قام Zoom بتصحيح ثغرة أمنية كان من الممكن أن تسمح للمهاجمين باختراق طريقهم إلى مكالمات خاصة محمية بكلمة مرور.
العيب ، الذي اكتشفه توم أنتوني من SearchPilot ، يعني أن المتسللين والجواسيس يمكن أن ينقسموا إلى مكالمات فيديو Zoom محمية بكلمة مرور خاصة “في غضون دقائق”.
تمحورت المشكلة حول رمز المرور الرقمي المكون من ستة أرقام ، والذي يُستخدم افتراضيًا لتأمين محادثات Zoom، ستة أرقام تعني أن رمز المرور لمحادثة معينة يجب أن يكون رقمًا بين “000000” و”999999″.
قد تبدو مليون مجموعة محتملة بمثابة عدد هائل من محاولات المخترق أن يحاول يدويًا، ولكن لا يوجد جهد كبير للكمبيوتر لإجبارهم على اختراق طريقهم حتى يجدوا المجموعة التي تفتح محادثة Zoom الخاصة.
اكتشف أنتوني المخاوف الأمنية بعد أن تصدر رئيس وزراء المملكة المتحدة بوريس جونسون عناوين الصحف بعد أن غرد لقطة شاشة لاجتماع حساس لمجلس الوزراء عقد في Zoom ، وكشف عن معرف اجتماعه.
في ذلك الوقت ، فضحت حكومة المملكة المتحدة التهديد الذي تشكله التغريدة حيث كان الدخول إلى اجتماع Zoom محميًا بكلمة مرور.
ومع ذلك ، اكتشف أنتوني أن محاولاته للهجوم بالقوة طريقه إلى اجتماعات Zoom المحمية بكلمة مرور لم تؤدي إلى أي تحذيرات أو تباطؤ.
مع بعض ما وصفه برمز Python “عالي الجودة إلى حد ما” ، تمكن أنطوني من تأكيد أنه من الممكن شق طريقه إلى اجتماعات Zoom دون صعوبة كبيرة من جهاز كمبيوتر منزلي.
وفقًا للباحث، باستخدام 4-5 خوادم سحابية، سيكون من الممكن التحقق من جميع كلمات المرور الرقمية المكونة من ستة أرقام في “بضع دقائق فقط”.
عند الاتصال بـ Zoom حول المشكلة ، قدم أنتوني عددًا من الاقتراحات، بما في ذلك:
- تحديد معدل عدد المحاولات التي يمكن إجراؤها لإدخال كلمة مرور إلى اجتماع Zoom (على سبيل المثال ، إلى 10 محاولات مختلفة لكل ساعة)
- عناوين IP للحد من المعدل إذا قاموا بمحاولات كثيرة لتخمين كلمة مرور (بغض النظر عن معرف الاجتماع الذي قد يكون مستهدفًا)
- قم بتشغيل التحذير إذا اجتاز اجتماع معين عددًا معينًا من محاولات كلمة المرور الفاشلة.
- قم بزيادة طول كلمة المرور الافتراضية.
أكد متحدث باسم Zoom أن خدمة دردشة الفيديو قد حسنت أمانها منذ ذلك الحين:
“عند معرفة هذه المشكلة ، أزلنا على الفور عميل الويب Zoom لضمان أمان مستخدمينا أثناء تنفيذ عمليات التخفيف. لقد قمنا منذ ذلك الحين بتحسين تقييد المعدل … وأعدنا تشغيل عميل الويب في 9 أبريل. باستخدام هذه الإصلاحات ، تم حل المشكلة تمامًا ، ولم يكن هناك إجراء مطلوب من المستخدم. لسنا على علم بأي حالات يتم استغلال هذا الاستغلال في البرية. “
لا يمكن للخدمات عبر الإنترنت المحمية بشيء بسيط مثل رمز المرور الرقمي المكون من ستة أرقام أن تتجاهل الخطر الحقيقي للغاية الذي قد يحاول المهاجمون إجباره على اختراق طريقهم.
يعد جعل كلمات المرور أطول وأكثر تعقيدًا من ستة أرقام رقمية طريقة واحدة لجعل الحياة أكثر صعوبة للمتسللين، ولكن الدفاع الأكثر فائدة هو بلا شك اكتشاف المحاولات الفاشلة المفرطة لاختراقها وإغلاقها أو إبطائها حتى لا تصبح عملية.
