¿Es segura la aplicación Zoom?

Conciencia Virtual

Rossibel: Año 1994, un joven matemático de la provincia China de Shandong de nombre Eric Yuan que hacía vida en Japón, tuvo la oportunidad de escuchar una conferencia de Bill Gates. Esto lo inspiró a emigrar a Silicón Valley en 1997. Cuando finalmente pudo llegar a los Estados Unidos se unió rápidamente como programador a una startup de videoconferencias llamada Webex, está se convertiría en uno de los protagonistas del mercado, tanto así que en 2007 sería adquirida por Cisco Systems por 3,2 Billones de $. Yuan siguió trabajando en la compañía hasta llegar a Vicepresidente de Ingeniería. Bajo su mando Webex alcanzó ventas anuales de 800M. La aplicación comenzaría a tener muchos problemas, la conexión era inestable, el audio y vídeo podían retrasarse. Yuan consciente de estos problemas y con una visión de crear una aplicación útil también para móviles y tabletas, presionó a sus superiores para implementar de inmediato estos cambios. Pero su proyecto fue rechazado. Yuan decide renunciar en 2011 y fundar su propio negocio ¿Cómo lo llamo? ZOOM! Por suerte no estaba solo, muchos de los ingenieros de Webex se fueron con él y además, tuvo la confianza de varios inversionistas, lo que le permitió levantar 3M $. Antes de irse, comentó que pasó mucho tiempo comunicándose con los clientes de Webex y con todas las quejas, formó una dirección, las resumió todas dedicándose a crear una app que las resolviera. En dos años, para enero de 2013, lanza la primera versión siendo un éxito inmediato, en dos meses ya contaba con 1 millón de usuarios -Funcionaba en conexiones lentas -Videoconferencias en HD -Versión para dispositivos móviles. Todo esto por un precio inferior a la competencia. Ya en abril de 2019 se convierten en una empresa pública, con una valoración de 16 Billones $. Lo demás es historia, en tan solo 14 meses gracias al incremento en la demanda debido a la pandemia alcanzan los 63 Billones $. Y desde inicio de año sus acciones se han apreciado 205%. Pero… ¿Realmente Zoom es una aplicación segura? ¿Estará Yuan realmente preparado para el desafío de otorgar seguridad en las comunicaciones de más de 300 millones de usuarios activos? ¿Es la mejor aplicación en este momento para llamadas de conferencia? Mi nombre es Rossibel García y en este episodio estaremos analizando la trayectoria de esta aplicación y sus temas de Seguridad y Privacidad… Te invito a que te quedes y resolvamos todas estas dudas. Jean: Bienvenido una vez más a este Podcast Tecnológico llamado Conciencia Virtual, mi nombre es Jean Carlos Gutierrez y estoy aquí acompañado de Rossibel, quienes juntos estaremos analizando si es seguro o no conectarse en la aplicación ZOOM. Hola Rossi, como estas? Has hecho un trabajo Genial con ese resumen histórico de Eric Yuan. Rossibel: aproveché estos días en cuarentena para investigar (Saludo a tu gusto y respuesta de la interacción) así que los invitamos a que se pongan cómodos para que disfruten de este nuevo episodio. Jean que te parece si hablamos de la decisión oficial por parte de Eric sobre aplicar cifrado end 2 end para todos los usuarios, rectractandose de la idea que solo el cifrado seria para las cuentas de pago. Jean: ¿Supiste la razón por la que se retractaba? Rossibel: Bueno Jean, desde el propio blog informaban que solo las cuentas pago iban a recibir el cifrado, y que si habían conversaciones privadas, podrían abrirlas en “caso de ser necesario” si sospechaban que las cuentas estarían implicadas en actividades delictivas. Jean: Aquí volvemos con el tema Privacidad vs Seguridad, pero OJO no estoy refiriéndome a la Seguridad de la aplicación porque ha estado muy insegura últimamente, sino la excusa que ofrecen los Gobiernos del mundo que quieren espiar a sus usuarios, diciendo que es por Seguridad Nacional. Para mi esto es solo un simple pretexto que tiene la empresa para decirte: Si estas en desde la opción gratuito, te sacaré el dinero con tus datos personales. Porque para que ibas a descartar a tus usuarios de cuentas gratuitas al cifrado si en menos de un mes decías públicamente que ibas a implementar Oracle Cloud Infrastructure para respaldar el crecimiento y satisfacer la necesidades de los usuarios. Los usuarios claramente te están pidiendo mejor privacidad y tú seguías sin querer otorgárselas. Rossibel: Jean, tengo entendido que esa función es para mejorar la demanda. Es decir la capacidad de usuarios ya superaba de manera significativa para con los servidores que estaban usando desde ese momento. Jean: Eso es totalmente cierto, pero yo también tengo otra hipótesis con ello. Eric viene jugando al CEO que le gusta complacer a Gobiernos, Rossibel: (forma de interrupción) Jean, algo que debemos considerar al analizar esto, es que ha sido prohibido su uso desde El Ministerio de Defensa del Reino Unido, Servicio Nacional de Salud del mismo, Gobiernos como la India o Taiwan, Ministerio de Defensa de Australia, el Ministerio de Asuntos Exteriores de Alemania, escuelas de Singapur, sin contar empresas estadounidenses como SpaceX, Tesla, Bank of America, empresas Europeas como Siemens AG, Ericsson, Daimler AG, Standard Chartered, NXP Semiconductor NV y la filipina Smart Communications. Jean: Todo eso es cierto. Y todo era porque de sus 73 Servidores de conexión 5 de ellos estaban ubicados en China y no solo tenían la posibilidad de compartir a ti como usuario las claves que necesitabas para entrar en una llamada de ZOOM con X persona, sino que también existía posibilidad que en esos servidores también pasara trafico de esa llamada y para nadie es un secreto que China en ocasiones les exige a las empresas las llave de cifrado y si tu les das ese contenido entonces ellos podrían saber lo que estaba pasando en esa conversación. Cuando estas empresas y países se enteran de esto, claro que deciden prohibirlo. Cualquiera en su sano juicio habría pensando en lo mismo. Pero hace ratico te decía que Eric juega a complacer Gobiernos, si tu como usuarios decides no usar la app porque tienes claro que algunas de sus llamadas pasan por servidores Chinos y luego como dueño de la empresa te anuncio que me estoy uniendo a Oracle, es para justo decirte, vente de nuevo, estoy de moda, ya estoy cumpliendo con tus requisitos de usuario. Dejándote dicho que también han realizado censuras desde la propia app indicando que estaban cumpliendo con las leyes locales de China. Para mi este CEO va procurar complacer a todos los que puedan, siempre y cuando para mantenerse en el mercado del país y segundo para estar activo en todos los países posibles. Rossibel: ¿Entonces bajo tu opinión el que se haya aplicado el cifrado es solo para complacer a la audiencia y seguir creando la confianza, en vez de mejorar en la Seguridad de la aplicación para que sea lo menos atacada posible?. Jean: Rossi, cuando esta aplicación fue utilizada desde el confinamiento, esta aplicación se conectaba con las Api Grafica de Facebook. Entonces ZOOM recolectaba de ti (usando o no la aplicación) datos como: usuario, nombre completo, dirección física, correo electrónico, numero telefónico y todo tipo de datos que pudiera identificarte, sin contar información de tu trabajo, tarjetas de crédito y débito, información de tus cuentas de Facebook, tanto la personal como Fanpage y demás servicios que utilizaras de esa empresa. Como te estabas conectado, IP, Mac Address, Sistema Operativo, la versión. Todo esto era enviado a Facebook y a su vez esta empresa los usaba para cruzar la data y al administrador de la llamada podía indicarle donde estabas, si estabas prestando o no atención a la reunión porque indicaba si la ventana esta activa o no, es más podías entrar a la sala de modo Anónimo y el Admin podía claramente saber que eras tu. Todo esto lo expuso en su momento Will Strafach un Investigador de IOS y cuando soltó la Bomba, lo que hizo ZOOM fue decir: Nosotros estábamos usando la SDK de Facebook y no teníamos idea de la información innecesaria que estaba recopilando de nuestros usuarios, esas herramientas solo la usábamos para facilitar al usuario el ingreso a nuestra plataforma. Actualmente eliminando todo eso para que luego tu actualizando la aplicación ya no tengas ese problema. Pedimos disculpas y estamos comprometidos en la Seguridad de nuestros usuarios. Rossibel: Si, recuerdo ese hecho, es más en esos mismos tiempos, veíamos en las noticias, como podías secuestrar una sala en particular, a modo administrador y enviar material pornográfico a todos los integrantes de esa reunión. Claro ese no seria el único problema de Seguridad que tendría. Patrick Wardle, un ex-hacker de la NSA descubrió que un atacante local con privilegios de usuario de bajo nivel puede inyectar al instalador de Zoom código malicioso para obtener el nivel más alto de privilegios de usuario ("root") Jean: Esos privilegios significan que el atacante puede acceder al sistema operativo macOS subyacente, que generalmente está prohibido para la mayoría de los usuarios, lo que facilita la ejecución de malware o spyware sin que el usuario lo note. Rossibel: ahora, ¿qué otras fallas y vulnerabilidades has podido notar en esta aplicación? Jena: El segundo error explotaba una falla en cómo Zoom manejaba la cámara web y el micrófono en Macs. Wardle dijo que un atacante podía inyectar código malicioso en Zoom para engañarlo y darle al atacante el mismo acceso a la cámara web y al micrófono que Zoom ya tiene. Una vez que se carga el código malicioso, "heredará automáticamente" alguno o todos los derechos de acceso de Zoom. También las vulnerabilidades recientemente parcheadas En una que aprovechaba la forma como se utilizaba el servicio GIPHY (buscador de gifs) donde no se confirmaba si el archivo a compartir provenía de ese servicio y a su vez tampoco verificaba el nombre del archivo entonces el atacante podría hacerte llegar un gif infectado de un servidor tercero y hasta almacenarlo en tu carpeta de inicio. Y la otra vulnerabilidad era aprovecha la forma como enviaba ZOOM fragmentos de códigos, permitiendo al atacante plantar binarios arbitrarios en computadoras especificas, logrando la ejecución de código remota. Jean: Ahora, Rossi, si un usuario necesita usar la aplicación de Zoom luego de todo lo que te he comentado ¿Que recomendaciones le darías para estar seguro en la aplicación? Rossibel: Eso es algo que deberías de decir tú! Pero yo también las conozco. Tú me vas diciendo si voy bien o no! 1. ¡Agregar una contraseña a todas las reuniones! 2. Usar salas de espera 3. Nunca compartir el ID de reunión por medios públicos 4. Desactivar el uso compartido de la pantalla del participante 5. Bloquear reuniones cuando todos se hayan unido 6. Mantener Zoom actualizado 7. Usar la autenticación multifactor (MFA) Pero ajá Jean, no has dicho si es preferible usar ZOOM o no? Jean: En realidad es una decisión final del usuario. Yo te podría decir ahora mismo que la historia que hemos comentado se parece MUCHÍSIMO a la historia de Whatsapp y no necesariamente el usuario tomaría la decisión de irse a otra plataforma. Y eso es por la cantidad de usuarios activos que hay en la plataforma. Si fuera así entonces ahora mismo Signal seria la aplicación de mensajería más usada por ser públicamente más segura. Algo que intenta ahora mismo mostrar ZOOM al liberarte en la plataforma de Github el código con el que esta cifrando su aplicación Rossibel: Pero Jean y liberando su código ¿No hace que la app sea más insegura? Ya que otros usuarios pueden ver como funciona y con ello atacar. Jean: El que otros usuarios puedan usar ese código para tratar de crear nuevas maneras de atacar, también te puedo decir que la comunidad puede ayudar a mejorar ese código, creando confianza en desarrolladores y comunidad que a su vez ayuda mucho a los usuarios finales. Rossibel: Claro, Claro! Pero si con todo lo que hemos comentado hoy, sabiendo que ZOOM sigue haciendo cambios en pro para liberarse de vulnerabilidades y hasta de prohibiciones en diferentes países, ¿qué aplicación podrías recomendar distinta a ZOOM para hacer videollamadas grupales?. Jean: Que yo pueda decirte, esta es la más segura en realidad no lo puedo hacer, porque hoy te puedo recomendar una y mañana sale una vulnerabilidad que la afecta. Hay muchas aplicaciones, Skype, Microsoft Teams, Cisco Webex, Facetime, Google Meet, Google Duo, menos conocidas como: BlueJeans, Zoho, Lifesize, Intermedia AnyMeeting, GoToMeeting, RingCentral Meetings, entre otras y solo tu decides cual cumple tus expectativas de Seguridad. Rossibel: Estoy seguro que todas estas recomendaciones serán de gran utilidad para muchos, ha sido un episodio más que completo. En el siguiente aprenderemos a como mejorar nuestras contraseñas ya que ha sido una de las recomendaciones hechas. Jean: Pueden encontrarnos en redes sociales como: Rossibel: www.facebook.com/concienciavirtual Jean: En instagram como @concienciavirtual Rossibel: y en Twitter como @concienciavirt Jean: Para contenidos similares como este puedes irte a la Liga.Fm en donde encontrarás podcast amigos. Rossibel: de este lado nos despedimos. Quienes te acompañamos en este viaje para geeks y no tan geeks, Jean Carlos Gutierrez y Rossibel García. Seguiremos compartiendo mas conciencia virtual. Jean: y no me queda más nada que decir que: Un Saludo y un Abrazo Virtual.