Компания Zoom решила временно полностью прекратить разработку новой функциональности для своих продуктов, с тем чтобы сосредоточиться на решении вопросов безопасности и конфиденциальности.
В последние недели компания столкнулась с резким ростом популярности своей платформы. Самоизоляция, объявленная в ответ на пандемию Covid-19, привела к увеличению спроса на программное обеспечение передачи видео. В условиях стремительного роста популярности – со стороны как корпоративных клиентов, так и персональных пользователей – стоимость акций компании взлетела, а основные уязвимости платформы стали очевидными.
Так называемый «зумбомбинг», в результате которого взломщики могли получить доступ к видеоконференциям, не защищенным паролями, уже стала причиной серьезных проблем, связанных с конфиденциальностью (конференция не защищена паролем, а потому к ней могут подключиться сторонние люди, так как для этого нужно знать только ее идентификатор, который легко подобрать). Незваные посетители посещали, к примеру, виртуальные собрания анонимных алкоголиков и различные церковные онлайн-мероприятия. ФБР предупредила о неавторизованном доступе к виртуальным аудиториям и рекомендовала пользователям сменить пароли безопасности, чтобы защитить конференции.
По сообщениям Reuters, аэрокосмическая компания Илона Маска SpaceX запретила шести тысячам своих сотрудников использование Zoom из-за проблем с безопасностью и конфиденциальностью. Кроме того, в Zoom была выявлена уязвимость, позволявшая хакерам похищать пароли на устройствах Windows. После обнаружения разработчики ликвидировали эту брешь.
Генеральный директор извиняется
В ответ на рост опасений генеральный директор Zoom Эрик Юань опубликовал в своем блоге официальный ответ компании. В ближайшие три месяца Zoom выделит необходимые ресурсы для «улучшения идентификации, диагностики и устранения возникающих проблем».
«Мы намерены сохранять прозрачность на протяжении всего этого процесса, – указал он. – И сделаем все для того, чтобы оправдать ваше доверие».
К принимаемым мерам относится «замораживание» разработки новых функций, а инженеры Zoom должны будут сосредоточиться на вопросах «обеспечения доверия, безопасности и конфиденциальности».
Компания планирует поддерживать связь с независимыми экспертами, которые проведут аудит использования платформы потребителями. Планируется также создать совет менеджеров по информационной безопасности для обсуждения передового опыта; сформировать отчет, отражающий прозрачность запросов к данным, записям и контенту; расширить программу вознаграждений за нахождение ошибок и недочетов в Zoom; изучать исходные тексты программ для поиска других уязвимостей в системе безопасности.
Юань будет проводить еженедельные вебинары, представляя обновления системы безопасности и конфиденциальности.
Корпоративно готовы?
«Zoom готова продвигаться вперед, отложив на потом существовавшие ранее планы, – подчеркнул старший аналитик 451 Research/S&P Global Market Intelligence по вопросам взаимодействия работников Рауль Кастаньон. – Все это должно помочь ей восстановить доверие корпоративных пользователей. Предполагается, что за три месяца компания предложит четкий список улучшений. В условиях пандемии популярность Zoom растет. Если компании удастся решить вопросы безопасности, перед ней откроются новые возможности. Корпоративные клиенты увидят, что она в состоянии справиться с проблемами безопасности и конфиденциальности».
Вместе с тем, Zoom предстоит доказывать, что ее платформа подходит для использования в корпоративной среде.
«Юань противоречит сам себе, уверяя, что платформа Zoom разрабатывалась для корпоративных клиентов с полной ИТ-поддержкой, а не для широкого круга пользователей, – заметил Кастаньон. – Действительно, пандемия открывает широкий простор для улучшений, причем не только для Zoom, но и для большинства других поставщиков. Однако бреши в системе безопасности свидетельствуют о том, что платформа не вполне подходит для корпоративного применения. И Юаню лучше было бы обойтись без подобных комментариев».
Еще один инцидент в области конфиденциальности связан с судебным иском, поданным в Калифорнии на Zoom за то, что компания поделилась пользовательскими данными с Facebook. Представители Zoom в своем блоге утверждают, что «никогда не продавали пользовательских данных в прошлом и не имеют такого намерения в будущем, а программные компоненты Facebook SDK, которые и занимались сбором данных с устройства, будут удалены из клиентского приложения для iOS.
Кастаньон высоко оценил стремление Zoom решить вопросы конфиденциальности, связанные с Facebook SDK.
«У Zoom все будет в порядке, но нынешний инцидент еще больше повредит репутации Facebook, – считает он. – И Марку Цукербергу следовало бы обратить внимание на то, как Эрик Юань собирается решать проблемы безопасности и конфиденциальности».
