为了使Zoom会议更加安全,且保持开发过程的透明与开放,Zoom在GitHub上公开初版的端对端加密视频产品的设计草案,以开源的方式邀请各界高手给予意见。Zoom将邀集密码学专家、非营利组织、倡导团体、客户和其他单位针对细节进行讨论,并征求最终版本的意见反馈。

此设计草案将把端到端加密技术引入Zoom用户端(非SIP或网站),提供用户强大的安全防护。Zoom计划将公钥密码学(Public Key Cryptography)运用在发送对话密钥(Session Key)给会议参与者,将公钥与用户身份紧密绑定。
Zoom用户端与Zoom基础架构的通话设置以及会议内容,目前都使用了加密技术来保护用户身份。当Zoom客户端确定被授权参与Zoom会议时,Zoom的服务器会为其提供256位元的单次会议密钥。现有的设计保障了Zoom资料的机密性和真实性,但因Zoom服务器会保存密钥以发给会议参与者,因此无法真正落实端到端加密的机制。
为了实践端到端加密的功能,Zoom提出四阶段部署计划,每一阶段都将升级Zoom的安全防护。例如,解密密钥会由客户端产生,永远不会透露给Zoom服务器,仅有客户端知晓。在适当的情况下授权给单一登录系统(SSOs)。用户设备和联系人列表需要一系列的加密签章(sigchains)。最终则是部署“透明树”(Transparency Tree)机制,类似应用于凭证透明度及公共密钥库机制,让Zoom的服务器签署并不可变地存储各用户密钥,确保Zoom对所有用户有一致性的答复。
此次端到端加密产品的设计有三个重要目标,包含机密性、廉正性与禁止伤害性言论。机密性意即唯有经过授权的会议参与者,才可以访问其会议内容与数据。廉正性则是不在会议之内的人,无法干扰与破坏会议内容。当会议参与者有谩骂或滥用等行为时,Zoom也会提供举报机制,防止进一步的伤害性言论。
Zoom目前正与各方利益关系人进行初步的沟通与意见咨询,在完成相关意见评估后,会将各方建议纳入至最终设计中。