FBI varnar för säkerhetsbrister
i videokonferensprogrammet ZOOM

CERT.se refererar till FBI och varnar för ZOOM konferenssprogram.
Klicka på bilden för länk.

I en artikel (2020-04-11) om Jitsi med flera videokonferensprogram, uppdaterad den 12 och 13 april, redovisade vårt magasin säkerhetsbrister som rapporterats beträffande Zoom och Cisco WEBEX.

Sveriges Radio refererar idag till information om ZOOM från Cert.se, en enhet inom MSB som bevakar frågor om IT-säkerhet. CERT.se varnade redan den 2 april för användning av ZOOM.

Cert.se refererar i sin tur till ett säkerhetsmeddelande från FBI där byrån uppmärksammat flera fall av intrång på videokonferenser, så kallad ”VTC-hijacking”.

FBI:s rekommendationer om ZOOM:
• Undvik att göra konferenserna offentliga. Det kan ske på två sätt. Genom att sätta lösenord till mötet, eller att låta användare vänta ”utanför” för att bli insläppta.
• Posta inte länkar till Zoom-möten offentligt, exempelvis på sociala medier. Skicka istället länken direkt till mottagaren.
• Begränsa möjligheten att dela skärm, så att endast värden kan göra detta, ”Host only”.
• Håll Zoom uppdaterad till den senaste programvaran.

”ZOOM:s uppgifter om kryptering stämmer inte”
CERT.se refererar även till nätmagasinet The Intercept, som skriver att Zoom i sin marknadsföring påstått att man använder sig av end-to-end-kryptering, och att det inte stämmer.

Amatörradionyheternas lathund för Jitsi:
”Använd engångslösen när du startar en videokonferens ”
I vår korta användarhandledning för Jitsi framhåller vi bestämt att den identiet man bestämmer sig för att använda ska kompletteras med en slumpmässigt skapad sträng, till exempel en kryptogrupp.

När mötet öppnas skapar Jitsi en URL, en webbadress, som består av länken till Jitsi Meet samt den identiet, dvs. det användarnamn den som öppnar mötet föredrar samt den slumpmässiga sträng som tillfogats användarnamnet. Denna URL blir unik för ett givet möte på nätet och raderas när den siste mötesdeltagaren loggar ut från mötet.

Den slumpmässiga strängen får aldrig återanvändas.
På det sätter undviks att deltagare i tidigare möten kan komma med i ett nytt möte utan att dessförinnan ha blivit inbjuden till det nya mötet. Om den föreslagna kryptogruppen eller annat slumpmässigt genererat lösenord utlämnas finns en överhängande risk att webbadressen till konferensrummet blir allmänt känd, vilket gör att oinbjudna lätt kan komma in i pågående konferenser på nätet.

Ladda ned Lathund för Jitsi, Rev 2.