Riassunto:
L'ultima versione del client per il sistema operativo desktop Linux di proprietà del colosso delle videoconferenze Zoom è stata denunciata dalla comunità di sicurezza open source come avente gravi rischi di violazione della privacy. Secondo test e analisi approfonditi condotti da ricercatori di sicurezza open source e da numerosi utenti Linux,
quando l'ultima versione dell'applicazione Zoom è in esecuzione in background, eseguirà il polling e leggerà in modo continuo e nascosto i contenuti sensibili negli appunti del sistema senza alcuna autorizzazione dell'utente o interazione attiva per incollare, innescando preoccupazioni diffuse tra gli sviluppatori e i gruppi di conformità della sicurezza a livello aziendale.
Questo comportamento anomalo è stato scoperto per la prima volta accidentalmente dagli utenti della comunità open source durante la risoluzione dei problemi relativi alla pianificazione delle risorse di sistema e ai registri delle chiamate dell'interfaccia. Secondo le prove tecniche divulgate da esperti di rete e sicurezza, nell'ambiente del server di visualizzazione X11 (e alcuni livelli di compatibilità Wayland che non impongono rigide restrizioni sandbox sull'isolamento degli appunti), indipendentemente dal fatto che Zoom sia ridotto a icona, risieda in background o sia inattivo durante le riunioni, il suo processo principale attiverà spesso chiamate API degli appunti di sistema. Ciò significa che dati di testo estremamente sensibili come password di account, chiavi di ripristino dell'autenticazione a due fattori (2FA), record di comunicazioni private e persino codici segreti aziendali che gli utenti copiano nei browser, negli editor di testo locali o persino nei gestori di password verranno catturati silenziosamente dallo sfondo del client Zoom in pochi millisecondi finché entrano negli appunti di sistema.
Questo fenomeno ha innescato una feroce reazione nella comunità della tecnologia e della sicurezza open source. Come tutti sappiamo, gli appunti, in quanto principale stazione di trasferimento temporanea per lo scambio di informazioni nei sistemi operativi desktop, sono sempre stati un bersaglio di malware e strumenti di spionaggio. Tuttavia, essendo un software di collaborazione professionale utilizzato frequentemente da decine di milioni di aziende e sviluppatori in tutto il mondo, senza fornire alcun chiaro trigger di operazione in primo piano (come ad esempio l'utente che fa clic attivamente sul tasto di scelta rapida "Incolla nella finestra di chat"), l'applicazione stessa "inghiotte" gli appunti di sistema in background senza restrizioni, violando gravemente il principio di minimizzazione delle autorizzazioni e il limite massimo di conformità alla privacy dei moderni sistemi operativi.
Gli analisti tecnici ipotizzano che questa potrebbe non essere una backdoor di spionaggio dannosa impiantata attivamente da Zoom, ma più probabilmente un errore di progettazione di sviluppo software estremamente rozzo. Ad esempio, quando si tenta di introdurre il "riconoscimento intelligente dei collegamenti delle riunioni negli appunti e delle richieste pop-up di partecipazione", la "formattazione automatica del rich text da inviare" o l'ottimizzazione dei framework di interfaccia multipiattaforma di terze parti (come Qt o Electron bottom hook), il team di sviluppo potrebbe aver adottato un'implementazione logica inefficiente e pericolosa di polling infinito (Polling) 24 ore su 24, con il risultato che tutti i dati degli appunti vengono continuamente richiamati senza protezione. Tuttavia, indipendentemente dall'intenzione progettuale originale alla base, il fatto che la lettura silenziosa non sia crittografata, non sensibilizzata e non autorizzata espone le credenziali sensibili degli utenti a un rischio estremamente elevato di esposizione dei dati.
Gli esperti di sicurezza raccomandano vivamente che, prima che Zoom rilasci ufficialmente una patch ufficiale, gli utenti interessati sulla piattaforma Linux evitino il più possibile di gestire testo e password sensibili ad alto rischio sui sistemi che eseguono Zoom; allo stesso tempo, si consiglia agli utenti tecnici di passare ai requisiti di isolamento degli appunti Un ambiente di sintetizzatore Wayland puro più rigoroso, utilizzando strumenti di isolamento sandbox come Firejail per bloccare rigorosamente l'autorizzazione di lettura di Zoom sul bus degli appunti o passare temporaneamente all'esecuzione di riunioni Zoom attraverso il lato web dei browser tradizionali per ridurre al minimo i potenziali rischi di perdita di informazioni. Al momento, i funzionari di Zoom non hanno ancora fornito una risposta pubblica formale sulla causa della vulnerabilità, sulla gamma di versioni specifiche interessate e sul programma di push per la patch di correzione ufficiale.
Commenti