Periodista holandés se filtra en una reunión "secreta" de ministros Defensa Europeos

Gracias a una foto publicada en Twitter, el periodista pudo ver la URL de la reunión que contenia cinco de los seis dígitos del código PIN y pudo adivinar el que faltaba. La reunión de alto secreto de ministros Europeos. Los ministros Europeos utilizan el sistema de videoconferencia Zoom, famoso en el mundo entero por seguridad, imaginamos para que directamente los chinos puedan escuchar sus conversaciones "secretas" en riguroso directo. Así es la seguridad de Zoom.

• Un periodista holandés se cuela en una reunión virtual secreta de ministros de Defensa de la UE
• Lo verdaderamente preocupante es que en la URL aparezcan usuario y contraseña, no que se publique una foto de una videoconferencia en twitter, pero eso no parece preocuparle a nadie... 

​El periodista ingenioso logró hackear la videoconferencia cerrada en Zoom tras captar el perfil y mayor parte de la contraseña para la reunión virtual en una foto que había publicado en su cuenta de Twitter la ministra de Defensa de los Países Bajos, Ank Bijleveld.

"¿Sabe que está entrando en una conferencia secreta?", le dijo Josep Borrell, responsable de política exterior de la Unión Europea a Daniël Verlaan, periodista holandés de RTL Nieuws. "¿Sabes que es una ofensa criminal? Mejor desconéctate rápido antes que llegue la policía". La amenaza vino por la inesperada aparición del periodista en una videollamada entre los ministros de defensa de la Unión Europea.

Ank Bijleveld, ministra holandesa de Defensa publicó una imagen en su cuenta de Twitter donde aparecían algunos de los dígitos necesarios para la reunión. Desde el ministerio de Defensa holandés explican a RTL que un miembro del equipo publicó accidentalmente la imagen.

Tras varios intentos, RTL logró adivinar el código PIN de la videollamada secreta. No resultó tan difícil, pues cinco de los seis dígitos del código PIN eran visibles en una foto publicada por la ministra de Defensa holandesa en Twitter. 

"Esto demuestra una vez más que los ministros deben darse cuenta del cuidado que hay que tener con Twitter", explicaba el propio Primer Ministro holandés, Mark Rutte.


La aparición del periodista tiene su punto cómico, pero pone en evidencia las serias dudas sobre la seguridad de estas reuniones al más alto nivel de la Unión Europea. 

El error se produjo cuando la ministra o bien alguien de su equipo cercano publicó en Twitter una captura de imagen en la que se podían ver cinco de los seis dígitos de la clave para poder entrar en la videoconferencia de ministros de Defensa europeos. La foto fue eliminada rápidamente, pero a Daniël Verlan, un periodista especializado en tecnología para la holandesa RTL News, ya los había anotado y no tuvo ningún problema para entrar en la videoconferencia.

Seguridad en Zoom
Por ejemplo, Google ha prohibido a sus empleados usar este sistema de conexión por videollamada. Esto es lógico, porque Google tiene su propio sistema y es un poco absurdo usar una aplicación de la competencia que usa servidores en China.  Pero cuando otras compañías como SpaceX, y la NASA han hecho lo mismo, da que pensar.  Apple sólo permite a sus empleados usar Slack, Cisco WebEx / Jabber, a parte de la suya propia FaceTime, claro. El FBI, CNI y Los Mossos d'Esquadra, entre muchos otros, han advertido de su uso (básicamente utilizar últimas versiones).  Pero también prohibición de su uso en escuelas de la ciudad de Nueva York y de Singapur. También el veto por parte del Gobierno de Taiwan, ya que  han vetado su uso en todas las agencias gubernamentales o el senado de Estados Unidos. El ministerio de Exteriores Alemán ha restringido la utilización de la plataforma a los ordenadores con conexión fija, según informa Reuters. El Senado de Estados Unidos ha pedido a sus miembros y a su personal que no usen sus servicios, según adelantó Financial Times. También el departamento de Educación de la ciudad de Nueva York comunicó esta semana a los colegios que deben dejar de emplear Zoom cuanto antes. 

Esta crisis llevó a Zoom a desarrollar un plan urgente de 90 días para reforzar sus protocolos de seguridad y privacidad. Como parte de este plan, la compañía ha creado un comité de asesores del que forman parte expertos de Netflix, Uber, HSBC y NTT Data, entre otros. También ha fichado como asesor externo al ex director de seguridad de Facebook, Alex Stamos, para que le ayude a resolver los problemas a los que se enfrentan.  

Actualmente no es posible habilitar la encriptación E2E (de extremo a extremo) para las reuniones de vídeo de Zoom. Las videoconferencias de Zoom utilizan una combinación de TCP y UDP. Las conexiones TCP se hacen usando TLS y las conexiones UDP se encriptan con AES usando una clave negociada sobre una conexión TLS.

• Zoom no cifraba de extremo a extremo sus videollamadas (solucionado a medias)
• Zoom dice de que no cifrará de extremo a extremo las videollamadas para los usuarios suscriptos al servicio gratuito y que sólo lo hará en el caso de usuarios suscriptos a planes pagos.
• Para acabar de arreglar lo de arriba, Zoom utiliza servidores ubicados en China, incluso en una videollamada de Bostón a los Angeles acaba pasando por Pekin, según un estudio Citizen Lab de la Universidad de Toronto. (Zoom dice que es un error) 
• Zoom dice que usan cifrado "AES-256” pero en realidad usan "AES-128" en modo ECB
• La aplicación de Zoom para iOS compartía la ubicación y otros datos con Facebook sin permiso (solucionado)
• Exploit zero-day para el cliente Zoom en Windows con RCE incluído (ya solucionado)
•  ZoomBombing o Zoom Raid —mediante el cual un actor malintencionado se cuela en las videoconferencias grupales utilizando el ID de la reunión virtual o un enlace que se haya hecho público para acceder a la misma (ya solucionado)
• Cuentas Zoom vendidas en DarkWeb
• Zoom estaba filtrando direcciones de correo y fotografías de miles de usuarios, permitiendo que desconocidos puedan llamarlos a través de la herramienta. El problema radica en la función “Directorio de la compañía”,
• Zoom era vulnerable a un fallo denominado “UNC path injection".  Al hacer click por el chat, enviase al atacante el hash NTLM de su contraseña Windows. (arreglado)
• Zoom permitía vincular participantes son perfiles de LinkedIn, minería de datos que recolectaba nombres de usuario y direcciones de correo para vincular a los participantes con sus perfiles de LinkedIn. (función ya deshabilitada)
• Falsos instaladores de Zoom contenían malware (eso es prácticamente normal al ser una aplicación muy popular).
  

Dos nuevas vulnerabilidades críticas en Zoom encontradas en Mayo-Junio. Las dos vulnerabilidades en la app de Zoom permitirían a un atacante ejecutar código en el equipo de la víctima a partir del envío de  mensajes especialmente diseñados a través del chat.  Estas nuevas vulnerabilidades encontradas por el equipo de Cisco Talos (CVE-2020-6109 y CVE-2020-6110) podría ejecutar código malicioso al escribir o plantar archivos arbitrarios, los cuales permiten al atacante hacer modificaciones en el sistema .


Fuente:
https://www.xataka.com/seguridad/cuando-fallo-seguridad-que-ministra-publique-foto-que-se-ve-clave-acceso-pin-url