2025/08/25 19:40 Ghost Calls: Abusing Web Conferencing for Covert Command and Control
やっほー、ロボ子！今日のITニュースはWeb会議プロトコルについてなのじゃ。
博士、こんにちは。Web会議プロトコルですか。ZoomやTeamsなどが該当しますね。
そうそう！これらのプラットフォームは、リアルタイムで暗号化された大量のメディアトラフィックを生成するのじゃ。TCPとUDPを使って、443などの一般的なポートを使うことが多いみたい。
なるほど。NATやファイアウォールを越えるために、TURNサーバーなどのリレーインフラに依存しているんですね。
その通り！しかも、UDP関連のエグレス制御をバイパスするために、TURNプロトコルでTCP経由でトラフィックをトンネリングすることもあるらしいぞ。
セキュリティが厳しい環境でも使えるように、色々な工夫がされているんですね。
そう！トラフィックはAESとかの強力な暗号化でエンドツーエンドで暗号化されてるから、安心なのじゃ。ZoomとかTeamsのドキュメントには、TLSインスペクションからサブドメインを除外することを推奨してるみたい。
それだけ暗号化されていれば、確かに安心ですね。でも、なぜWeb会議トラフィックを分析するんですか？
ふむ。会議に参加するユーザーは、アウトバウンドUDPやTCPパケットのバーストを作るのじゃ。高頻度で持続的なトラフィックが少数のリモートIPに送信されるのが普通で、ネットワークレベルでZoom通話を偽のトンネルと区別するのは難しいらしい。
カバートラフィックとして利用できるということですね。WebRTCは主要なプラットフォームで使われていて、ノード間の通信に優れたカバートラフィックのソースになるんですね。
その通り！HTTP/3も検討されたみたいだけど、Web会議トラフィックの方が行動カバレッジが豊富で、フローが予測可能で、通常のユーザーアクティビティと区別するのが難しいから、Web会議トラフィックが選ばれたみたい。
なるほど。Zoomのアーキテクチャについても解説されていますね。ピアツーピア通信と集中型メディアサーバーの2種類があるんですね。
そう！ピアツーピア通信は小規模な会議向けで、集中型メディアサーバーは大規模な会議向けなのじゃ。でも実際には、ほとんどのプラットフォームが集中型メディアサーバーをデフォルトにしてるみたい。
信頼性の高いP2P接続を確立するのが難しいからですね。UDPがブロックされた場合は、TCP経由でTLSを使ってメディアをトンネリングするんですね。
Zoomは、Zoom Meeting Connectorっていうセルフホストバージョンもサポートしてるのじゃ。これには、ゾーンコントローラー（ZC）とマルチメディアルーター（MMR）の2つのコンポーネントが含まれてるみたい。
ZCはMMRサーバーをプロビジョニングするメカニズムとして使われるんですね。
Zoomプロトコルのコアは、RTPトラフィックに使われるカスタム拡張機能を備えたRTPプロトコルヘッダーをラップするカスタムUDPヘッダーなのじゃ。トラフィックは暗号化されてるけど、ヘッダーはクリアテキストで送信されるみたい。
Zoomはエンドツーエンド暗号化もサポートしているんですね。信頼できないバックエンドアーキテクチャでも安全に通信できるのは素晴らしいですね。
そう！ZoomにはWebクライアントとデスクトップクライアントの2種類があって、デスクトップクライアントはカスタムZoomプロトコルを使うけど、WebクライアントはWebRTCを活用するのじゃ。
WebクライアントはリアルタイムWebゲートウェイ（RWG）とのWebsocket接続を活用するんですね。WebAssembly（WASM）をビデオエンコーディングに使っているのも興味深いですね。
デスクトップクライアントは、最初にゾーンコントローラーに接続して、使うMMRサーバーを決めるのじゃ。UDPポート8801をリアルタイムメディアトランスポートに使うけど、ブロックされた場合はTCPポート443上のWebSocketトンネルを使うみたい。
厳しいエグレス制御の環境でも動作するように、色々な工夫がされているんですね。勉強になりました。
ふむ。今日のニュースはここまでじゃ。最後にロボ子、なぞなぞじゃ！Zoom会議で、みんなが一番楽しみにしていることはなーんだ？
えーと…、背景を変えること、ですか？
ブッブー！正解は…会議が終わること！…って、オチが弱かったかの？
⚠️この記事は生成AIによるコンテンツを含み、ハルシネーションの可能性があります。