر یا Zoom-bomberها
اکنون Hostها و Co-hostها این اختیار را دارند که به طور موقت نشست خود را متوقف و شركت‌كننده اخلالگر يا Zoom-bomber را حذف كنند. شركت Zoom توضيح داد: با كليك بر Suspend Participant Activities همه ويدیوها، صوت‌ها، چت‌های داخل جلسه‌ای، يادداشت‌ها، اشتراك‌گذاری صفحه و ضبط تا آن زمان متوقف خواهند شد وBreakout Roomها به پايان خواهند رسيد. همچنين از Hostها و Co-Hostها در خصوص تمايل يا عدم تمايل به گزارش كردن كاربری از جلسه، اشتراك‌گذاری جزئيات و در صورت دلخواه ارسال تصويری از صفحه سوال خواهد شد. هنگامی که گزارش‌دهنده بر Submit كليك می‌كند، کاربر متخلف از جلسه حذف خواهد شد، و برگزار کننده های جلسه می‌توانند جلسه را به صورت جداگانه و با فعال کردن مجدد ویژگی‌های دلخواه، ازسر بگیرند.
قابليت پيشرفته ديگری كه به اين برنامه اضافه شده، اين است كه صاحبان حساب‌های كاربری و مديران می‌توانند قابليت گزارش‌دهی را برای شركت‌كنندگان غير Host هم فراهم كنند تا آن‌ها بتوانند كاربران اخلالگر را از طريق آيكون Security گزارش كنند ضمن اینکه Hostها و Co-Hostها از قبل اين قابليت را در اختيار دارند. هر دو قابليت كنترل‌كننده جديد در برنامه کاربردی موبایل، و برای مشتريانی كه از نسخه دسكتاپ Zoom در مك، كامپيوتر و Linux استفاده می‌كنند، اكنون در دسترس است. VDI یک مدل محاسباتی مبتنی بر سرور است که مورد استفاده برنامه‌های کاربردی مانند Citrix یا VMware قرار می‌گيرد. لازم به ذکر است که برنامه كاربردی زوم برای این کار امكان ارائه جلسات به Thin Cient را فراهم می‌كند.
مفهوم At-Risk Meeting Notifier
يك ابزار داخلی تحت عنوان At-Risk Meeting Notifier، لينك‌های ورود به جلسات Zoom را در مطالب عمومی منتشرشده در رسانه‌های اجتماعی و در ديگر وبسايت‌ها جست‌وجو می‌كند، اين افشاگری‌ها ممكن است به Zoom-Bombing منتهی شوند.
Zoom-Bombing در اوايل سال 2020 آغاز شد؛ چرا كه در اين زمان قرنطينگی به دليل ويروس كرونا باعث افزايش بسيار زياد ميزان استفاده از سرويس‌های كنفرانس ويدئويی گرديد. شركت Zoom در طول افزايش همه‌گيری كوويد-19 و تغيير به دوركاری، با افزايش چشمگير پايگاه كاربری خود مواجه بود كه از 10 ميليون در دسامبر 2019 به 300 ميليون در ماه آوريل رسيد. این حملات زمانی رخ می‌دهند که یک Bad Actor به اطلاعات Dial-In دسترسی پيدا كرده و جلسه Zoom را اغلب با به اشتراك گذاری محتوای بزرگسالان يا اختلال در محتوا مختل می‌كند.
به گفته Zoom، اين ابزار می‌تواند برای خنثی‌سازی اين حملات جلساتی را كه به نظر می‌رسد بيشتر در معرض خطر مختل شدن قرار دارند، تشخيص می‌دهد و با ارسال ايميل، صاحبان حساب‌های كاربری را از وضعيت موجود باخبر كرده و توصيه‌های لازم را به آن‌ها ارائه می‌دهد. حذف جلسه در معرض آسيب و ايجاد جلسه‌ای جديد با ID جديد، فعال‌سازی تنظيمات جديد، يا استفاده از يك راهكار Zoom ديگر نظير Zoom Video Webinars يا OnZoom، از جمله اين توصيه‌هاست.
بیشتر بخوانید: چک‌لیست مقابله با حملات سایبری
بايد به خاطر داشت كه یکی از بهترین راه‌ها برای ایمن نگه داشتن جلسه زوم این است که هرگز کارت شناسایی یا كد عبور جلسه در هیچ گونه گردهمايی عمومی از جمله رسانه‌های اجتماعی به اشتراک گذاشته نشود.
توافقنامه رمزگذاری FTC
FTC مدعی شد که دست‌كم از سال ۲۰۱۶، Zoom به اشتباه ادعا کرده که End-to-end ,256 Encription را برای تضمین ارتباطات کاربران ارائه کرده است، در حاليكه در حقيقت كليد Cryptographic را كه می‌توانست از طريق آن به محتوای کاربران دسترسی پيدا كند، نگه داشته و قسمتی از جلسات خود را، با سطح پايين‌تری از رمزگذاری نسبت به آنچه وعده داده بود، ايمن ساخته است.
با اين كه رمزگذاری يعنی پيام‌های در حال انتقال رمزگذاری می‌شوند، رمزگذاری End-to-end واقعی يا E2EE زمانی رخ می‌دهد كه پيام در دستگاه كاربر منبع رمزگذاری می‌شود، تا زمانی كه مسيريابی آن از طريق سرورها انجام می‌شود، رمز را حفظ می‌كند، و فقط در دستگاه كاربر نهايی رمزگشايی می‌گردد. هیچ شخص دیگری حتی تامين‌كننده پلتفرم نمی‌تواند محتوا را بخواند.
Tom DeSot، معاون اجرایی و مدیر کل Digital Defense، بيان داشت: جریمه‌های تحمیل‌شده توسط FTC نمونه‌ای اساسی از اقداماتی است که شرکت‌ها در صورت جدی نگرفتن امنیت محصولات خود با آن مواجه خواهند شد. Zoom متاسفانه در نهايت به نمونه‌ای بارز از شركتی تبديل شد كه زمانی كه نقاطی آسيب‌پذير در محصولات تجاری‌اش يافت می‌شود، رسيدگی‌ای نمي‌كند.
و در واقع، Zoom با مشاجرات مختلفی در خصوص سیاست‌های رمزگذاری خود در طول سال گذشته مواجه شده است، از جمله چندین دادخواست مبنی بر اینکه شرکت به دروغ به کاربران گفته است که رمزگذاری کامل ارائه می‌دهد. این شرکت بعدها پس از واکنش حاميان حریم خصوصی، که استدلال می‌کردند اقدامات امنيتی بايد برای همه در دسترس باشد، از ادعای خود بازگشت، در نتيجه اكنون اين قابليت را به كاربران رايگان یا Basic نيز ارائه می‌دهد. Max Krohn رئیس مهندسی امنیت با Zoom، گفت: خوشحاليم که نخستين فاز از چهار فاز E2EE خود را ارائه كرده‌ايم. اين رمزگذاری كاربردی‌ترين نوع حفاظت را به منظور جلوگیری از نفوذ کلیدهای رمزگشايی كه ممكن است برای نظارت بر محتوای جلسه به كار رود فراهم می‌کند.
