Onavo VPN milik Meta membuka enkripsi SSL lalu lintas analitik untuk menganalisis pesaing

 (documentcloud.org)
2 poin oleh GN⁺ 2024-04-01 | 1 komentar | Bagikan ke WhatsApp
  • Para penggugat pengiklan meminta pengadilan memutuskan bahwa Meta tidak dapat menyembunyikan komunikasi terkait program IAAP di balik hak istimewa pengacara-klien, dan agar dinilai apakah pengecualian kejahatan-penipuan berlaku
  • IAAP beroperasi dari sekitar Juni 2016 hingga Mei 2019, dan pihak penggugat menuduh program ini mencegat serta mendekripsi lalu lintas analitik yang dilindungi SSL milik Snapchat, YouTube, dan Amazon dengan metode SSL man-in-the-middle
  • Dalam email “Snapchat analytics” pada 9 Juni 2016, Mark Zuckerberg mengatakan tidak ada data analitik karena enkripsi, lalu memerintahkan agar dicari metode analisis baru untuk memahami laju pertumbuhan Snapchat
  • Javier Olivan menjawab bahwa hal itu rumit secara teknis dan mungkin memerlukan persetujuan tim hukum, serta meminta tim Onavo mempertimbangkan hingga opsi membayar pengguna agar memasang perangkat lunak yang berat
  • Pihak penggugat menilai IAAP melampaui sekadar perilaku antipersaingan dan melanggar Wiretap Act, yaitu 18 U.S.C. §2511(a), (d), serta menyebut para pengacara Facebook terlibat dalam perancangan, pelaksanaan, dan perluasannya

Permintaan ke pengadilan soal pengecualian kejahatan-penipuan

  • Para penggugat pengiklan dalam perkara Klein v. Meta Platforms, Inc. meminta pengadilan menyatakan bahwa terdapat pembuktian awal yang memadai untuk menerapkan pengecualian kejahatan-penipuan pada sebagian komunikasi yang ditahan Meta Platforms, Inc. dengan alasan hak istimewa pengacara-klien
  • Komunikasi tersebut terkait dengan program In-App Action Panel (IAAP) milik Facebook
    • IAAP ada sejak Juni 2016 hingga sekitar Mei 2019
    • Pihak penggugat menuduh program ini dimulai atas permintaan Mark Zuckerberg
  • Pada 15 Mei 2023, pihak penggugat mengirim surat satu spasi sepanjang 19 halaman kepada Facebook
    • Surat itu mencakup tangkapan layar, kutipan dokumen, dan kutipan bukti
    • Isinya menganalisis tindakan tersebut berdasarkan 18 U.S.C. §2511 serta uji kejahatan-penipuan Ninth Circuit dalam In re Grand Jury Investigation, 810 F.3d 1110, 1113
    • Selama dua minggu berikutnya, kedua pihak bertukar surat dan email tambahan, lalu pada 31 Mei mencapai jalan buntu setelah perundingan

Data analitik pesaing yang ingin diperoleh lewat IAAP

  • Menurut pihak penggugat, IAAP mencegat dan mendekripsi lalu lintas analitik pesaing yang dilindungi SSL dengan metode SSL man-in-the-middle
    • Target awalnya adalah Snapchat
    • Setelah itu YouTube dan Amazon juga dimasukkan sebagai target
    • Informasi yang diperoleh disebut digunakan untuk pengambilan keputusan kompetitif Facebook
  • Pada 9 Juni 2016, Mark Zuckerberg mengirim email berjudul “Snapchat analytics” kepada tiga eksekutif paling senior
    • Ia menulis bahwa jawaban yang biasa diterima adalah tidak ada data analitik karena lalu lintas Snapchat terenkripsi
    • Ia menilai penting untuk menemukan cara baru memperoleh analisis yang andal karena Snapchat tumbuh sangat cepat
    • Ia memerintahkan agar dicari caranya, termasuk kemungkinan membuat panel atau menulis perangkat lunak khusus
  • Javier Olivan menyatakan setuju bahwa isu ini adalah salah satu pertanyaan analisis pasar terpenting bagi perusahaan
    • Ia mengungkapkan bahwa hal itu sudah ditinjau bersama tim Onavo
    • Ia menilai teknologi untuk melihat ke dalam lalu lintas analitik Snapchat yang dilindungi SSL sangat rumit
    • Ia menulis bahwa pekerjaan tersebut kemungkinan memerlukan persetujuan tim hukum

Tinjauan tim Onavo dan keterlibatan tim hukum

  • Olivan meneruskan email Zuckerberg ke tim Onavo Facebook sambil meminta “out of the box thinking”
    • Ia menekankan bahwa pekerjaan ini sangat penting
    • Ia menyebut opsi membayar pengguna agar memasang “perangkat lunak yang sangat berat”
    • Ia menulis bahwa perangkat lunak itu juga dapat melakukan man-in-the-middle
  • Pendiri Onavo, Guy Rosen, menjawab bahwa ia akan menyusun rencana “lockdown effort” pada bulan Juni untuk sangat meningkatkan visibilitas atas Snapchat
    • Ia menggambarkannya sebagai kesempatan bagi tim untuk bersinar
  • Dua hari kemudian, Olivan meneruskan seluruh rangkaian email itu kepada Colin Stretch, yang saat itu menjabat sebagai General Counsel
    • Ia menulis bahwa hal ini harus dijalankan secepat mungkin
    • Ia menambahkan bahwa anggaran bukan masalah jika Colin menyetujui jenis riset ini
  • Pihak penggugat menuduh tindakan IAAP melanggar 18 U.S.C. §2511(a), (d), yaitu Wiretap Act, dan tidak ada pengecualian yang berlaku
    • Mereka menilai para pengacara Facebook terlibat luas dalam perancangan, pelaksanaan, dan perluasan program tersebut

Bacaan terkait

1 komentar

 
GN⁺ 2024-04-01
Pendapat di Hacker News

  • Kalau individu yang melakukan hal seperti ini, menurut saya Computer Fraud and Abuse Act akan diterapkan. Kita lihat saja apakah hal yang sama akan terjadi pada Meta

    • Saya pernah mendengar cerita ini beberapa tahun lalu; katanya para peserta eksperimen diberi pemberitahuan, menyetujui, dan juga dibayar. Kalau mereka menyetujui pemasangan sertifikat root dan proxy untuk trafik analitik, ya selesai sampai di situ

  • Ironis sekali: pada tahun yang sama, di satu aplikasi (Whatsapp) mereka mengumumkan secara terbuka penambahan enkripsi ujung-ke-ujung, sementara di sisi lain mereka diam-diam membobol TLS #Tethics

  • FANG pada dasarnya bisa melakukan perang psikologis skala besar terhadap publik tanpa hukuman berarti, dan sesekali ada satu gugatan yang merepotkan pun tampaknya tidak banyak berpengaruh
    Saya lebih penasaran apa yang terjadi kalau mereka ketahuan mencuri hasil rampasan pengawasan satu sama lain

    • Perlu diingat bahwa ini tidak diterapkan ke semua orang. Secara realistis juga mustahil
      Meta merekrut pengguna Snapchat melalui penyedia layanan pengujian agar Meta bisa mengamati penggunaan Snapchat mereka
      Ini mirip dengan membayar orang yang mengizinkan peneliti Meta duduk di sebelahnya dan melihat mereka memakai aplikasi
      Cara seperti ini umum. Sering terjadi pengguna direkrut melalui layanan pengujian untuk memakai aplikasi mereka sendiri, lalu polanya dianalisis lewat rekaman layar, dan sebagainya
      Hal baru di sini adalah mereka membayar orang untuk “menguji” aplikasi pesaing
      Saya harap para tester tahu bahwa Snapchat akan dianalisis. Semoga mereka tidak hanya diberi tahu bahwa yang diuji hanyalah Onavo

  • Apa pun tujuan akhirnya, serangan man-in-the-middle seharusnya disebut “serangan”, bukan “riset”
    Rasanya saya tidak akan bertahan sehari pun di perusahaan yang meminta melakukan hal seperti ini. Saya pernah bekerja di departemen TI sebuah partai politik nasional, dan langsung berhenti setelah mengetahui praktik korup dan penipuannya
    Kalau para engineer secara kolektif menjunjung etika sebagai bagian dari budaya profesi, Meta juga tidak akan bisa mencoba hal seperti ini

    • Menurut saya engineer yang etis juga punya kewajiban untuk mengganggu organisasi ketika menemukan sisi kotornya. Sama sekali bukan demi keuntungan, melainkan kadang karena harga diri, dan karena dunia akan jauh lebih baik jika semua engineer melawan omong kosong
    • Pernyataan “kalau para engineer secara kolektif menjunjung etika sebagai bagian dari budaya profesi” memang benar, tetapi sangat sulit kalau pekerjaan atau green card masa depan dipertaruhkan
      Jika engineer praktisi berada dalam posisi bahwa satu kesalahan saja bisa membuat mereka dideportasi dari AS dan kehilangan peluang masa depan di sana, kemungkinan mereka menundukkan kepala dan melakukan apa yang diperintahkan manajer menjadi jauh lebih besar
      Tanggung jawab harus dimintakan pada level yang lebih tinggi
    • “Serangan man-in-the-middle itu ‘serangan’, bukan ‘riset’”—saya tidak paham maksudnya

  • Menurutmu bagaimana dengan terminasi/offloading SSL Cloudflare?

    • Setelah Snowden, menurut saya kita harus menganggap Cloudflare setidaknya berada di bawah pengaruh NSA
      Misalnya, argumen-argumen anti-backdoor bisa dipakai badan intelijen untuk membenarkan “pemberian bantuan”. Sebagian data terenkripsi saja, jika bisa diintip oleh kejahatan terorganisasi biasa, sudah sangat bernilai, jadi itu bukan sekadar eufemisme; tetapi pada saat yang sama, sampai taraf tertentu memang eufemisme juga
      Menurut saya kontroversi bahwa kelompok teroris memakai Cloudflare bisa dibiarkan karena seseorang di badan intelijen AS tahu cara mengorek rahasia dari kelompok-kelompok itu
      Secara teori, menangani SSL memang salah satu fungsi Cloudflare, bukan rahasia. Namun dalam praktiknya, kebanyakan pengguna akhir tampaknya menerima semua ini seperti sihir. Saya sendiri pernah melihat orang berpikir secara magis tentang ikon gembok di browser
    • Itu berbeda. Saya punya banyak keluhan terhadap Cloudflare, tetapi kalau Anda mendaftar ke layanan yang memang perlu melihat trafik dan secara eksplisit mengaturnya agar melihat trafik Anda sendiri, saya tidak tahu bagian mana yang perlu diprotes di sini
    • Perbedaannya adalah orang-orang* tahu dan menerima bahwa CloudFlare melakukan ini. CloudFlare mempromosikannya sebagai fitur
      *sebagian besar pelanggan CloudFlare yang bergabung secara sukarela
    • Saya tidak tahu kenapa hanya Cloudflare yang disorot. CDN atau PaaS yang melakukan SSL fronting bukan hanya Cloudflare

  • “Meta” sekarang adalah kekaisaran daring yang jahat. Sejarah perusahaan ini, kalaupun tidak terang-terangan jahat, jelas merupakan rangkaian tindakan tidak bermoral

  • Bukankah ini sudah diketahui sejak 2018?
    https://mashable.com/article/facebook-used-onavo-vpn-data-to...

    • Benar, ini berita lama (1), tetapi karena beberapa alasan kembali muncul berkali-kali di HN dan reddit. Kalau menelusuri HN, Anda bisa melihat beberapa versi cerita ini tersangkut di peringkat rendah
      Penting juga bahwa saat itu Google melakukan hal serupa. Keduanya menggunakan sertifikat enterprise yang memungkinkan sideload aplikasi tanpa peninjauan Apple, sehingga melewati perlindungan privasi iOS. Sebagai respons, Apple memperketat batasan tentang bagaimana sertifikat ini boleh digunakan
      Menariknya, di thread terkait DMA saya juga melihat tanggapan yang mengatakan bahwa kekhawatiran perusahaan bisa menyalahgunakan sideloading untuk menghindari perlindungan privasi Apple hanyalah penyebaran ketakutan. Seolah-olah itu adalah garis yang tidak akan pernah dilintasi developer
      Mengejutkan bahwa orang-orang HN tidak mengetahui sejarah yang relatif baru ini, dan secara naif mengira perlindungan semacam ini muncul tiba-tiba untuk menyulitkan developer, bukan sebagai respons terhadap perlombaan senjata yang terus berlangsung seputar hak privasi konsumen
      (1) https://www.extremetech.com/internet/284770-apple-kills-face...

  • Tautan langsung PDF:
    https://s3.documentcloud.org/documents/24520332/merged-fb.pd...
    Jawaban Meta:
    https://ia802908.us.archive.org/29/items/gov.uscourts.cand.3...
    Meta membantah telah melanggar Wiretap Act, tetapi tidak menyajikan bukti adanya persetujuan. Mereka memang mencoba, tetapi hasilnya menggelikan. Meta juga berargumen bahwa dokumen-dokumen itu tidak relevan
    Meta mengklaim bahwa aplikasi VPN-nya yang mencegat komunikasi dengan perusahaan penjual layanan iklan online seperti Snap bukan tindakan antipersaingan, melainkan sekadar “riset pasar”
    Entah mengapa Meta begitu takut menyerahkan dokumen terkait “riset pasar”
    Meta tidak membantah fakta bahwa mereka memang mencegat komunikasi. Melihat perhatian yang diterima hal ini di HN, MalwareBytes, dan lain-lain, tampaknya jelas bahwa pengguna aplikasi VPN tidak mungkin memperkirakan penyadapan semacam ini oleh Meta. Sulit membayangkan bagaimana mereka bisa menyetujui penyadapan yang tidak dapat mereka perkirakan
    Detail tambahan:
    https://ia802908.us.archive.org/29/items/gov.uscourts.cand.3...
    Facebook tampaknya memakai versi squid yang “benar-benar tua”

    • Ini kutipan dari dokumen yang dikirim tim hukum Facebook/Meta kepada hakim. Di sini “Advertisers” berarti Snapchat, YouTube, dan Amazon
      “… the Wiretap Act provides that an interception is not unlawful if a party to the
      communication “has given prior consent to such interception.” 18 U.S.C. § 2511(2)(d). Advertisers
      conspicuously fail to mention—and apparently do not contest—that Meta obtained participants’
      prior consent to participate in the Facebook Research App, and with good reason: Participants
      affirmatively consented to “Facebook … collecting data about [their] Internet browsing activity
      and app usage” to enable Facebook to “understand how [they] browse the Internet, how [they] use
      the features in the apps [they’ve] installed, and how people interact with the content [they] send
      and receive.”
      Kalau begitu, bukankah pengguna sudah memberikan persetujuan?
    • Tentu saja, “riset pasar” juga bisa dilakukan dengan menerobos masuk ke rumah orang, membaca surat mereka, dan menguping semua panggilan telepon. Saya berharap pengungkapan kali ini benar-benar berujung pada dakwaan pidana. Ini sangat jelas merupakan “peretasan”, “penyadapan”, dan “akses tanpa izin”

  • Apakah rencananya memang sekadar menyebarkan ini begitu saja ke dunia?
    Dokumen menyebutkan bahwa ini rencananya akan diberikan kepada peserta eksperimen sebagai bagian dari survei seperti yougov. Kalau begitu, artinya para peserta diberi tahu dan dibayar
    Jika yang pertama, jelas itu penyadapan tanpa izin. Jika yang kedua, selama ada persetujuan berdasarkan pemberitahuan yang memadai, itu jauh lebih baik daripada teknologi iklan saat ini

  • Di banyak perangkat Android, Facebook tidak bisa dihapus. Apakah itu berarti Zuckerberg selama bertahun-tahun melihat semua trafik pengguna tanpa peduli TLS?

    • Ya dan tidak
      Untuk trafik TLS, Onavo juga harus dipasang
      Namun aplikasinya memindai daftar kontak setiap beberapa menit dan mengirimkan perbedaannya ke server. Itu terjadi meskipun aplikasinya belum pernah dibuka. Pada versi Android lama, aplikasi itu juga mengirim daftar aplikasi yang baru-baru ini dibuka
      Namun jika memasang WhatsApp, mau tidak mau Anda harus memberi izin daftar kontak. Kalau tidak, aplikasinya sengaja dibuat rusak dan menyebalkan saat digunakan
    • Sepertinya itu hanya terjadi saat memakai Onavo
      https://en.wikipedia.org/wiki/Onavo sedikit lebih mudah dibaca daripada dokumen pengadilan yang ditautkan
    • Saya bisa saja keliru, tetapi menurut saya Onavo VPN harus terpasang
      Kalau begitu, trafik analitik YouTube dan Snapchat pasti terkena serangan man-in-the-middle