Onavo VPN milik Meta membuka enkripsi SSL lalu lintas analitik pesaing

Penemuan dalam gugatan class action Facebook/Meta

• Para penggugat pengiklan meminta pengadilan untuk mengakui bahwa pengecualian kejahatan-penipuan berlaku untuk komunikasi tertentu.
• Komunikasi ini terkait dengan program yang disebut In-App Action Panel (IAAP) milik Facebook, yang berlangsung dari Juni 2016 hingga sekitar Mei 2019.
• Program IAAP dimulai atas permintaan Mark Zuckerberg dan menggunakan metode serangan man-in-the-middle SSL untuk mencegat serta mendekripsi lalu lintas analitik yang dilindungi SSL dari Snapchat, YouTube, dan Amazon, guna memberi informasi bagi pengambilan keputusan kompetitif Facebook.

Program IAAP Facebook, menargetkan persaingan lewat penyadapan pesaing

• Pada 9 Juni 2016, Mark Zuckerberg mengirim pesan kepada para eksekutif senior perusahaan berjudul 'analisis Snapchat'.
• Javier Olivan, yang kini menjabat COO Facebook, setuju bahwa ini adalah salah satu pertanyaan analisis pasar yang penting, sambil menyebut bahwa hal ini rumit secara teknis dan mungkin memerlukan persetujuan hukum.
• Tim Onavo merencanakan 'lockdown effort' untuk menyelesaikan masalah ini, dan menyebutnya sebagai kesempatan bagi tim untuk bersinar.
• Tim Onavo mengusulkan solusi bagi pimpinan senior di bawah arahan penasihat hukum internal.

Opini GN⁺

• Kasus ini membahas persoalan hukum terkait pelanggaran privasi data oleh perusahaan, sehingga memberikan informasi penting bagi konsumen dan komunitas teknologi.
• Tuduhan bahwa Facebook mengumpulkan data pesaing secara ilegal dapat memicu diskusi tentang etika perusahaan dan tanggung jawab hukum.
• Kasus seperti ini juga menyampaikan peringatan kepada perusahaan lain serta menekankan pentingnya perlindungan data dan keamanan privasi.
• Proyek atau produk lain yang menawarkan fungsi serupa mencakup layanan VPN yang berfokus pada penguatan keamanan atau alat komunikasi terenkripsi, yang dapat membantu melindungi data pengguna.
• Saat mengadopsi teknologi, perlu dipertimbangkan secara cermat apakah teknologi tersebut memenuhi standar hukum dan etika, dan kasus ini menunjukkan pentingnya menilai risiko hukum ketika perusahaan menggunakan teknologi.

[GN⁺]

Komentar Hacker News

• Ada pendapat bahwa jika tindakan seperti ini dilakukan oleh individu, maka Computer Fraud and Abuse Act (CFAA) akan berlaku. Untuk Meta, kita harus menunggu bagaimana hasilnya.

  • Jika individu melakukan tindakan seperti ini, kemungkinan besar Computer Fraud and Abuse Act (CFAA) akan diterapkan, tetapi untuk Meta, hasilnya masih harus dilihat.

• MITM (man-in-the-middle attack) disebut sebagai 'serangan', bukan 'riset'. Seorang profesional IT membagikan pengalamannya menemukan praktik tidak etis dan keluar dari partai politik.

  • Man-in-the-middle attack (MITM) disebut sebagai serangan, bukan riset, dan seorang engineer yang menjunjung etika tidak akan mencoba hal seperti ini di Meta.

• Ditunjukkan ironi bahwa mereka secara terbuka mengumumkan penambahan end-to-end encryption pada satu aplikasi (WhatsApp), sementara diam-diam merusak TLS di aplikasi lain.

  • Kritik terhadap tindakan ironis Meta yang mengumumkan penambahan end-to-end encryption di WhatsApp sambil diam-diam merusak TLS di aplikasi lain.

• Ada pendapat bahwa FANGs (Facebook, Amazon, Netflix, Google) pada dasarnya menjalankan operasi psikologis berskala besar terhadap publik tanpa hukuman berarti, dan gugatan yang sesekali muncul tidak terlalu penting.

  • Ada pendapat bahwa FANGs pada dasarnya menjalankan operasi psikologis berskala besar terhadap publik hampir tanpa hukuman, dan gugatan yang kadang muncul tidak banyak berpengaruh.

• Meta disebut sebagai 'kerajaan online yang jahat', dan sejarah perusahaan itu dikritik penuh dengan tindakan yang meragukan secara moral.

  • Meta disebut sebagai 'kerajaan online yang jahat', dan sejarah perusahaan itu dikritik sarat dengan tindakan yang meragukan secara moral.

• Muncul pertanyaan tentang apa yang dilakukan Cloudflare melalui SSL termination/offloading.

  • Pertanyaan diajukan tentang tindakan apa yang dilakukan Cloudflare melalui SSL termination/offloading.

• Ada pendapat agar tidak mencampuradukkan TLS dan SSL, serta bahwa tindakan menghapus TLS tanpa mencantumkannya dalam persyaratan layanan harus dihukum berdasarkan CFAA.

  • Ditekankan agar tidak mencampuradukkan TLS dan SSL, dan bahwa tindakan menghapus TLS tanpa mencantumkannya dalam persyaratan layanan harus dihukum berdasarkan CFAA.

• Meta membantah telah melanggar undang-undang penyadapan, tetapi tidak menunjukkan bukti persetujuan. Muncul pertanyaan mengapa Meta enggan membuka dokumen terkait intervensi komunikasi oleh aplikasi VPN yang mereka klaim sebagai 'riset pasar'.

  • Meta membantah pelanggaran undang-undang penyadapan tetapi tidak menunjukkan bukti persetujuan, dan dipertanyakan mengapa mereka enggan membuka dokumen terkait intervensi komunikasi melalui aplikasi VPN yang diklaim sebagai 'riset pasar'.

• Menurut dokumen, muncul pertanyaan apakah rencananya adalah menyebarkan uji coba tanpa memberi tahu pengguna, atau justru pengguna memang menyetujui dan berpartisipasi.

  • Menurut dokumen, dipertanyakan apakah rencana Meta adalah menyebarkan uji coba tanpa memberi tahu pengguna, atau pengguna memang setuju dan ikut berpartisipasi.