Zoom Bombing<\/h2>\n\n\n\n
O ponto alto do programa e talvez principal motivo do seu sucesso \u00e9 a facilidade de uso. Da mesma forma essa facilidade pode ser um grande problema. Como \u00e9 muito f\u00e1cil entrar em uma reuni\u00e3o, pessoas mal intencionadas invadem essas reuni\u00f5es com prop\u00f3sitos que v\u00e3o desde simplesmente perturbar at\u00e9 a espionagem do conte\u00fado que l\u00e1 est\u00e1 sendo falado.

Isso se deve ao fato de os convites serem baseados em URLs que cont\u00e9m um n\u00famero de 9 d\u00edgitos. O criminoso pode ficar tentando n\u00fameros aleatoriamente at\u00e9 achar um que seja v\u00e1lido, e ent\u00e3o invadir uma reuni\u00e3o.

Existem algumas maneiras de se proteger desse tipo de ataque. A primeira e mais \u00f3bvia \u00e9 tomar cuidado com quem voc\u00ea compartilha esse c\u00f3digo num\u00e9rico. Publicar em uma rede social, por exemplo, \u00e9 uma p\u00e9ssima ideia! Tenha em mente que os contatos que voc\u00ea adiciona no Zoom tem acesso ao seu ID pessoal de reuni\u00f5es. Em posse dessa informa\u00e7\u00e3o o atacante poder\u00e1 invadir todas as reuni\u00f5es futuras que voc\u00ea planejar.

Quando voc\u00ea lan\u00e7a ou planeja uma reuni\u00e3o, o painel de op\u00e7\u00f5es te d\u00e1 a op\u00e7\u00e3o de gerar um ID aleat\u00f3rio no lugar de usar seu pr\u00f3prio ID. Dessa forma voc\u00ea protege seu ID pessoal contra eventuais atacantes que entrem na reuni\u00e3o. Caso a reuni\u00e3o seja apenas entre pessoas conhecidas talvez seja melhor n\u00e3o passar pela inconveni\u00eancia de gerar o ID aleat\u00f3rio.<\/p>\n\n\n\n

Uma outra op\u00e7\u00e3o de proteger uma reun\u00e3o \u00e9 criando uma senha. Essa op\u00e7\u00e3o est\u00e1 dispon\u00edvel no painel de op\u00e7\u00f5es na hora de criar ou agendar uma reuni\u00e3o. Novamente, tenha cuidado com quem voc\u00ea ir\u00e1 compartilhar essa senha.

Finalmente, se voc\u00ea for em Op\u00e7\u00f5es Avan\u00e7adas ao criar uma reuni\u00e3o voc\u00ea ver\u00e1 a op\u00e7\u00e3o “habilitar sala de espera”. Dessa forma as pessoas que tentarem acessar sua reuni\u00e3o ficar\u00e3o em uma sala de espera e voc\u00ea ter\u00e1 que autorizar manualmente a entrada de cada pessoa. Por\u00e9m o Citizen Lab<\/em> descobriu uma falha de seguran\u00e7a s\u00e9ria com as salas de espera. Segundo o laborat\u00f3rio os usu\u00e1rios n\u00e3o devem utilizar este recurso mas sim a prote\u00e7\u00e3o por senha. At\u00e9 o momento em que este artigo foi escrito a Zoom n\u00e3o havia se pronunciado sobre isso.

Atualiza\u00e7\u00e3o em 08\/04\/2020:<\/em><\/strong>

O aplicativo agora deixa ativado tanto a prote\u00e7\u00e3o por senha quanto a sala de espera por padr\u00e3o. Da mesma forma j\u00e1 fica desativado por padr\u00e3o a exibi\u00e7\u00e3o de sua identifica\u00e7\u00e3o pessoal. Com isso, todas as dicas de seguran\u00e7a passadas nesse t\u00f3pico j\u00e1 est\u00e3o implementadas sem necessidade de qualquer inteven\u00e7\u00e3o do usu\u00e1rio.<\/em><\/p>\n\n\n\n
Caso a reuni\u00e3o seja aberta a p\u00fablico externo tamb\u00e9m pode ser \u00fatil evitar que os participantes tenham o poder de compartilhar o conte\u00fado de tela de seus computadores, evitando assim que qualquer conte\u00fado indevido seja exibido para o grupo. Para tal, abra o website do Zoom, fa\u00e7a o login em sua conta e v\u00e1 em “Minha Conta”, “Configura\u00e7\u00f5es” e v\u00e1 rolando at\u00e9 “Compartilhamento de Tela”. L\u00e1 voc\u00ea vai encontrar “Quem pode compartilhar?”, e ent\u00e3o marque “Apenas anfitri\u00e3o”, e logo abaixo ative “Desabilitar o compartilhamento de \u00e1rea de trabalho\/tela para os usu\u00e1rios.<\/p>\n\n\n\n
$\"\"$ 1. V\u00e1 em “Minha Conta” (My account)<\/figcaption><\/figure>\n\n\n\n
$\"\"$
2. Configura\u00e7\u00f5es (Settings)<\/figcaption><\/figure>\n\n\n\n
$\"\"$
3. Op\u00e7\u00f5es de “Compartilhamento de tela” (Screen sharing)<\/figcaption><\/figure>\n\n\n\n
Uma outra forma de se proteger contra o ataque Zoom Bombing \u00e9 evitar que novos participantes possam entrar na reuni\u00e3o depois que ela foi iniciada, ou seja, trancar a porta para que os atrasados n\u00e3o possam mais entrar. Para tal, siga os passos abaixo:<\/p>\n\n\n\n
$\"\"$
1. Clique em “Manage Participants”<\/figcaption><\/figure>\n\n\n\n
$\"\"$
2. Clique em mais op\u00e7\u00f5es (os tr\u00eas pontinhos)<\/figcaption><\/figure>\n\n\n\n
$\"\"$
3. Clique em “Lock Meeting”<\/figcaption><\/figure>\n\n\n\n
Fazendo isso ningu\u00e9m mais poder\u00e1 entrar na reuni\u00e3o. Caso precise liberar o acesso para algu\u00e9m que chegou atrasado basta fazer o mesmo procedimento novamente.<\/p>\n\n\n\n

<\/p>\n\n\n\n
Criptografia Ponta a Ponta<\/h2>\n\n\n\n
Um relat\u00f3rio do Intercept apontou que apesar de o Zoom dizer que utiliza criptografia ponta a ponta, isso n\u00e3o \u00e9 verdade. A empresa confirmou que a encripta\u00e7\u00e3o ponta a ponta verdadeiramente n\u00e3o \u00e9 poss\u00edvel na plataforma e “pediram desculpas” pela confus\u00e3o que isso gerou ao sugerir que o recurso existia.

<\/p>\n\n\n\n
Web Server Escondido, Invas\u00e3o da C\u00e2mera e Microfone no Mac<\/h2>\n\n\n\n
Em 2019 foi revelado que ele instalava um servidor web escondido no dispositivo do usu\u00e1rio, o que permitia que algu\u00e9m pudesse entrar numa reuni\u00e3o sem permiss\u00e3o do organizador. Recentemente foi descoberta mais uma falha que possibilita um criminoso ativar a c\u00e2mera e o microfone do seu computador Mac. Para complicar ainda mais, este web server continuava instalado no computador mesmo depois que o programa fosse desinstalado, podendo at\u00e9 mesmo fazer a reinstala\u00e7\u00e3o do Zoom sem consentimento do usu\u00e1rio.<\/p>\n\n\n\n
Vamos ser diretos, Zoom \u00e9 um malware.<\/p>Arvind Narayanan – Cientista da Computa\u00e7\u00e3o, Princeton University<\/cite><\/blockquote>\n\n\n\n
A empresa j\u00e1 lan\u00e7ou uma corre\u00e7\u00e3o para evitar esse problema por\u00e9m, para o cientista da computa\u00e7\u00e3o Arvind Narayanan, da universidade de Princeton as falhas j\u00e1 reportadas fazem deste programa uma grande amea\u00e7a. Ele conclui: “vamos ser diretos, Zoom \u00e9 um malware”.

A Zoom diz que adotou essa medida para contornar problemas de falha de engenharia no Safari, navegador internet padr\u00e3o dos computadores Mac.

A Apple, por sua vez, lan\u00e7ou uma corre\u00e7\u00e3o escondida que faz a remo\u00e7\u00e3o do webserver instalado pelo Zoom mesmo que o usu\u00e1rio n\u00e3o fa\u00e7a a atualiza\u00e7\u00e3o do programa. Sendo assim, no momento este problema pode ser considerado como resolvido. Lembrando que essa falha atingia apenas os computadores da Apple.

Caso voc\u00ea esteja em d\u00favida e queira verificar se o web server da Zoom est\u00e1 rodando escondido em seu computador, abra o terminal e digite o seguinte comando:<\/p>\n\n\n\n
lsof -i :19421<\/code><\/pre>\n\n\n\nCaso, na resposta do comando, apare\u00e7a o processo “ZoomOpene” \u00e9 porque o web server est\u00e1 presente em seu computador:<\/p>\n\n\n\n <\/figure>\n\n\n\nPara remov\u00ea-lo, ainda no terminal digite os seguintes comandos:<\/p>\n\n\n\n pkill ZoomOpener\nrm -rf ~\/.zoomus<\/code><\/pre>\n\n\n\nEm caso de desconfian\u00e7a sempre opte por executar a vers\u00e3o web do programa, aquele que voc\u00ea acessa diretamente pelo seu navegador da Internet. Neste contexto \u00e9 mais dif\u00edcil que algo escondido aconte\u00e7a em seu computador. <\/p>\n\n\n\n Medidas de Vigil\u00e2ncia<\/h2>\n\n\n\nO Zoom j\u00e1 foi criticado pelo seu recurso “attention tracking”, que monitora se o usu\u00e1rio clicou em outro programa durante a reuni\u00e3o, ou seja, se distraiu da reuni\u00e3o por mais de 30 segundos. A empresa diz que j\u00e1 desativou tal recurso. <\/p>\n\n\n\n Conversas Privadas<\/h2>\n\n\n\nO Zoom permite gravar toda a reuni\u00e3o, inclusive as conversas p\u00fablicas e privadas que foram feitas nas \u00e1rea de chat. Acontece que qualquer pessoa que tenha acesso a estas grava\u00e7\u00f5es ter\u00e1 acesso a todo o conte\u00fado desses chats. Ent\u00e3o tenha sempre em mente que voc\u00ea nunca dele falar sobre um assunto que n\u00e3o pode ser de conhecimento de todos os participantes da reuni\u00e3o. <\/p>\n\n\n\n Venda de Dados dos Usu\u00e1rios<\/h2>\n\n\n\nUm relat\u00f3rio da Motherboard<\/em> dizia que o Zoom envia dados dos usu\u00e1rios da vers\u00e3o iOS do aplicativo para o Facebook com o prop\u00f3sito de gera\u00e7\u00e3o de propaganda, ainda que o usu\u00e1rio n\u00e3o tenha conta naquela rede social. A empresa respondeu que nunca enviou ou enviar\u00e1 dados de seus usu\u00e1rios para terceiros, por\u00e9m a hist\u00f3ria da Motherboard foi citada em um processo ocorrido na corte federal, na Calif\u00f3rnia, acusando a Zoom de falhar em proteger adequadamente as informa\u00e7\u00f5es pessoais de seus usu\u00e1rios. Essa falha de seguran\u00e7a tamb\u00e9m foi mencionada por Letitia James (citada no in\u00edcio desse artigo) na carta enviada para a empresa. <\/p>\n\n\n\n Vazamento com Linkedin<\/h2>\n\n\n\nOutro recurso do programa que tamb\u00e9m foi taxado como falha de seguran\u00e7a \u00e9 o Linkedin Sales Navigator. Esta fun\u00e7\u00e3o acessa os perfis de todos os participantes da reuni\u00e3o que possuem conta naquela rede social. Com isso todos os participantes da reuni\u00e3o conseguiam acesso f\u00e1cil ao perfil do Linkedin de todos os outros participantes. Em minha opini\u00e3o isso deveria ser visto apenas como um recurso facilitador do programa, por\u00e9m o que lhe d\u00e1 a caracter\u00edstica de falha de seguran\u00e7a \u00e9 o fato do seu perfil do Linkedin ficar exposto mesmo contra a sua vontade. O programa faz o v\u00ednculo com a rede social a partir do seu e-mail de forma compuls\u00f3ria. No momento o CEO da Zoom declarou que iria desativar esta fun\u00e7\u00e3o por 90 dias enquanto corrigem outros problemas de seguran\u00e7a. <\/p>\n\n\n\n Corre\u00e7\u00e3o das Falhas<\/h2>\n\n\n\nNo dia 1 de abril de 2020 o CEO e fundador da Zoom, Eric S. Yuan, concordou que o n\u00famero de problemas de seguran\u00e7a era grande e disse que determinou \u00e0 equipe de desenvolvimento que parasse os trabalhos normais e focassem somente na solu\u00e7\u00e3o dos problemas de seguran\u00e7a. Em suas palavras: “N\u00f3s reconhecemos que falhamos com as expectativas de seguran\u00e7a e privacidade da comunicade, e de n\u00f3s mesmos. N\u00f3s agora temos um n\u00famero de usu\u00e1rios com v\u00e1rios perfis diferentes que est\u00e3o utilizando nosso produto em uma mir\u00edade de formas n\u00e3o esperadas, nos trazendo desafios que n\u00e3o foram antecipados quando a plataforma foi concebida. Esses novos casos de usu\u00e1rios mais comuns nos ajudaram a descobrir falhas n\u00e3o previstas em nossa plataforma. Jornalistas dedicados e pesquisadores da \u00e1rea de seguran\u00e7a tamb\u00e9m nos ajudaram a identificar algumas falhas pr\u00e9-existentes.” <\/p>\n\n\n\n Bibliografia<\/h2>\n\n\n\nEste artigo foi baseado em textos publicados nos seguinte artigos:<\/p>\n\n\n \n\t<\/a>\t\t\n\t\t\n\t\t\t\t\t<\/div>\n\t<\/div>\n\t\t\n\t\t\t\t\n\t\t\tZoom privacy and security issues: Here\u2019s everything that\u2019s wrong (so far)\t\t<\/div>\n\t\t\t\t\t\t\n\t\t\tMore than a dozen security and privacy problems have been found in Zoom recently. Here\u2019s an updated list.\t\t<\/div>\n\t\t\t<\/div>\n<\/div>\n\n\n\nTom’s Guide – Lista com todas as falhas de seguran\u00e7a do Zoom j\u00e1 corrigidas e as que ainda est\u00e3o me aberto.<\/p>\n\n\n\n\t<\/a>\t\t\n\t\t\n\t\t\t\t\t<\/div>\n\t<\/div>\n\t\t\n\t\t\t\t\n\t\t\tHow to Keep Your Zoom Chats Private and Secure\t\t<\/div>\n\t\t\t\t\t\t\n\t\t\tTrolls. Prying bosses. Zoom\u2019s a great video chat platform, but a few simple steps also make it a safe one.\t\t<\/div>\n\t\t\t<\/div>\n<\/div>\n\n\n\nWired – Como manter as conversas no Zoom privadase seguras.<\/p>\n\n\n\n\t<\/a>\t\t\n\t\t\t\t\n\t\t\t\u2018Zoom is malware\u2019: why experts worry about the video conferencing platform\t\t<\/div>\n\t\t\t\t\t\t\n\t\t\tThe company has seen a 535% rise in daily traffic in the past month, but security researchers say the app is a \u2018privacy disaster\u2019\t\t<\/div>\n\t\t\t<\/div>\n<\/div>\n\n\n\nThe Guardian – Zoom \u00e9 um malware.<\/p>\n\n\n\n\t<\/a>\t\t\n\t\t\n\t\t\t\t\t<\/div>\n\t<\/div>\n\t\t\n\t\t\t\t\n\t\t\tApple is silently removing Zoom\u2019s web server software from Macs\t\t<\/div>\n\t\t\t\t\t\t\n\t\t\tAfter all of the drama over Zoom\u2019s use of a hidden web server on Macs, Apple itself has decided to step in, TechCrunch reports. Zoom is issuing a silent update \u2014 meaning your Mac will get it without any interaction on your part \u2014 to remove the web server from any Mac that has Zoom\u2019s software install\u2026\t\t<\/div>\n\t\t\t<\/div>\n<\/div>\n\n\n\nThe Verge – Apple est\u00e1 removendo em sil\u00eancio o programa web server da Zoom nos Macs.<\/p>\n\n\n\n\t<\/a>\t\t\n\t\t\n\t\t\t\t\t<\/div>\n\t<\/div>\n\t\t\n\t\t\t\t\n\t\t\tZoom defends use of local web server on Macs after security report | ZDNet\t\t<\/div>\n\t\t\t\t\t\t\n\t\t\tLocal web server will also reportedly reinstall Zoom if a user removes the application and joins a meeting.\t\t<\/div>\n\t\t\t<\/div>\n<\/div>\n\n\n\nZDNet – Zoom defende o uso de web server local em Macs depois do relat\u00f3rio de seguran\u00e7a.<\/p>\n\n\n\n\t<\/a>\t\t\n\t\t\n\t\t\t\t\t<\/div>\n\t<\/div>\n\t\t\n\t\t\t\t\n\t\t\tHow to See if Zoom Is Running a Secret Web Server on Your Mac (and Remove It)\t\t<\/div>\n\t\t\t\t\t\t\n\t\t\tZoom, a popular video-conferencing application, is in hot water today. The Mac version runs a secret web server in the background\u2014even after you uninstall it!\u2014that can be used to reinstall Zoom and even turn on your video camera.\t\t<\/div>\n\t\t\t<\/div>\n<\/div>\n\n\n\nHow-To Geek – Como verificar se o Zoom est\u00e1 rodando um web server escondido em seu computador Mac (e como remov\u00ea-lo).<\/p>\n","protected":false},"excerpt":{"rendered":" Conhe\u00e7a os riscos apresentados pelo programa e como utiliz\u00e1-lo de forma razoalvemente segura.<\/p>\n","protected":false},"author":1,"featured_media":3731,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"jetpack_post_was_ever_published":false,"jetpack_publicize_message":"Conhe\u00e7a os riscos apresentados pelo programa e como utiliz\u00e1-lo de forma razoalvemente segura.","jetpack_is_tweetstorm":false,"jetpack_publicize_feature_enabled":true,"jetpack_social_post_already_shared":true,"jetpack_social_options":{"image_generator_settings":{"template":"highway","enabled":false}}},"categories":[143],"tags":[125,139,127,126,88,124],"jetpack_publicize_connections":[],"jetpack_featured_media_url":"https:\/\/i0.wp.com\/blog.lucianoreis.com\/wp-content\/uploads\/2020\/04\/Zoom-Breakdown.jpg?fit=1164%2C655&ssl=1","jetpack_sharing_enabled":true,"jetpack_shortlink":"https:\/\/wp.me\/pav3ZT-Ya","_links":{"self":[{"href":"https:\/\/blog.lucianoreis.com\/wp-json\/wp\/v2\/posts\/3730"}],"collection":[{"href":"https:\/\/blog.lucianoreis.com\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/blog.lucianoreis.com\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/blog.lucianoreis.com\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/blog.lucianoreis.com\/wp-json\/wp\/v2\/comments?post=3730"}],"version-history":[{"count":31,"href":"https:\/\/blog.lucianoreis.com\/wp-json\/wp\/v2\/posts\/3730\/revisions"}],"predecessor-version":[{"id":3774,"href":"https:\/\/blog.lucianoreis.com\/wp-json\/wp\/v2\/posts\/3730\/revisions\/3774"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/blog.lucianoreis.com\/wp-json\/wp\/v2\/media\/3731"}],"wp:attachment":[{"href":"https:\/\/blog.lucianoreis.com\/wp-json\/wp\/v2\/media?parent=3730"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/blog.lucianoreis.com\/wp-json\/wp\/v2\/categories?post=3730"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/blog.lucianoreis.com\/wp-json\/wp\/v2\/tags?post=3730"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}

Bibliografia<\/h2>\n\n\n\nEste artigo foi baseado em textos publicados nos seguinte artigos:<\/p>\n\n\n\n\t<\/a>\t\t\n\t\t\n\t\t\t\t\t<\/div>\n\t<\/div>\n\t\t