Сравнение сервисов видеоконференций с точки зрения их безопасности

Повсеместное использование решений для групповой видеосвязи заставляет корпоративных и частных пользователей обращать большее внимание на их безопасность. Мы проанализировали наиболее популярные сервисы видеоконференций и сравнили их между собой с точки зрения защиты от перехвата данных, управления доступом и хранения пользовательской информации.

 

 

 

 

1. Введение
2. Cisco Webex Meetings
3. FaceTime
4. Google Meet
5. GoToMeeting
6. Messenger Rooms
7. Microsoft Teams
8. Slack
9. Webinar Meetings
10. WhatsApp
11. Zoom
12. Сравнение
1. 12.1. Сквозное шифрование
2. 12.2. Защита от несанкционированного доступа к конференциям
3. 12.3. Двухфакторная аутентификация
4. 12.4. Другие факторы
13. Выводы

 

Введение

В последние месяцы сервисы групповых видеочатов, или, как их принято называть в деловом мире, видеоконференций, испытывают взрывной рост интереса пользователей. Ограничения, связанные с пандемией коронавирусной болезни, вынудили компании искать новые возможности удалённых коммуникаций между сотрудниками. И если ранее видеосовещания свидетельствовали о высоком технологическом уровне организации, то теперь использование Zoom, Cisco Webex, Slack или других решений стало насущной необходимостью. Распространение современных технологий видеосвязи не ограничивается коммерческими компаниями — их используют школы, бюджетные и государственные учреждения, спортивные клубы и досуговые центры. Из-за карантина частные лица также стали чаще прибегать к видеообщению вместо реальных встреч.

Однако возросшая популярность решений, обладающих функциями групповой видеосвязи, выявила ряд проблем, связанных с безопасностью подобного рода коммуникаций. Их можно условно разделить на четыре группы:

• Неумение программ безопасно передавать конфиденциальные данные — использовать защищённые каналы и шифрование трафика.
• Отсутствие защиты от несанкционированного подключения к беседе — т. н. «зумбомбинга», действий хулиганского характера, направленных на срыв видеоконференции.
• Наличие в программах известных уязвимостей, которые могут эксплуатироваться злоумышленниками в кибератаках.
• Нехватка правил хранения и использования накопленных персональных данных, отсутствие у пользователей возможности управлять хранением этой информации, другие недостатки политики конфиденциальности.

На основании этих критериев мы проанализировали восемь решений для видеоконференций. Часть из них (Cisco Webex, Slack) ориентирована в первую очередь на бизнес-сегмент, другие, напротив, предназначены для пользовательских видеочатов (FaceTime, WhatsApp). Однако эти границы постепенно стираются: Zoom применяют и для корпоративных совещаний, и для дружеских бесед, а Google и Microsoft изменили стратегию продвижения своих разработок так, чтобы заинтересовать не только компании, но и частных пользователей.

Все данные получены из технических спецификаций продуктов, аналитических обзоров в специализированной прессе и материалов, опубликованных на сайтах вендоров.

 

Cisco Webex Meetings

 

Компания Cisco предлагает систему для групповой работы Cisco Webex Meetings. Приложение позволяет организовывать видеоконференции и обладает рядом дополнительных возможностей. Пользователи могут воспользоваться расшифровкой голоса с формированием субтитров на лету, а также услугами цифрового помощника с искусственным интеллектом.

Cisco Webex Meetings шифрует все коммуникации между приложением и серверами Cisco Webex Cloud, применяемыми для хранения данных. При передаче информации сервис использует протокол TLS 1.2 и криптографические алгоритмы уровня AES 256. После установки соединения Webex Meetings шифрует весь передаваемый медиапоток (голос, видео, демонстрацию экрана и общие документы) в рамках протокола UDP с применением 128-битного симметричного алгоритма. Для проверки подлинности и целостности данных датаграммы применяются коды HMAC (Hash-based Message Authentication Code).

В качестве опции доступно сквозное шифрование данных. В этом режиме работы данные не расшифровываются в облаке, а передаются в закодированном виде непосредственно получателю. Отметим также, что Cisco Webex Meetings поддерживает многофакторную аутентификацию, а права участников конференции могут быть настроены в рамках ролевой модели сервиса.

К недостаткам решения в сфере безопасности и приватности можно отнести невозможность управления данными о пользователе, хранящимися на серверах Cisco. При этом пользователь имеет возможность удалить сведения о себе с локального устройства.

В системе периодически находят баги, влияющие на безопасность. С начала 2020 года в различных компонентах Cisco Webex Meetings обнаружили три уязвимости, одна из которых была классифицирована как опасная (CVSS score 7,5). Баг позволял злоумышленнику присоединиться к защищённой паролем видеоконференции. Разработчик уже исправил эту ошибку.

 

FaceTime

 

Проприетарное приложение для групповых звонков, которое наиболее удобно для организации небольших видеоконференций, все участники которых используют мобильные устройства Apple. Это — решение не корпоративного, а скорее пользовательского класса, не обладающее широкими сервисными возможностями. Тем не менее разработчики уделили определённое внимание вопросам безопасности и приватности, реализовав в программе следующие функции:

• Сквозное шифрование данных с применением 256-битных алгоритмов по протоколу SRTP.
• Двухфакторная аутентификация в рамках экосистемы iOS.
• Управление персональными данными в соответствии с политикой конфиденциальности Apple. Пользователь может удалить свои данные с серверов Apple и мобильного устройства.

В январе 2019 года в FaceTime нашли уязвимость, которая позволяла киберпреступнику получать доступ к камере и микрофону устройства, выполнив некоторый набор действий во время исходящего звонка. При этом жертва могла даже не отвечать на вызов злоумышленника. Однако в целом в приложении выявлено относительно немного багов. В 2019 году стало известно о трёх уязвимостях, а с начала 2020 года зарегистрирована лишь одна ошибка среднего уровня опасности.

 

Google Meet

 

С мая 2020 года компания Google открыла бесплатный доступ к сервису видеоконференций Google Meet. Ранее эта функциональность была доступна лишь абонентам набора бизнес-приложений G Suite. Сервис позволяет организовывать конференции численностью до 100 человек, причём до 30 сентября 2020 года они не будут ограничены по времени. Для участия в групповом видеочате необходим аккаунт Google; разработчики объясняют это требование желанием обезопасить пользователей от вторжения в эфир анонимов, т. н. «зумбомбинга».

Google заявляет, что все коммуникации между клиентом и облачными серверами шифруются. По сообщению разработчиков, сервис поддерживает стандарты безопасности IETF для Datagram Transport Layer Security (DTLS) и Secure Real-time Transport Protocol (SRTP). В решении также доступна двухфакторная аутентификация нескольких типов.

В программе реализован ряд ограничений для внешних участников, подключающихся к конференции через код встречи. Вход таких пользователей в конференцию должен быть одобрен администратором, а само подключение становится доступным лишь за 15 минут до начала собрания. Управление пользовательской информацией реализовано в рамках стандартной политики конфиденциальности для продуктов Google и допускает удаление информации как с сервера, так и с клиентского устройства.

Тем не менее Google Meet не поддерживает сквозное шифрование данных, что оставляет злоумышленникам возможность перехвата информации.

 

GoToMeeting

 

Компания LogMeIn, являющаяся дочерним подразделением Citrix, разрабатывает сервис GoToMeeting. Решение позволяет подключать к конференции до 250 человек, однако только 25 из них могут общаться в видеорежиме. Программа даёт участникам возможность транслировать экран монитора или смартфона, а также поддерживает технологию Multistream HD, улучшающую качество изображения. Разработчик выпустил мобильные версии продукта, а также десктоп-варианты для PC и Mac.

GoToMeeting передаёт сигнал по защищённому протоколу TLS 1.2 с шифрованием AES-256, а также поддерживает сквозное шифрование. Система имеет гибкие настройки доступа к контенту, которым делятся участники встречи. Владелец файлов может установить ограничение для отдельных пользователей, а также задать время доступности объекта.

Чтобы предотвратить появление в беседе нежелательных лиц, разработчики программы добавили функцию MeetingLock, препятствующую входу в конференцию любых участников, кроме уже подключённых. Также организатор встречи может защитить её паролем, который необходимо ввести, чтобы присоединиться по ссылке. Аккаунты пользователей GoToMeeting в рамках одной организации могут быть синхронизированы с записями Active Directory. Программа поддерживает двухфакторную аутентификацию.

Последняя зарегистрированная в базе данных MITRE уязвимость GoToMeeting датируется 2014 годом.

К недостаткам решения можно отнести отсутствие информации об управлении данными пользователей, хранящимися на серверах разработчика. При этом сведения на стороне клиента могут быть удалены по желанию владельца приложения.

 

Messenger Rooms

 

Весной 2020 года Facebook представила новое решение для видеоконференций — сервис Messenger Rooms. Программа не ограничивает продолжительность группового видеозвонка и позволяет подключать к беседе как пользователей Facebook, так и тех, кто не имеет аккаунта в этой социальной сети.

В видеоконференции могут участвовать до 50 человек. Разработчики не позиционируют Messenger Rooms как бизнес-решение — функции совместной работы над документами здесь отсутствуют, зато доступны эмодзи и динамические маски. Тем не менее при работе с десктоп-версией возможна демонстрация экрана. Сервис интегрирован с другими продуктами Facebook — новую «комнату» можно создать не покидая социальной сети или при помощи WhatsApp.

Функции шифрования данных в Messenger Rooms совпадают с Facebook Messenger. Это значит, что несмотря на передачу информации по защищённым каналам в решении нет сквозного шифрования контента. Для пользователей Facebook доступна многофакторная аутентификация, однако внешние участники видеоконференции могут получить доступ к ней по ссылке, указав лишь своё имя.

Messenger Rooms не имеют комнаты ожидания, позволяющей администратору одобрять участников видеочата. Вместо этого создатель видеоконференции может сделать её закрытой, однако тогда пользователи не смогут присоединиться к ней после начала беседы. Существенным недостатком приватности является также отсутствие пароля для доступа к групповому видеозвонку. Возможно, это — всего лишь проблемы роста, связанные с быстрым выводом приложения на рынок, которые будут исправлены в будущих версиях Messenger Rooms.

 

Microsoft Teams

 

Корпоративный сервис для совместной работы Microsoft Teams позволяет проводить видеоконференции, а также предоставляет их участникам дополнительную функциональность — быстрый доступ к файлам Office, обмен слайдами, интеграцию с другими приложениями. Сервис поставляется как веб-версия с доступом через браузер или отдельные приложения для различных платформ. Для полноценной работы требуется регистрация, однако существует возможность гостевого доступа к конференциям.

Microsoft Teams требует обязательного использования защищённого соединения и применяет протокол SRTP для передачи данных. Авторизация пользователей соответствует требованиям спецификаций OAuth, а контент дополнительно шифруется 256-битным AES-алгоритмом. Сервис поддерживает многофакторную аутентификацию, а также использует средства Advanced Threat Protection (ATP) для контроля действий приложений, безопасности ссылок и блокировки передачи вредоносных файлов.

Функции безопасности также включают комнаты ожидания, гибкое распределение прав участников конференции на основании ролевой модели, ограниченный гостевой доступ. Все данные Teams хранятся в распределённых дата-центрах Microsoft, и администратор системы видит, в каком регионе расположены серверы, обрабатывающие информацию конкретного приложения. Сервис предоставляет пользователю возможность удалить накопленные данные о себе как с локальных устройств, так и с серверов Microsoft.

К недостаткам безопасности Microsoft Teams можно отнести отсутствие сквозного шифрования данных. Весной этого года в решении обнаружили баг, эксплуатация которого могла привести к взлому пользовательского аккаунта через вредоносный GIF-файл.

 

Slack

 

Корпоративный мессенджер Slack реализует функцию групповых видеочатов как через собственную функциональность, так и при помощи интеграции с Zoom, Microsoft Teams, Cisco Webex и другими сервисами. Приложение является своего рода корпоративным стандартом совместной работы над проектами, позволяя составлять планы, редактировать документы и создавать каналы для общения различных команд.

Стандартные видеоконференции Slack обладают следующим набором функций для обеспечения безопасности:

• Обмен трафиком между клиентом и сервером по защищённому каналу с использованием TLS 1.2.
• Шифрование медиатрафика с помощью SRTP через обмен ключами DTLS-SRTP, а всего остального трафика — через DTLS.
• Подключение к видеоконференции возможно только по приглашению либо при наличии адреса электронной почты на корпоративном домене.
• Решение соответствует международному стандарту безопасности SOC2.

Не лишён корпоративный мессенджер и недостатков:

• Отсутствует сквозное шифрование данных.
• Нет возможности удаления персональных данных с серверов разработчика и клиентских устройств.
• В Slack периодически находят уязвимости. В 2019 году создатели сервиса были вынуждены сбросить пароли части пользователей из-за утечки данных, произошедшей несколько лет назад.

 

Webinar Meetings

 

Российский сервис для онлайн-встреч и распространения знаний Webinar Group добавил в свою экосистему новый продукт — решение для видеоконференций Webinar Meetings. Помимо встреч с количеством участников до 100 человек продукт обеспечивает удобную совместную работу: позволяет демонстрировать экран или видеопоток с YouTube и Vimeo, а также офисные документы в оригинальном качестве. Разработчики добавили в него средства для мозговых штурмов, опросы, а также интерактивную систему анализа вовлечённости участников беседы.

На момент написания материала сервис находился в стадии закрытого тестирования и собирал заявки для предоставления бесплатного доступа. Система функционировала в виде веб-приложения, однако разработчики обещали выпустить мобильное приложение, а также программы для Windows и macOS.

Webinar Meetings обладает широкими возможностями контроля доступа пользователей к конференции. Среди них — доступ по уникальной ссылке, вход по которой возможен только для одного участника, возможность установить предварительную модерацию с одобрением доступа администратором мероприятия и установка пароля для входа. Планируются поддержка SSO через корпоративную учётную запись и ограничение регистрации по определённому домену.

Взаимодействие пользователя с сервисом и всё межсервисное взаимодействие осуществляются в зашифрованном виде с помощью протокола TLS 1.2+ (AES-128, AES-256). Для корректной работы устаревших, но всё ещё используемых версий браузеров возможна поддержка протоколов TLS 1.1, TLS 1.

Пользователь может управлять основной информацией о себе: изменять или удалять имя, фамилию, организацию, электронный адрес, телефон, пароль. Остальную информацию можно получить по запросу, изменить или удалить из базы сервиса. Кроме того, участник может отозвать согласие на обработку своих персональных данных.

Среди недостатков сервиса можно отметить отсутствие сквозного шифрования данных.

 

WhatsApp

 

Один из самых популярных мессенджеров с аудиторией более 2 млрд пользователей недавно увеличил лимит количества участников групповых звонков до 8 человек, что позволяет рассматривать приложение в качестве инструмента для проведения видеоконференций. WhatsApp не обладает рядом функций, присутствующих в бизнес-решениях — в нём нельзя поделиться изображением с экрана и отсутствуют средства совместной работы над документами. С другой стороны, мессенджер позволяет быстро организовать видеочат с пользователями, внесёнными в список контактов на телефоне, что делает его удобным для коротких оперативных совещаний.

Существенным преимуществом групповых видеозвонков в WhatsApp является сквозное шифрование передаваемой информации. Таким образом, никто кроме участников видеоконференции не сможет получить доступ к содержанию беседы. Дополнительно каждый чат имеет собственный код верификации, который позволяет участникам беседы убедиться, что она защищена.

WhatsApp поддерживает двухфакторную аутентификацию. Пользователь может управлять своей персональной информацией, хранящейся на серверах и локальных устройствах.

К недостаткам безопасности конференций в WhatsApp можно отнести отсутствие комнаты ожидания, но поскольку в групповой видеозвонок можно добавить только пользователей из адресной книги, это нельзя назвать существенной проблемой.

Если пользователь WhatsApp захочет подключить к видеочату более 8 человек, приложение переведёт звонок в другое решение, принадлежащее Facebook — Messenger Rooms. Сквозное шифрование данных при этом поддерживаться не будет.

 

Zoom

 

В период пандемии коронавирусного заболевания Zoom из перспективного новичка превратился в лидера индустрии — фактический стандарт видеоконференций. Этому способствует мультиплатформенность сервиса: Zoom существует в формате десктоп-программы, расширений для браузеров, плагинов для почтовых платформ, мобильных приложений. Кроме того, любой желающий может присоединиться к конференции или организовать виртуальную встречу по ссылке в браузере, не устанавливая на свое устройство дополнительных утилит.

С точки зрения безопасности Zoom предоставляет пользователю следующий набор возможностей:

• Передача данных по защищённому HTTPS-соединению.
• Шифрование передаваемых данных 256-битным алгоритмом AES GCM.
• Аутентификация пользователя при помощи логина и пароля или технологии единого входа (SSO).
• Ограничение доступа к конференции по паролю.
• Комнаты ожидания для участников, которые позволяют организатору видеоконференции не допускать непроверенных участников.

Тем не менее решение содержит ряд недостатков, которые могут повлиять на его безопасность. Так, на момент написания статьи Zoom не обеспечивает сквозного шифрования данных. Разработчики планируют добавить соответствующую функциональность в будущие версии своей платформы и даже приобрели для этих целей компанию Keybase. Первоначально создатели сервиса заявляли, что дополнительная защита будет доступна только платным подписчикам Zoom, однако позже изменили своё решение.

Кроме того, ИБ-специалисты регулярно выявляют в Zoom уязвимости, часть из которых могла стать причиной утечек данных. В апреле этого года исследователи обнаружили, что в ряде случаев сервис использует более слабое 128-битное шифрование контента, а ключи безопасности передаёт через серверы, расположенные в Китае.

Zoom не предоставляет пользователю возможностей удаления данных о себе из хранилищ сервиса, однако позволяет управлять информацией на стороне клиента.

 

Сравнение

Для удобства мы свели основные параметры, касающиеся безопасности приложений для видеоконференций, в общую таблицу.

 

Обращаем внимание, что сведения о количестве уязвимостей приведены по результатам поиска в базе данных MITRE. Их число может лишь косвенно свидетельствовать о безопасности решения, поскольку часть вендоров имеет собственные реестры регистрации уязвимостей. Необходимо также учитывать, что баги имеют разный вес и зачастую одна критическая ошибка гораздо опаснее, чем несколько мелких недочётов.

Анализ безопасности программ для видеоконференций обозначил следующие важные моменты, на которые необходимо обращать внимание при выборе того или иного решения.

 

Сквозное шифрование

Технология сквозного шифрования надёжно защищает передаваемую информацию от кражи, поскольку декодирование пакетов данных происходит только на клиентском устройстве. Она скрывает данные видеочатов не только от злоумышленников, но и от государственных ведомств и самих разработчиков решения.

В отличие от обычных видеозвонков, реализация сквозного шифрования в многопользовательских видеочатах сопряжена с рядом сложностей. Возможно, именно поэтому далеко не все создатели представленных в обзоре систем реализовали её в своих разработках. Шифрование по принципу «end-to-end» поддерживают Cisco Webex Meetings, GoToMeeting, FaceTime и WhatsApp, а создатели Zoom и Messenger Rooms планируют включить эту функциональность в будущие версии продуктов. Остальные разработчики пока ограничиваются шифрованием информации при передаче и использованием защищённых каналов связи.

 

Защита от несанкционированного доступа к конференциям

Использование групповых видеозвонков в бизнесе заставило внимательнее взглянуть на вопросы недопущения сторонних пользователей к беседам. Проблема не имеет единого простого решения, поскольку создателям приложений приходится искать баланс между возможностью подключения к чату внешних незарегистрированных пользователей по ссылке и борьбой с нелегитимным доступом, хулиганскими или мошенническими действиями в отношении участников беседы.

Каждый вендор выбрал свой путь. Например, в Messenger Rooms разработчики отказались от паролей на конференции, однако предоставили администраторам видеочатов большой выбор настроек доступа и вариантов видимости. Zoom, Microsoft Teams, Google Meet, Webinar Meetings и Cisco Webex Meetings имеют специальные «комнаты ожидания» для премодерации доступа к беседе. Slack жёстко ограничивает возможность подключения к конференции пользователей вне рабочей группы или корпоративного домена, WhatsApp и FaceTime ориентированы в первую очередь на общение в пределах адресной книги пользователя. В решении GoToMeeting «комнаты ожидания» присутствуют только в конференциях, которые закрыты при помощи функции MeetingLock.

 

Двухфакторная аутентификация

В той же плоскости лежит и вопрос применения надёжных методов аутентификации пользователей. Двухфакторная, или, точнее, многофакторная аутентификация позволяет не допустить несанкционированного доступа к видеоконференции через взлом аккаунта одного из участников.

Из рассмотренных нами решений двухфакторная аутентификация отсутствует только в Zoom, однако в ряде разработок (Google Meet, FaceTime) она выполнена как функция связанной с продуктом экосистемы, а не как часть самого приложения. В этом случае, авторизовавшись в основном аккаунте, пользователь уже не проходит дополнительную проверку при входе в систему видеоконференций.

 

Другие факторы

Для корпоративных и частных пользователей некоторые факторы безопасности решений для видеоконференций будут иметь разный вес. Поэтому при выборе продукта для использования в бизнесе, возможно, стоит обратить большее внимание на работу вендора с выявленными уязвимостями. Абсолютное количество найденных багов тоже имеет значение, однако для организаций важно понимать, насколько быстро и адекватно разработчики реагируют на проблемы. Для частных лиц этот вопрос также важен, однако им, возможно, интереснее будет знать, как создатели решения распоряжаются накопленными пользовательскими данными и можно ли самостоятельно управлять этой информацией.

 

Выводы

Разработчики продуктов для организации видеоконференций уделяют значительное внимание обеспечению безопасности своих решений, однако исповедуют разные подходы к этому вопросу. Выбор инструментов для защиты передаваемых данных и обеспечения конфиденциальности беседы зачастую зависит от сегмента рынка, на который ориентирован продукт. Приложения для общения нескольких частных пользователей уделяют большое внимание сквозному шифрованию данных, но не всегда обладают расширенными средствами контроля доступа. Системы, ориентированные на корпоративный сегмент, напротив, чаще всего имеют «комнаты ожидания», а также возможность премодерирования доступа к конференции. При этом сквозное шифрование часто заявлено как опция или реализовано с ограничениями.

Выбирая систему для видеоконференций, разумно определить, какие критерии безопасности являются для вас наиболее значимыми, а какими можно пренебречь. Сведения, собранные нами в этом материале, могут стать отправной точкой для понимания основных аспектов безопасности применительно к подобным продуктам.