Apesar da propaganda, não há criptografia de ponta a ponta nas reuniões feitas pelo Zoom

Zoom, o serviço de videoconferência cujo uso disparou durante a pandemia de covid-19, afirma utilizar a forma considerada mais segura de comunicação pela internet, a criptografia de ponta a ponta, que protege as conversas contra todos os terceiros externos. Mas a empresa está, na verdade, usando uma definição peculiar do termo, pois o próprio Zoom tem acesso a áudio e vídeo não criptografados das reuniões.

Agora que milhões de pessoas em todo o mundo estão trabalhando de casa para refrear a disseminação do coronavírus, os negócios do Zoom estão deslanchando. Isso atrai atenção para a empresa e para suas práticas de privacidade, incluindo uma política – alterada posteriormente – que aparentemente permitia ao Zoom “minerar” mensagens e arquivos compartilhados durante as reuniões com o objetivo de direcionar anúncios.

Ainda assim, o Zoom oferece confiabilidade, facilidade de uso, e o que seria ao menos uma garantia muito importante de segurança: desde que todas as pessoas em uma reunião estejam conectadas usando o “áudio do computador” em vez de uma ligação telefônica, a reunião estaria protegida por criptografia de ponta-a-ponta – pelo menos, é o que dizem o site do Zoom, na sua documentação de segurança e na interface de usuário dentro do aplicativo. Porém, a despeito da propaganda enganosa, o serviço na verdade não oferece criptografia de ponta-a-ponta para conteúdo de áudio e vídeo, pelo menos não da forma como esse termo costuma ser interpretado. O que na verdade ele oferece é algo chamado criptografia de transporte, como se explicará mais adiante.

Ao passar o mouse sobre o cadeado verde no canto superior esquerdo do aplicativo do Zoom para desktop, o texto diz “o Zoom está usando uma conexão com criptografia de ponta-a-ponta”.

Captura de tela: The Intercept

Na documentação de segurança do Zoom, há uma lista de “recursos de segurança pré-reunião” disponíveis para o anfitrião da reunião, que se inicia por “Ativar uma reunião com criptografia de ponta-a-ponta (E2E)”. Mais adiante, “proteger uma reunião com criptografia E2E” aparece em uma lista de “recursos de segurança dentro da reunião”, disponíveis para os anfitriões. Quando um anfitrião inicia uma reunião ativando a configuração “exigir criptografia para endpoints de terceiros”, os participantes veem um cadeado verde que mostra o texto “o Zoom está usando uma conexão com criptografia de ponta a ponta” quando o mouse é apontado sobre ele.

Diante, porém, da pergunta sobre a efetividade da criptografia de ponta-a-ponta nas reuniões em vídeo, um representante do Zoom respondeu por escrito que “atualmente, não é possível habilitar a criptografia E2E em reuniões de vídeo. As reuniões de vídeo do Zoom usam uma combinação de TCP e UDP. As conexões TCP são realizadas com o protocolo TLS, e as conexões UDP usam criptografia AES com uma senha determinada em uma conexão TLS.”

A criptografia que o Zoom usa para proteger suas reuniões é a TLS, a mesma que os servidores web usam para dar segurança a sites HTTPS. Isso significa que a conexão entre o aplicativo Zoom que roda no computador ou no telefone de um usuário e o servidor do Zoom é criptografada da mesma forma que a conexão entre o seu navegador e este artigo (no site https://theintercept.com). É a chamada criptografia de transporte, que se diferencia da criptografia de ponta-a-ponta porque o próprio serviço do Zoom consegue acessar o conteúdo não criptografado de áudio e vídeo das reuniões. Assim, ao fazer uma reunião pelo Zoom, o áudio e o vídeo ficaram a salvo de qualquer pessoa que esteja espionando pela conexão Wi-Fi, mas não da própria empresa. (O Zoom declarou recentemente que não acessa, minera ou vende diretamente dados de usuários).

Para que uma reunião do Zoom fosse criptografada de ponta-a-ponta, o conteúdo de áudio e vídeo precisaria ser criptografado de tal forma que apenas os participantes da reunião tivessem condições de quebrar a criptografia. O próprio serviço do Zoom poderia ter acesso ao conteúdo criptografado da reunião, mas não teria as chaves necessárias para quebrar a criptografia (apenas os participantes teriam essas chaves) e, assim, não teria tecnicamente a capacidade de espionar reuniões privadas. Aplicativos de mensagens com criptografia de ponta-a-ponta, como o Signal, funcionam assim: o serviço do Signal faculta o envio de mensagens criptografadas entre os usuários, mas não detém as chaves para quebrar a criptografia dessas mensagens, e por isso não consegue acessar seu conteúdo descriptografado.

“Quando usamos a expressão ‘ponta a ponta’ em nossa documentação, ela se refere ao fato de que a conexão é criptografada de um endpoint a outro do Zoom”, escreveu o representante da empresa, aparentemente se referindo aos servidores do Zoom como “endpoints” embora eles sejam intermediários entre os clientes do serviço. “O conteúdo não é descriptografado durante sua transferência pela nuvem do Zoom” por meio da comunicação entre essas máquinas.

Matthew Green, criptógrafo e professor de ciência da computação na Universidade Johns Hopkins, indica a dificuldade de criptografar de ponta a ponta as videoconferências em grupo. A razão disso é que o prestador de serviços precisa detectar quem está falando para atuar como painel de distribuição, o que lhe permite enviar um streaming de vídeo de alta resolução apenas da pessoa que está falando naquele momento, ou daquela que o usuário selecione dentre os membros do grupo, enquanto envia vídeo de baixa resolução dos demais participantes. Esse tipo de otimização se torna muito mais simples quando o prestador do serviço consegue ver tudo, ou seja, quando os dados não são criptografados.

Screenshot da página de segurança do site do Zoom.

Captura de tela: The Intercept

Proteja suas Reuniões

Os seguintes recursos de segurança durante a reunião estão disponíveis para os anfitriões:

Proteger uma reunião com criptografia ponta a ponta
Criar salas de espera para os participantes
Exigir que o anfitrião esteja presente antes do início
Remover um participante ou todos os participantes
Trancar uma reunião
Marcas d’água sobre compartilhamento de tela
Assinaturas de áudio
Permitir/impedir um participante ou todos os participantes de gravarem
Temporariamente suspender o compartilhamento de tela quando uma nova janela é aberta
Proteger uma reunião com senha
Permitir que apenas indivíduos com um domínio de e-mail específico participem

“Se tudo é criptografado de ponta a ponta, é preciso acrescentar alguns outros mecanismos que permitam fazer essa troca de ‘quem está falando’, e que se possa fazer isso de uma forma que não vaze muita informação. É preciso empurrar essa lógica para os endpoints”, explicou ao Intercept. Green disse, porém, que isso não é impossível, como mostra o aplicativo Face Time, da Apple, que permite videoconferências em grupo com criptografia de ponta a ponta. “É factível. Só não é fácil.”

“Eles são um pouco imprecisos quanto ao que constitui criptografia de ponta a ponta”, disse ele a respeito do Zoom. “Acho que estão fazendo isso de uma forma um pouco desonesta. Seria bom se eles simplesmente abrissem o jogo.”

O único recurso do Zoom que aparenta ser realmente criptografado de ponta a ponta é o chat de texto durante as reuniões. “A criptografia de chat E2E do Zoom permite comunicação segura, de forma que apenas o destinatário desejado possa ler as mensagens protegidas”, afirma a documentação de segurança. “O Zoom usa chaves públicas e privadas para criptografar a sessão de chat com Advanced Encryption Standard [Padrão Avançado de Criptografia] (AES-256). Chaves de sessão são geradas com um identificador de hardware único para cada dispositivo, para evitar que os dados sejam lidos por outros dispositivos.” Um representante do Zoom explicou por escrito que “quando a criptografia de ponta a ponta é ativada no chat, as chaves são armazenadas nos dispositivos locais, e o Zoom não tem acesso às chaves para descriptografar os dados.”

“Acho que estão fazendo isso de uma forma um pouco desonesta.”

Sem a criptografia de ponta a ponta, o Zoom tem, tecnicamente, a possibilidade de espionar reuniões privadas em vídeo, e poderia ser obrigado a entregar gravações de reuniões para governos ou autoridades de segurança, em decorrência de determinação judicial. Enquanto outras empresas como Google, Facebook e Microsoft publicam relatórios de transparência que descrevem exatamente quantas solicitações governamentais de dados são recebidas de quais países, e quantas são cumpridas, o Zoom não publica um relatório de transparência. Em 18 de março, o grupo de direitos humanos Access Now publicou uma carta aberta convocando o Zoom a divulgar um relatório de transparência para ajudar os usuários a entenderem o que a empresa está fazendo para proteger seus dados.

“Os relatórios de transparência são um dos meios mais fortes para as empresas revelarem ameaças à privacidade dos usuários e à liberdade de expressão. Eles nos ajudam a compreender melhor as leis de vigilância nas diferentes jurisdições, fornecem informações úteis sobre bloqueios e interrupções de redes, e nos mostram quais empresas estão resistindo às solicitações indevidas de informações de usuários”, explicou Isedua Oribhabor, analista de políticas dos EUA na Access Now. O Índice de Relatórios de Transparência da Access Now mostra uma tendência de queda na consistência dos relatórios de transparência. Para Oribhabor, isso retira dos usuários e da sociedade civil uma ferramenta essencial para a responsabilização de governos e empresas.

Oribhabor destacou que o Zoom poderia ser obrigado a entregar dados para governos que pretendam monitorar mobilizações online ou controlar a disseminação de informações à medida que os ativistas passem a protestar online. A falta de relatórios de transparência também dificulta determinar se houve um aumento nas solicitações, e não deixa claro como seria a resposta do Zoom.

“As empresas têm a responsabilidade de ser transparentes com esse tipo de solicitação, para ajudar os usuários e a sociedade civil a perceberem onde está ocorrendo abuso da parte dos governos e como as empresas estão reagindo”, disse Oribhabor.

“As empresas têm a responsabilidade de ser transparentes com esse tipo de solicitação, para ajudar os usuários e a sociedade civil a perceberem onde está ocorrendo abuso da parte dos governos e como as empresas estão reagindo”, disse Oribhabor.

“O Zoom cumpre suas obrigações legais ou as obrigações legais de seus clientes. Isso inclui responder a processos judiciais válidos, ou fazer o que seja razoavelmente necessário para preservar os direitos do Zoom. O Zoom está legalmente obrigado a auxiliar as autoridades de segurança quando ocorra uma violação dos Termos de Serviço Online do Zoom”, explicou por e-mail um representante da empresa.

O Zoom tem, tecnicamente, a possibilidade de espionar reuniões privadas em vídeo.

É possível que o marketing do Zoom seja considerado prática comercial desleal ou enganosa que contraria a Comissão Federal de Comércio dos EUA, a FTC. Em 2014, as empresas Fandango e Credit Karma fizeram acordos com a FTC por não implementarem criptografia SSL no processamento de informações de cartão de crédito, a despeito de suas promessas de segurança. Isso deixou os dados pessoais dos clientes vulneráveis a ataques do tipo “man-in-the-middle” [ataques que interceptam mensagens entre duas partes e depois se passam por uma delas].

O tecnólogo independente Ashkan Soltani, que já trabalhou como tecnólogo-chefe da FTC, diz que não está claro para ele se o Zoom está efetivamente usando criptografia de ponta a ponta; ele não sabia que o software fazia essa alegação até conversar com o Intercept. Mas ele entende que, se um consumidor razoável toma a decisão de usar o Zoom considerando que o software usa criptografia de ponta a ponta no chat em vídeo, sendo que isso não é verdade, e se a declaração do Zoom induz a erro, essa poderia ser uma prática comercial enganosa.

Esse tipo de marketing poderia impactar não apenas os consumidores, mas também outras empresas.

“Se o Zoom alegou ter criptografia ponta a ponta, mas não investiu de fato os recursos para implementar isso, enquanto o Google Hangouts não fez essa alegação, e um consumidor escolheu o Zoom, não só o consumidor está sendo prejudicado, mas o Hangouts também está, porque o Zoom está fazendo alegações inverídicas sobre seu produto”, explicou ele. “Então ele está de fato se beneficiando de alegações falsas, e as pessoas estão efetivamente recebendo uma fatia de mercado maior em razão delas.”

Os clientes empresariais do Zoom, com mínimo de 10 anfitriões, têm a opção de usar um Meeting Connector local, que permite às empresas hospedar um servidor do Zoom em sua rede interna corporativa. Usando essa configuração, os metadados das reuniões, como nomes e horários em que ocorrem e seus participantes, passam pelos servidores do Zoom, mas “a própria reunião fica hospedada na rede interna do cliente”, segundo a documentação de segurança. “Todo o tráfego de metadados em tempo real, incluindo áudio, vídeo e compartilhamento de dados passa pela rede interna da empresa. Isso potencializa sua configuração preexistente de segurança de rede para proteger seu tráfego de reuniões.” Embora as reuniões pelo Zoom não tenham criptografia de ponta a ponta, a empresa não deveria ter acesso ao áudio e ao vídeo de reuniões que passam por um servidor Meeting Connector de um cliente; apenas o cliente deveria ter acesso a esses dados.

O Zoom apresentou ao Intercept a seguinte declaração: “O Zoom trata com muita seriedade a privacidade de seus usuários. O Zoom só coleta dados de indivíduos que utilizam a plataforma na medida do necessário para prestar os serviços e assegurar que sejam entregues da maneira mais efetiva possível. O Zoom precisa coletar informações técnicas básicas como o endereço de IP dos usuários, detalhes do sistema operacional e dos dispositivos, para que o serviço funcione adequadamente. O Zoom tem camadas de salvaguardas para proteger a privacidade de seus usuários, inclusive impedindo que qualquer pessoa, mesmo os funcionários do Zoom, tenha acesso aos dados compartilhados pelos usuários durante as reuniões – inclusive, mas não exclusivamente, o conteúdo de áudio, vídeo e chat dessas reuniões. Mais importante, o Zoom não minera nem vende dados de usuários de qualquer tipo para ninguém.”

Tradução: Deborah Leão