对虚拟会议和视频聊天应用的需求激增。虽然很多这类应用的使用量有所增加，但Zoom一直是最大的受益者之一，它在个人和组织中都很受欢迎。但Zoom也因其薄弱的安全和隐私措施而受到批评，导致了Zoom爆炸案等问题。此外，Zoom目前缺乏传统业务服务所采用的端到端加密的完整类型。Zoom周五发布的一份文件解释了该公司希望如何更全面地保护敏感的会议数据和通讯。

Zoom在周五的博客中公布了端到端加密产品的草案。Zoom声称安全和隐私是其新计划的两大“支柱”，并在GitHub上发布了一份文件供同行审查，希望以此引发讨论，并从密码专家、非营利组织、倡导组织和客户那里得到反馈。

参见:Zoom 101:初学者和商业专家指南(TechRepublic Premium)

Zoom会议目前提供加密，但有一定的限制。加密用于保护用户的身份，在Zoom客户机和Zoom的基础设施之间调用数据，以及会议内容。当一个Zoom客户端被授权加入一个会议时，该客户端从Zoom的服务器获得一个256位的安全密钥。但是Zoom服务器保留了提供给会议参与者的安全密钥，因此缺乏真正的端到端密钥管理和加密。

缺乏完整的端到端加密意味着，如果攻击者能够监视Zoom的服务器基础设施并获得对相关Zoom服务器内存的访问权，那么他就有可能破解特定会议的加密。因此，该人员可以查看共享的会议密钥，派生会话密钥，并解密所有会议数据。

为了解决一些安全漏洞，Zoom提出了以下目标:1)只有授权的会议参与者才能访问他们的会议数据;2)任何被排除在会议之外的人都不应该有破坏会议内容的能力;3)如果会议参与者有虐待行为，应该有一个有效的方法来报告那个人，以防止进一步的虐待。

为了推进其目标，Zoom将其提案分为四个阶段。

阶段1。在第一阶段，每个缩放应用程序将生成并管理其自己的公共/私有安全密钥对，这些密钥只有客户端知道。客户端将能够生成和交换会话密钥，而不需要信任服务器。在这个初始阶段，这个特定的安全密钥改进将只支持本地Zoom客户端和Zoom Rooms，以及预定的会议。

阶段2。在第二阶段，Zoom计划推出两项功能，让用户无需信任Zoom的服务器就能追踪彼此的身份。其中一个特性是身份提供程序发起的单点登录(SSO IdP)，它可以加密地保证每个用户的身份。

阶段3。在第三阶段，Zoom将启动一项功能，强制其服务器对每个用户的安全密钥进行签名和固定存储，确保Zoom向所有客户端提供关于密钥的一致回复。这将通过“透明树”创建，该特性类似于证书透明和密钥库中使用的特性。

第四阶段。在最后阶段，设备的身份验证将更加严格。会议参与者必须使用现有设备签署新设备，使用SSO IdP增强设备，或者将身份验证委托给IT管理人员。除非满足其中一个条件，否则参与者的设备将不受信任。

有了这些新的安全措施，Zoom还对其客户端应用程序提出了某些更改。

设置会议的界面将提供一个名为端到端安全性的新复选框。如果选中此复选框，“启用Join Before Host”复选框将变灰并取消选中，云记录功能将被禁用，所有客户端必须运行官方的Zoom客户端软件;那些使用变焦网站、支持变焦的传统设备或拨号连接的人将被锁在会议门外。

会议开始后，所有与会者将看到一个会议安全代码，他们可以使用该代码来验证没有人与会议的连接被拦截。主机可以大声读出这段代码，所有的参与者都可以检查他们的客户端是否显示了相同的代码。

Zoom在其文件中表示:“我们提出了一个路线图，将端到端加密技术引入到Zoom会议中。”在高层，这种方法很简单:使用公钥加密技术将会话密钥分发给会议的参与者，并在公钥和用户标识之间提供越来越强的绑定。然而，问题在于细节，因为跨多个设备的用户身份是一个具有挑战性的问题，并且会影响用户体验。我们建议分阶段部署端到端安全性，每一个后续阶段都提供更强的保护。”

在审查了来自客户和其他相关方的反馈之后，Zoom将更新和优化其文档，并最终宣布其部署新的端到端加密和其他安全增强功能的计划。