被 NASA、SpaceX 禁用，FBI 警告的 Zoom，究竟哪里出了错？
疫情之下，远程办公变成了刚需，云视频会议的“用武之地”也越来越多。
应用商店情报公司 Sensor Tower 发布的一份相关报告显示，Zoom 的下载量在 2 月和 3 月U v G 7 c , l位居全球3 ` x ~ s排行榜榜首，在美o Y J国、英国和欧洲其他地区的下载量继续居高不下。在创纪录的一周下载量中，Zoom 的下载量是 201| + H : g |9 年第四季度美国每周平均下载量的 14 倍。英国的下载量也是第四季度每周平均下载量$ 1 R | 0的 20多倍，法国是 22 倍，德国是 17 倍，西班牙是 27 倍，意大利更是达到 55* O 倍，当之无愧成为国外办公的软件。
不过，Zoom 最近l X e | c却接连被曝出安全隐患，甚至 FBI 都对其发出警告， NASA、SpaceX 还要求员工禁用，那么，作为视频会议“黑马”的 Zoom 究竟做错了什么？
不止一次的安全隐患事件
雷锋网此前报道，3 月 26 日，Motherboard 刊文指出o * B v G v，F U c ? v O ( w在 iOS 系统下载或打开 Zoom App 时，App内嵌的 Facebook SDK（软件开发工具包）会向 Facebook 传= S ) T N | * Y 5送用户的手机型号、时区、城市、运营商以及广告唯一标识符等信息，而 iOS 版本的 Zoom 未在隐私条款中提前说明，就将用户数据共享给脸书，即便用a J F D E户没有脸书账号也是如此。
随后，Zoom 承$ V 认了这个漏洞。他们表示，将在近日删除脸书的SDK，并重新配置该功能。
巧合的是，3 月 31 日，Zoq z yom 的另一个功能设置漏洞被 Motherboard 的同一个作者发现。
据报道，Windows 版 Zoom 客户端爆出了容易受到 NUS 5 ? d j #C 路径注入攻击的安全漏洞。Zoom 的“公司目录”下会D L 3 G展示使用同一邮箱域名的同事姓名、头像和邮箱，由系统自动判断，省掉了一个个添加同事的麻烦。但也带来了一个隐患：如果用户用私人邮箱注g . / { } 0 Q册，可能会看到同样使用该邮箱域名的陌生人，而攻击者利用聊天模块的漏洞，窃取点击相关链接的用户的 Windows 登陆凭据。
研究人员称漏洞可能使a a ` h本地、非特权攻击者具有/ ? i v [ , G P = n ]人员的最新研究表明，事] H 9 S h s实并非如此。
事实上，Zoom 的确使用了Y c y S M I TLS 加密，它被广泛用于 HTTPS 超文本传输，这意味% 8 z 7 ]着，Zoom 服务器到用户个人之间的传输处于加密状态，但是，“端到端加密”通常是指完r g N X全保护用; ( k户之间的内容，而公司并没有访问权限，类似于 Signal 或 Whats App。而 Zoom 没有提供这种级别的加密，这使得“端到端”的使用极具误导性。
也就是说，虽然用户和 Zoom 服务器之间的连接被加密，但是并不能阻止 Zoom 本身N + 1 0 C @ C e }看到呼叫过程。然而，Zoom 称，在隐私8 g J i Q a保护方面，Zoom 仅获取用户有限S # z U $ O . G g的n i X # B /操作系统版本、IP 地址、硬件设备等有限r y f - W $ 6 u信息，也不允许员工有权访问用户会议内容以及贩卖用G 7 % ; % 5 l z 3户资料。
值得注意的是，在其隐私权政策o i v : ; ]中，在“Zoom 会出售个人数据吗？”条目下，Zoom 的说法是：“取决于您0 | _ a 3所说的‘卖出\'。”Zoom 的政策虽然声称不会将个人数据出售给第三方，但却会与这9 m ? ) H些公司的“第三方0 C K l ! c ;”共享个人数据目的。
这就有点“自相矛盾”了，我是该相信你还是不相信@ v z - u你呢？
除此之外，Zoom 上还有一个默认设置，允许任何会议参与者在没有得到会议主持人许可的情况下共享他们的屏幕。而任何t _ ( C y 7 ! 7拥有公共会议链接的人都可以加入其中。有安全人员还爆料称，关于 Zoop * + z N ^ jm 公共会议的链接在 Facea D J } Xbook 群组和 Discord 聊天中进行交易，人们在 Twitter 和公开页面上也很容易找到这类链接。
这无疑为黑客的入侵提供了一种更为便捷的通道。
网友们也表 , 7 u & i $示，难道国内的钉钉、腾讯会议不不香吗？
如何保护用户安; o 6 Y j 1 ] _ f全？
那么，对于继续使用 Zoom 来办公的用户，他们要如何保障安全呢？对此，安全研究人员也给& n N ) ? a出了一些建议：
对于来自未知发件人的电子邮件和文件要小心。
不要打开未知的附件或点击电子邮件中的链接。小心类似的域名，拼写错误的电子邮件和网站，以及不熟悉的电子邮件发送者E C C。
请勿使用社交帐号登录 Zoom：这样做可以节省时间，但是很不安全，会大大增加 Zoom 可以访问的个人隐私数据^ S ) W i 2 ! 8量。
在1 N 8 p P S Zoom 通话期间使用两个设备：如果您正在计v j d C算机上参加 Zoom 通话，请使用手机检查电子邮 a 8 x件或与其他通话参与者聊天。
保持 Zoom 应用程序更新：Zoom 从其最新版本的应用程序中删除了远程 Webn u X | 服务器。如果您最近下载了 Zoom ，则无需担心此特定漏洞。
雷锋^ i ^ s网雷锋网雷锋网
参考资料：
https://www.iphone) @ D |incanada.ca/news/zoom-macos/
[{ l ~ hu b L : W . o ~ttps://blog.checkpoint.com/2020/03/30/covid-19-impact-cyber-criminals-target-zoom-domains/
https://www.leiphone.cT y _ 1om/news/c [ =202003/1hlfFMtOfYsaTGzD f a v 4 { -M.html