Zoom liet Windows-wachtwoorden uitlekken

[Orion84]

@TijsZonderH nieuws: Zoom liet e-mailadressen en Windows-wachtwoorden uitlekken in aantal ...

Die titel en de omschrijving van het deel over lekken van wachtwoorden klopt niet echt.

Zoom liet helemaal niets uitlekken, zoom maakt het enkel mogelijk om klikbare linkjes te posten. Als de aanvaller dan een linkje post naar een UNC path op een server in handen van de aanvaller en iemand klikt daar op (en er is geen firewall die die verbinding tegenhoudt), dan is het vervolgens hoe windows werkt dat dan inderdaad automatisch tot een authenticatie handeling leidt, waarbij niet het wachtwoord, maar de NTLM hash in handen van de aanvaller komt. Met die hash kan je (afhankelijk van de omstandigheden) ook het een en ander en oudere versies van NTLM zijn inderdaad kwetsbaar voor het kraken er van, maar je "zoom lekt windows wachtwoorden" is toch wel tamelijk ver naast de waarheid.

Wat hij in weze heeft ontdekt, is dat je zoom kan gebruiken voor phishing. Uh, ja, no shit sherlock, dat kan met elke communicatie tool waarmee je linkjes kan sturen. Het is dus ook geen bug.

Edit: blijkbaar zijn er ook tools (Teams onder andere) waar UNC paden niet automatisch klikbaar zijn en zelfs via een 'insert link' functie geen UNC paden klikbaar laten maken. Dat is dus een feature van zoom waar je vraagtekens bij kan zetten, maar dat is dan nog altijd een veel genuanceerder verhaal dan hoe dit nu hier (maar ook op allerlei andere sites) is opgepakt.

[ Voor 16% gewijzigd door Orion84 op 02-04-2020 18:54 ]

[TijsZonderH]

Sorry, had deze post ff over het hoofd gezien! Je hebt wel gelijk ja, het is een beetje ongenuanceerd zoals het er nu staat. Eerlijk is eerlijk, misschien zat het iets teveel op de hypetrain rondom Zoom, iets waar ik de afgelopen dagen wel veel voor heb geprobeerd te waken. Dat gezegd hebbende vind ik het feit dat klikbare UNC-paden in een chat-app gewoon een stomme fout zijn, en in de context van de opeenstapeling van recente slordigheden van Zoom kun je er vanuit gaan dat het hoogstwaarschijnlijk geen feature maar een bug is. Het feit dat ze dat inmiddels veranderd hebben is daar extra bewijs voor.

Maar goed, zeker de titel is niet goed, die pas ik zeker aan. Rest van het stuk kijk ik ook naar.