搜索

[15208] 2020-04-03_Zoom的“漏洞”围城，从暴增用户1.9亿到股价下跌16%

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2020-04-03_Zoom的“漏洞”围城，从暴增用户1.9亿到股价下跌16% Z o o m 的 “ 漏 洞 ” 围 城 ， 从 暴 增 用 户 1 . 9 亿 到 股 价 下 跌 1 6 % k i r a z h o u   F r e e B u f   2 0 2 0 - 0 4 - 0 3 安 全 漏 洞 问 题 ， 终 究 是 给 安 全 漏 洞 问 题 ， 终 究 是 给 Z o o m 上 了 一 课 。 上 了 一 课 。 3 个 月 ， 个 月 ， 1 . 9 亿 用 户 ， 股 价 下 跌 亿 用 户 ， 股 价 下 跌 1 6 % 3 个 月 新 增 1 . 9 亿 用 户 。 在 新 冠 疫 情 全 球 爆 发 之 际 ， 9 岁 的 Z o o m 迎 来 了 机 会 。 根 据 公 开 数 据 ， 在 创 纪 录 的 一 周 下 载 量 中 ， Z o o m   的 下 载 量 是   2 0 1 9   年 第 四 季 度 美 国 每 周 平 均 下 载 量 的   1 4   倍 。 远 程 办 公 的 热 潮 中 ， 发 力 云 视 频 会 议 的 Z o o m 真 实 地 做 到 了 “ 一 口 吃 成 一 个 胖 子 ” ， 意 气 风 发 莫 过 于 此 。 如 果 没 有 后 面 的 事 ， 大 抵 Z o o m 会 成 为 疫 情 期 间 最 大 的 企 业 赢 家 ， 成 为 一 桩 商 界 美 谈 。 可 惜 ， 没 有 如 果 。 3   月   2 6   日 ， M o t h e r b o a r d 指 出 ， 在   i O S   系 统 下 载 或 打 开   Z o o m   A p p   时 ， A p p 内 嵌 的   F a c e b o o k   S D K 会 向 F a c e b o o k   传 送 用 户 的 手 机 型 号 、 时 区 、 城 市 、 运 营 商 以 及 广 告 唯 一 标 识 符 等 信 息 ， 而   i O S   版 本 的   Z o o m 甚 至 没 有 在 隐 私 条 款 中 提 前 说 明 ， 就 将 用 户 数 据 共 享 给 F a c e b o o k 。 随 后 ， Z o o m 承 认 了 漏 洞 。 3   月   2 8   日 ，   S p a c e X   发 给 员 工 的 一 封 电 子 邮 件 中 要 求 员 工 立 即 停 止 使 用   Z o o m 。 信 中 是 这 么 说 的 ： “ 我 们 知 道 ， 我 们 中 的 很 多 人 正 在 使 用 这 一 工 具 进 行 会 议 。 但 请 使 用 电 子 邮 件 、 短 信 或 者 电 话 作 为 代 替 通 信 的 手 段 。 ” 3 月 3 0 日 ， 美 国 联 邦 调 查 局 （ F B I ） 波 士 顿 办 公 室 发 布 了 关 于   Z o o m   的 警 告 ， 提 醒 大 家 不 要 在   Z o o m   进 行 公 开 会 议 或 者 广 泛 分 享 链 接 ， 甚 至 还 谈 到 此 前 已 经 发 生 了 多 起 身 份 不 明 的 人 入 侵 学 校 网 络 课 程 的 事 件 。 3   月   3 1   日 ， Z o o m   再 次 被 曝 漏 洞 。 W i n d o w s 版   Z o o m   A p p 爆 出 容 易 受 到   N U C   路 径 注 入 攻 击 。 由 于 Z o o m   的 “ 公 司 目 录 ” 下 会 展 示 使 用 同 一 邮 箱 域 名 的 同 事 姓 名 、 头 像 和 邮 箱 ， 导 致 如 果 用 户 用 私 人 邮 箱 注 册 ， 可 能 会 看 到 同 样 使 用 该 邮 箱 域 名 的 陌 生 人 ， 而 攻 击 者 利 用 聊 天 模 块 的 漏 洞 ， 能 够 窃 取 点 击 相 关 链 接 的 用 户 的   W i n d o w s   登 陆 凭 据 ， 允 许 访 问 受 害 者 的 麦 克 风 和 摄 像 机 。
与 此 同 时 ， 美 国 航 天 局 发 言 人 斯 蒂 芬 妮 · 希 尔 霍 尔 茨 也 表 示 ， N A S A   也 已 经 禁 止 员 工 使 用 Z o o m   。 数 据 泄 露 、 安 全 隐 患 、 漏 洞 频 出 … … 让 Z o o m 的 快 速 扩 张 受 到 了 质 疑 声 。 而 来 自 F B I 、 S p a c e X 、 N A S A 的 态 度 ， 让 事 态 进 一 步 恶 化 。 受 安 全 漏 洞 事 件 的 影 响 ， 开 盘 前 Z o o m 股 价 一 度 下 跌 1 6 % 。 开 盘 约 一 小 时 后 ， 股 价 下 挫 逾 7 % 。 C E O 袁 征 （ E r i c   Y u a n ） 出 面 为 漏 洞 事 件 道 歉 。 Z o o m 宣 布 冻 结 新 功 能 。 3 个 月 ， 大 起 大 落 。 最 后 留 下 的 是 Z o o m 对 公 众 的 一 概 承 诺 ： 立 即 冻 结 添 加 新 功 能 ； 立 即 转 移 所 有 工 程 资 源 以 专 注 于 最 大 的 信 任 ， 安 全 和 隐 私 问 题 ； 与 第 三 方 专 家 和 代 表 用 户 进 行 全 面 审 查 ， 以 了 解 并 确 保 Z o o m 所 有 新 消 费 者 使 用 案 例 的 安 全 性 ； 准 备 透 明 度 报 告 ， 详 细 说 明 与 数 据 ， 记 录 或 内 容 请 求 有 关 的 信 息 ； 增 强 当 前 的 漏 洞 赏 金 计 划 ； 进 行 一 系 列 白 盒 渗 透 测 试 ， 以 进 一 步 发 现 和 解 决 问 题 。 漏 洞 事 件 带 来 的 一 系 列 多 米 诺 骨 牌 效 应 ， 最 终 让 Z o o m 囿 于 困 境 。 安 全 漏 洞 对 企 业 的 影 响 安 全 漏 洞 对 企 业 的 影 响 对 于 Z o o m 来 说 ， 这 几 乎 是 魔 幻 与 现 实 并 存 的 3 个 月 ， 而 将 其 从 飞 速 扩 张 的 美 梦 中 叫 醒 的 罪 魁 祸 首 就 是 “ 漏 洞 ” 。 漏 洞 对 于 企 业 来 说 有 多 重 要 ？ 成 也 漏 洞 ， 败 也 漏 洞 。 成 ， 企 业 在 漏 洞 检 测 、 挖 掘 、 管 理 上 形 成 体 系 ， 随 时 随 刻 地 查 “ 漏 ” 补 缺 ， 不 仅 能 够 强 化 企 业 安 全 能 力 ， 保 障 业 务 的 顺 利 开 展 ， 适 当 披 露 已 修 复 的 漏 洞 还 能 增 强 用 户 对 企 业 的 信 任 。 败 ， 可 以 参 考 Z o o m ， 或 者 更 直 接 点 ， 根 据 I B M 的 2 0 1 9 年 数 据 泄 露 成 本 报 告 ， 美 国 数 据 泄 露 的 平 均 成 本 为 8 1 9 万 美 元 。 公 司 平 均 需 要 2 0 6 天 才 能 识 别 出 泄 露 ， 尝 试 解 决 这 些 问 题 则 平 均 需 要 3 8 天 ， 漏 洞 给 企 业 带 来 的 是 直 观 的 高 成 本 代 价 ， 同 时 ， 还 有 一 系 列 信 誉 损 失 、 业 务 难 以 维 系 、 用 户 流 失 等 问 题 。 可 以 说 ， 漏 洞 引 发 的 安 全 问 题 几 乎 成 为 企 业 业 务 开 展 的 生 命 线 。 从 Z o o m 事 件 中 ， 我 们 或 许 应 该 深 入 思 考 如 何 降 低 安 全 漏 洞 对 企 业 的 威 胁 。 1 、 安 全 是 企 业 长 远 发 展 的 根 基 、 安 全 是 企 业 长 远 发 展 的 根 基 为 什 么 Z o o m 在 过 去 9 年 都 没 有 发 现 的 漏 洞 却 在 最 近 1 个 月 里 被 曝 光 。 企 业 在 收 获 用 户 激 增 的 红 利 下 ， 有 没 有 思 考 用 户 量 提 升 后 带 来 的 安 全 问 题 很 重 要 。 在 1 0 0 0 万 用 户 规 模 下 ， 如 果 企 业 认 为 “ 定 期 的 漏 扫 就 足 够 了 ” 、 “ 内 部 能 够 自 己 能 发 现 、 解 决 漏 洞 ” ， 可 一 旦 遇 见 用 户 量 大 跃 升 等 情 况 ， 再 去 做 漏 洞 管 理 就 来 不 及 了 ， 那 些 隐 藏 的 漏 洞 会 被 外 部 （ 记 者 、 安 全 研 究 人 员 、 用 户 等 ） 提 前 发 现 、 披 露 。 显 然 ， 从 1 0 0 0 万 用 户 到 2 亿 用 户 ， 虽 然 Z o o m 做 出 了 一 些 安 全 举 措 （ 删 除 了 i O S 客 户 端 中 的 F a c e b o o k   S D K 、 更 新 了 隐 私 政 策 ） ， 但 显 然 还 不 够 、 来 不 及 。 在 " 致 Z o o m 用 户 的 一 封 信 " 中 提 到 ： 因 为 用 户 数 的 激 增 ， Z o o m   员 工 一 直 都 在 全 天 候 工 作 。 因 为 “ 在 设 计 这 款 产 品 时 并 没 有 预 见 到 ， 在 短 短 几 周 内 ， 全 球 各 地 的 人 们 突 然 紧 急 开 始 在 家 办 公 、 学 习 和 社 交 。 现 在 ， 我 们 有 了 更 广 泛 的 用 户 群 体 ， 他 们 正 以 各 种 意 想 不 到 的 方 式 使 用 我 们 的 产 品 ， 这 给 我 们 带 来 的 挑 战 是 我 们 在 设 计 平 台 时 所 没 有 预 料 到 的 。 ” 因 此 ， 我 们 一 直 强 调 安 全 一 定 是 企 业 业 务 长 远 发 展 的 根 基 。 在 2 亿 用 户 规 模 下 安 全 建 设 很 重 要 ， 1 0 0 0 万 用 户 规 模 下 安 全 建 设 也 不 能 忽 视 ， 让 业 务 从 开 始 就 融 入 安 全 的 理 念 ， 才 能 应 对 突 发 的 威 胁 ， 保 障 业 务 的 长 远 发 展 。
2 、 重 视 漏 洞 全 生 命 周 期 管 理 、 重 视 漏 洞 全 生 命 周 期 管 理 目 前 披 露 的 2 个 Z o o m 漏 洞 是 如 何 披 露 的 ？ 是 媒 体 记 者 、 安 全 研 究 人 员 对 外 发 声 。 这 个 过 程 中 没 有 给 Z o o m 留 下 足 够 的 反 应 和 漏 洞 修 补 时 间 。 漏 洞 的 披 露 暴 露 了 Z o o m 在 漏 洞 管 理 上 的 不 足 。 有 趣 的 是 ， 我 们 发 现 了 2 0 1 9 年 Z o o m 对 于 用 户 上 报 2 个 的 漏 洞 的 处 理 ： 2 0 1 9 年 3 月 2 6 日 ， 漏 洞 被 上 报 给 Z o o m ， 然 后 ， Z o o m 花 了 1 0 天 的 时 间 来 确 认 漏 洞 ， 并 且 “ Z o o m 安 全 工 程 师 不 在 办 公 室 ， 并 表 示 由 于 政 策 ， 即 使 在 漏 洞 被 修 补 后 也 不 能 公 开 细 节 ， 并 拒 绝 提 供 奖 励 。 ” 而 真 正 讨 论 漏 洞 修 补 的 时 间 是 在 2 0 1 9 年 6 月 1 1 日 。 可 以 说 ， Z o o m 在 保 护 客 户 安 全 方 面 不 够 积 极 主 动 ， 而 漏 洞 管 理 中 存 在 的 问 题 也 给 企 业 留 下 了 安 全 隐 患 。 谈 到 漏 洞 的 全 生 命 周 期 落 地 ， 这 并 不 容 易 ， 但 是 企 业 成 长 的 过 程 中 必 须 要 做 的 一 个 事 情 。 生 命 周 期 包 括 了 漏 洞 发 现 、 漏 洞 跟 踪 和 漏 洞 记 录 。 也 就 是 先 发 现 漏 洞 ， 然 后 跟 进 、 修 复 漏 洞 ， 最 后 要 将 各 种 情 况 的 漏 洞 以 及 漏 洞 处 理 措 施 记 录 在 案 。 然 而 ， 由 于 企 业 的 安 全 能 力 有 限 度 ， 仅 仅 依 靠 内 部 的 安 全 团 队 很 难 真 正 地 及 时 发 现 所 有 潜 在 的 漏 洞 （ 这 也 是 出 现 被 攻 击 者 利 用 的 0 d a y 的 主 要 原 因 之 一 ） 。 第 一 步 的 发 现 没 有 做 好 ， 后 续 的 跟 进 与 修 复 自 然 无 法 进 行 。 因 此 ， 随 着 企 业 安 全 建 设 的 不 断 深 入 ， 可 以 拓 展 漏 洞 发 现 渠 道 ， 譬 如 企 业 S R C ( 安 全 应 急 响 应 中 心 ) 、 国 家 信 息 安 全 漏 洞 共 享 平 台 、 第 三 方 漏 洞 提 交 平 台 （ 如 漏 洞 盒 子 等 ） 。 越 来 越 多 的 企 业 开 始 拥 抱 众 测 模 式 ， 通 过 白 帽 子 的 接 入 与 链 接 ， 强 化 企 业 的 安 全 能 力 。 同 时 ， 为 规 范 网 络 安 全 漏 洞 报 告 和 信 息 发 布 等 行 为 ， 避 免 漏 洞 夸 大 披 露 乃 至 被 恶 意 利 用 的 情 况 ， 2 0 1 9 年 我 国 工 信 部 发 布 了 《 网 络 安 全 漏 洞 管 理 规 定 （ 征 求 意 见 稿 ） 》 ， 企 业 落 地 网 络 安 全 漏 洞 管 理 时 可 以 以 此 为 参 考 。 最 后 ， 企 业 还 可 以 适 当 通 过 漏 洞 奖 励 、 强 化 漏 扫 等 手 段 进 一 步 加 强 与 安 全 研 究 / 从 业 人 员 的 交 流 ， 使 其 不 是 简 单 直 接 向 公 众 公 开 披 露 。 * 本 文 作 者 ： 本 文 作 者 ： k i r a z h o u ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理