Zoom brengt tweefactorauthenticatie uit voor desktop- en mobiele app

Videobeldienst Zoom heeft tweestapsverificatie beschikbaar gemaakt voor de desktopapp en de mobiele app. Het komt beschikbaar voor alle Zoom-accounts. Deze beveiligingsfunctie was eerder al aanwezig, maar was toen nog beperkt tot de webversie van Zoom.

Zoom zegt in een blogbericht dat gebruikers en admins de tweestapsverificatie kunnen aanzetten in het Zoom Dashboard. Om het in te stellen, hebben geïnteresseerden een telefoonnummer nodig dat sms'jes kan ontvangen, of een Android- of iOS-apparaat dat tekstberichten kan ontvangen of voorzien is van een 2fa-app die op het time-based one-time password-protocol is gebaseerd. Het is ook in te stellen via de Zoom-desktopclient voor Windows, macOS of Linux en in Zoom Rooms.

Naast deze bredere beschikbaarheid van tweefactorauthenticatie voor Zoom, zijn er ook meer mogelijkheden voor de tweede stap in het 2fa-proces, waarbij de gebruiker een eenmalige logincode ontvangt. Voorheen kon dat via het totp-protocol alleen met authenticatieapps als Google Authenticator, Microsoft Authenticator en FreeOTP, maar nu kan die code ook doorgegeven worden via een sms of een telefoonoproep. Er is ook ondersteuning voor recovery codes, in het geval dat een gebruiker geen toegang meer zou hebben tot de 2fa-codes, bijvoorbeeld omdat het apparaat zoek is, de 2fa-app niet meer is geïnstalleerd of Zoom uit de 2fa-app is verwijderd.

Deze stap van Zoom past in het streven van de videobeldienst om de beveiliging en de privacy te verbeteren. Het bedrijf had eerder te maken met nogal wat beveiligingslekken, waarna er nieuwe beveiligingsfuncties werden aangekondigd. Het bedrijf kreeg in de zomer nog kritiek op het feit dat het in eerste instantie alleen eind-tot-eindversleuteling aanbod aan betalende klanten, maar twee weken later besloot Zoom dit ook beschikbaar te maken voor gebruikers die niet voor de dienst betalen.

Reacties (28)

[Chopp]

Een beetje laat maar goed. Zegt veelover het platform en het bedrijf daarachter. Basale functionaliteit die vrij eenvoudig te implementeren is.

[swhnld]

Denk dat je kort door de bocht gaat hier. Elke ontwikkeling is een kwestie van keuze en prioriteiten, en voor apps als Zoom is de basale dienstverlening de conferentie functionaliteit, die moet als eerste goed werken. Met Corona hebben dit soort apps heel snel moeten opschalen ipv gestaag groeien. Het is dan goed nieuws dat zodra er tijd voor was deze functionaliteit toegevoegd wordt.

[Blizz]

Wat je hier aangeeft klopt natuurlijk, zeker in het algemeen. Met een beetje van kennis van Zoom kunnen we echter erkennen dat zij massaal features toevoegden, maar dat kwaliteit, security en privacy op de laatste plaats stonden. Gewone encryptie tussen client en server noemde Zoom bijvoorbeeld end-to-end encryption, enorm misleidend, en daarbij werd ook nog eens gebruikgemaakt van een slechte versleutelingsmodus en zijn er letterlijk tientallen dergelijke issues en onacceptabele wanpraktijken die op het Zoom-cv staan.

Zoom's strategie is altijd market/customer growth geweest, toen na al die jaren over een periode van een maand hun user base 20x zo groot werd gingen ze pas over naar de dienst verbeteren en focus op betrouwbaarheid.

Zoom is altijd relatief gehyped geweest, opschalen was nooit een issue en helaas zijn ze qua video call quality in een grote meeting nog altijd vele malen beter dan concurrentie zoals Microsoft Teams wat gewoonweg instort bij een te grote meeting (denk 7+ video, 30+ total).

[Reactie gewijzigd door Blizz op 24 juli 2024 08:55]

[RogerSch]

Mmm mijn ervaring met Teams is toch anders. Grote aantallen deelnemers zijn geen probleem en sinds een recente update kun je ook veel meer video beelden tegelijkertijd in beeld krijgen.
Helaas moet ik nog steeds veel gebruik maken van Teams. Toch wel zo'n 25 tot 30 uur per week vergaderen of samenwerken. Dus wel een ervaringsdeskundige...

[0xygen500]

Welke functie overlegt 30 uur per week?

[b12e]

Sommige van mijn collega's doen enkel onboardings voor ons platform, en zijn dus letterlijk 35 uur per week bezig met Zoom calls met bedrijven en medewerkers van die bedrijven, die zich overal ter wereld bevinden.

[swhnld]

Helemaal mee eens, maar start zelf een bedrijf en bouw het op. Je hebt X aan budget van jezelf, de rest moet je lenen, alles kost geld. Dus de focus op klanten winnen en geld verdienen is logisch want dat is de eis van partijen die je geld lenen en je wil zelf ook eten.
Op een bepaald moment komt er een punt dat je nieuwe features nodig hebt om klanten binnen te halen, of te behouden, dan pas gaat er, mits het financieel goed gaat, ruimte komen voor andere zaken, en ligt de prio bij welke feature het meeste opbrengt. Blijkbaar was 2FA nu pas interessant genoeg.
Uiteraard is het niet ideaal dat het zo werkt, maar wel waar het in de praktijk op neer komt.

[CAPSLOCK2000]

Denk dat je kort door de bocht gaat hier. Elke ontwikkeling is een kwestie van keuze en prioriteiten, en voor apps als Zoom is de basale dienstverlening de conferentie functionaliteit, die moet als eerste goed werken.

Dat klopt wel, maar is een groter probleem in de software industrie. Veiligheid achteraf toevoegen is bijzonder moeilijk, dat moet je eigenlijk vanaf het begin hebben meegenomen, wat het einddoel verder ook is. Het is in de softwarewereld nogal eens zo dat ze alleen het dak van het huis bouwen en dat dan bovenop kartonnen muren leggen en vertellen dat ze later nog een keer fundering toe gaan voegen. Typisch beginnen ze daar pas aan als het al regent de kartonnen muren aan het bezwijken zijn.
Maar ja, dan zit het huis al vol mensen.

[swhnld]

Helemaal correct, maar ik weet ook wat de kosten zijn van software ontwikkeling en welke kennis allemaal nodig is, die heb je over het algemeen niet als startup in de garage van je ouders. En dat is in elke industrie het geval, de eerste auto's hadden ook geen airbags.

[CAPSLOCK2000]

Helemaal correct, maar ik weet ook wat de kosten zijn van software ontwikkeling en welke kennis allemaal nodig is, die heb je over het algemeen niet als startup in de garage van je ouders. En dat is in elke industrie het geval, de eerste auto's hadden ook geen airbags.

Klopt, het is een bekend en herkenbaar verschijnsel, maar het begint nu wel een probleem te worden. De eerste auto's hebben niet lang rondgereden. Wat daar nu nog over is staat in het museum en wordt niet meer gebruikt. We hebben verkeersregels opgesteld en veiligheidsvoorschriften waar auto's aan moeten voldoen. Tegelijkertijd is er een enorme markt met kant-en-klare onderdelen en ervaren experts waar je gebruik van kan maken om snel tot een acceptabel ontwerp te komen. Zo kun je kant-en-klaar staal kopen van een gegarandeerde kwaliteit en weet iedere expert hoe sterk dat is en hoe het zich gedraagt als het bv in brand staat. Als je het niet weet dan is er ontwerp- en simultatie-software die kan helpen te voorspellen hoe een ontwerp zich gaat gedragen.
Dat is mogelijk (of noodzakelijk) omdat het wettelijk wordt afgedwongen, ofwel via directe regels ofwel indirect (omdat autofabrikanten niet verantwoordelijk gehouden willen worden voor ongelukken).

De softwarewereld moet nog grote stappen maken. Voor ontwerpers in de "garage" moet het makkelijk zijn om snel iets nieuws te bouwen uit kant-en-klare onderdelen dat redelijk veilig is en zich min of meer voorspelbaar gedraagt. Ik weet dat er talloze toolkist, libraries, programmertalen, applicaties en methodes bestaan om daar mee te helpen, maar niks dat groot genoeg is dat het "standaard" is. Het is nog steeds heel gewoon dat een programmeur een tekst-editor start met een leeg scherm en vanuit het niks code begint te kloppen.

Dat zal pas veranderen als er een financiele noodzaak is voor de softwarehuizen om de kwaliteit van hun software verder te verhogen. Pas als bazen geld en tijd beschikbaar maken en personeel afrekenen op kwaliteit. Pas als de middelen goed genoeg zijn dat scholen en universiteiten ze onderwijzen aan nieuwe programmeurs, zodat die nieuwe programmeurs het vanzelfsprekend vinden om hun producten te ontwerpen en te testen met de strengheid van de auto- of vliegtuig-industrie.

[Guru Evi]

Ons bedrijf gebruikt al jaren Zoom met 2FA en AD integratie. Dit is enkel een verandering in de 'gratis' aanbieding. Je krijgt wat je ervoor betaalt natuurlijk.

[wica]

Tweakers kapot? Ruim 1 uur na het artikel nog geen reacties?

[RoelVB]

Ik denk dat de meeste Tweakers alles wel hebben gezegd over Zoom. Ook hier weer "Zoom brengt tweefactorauthenticatie uit voor desktop- en mobiele app".
Dit komt op mij over als "schijnveiligheid". Het lijkt er hierdoor op dat 2FA enkel is ingeschakeld op app niveau, dus op API niveau is 2FA niet verplicht. Wat dus betekend dat je account nog steeds toegankelijk is zonder 2FA, zolang je niet één van hun apps gebruikt

[Reactie gewijzigd door RoelVB op 24 juli 2024 08:55]

[CH4OS]

Dat komt omdat de authorisatie voor API's over het algemeen ietsjes anders gaat (meestal op basis van OAuth 2 icm JWT (JSON Web Tokens). Een 2FA ofwel een TOTP token is dan niet nodig, dat is inderdaad meer voor de eindgebruiker.

[Reactie gewijzigd door CH4OS op 24 juli 2024 08:55]

[Koekiemonsterr]

Misschien dat men op de vrijdagavond iets beters heeft te doen dan inZoomen op het artikel

[supersnathan94]

Wij? Welnee. Wat moeten we doen? Ff de kroeg in zit er niet meer in voorlopig.

[mr_evil08]

Meeste hebben niks met Zoom, waaronder ik, maar gezien je vraagt reageer ik maar even.

[phantom09]

Beter laat dan nooit.

[mutley69]

Ik heb een voorkeur voor fido-2 sticks.

[Xm0ur3r]

Misschien een hele stomme vraag en niet op zijn plek hier; maar heeft Tweakers eigenlijk 2FA?
Ik heb het laatst geprobeerd in te stellen en nu ook weer even gekeken maar kan het niet zo snel vinden eigenlijk...
Mocht het er niet zijn dan is het misschien wel iets om snel te regelen en zou wellicht ook al een hoop oplichters op Vraag&Aanbod schelen?

[CH4OS]

Dan heb je plan: Ga veilig met je wachtwoorden om en behoed je medetweakers voor misbruik gemist, waarin onder andere het volgende staat:

Waarom implementeren jullie niet gewoon 2fa (two-factor authentication), dan maak je het oplichters toch onmogelijk iets te doen?

Inloggen met 2fa, via bijvoorbeeld een authenticator-app of andere externe bevestiging, maakt het inderdaad moeilijker om een account over te nemen. Het maakt het echter niet onmogelijk en vereist dat ook iedereen het aanzet of dat wij het gaan forceren. We onderzoeken momenteel wat de beste technische oplossingen zijn die we kunnen implementeren om V&A-fraude tegen te gaan en overwegen daarbij ook een vorm van 2fa. Maar ook hier geldt het aloude devies: voorkomen is beter dan genezen.

Dat je het niet vindt, komt dus vooral omdat het er niet is, zeg maar.

[Reactie gewijzigd door CH4OS op 24 juli 2024 08:55]

[Saven]

Too little too late. Zoom gaat er hier nooit in komen.

[K-aroq]

[slightly off topic] Moet tweakers ook niet eens 2FA gaan gebruiken?

[CH4OS]

Zie CH4OS in 'nieuws: Zoom brengt tweefactorauthenticatie uit voor desktop- en mo...

In het artikel dat ik er link, schrijft men dat men dat aan het onderzoeken is (citaat in het bericht), duurt alleen al even, want men is sinds januari ermee bezig.

[Reactie gewijzigd door CH4OS op 24 juli 2024 08:55]

[RogerDad]

Ik lees in de blog post dat het bijvoorbeeld door admin’s gebruikt zou kunnen worden en daarvoor is het zeker een toegevoegde waarde. Voor gebruikers zelf zou het handig zijn als je in de meetings kon vereisen dat alle gebruikers 2FA op Zoom actief zouden moeten hebben, dat geeft dan een betere boring om meetings over vertrouwelijke inhoud te houden. Op dit moment zou ik dat nog steeds niet met Zoom doen, veel te veel incidenten in de afgelopen tijd, maar ze zijn wel hard bezig aan het verbeteren.
Gelukkig werkt Teams vrijwel net zo goed en in de laatste update zat het vergaderscherm met meer dan 9 videofeeds er ook al in (en de hilarische optie om de mensen in collegebankjes te tonen

[Guru Evi]

Dit kun je inderdaad allemaal doen met de betaalde versie van Zoom, wij gebruiken dit reeds jaren in een medische omgeving, 2FA, encryptie, verplichte authenticatie, een wachtlijst, 500 deelnemers met video, 50 feeds per scherm, online en lokale opnames, dit zit er allemaal al jaren ingebakken, dit is nu gewoon beschikbaar gesteld aan klanten van de 'gratis' versie.

[Reactie gewijzigd door Guru Evi op 24 juli 2024 08:55]

[Zeror]

Ik vraag mij toch af. Veel mensen hier hier zijn enorm negatief over Zoom. Zou jullie beoordeling anders geweest zijn als je nu, op dit moment, de app zou beoordelen zonder iets te weten van de voorgeschiedenis?

[Martijn033]

Ik gebruik Zoom vrijwel dagelijks. Geen enkel probleem mee. Hangouts, dat is pas gedoe.