Zoom betaalt 18 miljoen dollar na leugens over versleuteling
Tijdens de coronapandemie moest iedereen thuiswerken als dat mogelijk was. Aanbieders van videocommunicatieplatformen zoals Zoom vonden dat niet erg: plots opende zich een markt van bedrijven die plots nood hadden aan videoconferencingsoftware. Niet alleen de bruikbaarheid van het platform was toen belangrijk, maar ook de veiligheid daarvan. Zoom maakte op dat vlak een aantal beloftes die het niet waar kon maken en betaalt daar nu flink voor.
Concreet gaat het om de claims dat de Zoom-software eind-tot-eind versleutelde gesprekken laat voeren. Volgens de marketing van Zoom waren de gesprekken veilig, omdat ze eind-tot-eind versleuteld zijn. Wanneer iemand een meeting begint, was het mogelijk om “versleuteling voor eindpunten bij derde partijen” in te schakelen. Wie dat doet, zag linksboven een groen slotje verschijnen: “Zoom gebruikt een eind-tot-eind versleutelde verbinding”. Die claim bevatte toen echter geen waarheid.
Niet voldoende versleuteld
De verbinding bij Zoom was wel versleuteld, maar niet op de manier die het bedrijf zelf voorstelt. Wanneer het bedrijf gevraagd werd of er E2E-versleuteling actief was, moest een woordvoerder toegeven dat zoiets nog niet mogelijk was. Zoom-meetings gebruiken UDP en TLS. Die gebruiken TLS en AES-encryptie om de veiligheid te waarborgen. Dat is dezelfde beveiliging als op het internet. Die is vooral nuttig om ervoor te zorgen dat niemand boodschappen kan aanpassen: de video- en audiostreams in een Zoom-gesprek kunnen er in ieder geval niet door aangepast worden.
Wat wél mogelijk was, is dat Zoom zelf meekeek met gesprekken. Met E2E-versleuteling mag zoiets niet gebeuren. Daar zorgt de versleuteling er namelijk voor dat alleen de eindpunten, in dit geval de gesprekspartners, zicht krijgen op het gesprek. Op hun toestel staat namelijk een sleutel die nodig is om het gesprek te ontcijferen. Het bedrijf gebruikte dat soort versleuteling op sommige punten, maar lang niet overal. Het verkeer tussen Zoom-servers was wel E2E versleuteld, maar daarbuiten niet meer.
Niet de eerste rechtszaak
Zoom kreeg in 2021 een flinke rechtszaak aan het been, waarin het €85 miljoen betaalde voor de valse claims. Nadien schikte het bedrijf in een zaak met de Federal Trade Commission. Al die tijd liep er ook een onderzoek door de Securities and Exchange Commission (SEC). Bloomberg rapporteert nu dat Zoom een boete van 18 miljoen dollar wil betalen om ook die zaak te schikken.
Vandaag wel E2EE
Vandaag de dag kan je de videoconferencingsoftware wel zonder zorgen gebruiken. Vandaag de dag is het mogelijk om E2EE in te schakelen in het webportaal van Zoom. Gebruikt iedereen versie 6.0.10 of hoger, dan is die versleuteling zelfs bestand tegen kwantumcomputers. In meetings die versleuteld zijn, toont Zoom ook een groen schildje met daarop een slotje. Wie de encryptie inschakelt voor extra veiligheid en privacy, kan enkele functies wel niet meer gebruiken. Opnemen naar de cloud, live transcripties en livestreaming zal bijvoorbeeld niet meer lukken. Ook AI-functies zullen niet meer werken als de versleuteling is ingeschakeld: ook die tools krijgen dan namelijk geen zicht meer op het gesprek.
