Tác giả: Khánh Nguyên Yến, Software Kỹ sư II, OPSWAT
Nền
Có nhiều tổ chức và cá nhân tạo ra các chương trình mã hóa của riêng họ. Mặc dù có những lợi thế bảo mật khi sử dụng sơ đồ tùy chỉnh, nhưng những nhược điểm được phóng đại khi phần mềm sử dụng sơ đồ có số lượng lớn người dùng. Zoom là một công ty sử dụng chương trình mã hóa độc quyền của riêng mình và một lỗ hổng bảo mật nghiêm trọng liên quan đến mã hóa đó đã được phát hiện. Do lỗ hổng này, thông tin của hơn 500.000 người dùng Zoom Meeting đã bị rò rỉ.
Do đại dịch COVID-19, các chính phủ đã thực thi lệnh tạm trú tại chỗ, điều này đã dẫn đến việc nhân viên phải làm việc tại nhà. Để làm việc hiệu quả, họ phải duy trì kết nối và liên lạc an toàn. Thu phóng là một công cụ mà nhiều người, trên toàn thế giới, sử dụng để giúp họ làm điều đó. Trên thực tế, nhiều công ty sử dụng nó làm phương tiện truyền thông chính của họ, khiến lỗ hổng này trở thành một vấn đề nghiêm trọng.
Tại sao nó lại xảy ra?
Trong một bài đăng trên blog Zoom vào tháng Tư, Zoom giải thích rằng họ hiện không triển khai mã hóa đầu cuối thực tế, mặc dù họ đã gọi mã hóa của họ là end-to-end. Họ đã sử dụng thuật ngữ này để mô tả một loại mã hóa truyền tải giữa các thiết bị và Zoom severs. Do đó, về mặt lý thuyết, Zoom có khả năng giải mã và giám sát thông tin Zoom Meeting, một khi thông tin đó đã có trên máy chủ.
Lỗ hổng ở đâu?
Dữ liệu video và âm thanh của các cuộc họp Zoom được phân phối cho tất cả người tham gia thông qua máy chủ Zoom (đám mây của Zoom). Khi khách hàng chọn tổ chức tại chỗ, Zoom sẽ tạo và có quyền truy cập vào khóa AES mã hóa cuộc họp. Người chủ trì cuộc họp có thể đặt cuộc họp của họ thành phòng chờ ảo, điều này từ chối người tham dự cuộc họp truy cập trực tiếp vào cuộc họp Zoom. Thay vào đó, những người tham dự phải đợi để được người chủ trì cuộc họp cho phép vào. (Theo các nhà nghiên cứu của The Citizen Lab). Tuy nhiên, mỗi người trong phòng chờ đều có quyền truy cập vào khóa giải mã của cuộc họp. Vì vậy, một tác nhân độc hại không phải thực sự tham gia cuộc họp để truy cập luồng video và âm thanh của cuộc họp.
Một vấn đề bảo mật nghiêm trọng khác với mã hóa của Zoom đã được báo cáo. Theo các tài liệu được công bố trước đó, ứng dụng Zoom đã sử dụng thuật toán AES-256 để mã hóa nội dung cuộc họp. Tuy nhiên, ứng dụng Zoom thực sự sử dụng một khóa mã hóa 128 bit duy nhất để thay thế.
Cuối cùng, Zoom mã hóa và giải mã tất cả âm thanh và video trong cuộc họp bằng AES ở chế độ ECB. Mã hóa ECB không được khuyến khích vì nó không an toàn về mặt ngữ nghĩa, có nghĩa là chỉ cần quan sát bản mã được mã hóa ECB có thể làm rò rỉ thông tin về bản rõ. Chế độ ECB được sử dụng trong cùng một khối (8 hoặc 16 byte) mã hóa văn bản thuần túy luôn mang lại cùng một khối bản mã. Điều này có thể cho phép kẻ tấn công phát hiện ra rằng các tin nhắn được mã hóa ECB giống hệt nhau hoặc chứa dữ liệu lặp đi lặp lại, chia sẻ một tiền tố chung, các chuỗi con phổ biến khác.
Để biết thêm chi tiết, có một minh họa đồ họa tốt đẹp về điểm yếu này trên Wikipedia
Lỗ hổng mã hóa này được báo cáo là CVE-2020-11500.
Thông tin thêm về lỗ hổng này có sẵn tại https://metadefender.opswat.com/lỗ hổng/CVE-2020-11500
Tác dụng tiềm ẩn
Kẻ tấn công sẽ dễ dàng giải mã nội dung cuộc họp và vi phạm quyền riêng tư của người dùng.
Làm thế nào OPSWAT phát hiện lỗ hổng Zoom?
OPSWAT Công nghệ có thể giám sát tất cả các điểm cuối trong tổ chức có lỗ hổng này.
MetaDefender Access có thể phát hiện các thiết bị có lỗ hổng Zoom CVE-2020-11500, cũng như cung cấp hướng dẫn khắc phục.
Khắc phục
Chúng tôi đặc biệt khuyên bạn nên luôn cập nhật Thu phóng.
Tham khảo
https://blog.zoom.us/wordpress/2020/04/01/facts-around-zoom-encryption-for-meetings-webinars/
https://zoom.us/docs/doc/Zoom-Security-White-Paper.pdf
https://en.wikipedia.org/wiki/Block_cipher_mode_of_operation#Electronic_Codebook_(ECB)
https://citizenlab.ca/2020/04/zooms-waiting-room-vulnerability/
