Tag: zoom

用 Flatpak 跑 Zoom，限制 Zoom 的存取

昨天在 Hacker News Daily 上看到的討論，有人發現 Zoom 的 Linux 版掃了所有 process 的資訊：「Ask HN: Why does Zoom Desktop examine all processes and arguments?」。

twic 給了個建議，用 Flatpak 在 sandbox 裡面跑 Zoom：

I run Zoom from flatpak, which runs it in a container, and sandboxes it to some extent [1]

This probably explains why, when i try to screenshare a single application window, not every application shows up! I can share my browser, file manager, and various other things, but not windows for games started by Steam.

[1] I followed these instructions https://www.mayrhofer.eu.org/post/zoom-flatpak-sandboxing/

測了一下沒什麼問題，應用程式安裝完後可以直接用 flatpak run us.zoom.Zoom 跑，但如果想要直接在 launch menu 叫出來的話 (在 Xfce 叫 whiskermenu)，需要重開機 (看起來至少要 relogin)。

應該就會先暫時這樣，稍微擋一些 Zoom 可以看到的資訊。而且 Zoom 本身的安裝一直都沒有更新機制，透過 flatpak 包起來反而可以跑 flatpak update 更新，目前感覺應該是 Z >> B...

Zoom 在分享螢幕時會有資料安全性問題

看到「Zoom Screen-Sharing Glitch ‘Briefly’ Leaks Sensitive Data」這篇，講 Zoom 在分享螢幕時的安全性問題，發現問題的德國資安團隊所寫的 security advisory 可以在「SYSS-2020-044.txt」這邊看到，對應的 CVE 號碼是 CVE-2021-28133。

安全問題出在，分享者要分享某個應用程式的畫面，但有可能會先分享到其他畫面，再切回來：

However, “under certain conditions” if a Zoom presenter chooses to share one application window, the share-screen feature briefly transmits content of other application windows to meeting participants, according to German-based SySS security consultant Michael Strametz, who discovered the flaw, and researcher Matthias Deeg, in a Thursday disclosure advisory (which has been translated via Google).

而目前的版本還是有一樣的問題：

The current Zoom client version, 5.5.4 (13142.0301), for Windows is still vulnerable to the issue, Deeg told Threatpost.

這個問題是去年十二月就通報了，過了三個月沒有回應，所以團隊公開出來：

Disclosure Timeline:

2020-12-02: Vulnerability reported to manufacturer
2020-12-02: Manufacturer acknowledges receipt of security advisory
2020-12-02: Manufacturer asks for more information
2020-12-03: SySS provides more information concerning the security issue
2020-12-03: Manufacturer confirms reproducing the security issue in both the Windows and the Linux client and asks further questions
2020-12-04: SySS answers open questions
2020-12-04: Manufacturer responds and will look into the reported security issue
2021-01-21: SySS asks for status update
2021-02-01: SySS asks for status update
2021-03-18: Public release of security advisory

不知道什麼時候會修正

Zoom 的浮水印功能

在 Hacker News Daily 上看到 The Intercept 介紹了 Zoom 的浮水印功能，以及如果你要洩密的話要如何自保：「What You Should Know Before Leaking a Zoom Meeting」。這篇文章主要不是談 Zoom 之前被討論的那些問題，而就 Zoom 的浮水印功能來討論。

Zoom 支援 video watchmark 與 audio watchmark：

依照描述的兩個方式，看起來都不難破，但主要是要提醒記者，如果要放出線人提供的 Zoom 錄音或是錄影，要注意到裡面是否有 watchmark 導致線人的資訊被洩漏：

Journalists should also be wary of publishing raw audio leaked from Zoom meetings, particularly if the source is not sure whether audio watermarking was enabled or not.

翻了一下 GitHub 沒搜到有工具可以處理，這點可能要等人發展出來...

在視訊會議裡面，用肩膀的移動猜測輸入的字串

在「Determining What Video Conference Participants Are Typing from Watching Shoulder Movements」這邊看到的方法，利用視訊會議時肩膀的移動猜測輸入的字串，原始的論文在「Zoom on the Keystrokes: Exploiting Video Calls for Keystroke Inference Attacks」這邊可以看到。

就論文有提到的，單就這個資訊的準確度看起來不高，看起來主要是想驗證這也是一個攻擊手法... 但馬上想到視訊會議裡如果有聲音的話，可以透過分析鍵盤的聲音攻擊，這在 2005 年的時候就有類似的手法了，而且準確率很高，不過不知道過了視訊會議軟體後會差多少：「Snooping on Text by Listening to the Keyboard」。

算是個頗特別的方法就是了...

Zoom 最後決定所有使用者都有 End-to-end encryption 了

先前在「Zoom 不提供 End-to-end Encryption 給免費版用戶」這邊提到的事情，剛剛看到 Zoom 宣佈改變策略，變成無論是付費還是免費的使用者都會提供 End-to-end encryption：「End-to-End Encryption Update」。

Free/Basic 的使用者要認證才能用這個功能：

To make this possible, Free/Basic users seeking access to E2EE will participate in a one-time process that will prompt the user for additional pieces of information, such as verifying a phone number via a text message.

還是很怪，繼續觀望...

Zoom 不提供 End-to-end Encryption 給免費版用戶

Zoom 解釋免費版將不會有 End-to-end encryption 的時候，大家都傻翻了：「Zoom's Commitment to User Security Depends on Whether you Pay It or Not」，這邊 Bruce Schneier 引用了 Bloomberg 對 Zoom 的 CEO 袁征的訪談：「Zoom Transforms Hype Into Huge Jump in Sales, Customers」。

Corporate clients will get access to Zoom’s end-to-end encryption service now being developed, but Yuan said free users won’t enjoy that level of privacy, which makes it impossible for third parties to decipher communications.

“Free users for sure we don’t want to give that because we also want to work together with FBI, with local law enforcement in case some people use Zoom for a bad purpose,” Yuan said on the call.

繼續看隔壁棚的發展...

棄用 Keybase (Zoom 買下 Keybase 的新聞)

前幾天的新聞，Zoom 的新聞稿：「Zoom Acquires Keybase and Announces Goal of Developing the Most Broadly Used Enterprise End-to-End Encryption Offering」，Keybase 的新聞稿：「Keybase joins Zoom」，看到後就把本來的服務刪一刪了...

這篇屬名由 Zoom 創辦人發出的公告，裡面多到讓人不知道怎麼吐槽的部份，我們就把唯一的粗體字拉出來討論好了：

We are excited to integrate Keybase’s team into the Zoom family to help us build end-to-end encryption that can reach current Zoom scalability.

先不講先前被戳破根本就不是 end-to-end encryption 的問題，影音上面因為 transcoding 的問題，如果要在 video stream 上做 end-to-end encryption 的話分成兩種方式可以做：

a) 一種是發送端直接產生出多個不同 bitrate 的 video stream，這種方式其他家都已經很熟悉了，缺點也很明顯，就是吃各種資源，包括發送端的壓縮能力與頻寬。

b) 另外一種方式是產生出可以疊加的 video stream，有點像是 progressive image 的方式，第一個 stream1 的畫質最低，第二個 stream2 則是「補強」第一個 stream1，這樣子可以降低資源的需求。

另外有想到 Homomorphic encryption 的方式，直接可以疊加加密後的 stream1 + stream2，不過 bitrate 應該不會降低，就算真的設計的出來應該也沒用...

如果是 a) 的方式，業界對於 key 的交換都已經解的還不錯了，但這個方式沒什麼競爭性 (因為其他家也都已經做完了)。

如果是 b) 的方式，很明顯該找的是 codec 的公司 (要做出可以疊加的 codec)，而不是搞密碼學的公司。

回到原來的問題，現有的團隊有 2500 人，裡面的技術團隊沒辦法搞定 end-to-end encryption，ok 沒關係，那現在的 CTO Brendan Ittelson 應該可以建一個團隊吧？所以我翻了一下他的 LinkedIn 看了一下他的經歷，對不起我錯了，我瞬間不知道怎麼寫下去了，我豆頁痛...

Zoom 預設開啟密碼原因

最早的時候用 Zoom 只需要知道 meeting room 的編號就可以連進去，產生連結時也只需要提供號碼就能進去，後來 (不知道什麼時候開始的) 產生出來的連結會包括一組 token，而預設加入房間也需要密碼了。

現在知道原因了，因為被安全通報了：「Zoom Fixes Flaw Opening Meetings to Hackers」。

除了上面講到的問題以外，另外一個漏洞是本來的連結網頁就有資訊可以辨別是否為合法的 meeting room，可以讓攻擊者很快速的判斷哪些 meeting room 可以連進去。這次的修改變成不檢查，直接帶到 Zoom 的應用程式裡面，增加一些難度，但攻擊者還是可以透過 API 掃出來。

這主要是當初設計上的安全問題，當初沒有設計那麼長，應該就是考慮太長的號碼會讓使用者不太容易手動輸入...

Zoom 也要 IPO 了...

最近的資訊網路圈子 IPO 案子好多，其中一個比較值得注意的是 Zoom：「Zoom, a profitable unicorn, files to go public」。

這家公司不像 PagerDuty 與 Pinterest，這兩家是沒賺過錢就丟單子出來了，而 Zoom 是有賺錢還打算出來 IPO：

Zoom, which raised a total of $145 million to date, posted $330 million in revenue in the year ending January 31, 2019, a remarkable 2x increase year-over-year, with a gross profit of $269.5 million. The company similarly more than doubled revenues from 2017 to 2018, wrapping fiscal year 2017 with $60.8 million in revenue and 2018 with $151.5 million.

啊不過 Zoom 真的蠻好用的，一群人在不同地方要討論事情時，用電子白板或是分享畫面都還不錯... 這幾天跟不是資訊圈子的人在用也都有很正面的 feedback。

Amazon CloudWatch 支援縮放與拖拉調整時間區間

Amazon CloudWatch 的操作上支援 Zoom 與 Pan 了：「Amazon CloudWatch now supports two new chart visualization options in metrics and dashboards」。

Zoom 是改變時間的粒度：

You can use the CloudWatch console to graph metric data generated by AWS services and your applications. Now, you can zoom into a shorter time period such as one minute or five minutes while viewing the metric graph at a longer interval.

Pan 則是維持一樣的粒度，但改變開始與結束的時間：

Once zoomed, you can also pan the metric graph across your selected interval, but at a zoomed detail level.

變得更容易操作，而不用滑鼠移過去修改...