江雅綺/遠端科技的資安風險:Zoom到底出了什麼問題?

●江雅綺,台北科技大學智財所副教授、行政院「數位國家創新經濟推動小組」民間諮詢委員會委員。

新冠肺炎(武漢肺炎、COVID-19)疫情席捲全球,能幫助人們既保持社交距離、又維持日常活動的工具或軟體都一夕暴紅。以滿足人們遠端會議和教學的需求來說,主要功能齊全、使用界面直覺便利的Zoom,就是一個例子。但隨著Zoom的使用者數在三個月內由1千萬爆增到2億、Zoom的市值由160億跳至420億美元,人們也開始更加認真檢視它的隱私與安全設定。

沒想到不看則已,一看之下各項被懷疑的漏洞逐一現形,以至這場原本被稱為ZoomBooming 的數位經濟成長案例,已經幾乎變成尷尬的負面教材。

點對點加密「偷懶」成傳輸加密

一個明顯的漏洞是Zoom在官網上強調自己具有「點對點加密」的功能,使用者上線開會的時候,也會發現螢幕左上角有一個小小的鎖頭標誌,以為那就是「通訊內容點對點加密」的象徵。

一般定義的點對點加密,意指連軟體公司自己都無法解密使用者的內容。但經科技實驗室調查,Zoom僅具有文字點對點加密的功能,視訊影像由於傳輸的資料龐大,要一方面實現嚴格的點對點加密一方面讓視訊品質流暢,就需要花更多的功夫。

而Zoom在此選擇了相對「偷懶」的「傳輸加密」,也就是僅在資料傳輸過程中第三人無法解密內容,但非點對點加密,因此ZOOM公司有能力取得使用者的視訊內容。

或許有人認為會議內容無關緊要,讓Zoom公司看到也沒關係。但套用美國聯邦交易委員會首席科技官的話:假設A公司和Zoom都強調自己使用點對點加密,但A公司確實投入資源建置了點對點加密功能,但Zoom卻沒有置放足夠的資源建置點對點加密,消費者選擇Zoom就可能是沒有得到正確資訊的決定、也讓其他公司處於不公平的市場競爭地位。

Zoom安全與隱私充滿疑慮

除了有灌水嫌疑的點對點加密宣告,Zoom也面臨嚴峻的侵害隱私權官司。在隱私保護聲明上,Zoom宣稱公司會運用一套標準安全措施來保護使用者的個資、不被非法公開或濫用。但實際上據一份3月26日公開的科技專家測試報告,不管使用者有沒有臉書帳戶,Zoom都會默默將大量的使用者資料傳送給臉書,同時也取得使用者的臉書資料,以利精準投放網路廣告。

在上述蒐集、使用個資的行為中,Zoom是否充分告知使用者並取得使用者的同意,不無疑問。美國加州也因此有了第一件基於《消費者隱私法案》控告Zoom對使用者隱私保護不周的訴訟。

更嚴重的是,有能力「偷看」使用者視訊內容的Zoom,雖然公開聲稱自己絕不會這麼做,但近日卻又被專家發現,許多不在中國境內啟動的會議內容,資訊傳輸路徑卻有時「繞進」中國。儘管Zoom表示這是無心的錯誤,而目前尚無證據顯示軟體內有刻意藏下的後門。但是種種資訊不確不實、說明不清不楚,已給人們一種Zoom試圖「混過安全與隱私要求」的印象,勢必影響未來人們的使用意願。

潮水退後,才知道哪些人赤身裸體。在陽光下檢視,方知道哪些公司走在法律的灰色邊緣。Zoom的創辦人在一連串檢驗之下,已經出面道歉並承諾未來改進,但由此知,資訊安全和隱私保障已成全球的通用標準,未來數位經濟發展,不可能只談技術好不好用,也應該重視文明法律的要求。

熱門文章》

►李沃牆/就業市場斷崖式下墜 失業人口直逼經濟大蕭條時期

►朱學恆/外送補貼能撐住餐廳嗎?真正問題在平台抽成

► 按讚加入粉絲團,讓你成為話題王!

● 以上言論不代表本網立場,歡迎投書《雲論》讓優質好文被更多人看見,請寄editor88@ettoday.net或點此投稿,本網保有文字刪修權。

讀者迴響

關注我們

回到最上面