Zoom全学ライセンスにおけるセキュリティとプライバシーについて

(English information will appear soon)

文責：情報環境機構 情報環境支援センター（オンライン化支援窓口）

最新の状況

• ZoomにおいてE2EE (End-to-End Encryption)が7月頃よりサポートされるという情報が出ています。(関連記事)
• Zoom 5.0が公開されました。5/30以降は古いバージョンは利用できなくなりますので、早急にアップデートをお願いいたします。(関連記事)
• Zoomの偽ダウンロードサイトにご注意ください (関連記事)
• Zoomで350以上のアカウントのパスワードが流出しているというニュースが出ています。他のSNSなどとパスワードを使いまわしているものが該当しているのではないかと推測しますが、京都大学においても、全学アカウント連携（Google）の認証を利用せずにZoomに直接パスワードを登録したことがある方は、そのパスワードで引き続きログインできる状態になっていますので、パスワードはZoomサイトに残り続けます。必ず、パスワードの使いまわしになっていないかを確認し、使いまわしになっている場合は同じパスワードを利用しているサイトを含めたパスワードの変更などの対処を至急お願いいたします。 (https://www.securitynewspaper.com/2020/04/08/hackers-leak-zoom-accounts-usernames-passwords-full-names-and-email-addresses/)
• 全学ライセンス下のユーザーについても、今後ミーティングパスワードの設定が必須となります。これによりいわゆるZoom Bombing問題のリスクが低減されますが、ミーティングの周知方法を再度確認してください (4/6)

セキュリティ＆プライバシーに関する考え方

危険性の分類

現在取り沙汰されている危険性には、以下のタイプがあると考えています。

1) システム実装上の問題(ビデオ会議機能に直接関わらないZoom特有のもの)

• Mac OSのCVE-2019-13567（昨年対応済み）
• WindowsのUNC Path問題（4/3対応済み）
• Facebookへの情報送信問題（3/27対応済み）
• Mac OSのインストール監視機構回避の問題（4/3対応済み）

2) ビデオ会議システム設計上の問題(Zoomに限定されないもの)

• ミーティングの妨害（いわゆる Zoom Bombing）問題
• ミーティングの秘匿性（通信の暗号化）に関する問題

3) ビデオ会議システムの利用方法に関する問題

• カメラやマイクからの意図しない映像・音声の情報漏洩（意図しない情報の送信）
• 画面外の第３者(家族など)の存在による情報漏洩（受信情報に対するアクセス制限の不徹底等）

これら危険性に対する考察と対策

指摘されているセキュリティ上の問題に対して、Zoom社による対応が比較的迅速に行われている状況に鑑み、現時点では大学における一般的な講義をオンライン化する上での利用において、直ちにZoomの利用を停止しなければならない段階ではないと考えますが、トラブル発生に備えて皆様にも以下の点に注意しながら利用して頂きますようをお願い致します。（Zoom社は4月から90日間、新機能の追加を停止しセキュリティとプライバシーの問題の改善に専念することを宣言しています(4/1)）。

1) システム実装上の問題

現時点でユーザに知られずに不正アクセスや情報漏洩が発生するような問題は起きておらず、Zoomの利用をすぐに停止すべき状況ではないと判断しています。 同様の脆弱性はZoomに限らず存在する可能性があるため、同様のアプリケーションの利用の際には

• アプリケーションを常に最新にしておく
• パスワードなどの使い回しをしない
• 管理者権限を持たないアカウントでアプリケーションを起動する
• アプリケーションを利用する端末には機密性のあるデータを保存しておかない

といった配慮をお願いいたします。

パスワードについて

Zoomで扱うパスワードには2種類あります。使い分けに十分注意をお願いします。

• Zoomへのサインインの際に使用するパスワードは、個人アカウントに対応するパスワードです。当然使い回しは禁止です。
• ミーティングルーム予約時に設定するパスワードは、接続情報として参加者に周知するものです。漏洩がない限り、開講期間を通して同じパスワードを利用しても構いません。もちろん、自分のサインインパスワードを入力してはいけません。

2) ビデオ会議システム設計上の問題

ミーティングの妨害問題

ミーティングの妨害（いわゆるZoom Bombing）問題は、他のテレビ会議システムなどと同様に接続方法が公開されていることと、多数の（多様な）の参加者がいるために、アカウントを持たない利用者が容易にミーティングルームに参加できるようにておきたいという利用形態上の要求などから、認証等による参加者の制限が難しく、対策が容易ではありません。

妨害の機会を減らすための対策の一つとして、Zoom社により、個人アカウントでミーティングパスワードを必須とする仕様変更がおこなわれたことから、全学ライセンス下でのユーザーにおいてもミーティングパスワードを必須とすることにしました。これにより、ある程度リスクが軽減されると考えています。

ミーティングパスワードが設定されているミーティングルームの情報を参加者に伝える場合には、

• パスワード情報のついたURL (URLの末尾に付随する「pwd=ABCDEFG…」のような記述がパスワード情報）

とともに、

• ミーティングIDとパスワードの組

についても併せて通知して頂く配慮をお願い致します。（通知を受け取った端末とは異なる端末からミーティングに参加したい場合への配慮。）

一方、正当な参加者による不適切なコンテンツ共有については、双方向型のオンラインミーティングシステム全体の本質的な問題も含むため、引き続きZoom社側の対応状況を見ながら慎重な運用を行うのが適切と考えていますが、現時点で提供されている機能については以下の点について注意しながらご利用頂きますようお願い致します。

• ミーティングルームへの接続情報（URL、ミーティングIDおよびパスワード）を学外の誰もが見られる状態で公開しない
  • SNS等で公開しないように学生等にも指導をお願い致します。
• パーソナルミーティングIDは利用しない、可能であればミーティングIDは毎回異なるものを利用する
• ミーティング中に参加者に特別な権限を与える必要がある場合は、できるだけ最小限とし、問題が発生した場合はすみやかに制限をかける準備をしておく
  • アカウント設定のみで制限できる機能
    • チャットでのファイル送信（許可する拡張子の指定）
  • アカウント設定に加え、会議開始後にホスト権限で制限可能な機能
    • 画面共有
    • 画面共有時のコメント（注釈）
    • 参加者間のチャット（プライベートチャット）
  • 会議開始後にホスト権限で制限可能な機能
    • 参加者自身によるミュート解除

    (バージョン4.6.10から「セキュリティ」ボタンが追加され、これらの設定変更操作の一部がしやすく改善されています。)

• ミーティングの参加に制限をしたい場合は以下の機能を利用する
  • 待機室（ミーティング開始後に待機室機能を有効にすることもできます。ホストが一人ずつ参加を承認する必要があります。）
  • ミーティングのロック（新たな参加者を受け付けなくします。ネットワークのトラブル等で接続が切れた参加者も再参加できません。）
  • 指定した参加者を退出させる（ホストにより参加者に対する「削除」の操作を行います。当該ミーティングが継続中の場合、再度参加は不可。）

ミーティングの秘匿性に関する問題

ビデオ・オーディオの通信を盗聴などから守るためには暗号化が必要です。ミーティングに参加する2人の利用者間を完全に暗号化することはエンド・ツー・エンド暗号化（E2E暗号化、E2EE）と呼ばれます。Zoom社は通信をAES 256bitによりE2E暗号化していると説明していましたが、この説明は誤りであると指摘されています。Zoom社による説明が誤っていたことは問題ではありますが、3人以上の参加者によるコミュニケーションを円滑にするとともに、クラウドレコーディング機能などを実現する上で、クラウド上で一旦復号を行うことは広く一般的に行われている手法であり、クラウド上で暗号化を維持することは実装上容易ではありません。 Zoomに限らず、システム設計上E2E暗号化が実現されていないものは多く、電子メールなどと同様、機密性のある情報の扱いに対する配慮が必要です。

クラウドレコーディング機能を利用する場合は、暗号化されていない状態（設定で許可すれば誰もが閲覧可能となる状態）でミーティングの記録がクラウド上に保存されることになりますので、そのことに配慮してミーティングの中で扱う内容に注意をして頂くようお願い致します。

なお、4月18日よりZoomにおいて利用するクラウドの範囲（地域）を指定することが可能となっています。ZoomのWebサイトにログインして「設定」メニューの「ミーティングにて（詳細）」の中にある「Select data center regions for meetings/webinars hosted by your account」の項目で設定を行ってください。USは、契約の経緯により除外できないようです。

高機密性情報を扱う会議等の利用においては、信頼性のあるファイル共有サービス等の併用、あるいは代替となる信頼性のあるビデオ会議サービスの利用なども選択肢に入れることが妥当と考えられます。最終的にはミーティングの目的・形態・内容に応じて判断すべきところですが、判断に迷う場合については、情報環境機構情報環境支援センター（オンライン化支援窓口）online_support at mail2.adm.kyoto-u.ac.jp までご相談ください（ at を@記号に変換ください）。

ビデオ会議システムのE2E暗号化に関する参考情報

• Rethinking Zoom? How WebEx, Teams, and Google Meet and Duo Compare on Privacy and Security
• Webex Meetings エンドツーエンドの暗号化が行うことは?
• Google Duo
• グループFaceTimeのつかいどころ
• Webex Teams

3) ビデオ会議システムの利用方法に関する問題

自宅や出張先から、また移動中にオンラインミーティングに参加する場合は、ミーティングに参加する場所の環境にも注意を払う必要があります。端末でやりとりされる映像・音声に注意を払うことはもちろん、自分の声が周囲に聞こえてしまうことについても注意を払いながらご利用頂きますようお願い致します。

技術的な対策としては以下の方法があります。

• スピーカの代わりにイヤホンやヘッドホンを利用して他の人に音が聞こえないようにする (発言時に声を大きく出しすぎてしまわないように注意）
• 小声でも話ができる高感度のマイクを用意する
• 覗き見防止フィルターをスクリーンに貼る
• バーチャル背景機能を利用して、背後に写り込むものを隠す（一部の端末は性能等の問題により対応しないことに注意）
• 全画面を共有するときは、着信メールの通知などが出ないように設定を確認しておく

また、居場所を伏せているような場合には、背景の音から場所が特定されてしまうことがあることにも注意が必要です。

Zoom関連情報

• COVID-19感染拡大におけるサポート

(最終更新：2020年6月18日)