Přestože na platformu Zoom byly vydány opravy zranitelností, útoky neustále přetrvávají, nakolik mnoho uživatelů si aplikaci neaktualizovalo.
Zavádění každé technologie, která má být přístupná z vnějšího prostředí do organizace, s sebou přináší také změny v konfiguraci a nastaveních infrastruktury. Nejvýznamnější změny probíhají na perimetru organizace ve firewallech a jiných ochranných prvcích. Administrátoři často povolují výjimky v pravidlech, která jdou na úkor bezpečnosti. Otevírání specifických portů i běžných protokolů jako RDP (kde v posledních týdnech pozorujeme nárůst otevřených RDP protokolů) a VNC a jejich nedostatečné zabezpečení otevírají cestu útočníkovi dovnitř organizace. Slabiny mohou vzniknout i chybnou implementací samotného videokonferenčního řešení, instalací neaktualizovaných verzí nebo nedostatečným zabezpečením serveru, což může vést nejen k jeho kompromitaci, ale ik průniku útočníka do ostatní infrastruktury společnosti.
< /div>
Administrátoři si také často usnadňují tím, že otevřou komunikaci na IP adresu na všechny porty, na které je umístěno videokonferenční řešení, aby nemuseli hledat specifické porty, přes které řešení komunikuje. Takový postup dokonce některá řešení přímo vyžadují. To však vede k velkému riziku a při implementaci by se to nemělo nikdy stát – ať už otevírat všechny porty nebo implementovat řešení, které vyžaduje otevření velkého množství portů.
DoS a DDoS útoky
Dalším způsobem, jak narušit nebo zcela zamezit průběhu videokonferenčního hovoru, je útok na samotný provoz probíhajícího videokonferenčního hovoru. Útočník může zvolit několik možností – útočit na infrastrukturu oběti přímo nebo útočit na infrastrukturu poskytovatele internetu, na které videokonferenční hovor probíhá.
řešení
Většina aplikací, které slouží pro videokonferenční hovory (např. Zoom, Webex, Skype), poskytují ve většině jen možnost cloudového provozu, tedy bez nutnosti vlastnit infrastrukturu k provozování takové služby. Cloudové řešení videokonferenčních hovorů je velkým lákadlem, jelikož z provozního hlediska jde o levné řešení, z pohledu uživatele je výhodou rychlost a jednoduchost používání. Cloudový způsob provozu však má i své značné nevýhody – diskrétnost rozhovorů nemůže být nikdy zaručena, jelikož provoz zajišťuje externí provozovatel, který může jednotlivé hovory nahrávat a ukládat. Útoky na cloudové služby nejsou také ničím výjimečným – čím je služba používanější, tím je lákavějším cílem pro útočníky.
Doporučení pro bezpečnost videokonferencí
Videokonferenční systémy usnadňují práci a mohou být vhodným nástrojem pro udržení efektivity práce. Avšak nezabezpečené videokonference na rizikových platformách s sebou přinášejí velké bezpečnostní riziko. Proto Národní centrum kybernetické bezpečnosti SK-CERT doporučuje:
- Pro videokonferenční hovory používejte známý software s dobrou reputací as adekvátními prvky bezpečnosti, jako je například šifrování síťové komunikace, dvoufaktorové ověření totožnosti při přihlašování a podobně
- Zejména v případě veřejné správy nedoporučujeme používat aplikaci Zoom. Doporučujeme použít jiné, bezpečnější alternativy
- Používejte pouze aktualizovaný software a v případě vydání bezpečnostních aktualizací neodkládejte jejich instalaci
- Každý videokonfereční hovor chraňte komplexním a obtížně uhodnutelným heslem. Nepoužívejte stejné heslo ve více videokonferenčních hovorech
- Ověřujte každého účastníka videokonference, nejlépe kontrolováním a řízením vstupů do prostředí videokonference (funkce „čekárny“)
- Videokonference nastavujte jako soukromé a ne veřejné
- Nesdílejte odkaz na videokonferenci veřejně prostřednictvím sociálních sítí a podobně, odkaz sdílejte pouze s konkrétními lidmi, kteří se mají videokonference zúčastnit
- Chcete-li s účastníky telekonference komunikovat citlivé údaje, dělejte to tak, abyste části informací a část řekli během hovoru a druhou část odeslali ve zprávě přes jinou aplikaci
- Máte-li jakékoli podezření na kompromitaci videokonference, případně se vaše zařízení chová zvláštně, neprodleně o tom informujte svého zaměstnavatele a osobu, která je ve vaší organizaci zodpovědná za kybernetickou a informační bezpečnost
/>
Vzhledem k faktu, že ne všechny společnosti měly zavedenou práci z domova, nemají ani vypracované bezpečnostní směrnice a nařízení, jak k home office přistupovat z bezpečnostního hlediska.