说Zoom不安全的，可能没搞懂端到端加密是怎么回事

 

 

"Zoom不安全"这个说法在网上流传了好几年，不少企业决策者被吓退，转头选了自认为更稳的国产工具。云巴巴在服务企业客户时发现，很多人对Zoom安全性的认知还停留在2020年那波负面新闻上，对它现在的安全体系一无所知。扒完网上流传的安全吐槽和Zoom这几年的安全整改，结论可能跟你想的不一样。

 

"Zoom不安全"这个标签从哪来的：2020年Zoombombing事件始末

 

2020年疫情爆发，Zoom用户量从1000万暴涨到3亿，大量新用户涌入但不会设置会议安全选项。陌生人靠猜会议号闯入别人的视频会议，放不堪内容或者截屏骚扰，媒体把这个现象叫"Zoombombing"。一时间"Zoom有安全漏洞"的标题满天飞，纽约市教育部甚至一度禁用Zoom。

 

但这事的真相是：Zoombombing不是加密被破解，不是数据被窃取，而是用户没开会议密码、没启用等候室。就像你家门没锁，小偷直接走进来了，你能说是门的质量有问题？Zoom当时的问题在于：默认安全设置太松，新用户不知道怎么配置。这个锅该Zoom背一部分，但把它定性为"Zoom不安全"属于偷换概念。

 

 

同期还有两个争议：一是端到端加密（E2EE）当初Zoom宣称支持但实际只对部分场景生效，被安全研究者质疑后Zoom做了澄清并承诺改进；二是Zoom向Facebook发送用户设备数据，被曝光后Zoom停止了这一做法。这些问题Zoom都正面回应并修复了，但"不安全"的标签一旦贴上，撕掉很难。

 

Zoom当前的安全体系：从AES-256到E2EE的技术拆解

 

要看Zoom安不安全，得看它现在的技术架构，而不是五年前的旧账。

 

传输层加密用的是TLS 1.3协议，这是目前业界最新的传输加密标准，比老版本的TLS 1.2在安全性和性能上都有提升。会议内容在传输过程中用AES-256加密，这是美国国家安全局也用来保护机密信息的加密标准。简单理解：别人就算截获了你的会议数据流，拿到的是一堆无法解读的密文。

 

端到端加密（E2EE）在2020年争议后做了重大升级。现在Zoom的E2EE是真正的端到端：加密密钥只在参会者设备上生成和保存，Zoom服务器也看不到明文。开启E2EE后，连Zoom自己都无法解密你的会议内容。代价是开启后部分功能不可用（比如电话拨入、直播推流），因为加密通道限制了某些功能的实现路径。

 

会议层面还有多重防护：等候室（参会者进入前需主持人批准）、会议密码、参会者锁定（达到人数后不再接受新人加入）、屏幕共享控制（只允许主持人或指定人共享）。这些功能在2020年之前是可选项，现在默认开启或一键开启，大幅降低了Zoombombing式的安全事件。

 

等保三级与国际认证：Zoom合规资质覆盖了哪些场景

 

光有技术不够，企业采购还看认证资质。这块Zoom的底子比多数人想象的厚。

 

国内层面，Zoom中国数据中心企业版通过了等保三级认证。等保三级是国家信息安全等级保护体系中的第三级，适用于涉及公民个人信息和重要业务数据的系统。通过这个认证意味着Zoom的中国数据节点在物理安全、网络安全、主机安全、应用安全、数据安全五个层面都达到了国家标准要求。金融、政务、医疗等敏感行业做合规审查时，等保三级是基本门槛。

 

国际层面，Zoom持有GDPR（欧盟通用数据保护条例）、CCPA（加州消费者隐私法）、HIPAA（美国健康保险流通与责任法案）、SOC 2 Type II（服务组织控制报告）四项认证。GDPR和CCPA覆盖了欧美两大市场的数据隐私合规要求，HIPAA意味着Zoom可以用于医疗行业的远程问诊和患者数据传输，SOC 2 Type II是审计机构对Zoom安全控制有效性的持续监督报告。

 

 

这些认证不是一劳永逸的，SOC 2每年都要重新审计，GDPR要求持续合规。Zoom能持续持有这些认证，说明安全体系经受住了第三方审计的反复检验。

 

中国数据合规实操：天津、香港、台北三个节点怎么选

 

中国企业用Zoom最大的合规顾虑是数据出境。《数据安全法》《个人信息保护法》对数据跨境传输有严格规定，企业不能随便把用户数据存到海外服务器。

 

Zoom的解决方案是通过中国授权代理商，付费开通中国数据节点。目前可选的节点有三个：天津、香港、台北。三个节点的定位有差异：天津节点主要服务中国大陆企业，数据完全存储在境内，满足等保三级要求；香港节点适合有亚太业务的企业，兼顾合规和跨境访问速度；台北节点更多服务于台资企业和东南亚业务场景。

 

开通中国节点需要签署两份协议：《软件订阅服务协议》明确软件使用授权和服务范围，《数据处理协议》约定数据的存储位置、处理方式、安全责任边界。代理商还会协助完成合规备案手续。这些流程走下来通常需要1到2周。

 

需要注意的是，中国节点是付费增值服务，不是默认包含在套餐里的。企业采购时要把这部分费用算进总成本。默认配置下Zoom数据存储在海外，如果你的合规要求必须本地化存储，一定要在采购合同里明确写清楚数据中心位置。

 

什么场景Zoom安全够用，什么场景需要额外加固

 

拆完技术体系和合规资质，回到实操层面：什么场景Zoom直接用就够，什么场景需要额外配置。

 

日常跨境会议、跨国团队协作、客户视频沟通，Zoom默认的安全配置完全够用。TLS 1.3加密和AES-256在传输层提供了足够保护，等候室和会议密码挡住了大部分恶意闯入。这类场景下"Zoom不安全"的说法没有技术依据，用了五年没出事的企业不在少数。

 

涉及高度机密的场景需要额外加固。律所讨论并购方案、金融机构做投资决策、医疗机构传输患者数据，建议开启E2EE端到端加密，让Zoom服务器也看不到内容。同时配合中国数据节点做本地化存储，签好《数据处理协议》。这类场景下安全投入会更高，但比起自建视频会议系统的成本，依然是划算的。

 

有一类场景Zoom确实不太适合：涉及国家秘密的政务会议。这类场景有专门的涉密会议系统要求，Zoom作为海外厂商的商业产品不在合规范围内。但这跟"Zoom不安全"是两码事，是适用范围的问题，不是技术能力的问题。

 

企业安全最佳实践有几条可以直接执行：会议默认开启等候室和密码，管理员定期审查参会日志，敏感会议开启E2EE，数据存储位置在合同里写死，IT部门每季度做一次安全配置审计。把这几条做到位，Zoom的安全性在商业视频会议领域属于行业前列水平。

 

 

目前，Zoom中小型企业解决方案已经在云巴巴平台上线，想了解更多可以联系我们。在云巴巴，你还能横向对比更多同类产品，根据团队规模和业务场景找到最匹配的方案。