從Zoom泄漏隱私事件，看Facetime、Skype等視頻應用加密方案是否真的安全？

在冠狀病毒流行期間備受關注的科技公司之一非 Zoom 莫屬了，據近期報道，視頻會議平臺 Zoom 泄漏至少數千名用戶個人信息，包括電子郵件地址和照片，陌生人可通過 Zoom 與其進行視頻通話。此次泄漏問題出自 Zoom 的「公司目錄」設置，如果他們使用共享相同域名的電子郵件地址進行註冊，會自動將其他人添加到用戶的聯繫人列表。很多 Zoom 用戶表示，他們使用個人電子郵件地址進行註冊，但是 Zoom 錯誤地將其作爲公司郵件域名對待，從而讓成千上萬的個人郵件註冊用戶混合在一起，彼此公開了個人信息。

而隨後也有用戶指責 Zoom 未能端對端加密視頻通話，進一步損害了用戶的隱私。

什麼是端對端加密？

端到端的加密方式是打亂了視頻、音頻和文本內容，只有發送方和預期接收方纔能訪問，而服務提供商沒有辦法對這些內容進行解密的。加密聊天內容實現的方式是：通過僅讓參與的用戶知道可以解密消息的密鑰，讓服務提供者將這些加密消息從發送者直接傳遞到接收者來實現的。不過據律動了解，目前市場上的大多數消息傳遞工具不能保證端到端加密，部分原因是出於執法方面的考慮，但也因爲它可能會十分影響用戶體驗。例如，這種方案使得在各種設備上同步消息和集成第三方應用程序變得困難。

而對於視頻和音頻會議來說，端到端加密更是帶來了更多挑戰。爲了實現這種方式，每個與會者的音頻和視頻流需要用自己唯一的密鑰分別加密，然後發送給其他與會者。這就帶來了一些問題，如擴展的數據包大小和加密/解密延遲會導致圖像延遲和降低連接質量。去年 10 月，長期支持比特幣的工程師詹姆森·洛普 (Jameson Lopp) 在 Twitter 上分享了一份電子表格，根據安全性、功能、可用性和其他標準，對大約 70 個通訊應用程序進行了評估。其中一些是當前被我們廣泛使用的視頻會議應用，包括 Zoom、Google Hangouts Meet、Slack、Facetime 以及 imassgae 等。

下面根據 Jameson Lopp 的報告，律動將會對市場上目前幾種最流行的視頻會議工具進行分析，讓我們一起看看在隱私和安全方面可能沒有完美的替代方法。

Zoom

首先，讓我們回顧一下 Zoom 的問題。

視頻會議應用程序一度被吹捧爲比競爭對手提供更好的用戶體驗和視頻質量。然而這種便利可能是以犧牲安全性爲基礎的。正如《攔截》(The Intercept) 所報道的，儘管 Zoom 聲稱它「使用端到端加密」來確保會議安全，但實際上，它指的是兩個端點是用戶和 Zoom 的服務器，而不是用戶到用戶這兩個端。

換句話說，Zoom 所謂的加密其實是用戶所發的消息只是在 Zoom 的媒體流在過渡期間將被加密了，但一旦它們通過 Zoom 的防火牆就會被解密。Zoom 然後重新加密這些媒體流，然後將它們發送給指定的接收人。也就是用戶的信息發送到 Zoom 服務器，隨後被解密，然後再由 Zoom 重新加密傳給接受人。

這種做法被稱爲傳輸加密，被市場上的消息傳遞和視頻會議工具廣泛使用。Zoom 平臺一個著名的功能就是可以錄製視頻然後發給其他會議參與者。然而，這個著名的功能也是前一陣讓其備受詬病的原因：這種方式使用戶暴露在與 Zoom 的服務器相關的潛在安全風險中，並損害了用戶的隱私，因爲 Zoom 可以查看所有的會議內容。

谷歌視頻羣聊見面（Google Hangouts Meet）

下面律動來看下另一個流行的視頻會議服務 Google Hangouts Meet，它似乎不像 Zoom 那樣宣傳其使用端到端加密方式。G Suite 網站簡單地說明 Google Hangouts Meet 中的所有視頻和音頻流都是加密的，但沒有說明它們使用的是哪種加密方案。不過該網站在問答中指出，當只有兩個用戶時，可以建立點對點連接。該連接允許用戶直接在彼此之間發送媒體流，避免將媒體流路由到谷歌的服務器。

不過，據律動了解谷歌在 2015 年向 Vice 承認，Google Hangouts Meet 沒有使用端到端加密，而隨後 Google Hangouts Meet 被指責加密設置不夠清晰。雖然公開的信息很少，但從那時起，該公司似乎就沒有開始實施端到端加密。

Skype

微軟長期擁有的視頻會議服務 Skype 在某種程度上確實有端到端的加密。在 2018 年，Skype 推出了私人通話功能，該功能允許用戶通過部署 Signal 協議來持有音頻通話和傳輸文件，這種協議也是 Signal 和 WhatsApp 用來保護信息的方式。

根據 Skype 關於這一功能的白皮書，私人音頻通話的參與方必須首先發起一個私人會話。在會話期間，將共享隨機生成的加密密鑰，允許發送方加密和接收方解密音頻流。但是，這種服務不適用於視頻會議，Skype 視頻會議仍然使用的是高級加密標準 (AES)，這是美國政府在 2001 年建立的一種加密規範。

FaceTime

最後我們來 看 FaceTime 和 iMessage，目前這兩個軟件功能只對蘋果用戶開放，是爲數不多的使用端到端加密的通信應用程序之一。律動獲悉，也正是由於這一功能，蘋果在 2016 年陷入了一系列法律糾紛，當時它拒絕向美國聯邦調查局 (FBI) 提供 iPhone 的訪問權。相信很多人應該還記得這個事件。

不過雖然 FaceTime 使用的是端到端的加密方式，但它也並不完美。2019 年 1 月，蘋果公司不得不暫停所有羣聊來修復一個漏洞，這個漏洞允許用戶在對方接聽電話之前可以就可以竊聽對方的聲音。

此外，儘管通過 iMessage 發送的消息也是端到端加密的，但一旦上傳至 iCloud 進行備份和同步，蘋果仍然可以訪問這些消息。根據路透社最近的一份報告，蘋果公司也考慮對 iCloud 上的所有備份數據進行端到端的加密。不過律動了解到，在聯邦調查局的壓力下，它最終在兩年前放棄了這個計劃。也就是說目前只要用戶一旦將信息上傳或者同步到雲端的話，那麼此前的加密信息也就不是完全安全的了。

說到這裏我們也必須承認，其實端到端加密並不保證完全的安全和隱私。至今爲止該方案仍然存在各種漏洞，比如律動在前面提到的雲備份問題，以及消息應用程序可以收集來揭示用戶個人信息的元數據。

總結

對於那些在家工作的人來說，圍繞視頻會議服務的安全問題仍然是首要問題。雖然 Zoom 現在是被放到了顯微鏡下，人人都已經意識到了使用 Zoom 可能帶來的隱私安全問題，但是這對大多數人來說還是一個個例一樣的存在，Zoom 的競爭對手們的安全方案其實面臨同樣的安全問題。如何有效的解決它？或者我們是否需要完全的隱私，仍是當前社會一直無法停止的論題。

本文由律動BlockBeats授權翻譯並整理，如需轉載本文，請附帶本文超鏈接：https://www.theblockbeats.com/news/14991

原文地址：https://www.theblockcrypto.com/daily/60691

歡迎加入律動 BlockBeats 官方社群：

Telegram 訂閱群：https://t.me/theblockbeats

Telegram 交流群：https://t.me/BlockBeats_App

Twitter 官方帳號：https://twitter.com/BlockBeatsAsia