Bagaimana Facebook mencegat lalu lintas aplikasi seluler terenkripsi milik pesaing

 (doubleagent.net)
2 poin oleh GN⁺ 2024-07-29 | 1 komentar | Bagikan ke WhatsApp
  • Melalui dokumen publik dari gugatan class action antimonopoli terhadap Meta dan reverse engineering terhadap Onavo Protect Android APK yang diarsipkan, terungkap struktur yang memungkinkan Facebook mendekripsi lalu lintas HTTPS aplikasi pesaing dengan metode man-in-the-middle
  • Intinya adalah meminta pemasangan sertifikat CA Facebook Research di perangkat, lalu menghubungkan lalu lintas VPN Onavo ke ssl bump proxy transparan Squid di infrastruktur Facebook
  • Onavo Protect telah dipasang lebih dari 10 juta kali di Android, dan distribusi tahun 2016 menyertakan sertifikat CA sebagai aset aplikasi, salah satunya berlaku hingga 2027
  • Setelah Android 7 membatasi kepercayaan terhadap CA tambahan dari pengguna dan alur pemasangan sertifikat, efektivitasnya menurun, tetapi pada saat itu sc-analytics.appspot.com milik Snapchat dipastikan dapat di-MITM karena tidak memiliki certificate pinning
  • Setelah keamanan Android diperkuat dan pinning makin meluas, Facebook bahkan mempertimbangkan penggunaan Accessibility API, sementara susunan izin Onavo juga masih membuka kemungkinan akses ke informasi sensitif seperti IMSI

Struktur Onavo yang dikonfirmasi lewat dokumen publik dan reverse engineering APK

  • Dokumen publik dalam gugatan class action yang sedang berjalan terhadap Meta memuat materi yang menunjukkan kemungkinan Facebook melanggar Wiretap Act
    • Menurut penjelasan pengguna HN, kasus ini sendiri bukan gugatan penyadapan, melainkan gugatan antimonopoli terkait pelanggaran Sherman Act, dan kemungkinan pelanggaran Wiretap Act ditemukan secara tidak sengaja oleh tim kuasa hukum penggugat dalam proses discovery
  • Dasar analisisnya adalah dokumen pengadilan publik dan reverse engineering terhadap paket aplikasi Android Onavo Protect yang diarsipkan
  • Karena informasi yang tersedia terbatas dan parsial, beberapa fakta bisa saja tidak akurat atau tidak lengkap
    • Masih belum jelas apakah lalu lintas semua pengguna aplikasi dicegat, atau hanya sebagian pengguna saja

Cara mendekripsi lalu lintas HTTPS tertentu dengan ssl bump

  • Facebook menyebut teknik ini sebagai ssl bump, dan namanya berasal dari fitur proxy transparan pada proxy caching Squid
  • Alur kerjanya kira-kira seperti berikut
    • Memasang sertifikat tepercaya yang diterbitkan Facebook Research di perangkat
    • Mengirim lalu lintas perangkat ke infrastruktur yang dikendalikan Facebook melalui VPN Onavo
    • Mengalihkan lalu lintas ke proxy transparan Squid
    • Mendekripsi lalu lintas TLS domain tertentu dengan konfigurasi ssl bump
  • Dalam dokumen pengadilan, domain yang menjadi perhatian tampak mencakup domain terkait Snapchat, Amazon, dan YouTube
  • Dari aplikasi Onavo yang diarsipkan saja, sulit memastikan apakah lalu lintas pengguna lain benar-benar dicegat, atau hanya sekadar melewati proxy

Izin dan fungsi pengumpulan data aplikasi Onavo Protect

  • Aplikasi Android Onavo Protect telah dipasang lebih dari 10 juta kali, dan memuat kode yang mendorong pengguna memasang sertifikat CA ke penyimpanan kepercayaan pengguna di perangkat
  • Aplikasi ini meminta berbagai izin dengan dalih “perlindungan” dan menampilkan penggunaan data
    • Display over other apps
    • Access past and deleted app usage
  • Manifest Android memuat android.permission.PACKAGE_USAGE_STATS, yang memungkinkannya mengumpulkan statistik penggunaan aplikasi lain dan penggunaan jaringan
  • Skema basis data lokal tampaknya menyimpan data tingkat relatif tinggi seperti statistik penggunaan aplikasi dan penggunaan lalu lintas jaringan per aplikasi
  • Email dalam dokumen publik mencakup kebutuhan akan “reliable analytics” untuk Snapchat dan gagasan tentang “kit untuk iOS dan Android yang mencegat lalu lintas subdomain tertentu”

Pemasangan sertifikat CA dan perubahan keamanan Android

  • Aplikasi Onavo memiliki fungsi untuk memasang sertifikat dengan memanggil KeyChain.createInstallIntent() di Android, dengan struktur yang menampilkan popup pemasangan bernama Facebook Research kepada pengguna
  • KeyChain.createInstallIntent() tidak lagi bekerja dengan cara yang sama sejak Android 7 Nougat
  • Kebijakan keamanan Android juga banyak berubah setelah itu
    • Aplikasi yang menargetkan Android 6.0 API level 23 ke bawah secara default mempercayai penyimpanan CA tambahan milik pengguna
    • Sejak Android 7, aplikasi tidak lagi secara default mempercayai CA tambahan dari pengguna kecuali mengatur konfigurasi keamanan terpisah
    • Di Android 7, sertifikat tidak lagi bisa dipasang ke penyimpanan sistem tanpa root
  • Android 11 sepenuhnya memblokir mekanisme yang digunakan aplikasi untuk mengarahkan pengguna memasang sertifikat, dan tidak ada aplikasi yang secara default mempercayai sertifikat di penyimpanan pengguna
  • Metode yang dimungkinkan pada periode 2016–2019 saat itu kini sulit dijalankan dengan cara yang sama secara teknis di lingkungan Android modern

Sertifikat Facebook Research yang disertakan dalam aplikasi

  • APK Onavo versi September 2017 menyertakan old_ca.cer dan new_ca.cer di bawah folder assets
  • Kode terkait dapat dilihat di kelas ResearchCertificateManager
  • Perbedaan kedua sertifikat itu adalah masa berlakunya
    • Sertifikat pertama berlaku mulai 8 September 2016 dan berdurasi satu tahun
    • Sertifikat kedua berlaku mulai 8 Juni 2017 hingga 8 Juni 2027
  • Dokumen pengadilan memuat kalimat bahwa sertifikat yang digunakan untuk SSL bump “dibuat di server dan dikirim ke perangkat”
  • Pada aplikasi yang berhasil diperoleh, fungsi spesifik untuk menambahkan sertifikat dari server setelah 2017 belum terkonfirmasi, sehingga masih perlu penyelidikan lebih lanjut

Domain analitik Snapchat dan certificate pinning

  • Jika sebuah aplikasi menerapkan certificate pinning secara penuh, metode MITM ini tidak akan berhasil
  • Barang bukti dalam dokumen publik mencantumkan domain terkait Snapchat, yaitu sc-analytics.appspot.com
  • Hasil dekompilasi aplikasi Snapchat lama menunjukkan bahwa lalu lintas ke domain analitik tersebut tidak menerapkan certificate pinning
  • Facebook mengetahui bahwa penguatan keamanan Android dan meluasnya certificate pinning mengurangi kelayakan jangka panjang ssl bump

Tinjauan Accessibility API dan akses ke informasi sensitif

  • Saat penguatan keamanan Android dan adopsi certificate pinning makin meluas, Facebook meninjau penggunaan Accessibility API sebagai alternatif
  • Google menyatakan bahwa fitur aksesibilitas hanya boleh dideklarasikan sebagai alat aksesibilitas untuk layanan yang membantu penyandang disabilitas menggunakan perangkat atau mengatasi kesulitan akibat disabilitas
  • Penyalahgunaan fitur aksesibilitas Android umumnya dikaitkan dengan kasus aplikasi berbahaya seperti banking malware
  • Aplikasi Onavo memuat izin READ_PHONE_STATE di manifest, dan pada saat itu izin tersebut dapat digunakan untuk memperoleh informasi sensitif seperti subscriber IMSI
  • Kemungkinan akses ke IMSI menunjukkan bahwa data lain yang mungkin dikumpulkan aplikasi Onavo juga perlu diverifikasi lebih lanjut

Kontroversi Onavo sebelumnya dan perbedaan analisis kali ini

  • Informasi terkait MITM kali ini adalah isu yang berbeda dari kontroversi Facebook Project Atlas dan Onavo yang diketahui pada 2019
  • Pada 2019, aplikasi Onavo diturunkan dari app store setelah investigasi mengungkap bahwa Facebook membayar remaja untuk menggunakan aplikasi itu dan mengumpulkan data kebiasaan penggunaan mereka
  • Pada 2023, dua anak perusahaan Facebook diperintahkan membayar total 20 juta dolar Australia oleh Pengadilan Federal Australia karena tindakan menyesatkan yang berpotensi melanggar hukum konsumen Australia
  • Fokus analisis kali ini adalah bahwa implementasi teknis pada masa itu masih bisa dikonfirmasi melalui APK arsip bahkan setelah aplikasinya diturunkan

Bacaan terkait

1 komentar

 
GN⁺ 2024-07-29
Opini Hacker News

  • Jika dirangkum apa persisnya yang dipersoalkan, ada detail yang tampaknya terlewat di banyak tulisan: menurut saya FB membuat pengguna SC memasang proxy dengan imbalan ikut serta dalam riset pasar
    Sebagian besar tulisan membuatnya terdengar seperti peretasan, tetapi kenyataannya tidak terlihat begitu. Saya ingin tahu lebih banyak tentang apa yang dikatakan kepada para peserta sebagai imbalan uang yang mereka terima, tetapi rasanya kecil kemungkinan mereka tidak tahu bahwa perilaku mereka dipantau
    Argumen bahwa ini penyadapan jika salah satu pihak dalam komunikasi memecahkan enkripsi dengan alat yang disediakan pihak ketiga terasa agak lemah. Saya bukan ahli hukum, tetapi kalau ini penyadapan, apakah ketika saya mendekripsi dan menganalisis traffic API suatu layanan dengan proxy SSL lokal juga termasuk penyadapan?

    • Neilson juga melakukan hal serupa di TV. Mereka memasang kotak penangkap di rumah-rumah panel untuk mengetahui apa yang ditonton: https://www.nytimes.com/athletic/3194414/2022/03/22/the-ulti...
      Saya berharap mereka transparan tentang apa yang dikumpulkan. Artikel itu tidak menunjukkan seperti apa layar persetujuan sebelum proxy dipasang
    • Menurut artikel, ini adalah kasus baru yang berbeda dari kasus yang pernah dibahas TechCrunch, ketika Facebook membayar remaja untuk mengumpulkan data kebiasaan penggunaan
      Kasus itu berujung pada aplikasi Onavo diturunkan dari app store dan denda
    • Terkait pernyataan “terdengar seperti peretasan, tetapi tampaknya bukan”, peretasan terbaik dan paling efektif biasanya dilakukan dengan membuat seseorang mengunduh sesuatu yang seharusnya tidak mereka terima untuk melewati keamanan
    • Tulisannya bukan melewatkan sesuatu, melainkan mencampuradukkan kasus yang berbeda. Tulisan ini tentang Onavo Protect, “Free VPN + Data Manager”, yang tidak membayar pengguna
      Secara terpisah, ada program ketika Facebook membayar remaja untuk memasang Facebook Research VPN melalui kanal distribusi enterprise sehingga mengakali App Store dan aturannya, dan versi berbayar itu lebih invasif
      Jadi kasus Onavo ini sama sekali tidak bisa dibela
      https://apkpure.com/onavo-protect-from-facebook/com.onavo.sp...
      https://techcrunch.com/2019/01/29/facebook-project-atlas/?re...
    • Bagian “FB membuat pengguna SC memasang proxy dengan imbalan ikut serta dalam riset pasar” tampaknya tertukar dengan kasus sebelumnya. Aplikasi ini bisa diunduh siapa saja dari Google Play dan Apple App Store
      Tulisan blog itu juga membedakan kontroversi sebelumnya, yaitu pada 2023 Pengadilan Federal Australia memerintahkan dua anak perusahaan Facebook membayar total 20 juta dolar atas perilaku menyesatkan yang berpotensi melanggar hukum konsumen Australia, dari klaim penyadapan kali ini
      Untuk pertanyaan “apakah mendekripsi dan menganalisis traffic saya sendiri dengan proxy SSL lokal juga penyadapan”, kalau Anda melihat traffic Anda sendiri di jaringan atau perangkat Anda sendiri, tentu saja bukan

  • Sebagian emailnya mengesankan dari banyak sisi, terutama karena memperlihatkan betapa bodoh atau arogan orang-orang FB. Sangat konyol mereka secara terang-terangan membicarakan MITM, dan meninggalkan jejak tertulis bahwa mereka juga membuat beberapa perusahaan lain memasukkan kit ini ke produk mereka
    Kalau hanya “Zuck, saya punya ide soal usulan Anda, mari bertemu dan membicarakannya” itu memang tetap mencurigakan, tetapi setidaknya bukan bukti bersalah. Mereka seperti orang yang belum pernah menonton film atau membaca berita tentang perusahaan lain yang tertangkap

    • Saya selalu mengingat nasihat bahwa setiap kali mengirim sesuatu secara tertulis, pikirkan bagaimana rasanya jika harus mengulang kata-kata yang sama di pengadilan atau jika pesan itu dimuat di berita. Saya tidak pernah mengatakan hal separah itu, tetapi tetap membantu
    • Apakah maksudnya Anda berharap mereka lebih pintar sehingga bisa menyembunyikan jejak tindakan jahat?
      Masalah sebenarnya adalah ketiadaan etika sepenuhnya. Kedengarannya seperti tempat di mana jika etika dianggap sebagai hambatan, Anda akan ditertawakan di ruang rapat atau dipecat. Budaya perusahaannya lebih dari apa pun mengejar keuntungan, dan di industri perangkat lunak ini menjadi sangat buruk karena terlalu banyak orang sama sekali tidak memikirkan implikasi etis dari tindakan mereka
    • Bos-bos miliarder dikelilingi oleh para oportunis dan penjilat. Seiring waktu, seperti hamparan sampah raksasa, kelompok itu tumbuh tak terkendali, dan siapa pun yang bertindak sedikit saja secara normal akan dianggap sebagai ancaman ontologis terhadap fantasi, dominasi, manipulasi, kemewahan, dan gaya hidup santai mereka lalu disingkirkan
    • Tentang Meta, fakta bahwa mereka berkontribusi pada genosida Myanmar saja sudah cukup untuk diketahui. Tragisnya, orang yang bekerja di perusahaan terkait pertahanan sering dipandang hina, sementara bekerja di Meta umumnya dianggap netral. Padahal dampak negatif yang terakhir bisa jauh lebih besar daripada yang pertama
      Itu bahkan belum menyebut Instagram
      Pada akhirnya, mereka tampaknya membayar terlalu tinggi dan mempekerjakan terlalu banyak orang di industri sehingga kritik berkurang. Kita semua punya teman yang pernah bekerja di Meta, atau mungkin pernah melamar ke sana setidaknya sekali. Sebaliknya, jarang ada orang di sekitar kita yang pernah berada di tempat seperti Anduril
    • Jika salah satu dari orang-orang seperti ini mencari pekerjaan baru, tempat Anda bekerja pun akan mengantre untuk memasukkan mereka ke loop wawancara

  • Bukan bermaksud meremehkan, tetapi setidaknya ini mengharuskan pengguna mengunduh aplikasi Onavo, jadi tidak terlalu umum terjadi.
    Yang lebih sering saya pikirkan adalah dua jenis webview di iOS yang bisa dipakai dan belum ditinggalkan: WKWebView dan SFSafariViewController. Keduanya punya tujuan penggunaan yang sangat berbeda.
    Saat menekan tautan di aplikasi Facebook, seharusnya yang dipakai adalah SFSafariViewController. Kode aplikasi tidak bisa melihat bagian dalamnya sehingga bersifat privat, berbagi cookie dengan Safari, dan memang dibuat untuk “memuat konten web eksternal dalam konteks aplikasi ini”.
    Namun FB masih memakai WKWebView. Dengan ini, mereka bisa menyuntikkan JS arbitrer ke halaman mana pun, dan bisa melacak semuanya: navigasi, resource yang dimuat, dan sebagainya. Melihat tulisan ini dan berbagai pengungkapan lain, menakutkan membayangkan apa yang FB lakukan dengan kemampuan itu. Sangat mungkin mereka melacak sampai piksel mana yang diketuk pengguna di situs eksternal. Kedengarannya gila jika berpikir mereka mungkin melacak semua username dan password yang dimasukkan ke webview dalam aplikasi, tetapi secara teknis itu memungkinkan. Dan apakah kita benar-benar bisa percaya mereka tidak akan melakukannya?

    • Mereka memang menyuntikkan JS. Dulu pernah ada masalah yang merusak pemanggilan JS tertentu pada autofill pembayaran.
      https://x.com/jameshartig/status/1534886418266431488
    • Saya tidak tahu WKWebView memberi aplikasi izin sebesar itu. Apakah ada cara bagi pengguna untuk mengetahui apakah yang terbuka saat membuka halaman web adalah WKWebView atau SFSafariViewController? Saya tidak memakai FB, tetapi memakai webview di aplikasi lain, dan saya berharap aplikasi-aplikasi itu juga tidak bisa melakukan hal seperti ini.
    • Terkait pernyataan bahwa ini tidak umum karena harus mengunduh aplikasi Onavo, menurut AndroidRank ada 10 juta instalasi di Android.
      Yang belum diketahui adalah berapa persen dari instalasi itu yang trafik ke pesaing FB-nya di-MITM.
      https://www.androidrank.org/application/onavo_protect_from_f...
    • Lihat tulisan ini: https://krausefx.com/blog/ios-privacy-instagram-and-facebook...
    • Saya tidak punya Instagram dan memakai Facebook, tetapi ketika orang mengirim tautan video Instagram lewat Messenger, saya praktis tidak bisa menontonnya di dalam aplikasi kecuali login—pada dasarnya kecuali membuat akun. Hanya bisa ditonton jika dibuka secara eksternal di Safari.

  • Entah kenapa, Facebook adalah satu-satunya perusahaan teknologi yang sama sekali tidak bisa saya lihat secara positif. Google, Microsoft, Apple, Nvidia, AMD, Intel, dan lainnya masing-masing punya sisi yang saya suka dan tidak suka, tetapi Facebook saya tidak suka begitu saja.
    Sekitar 10–11 tahun lalu saya menutup akun Facebook dan memasang filter untuk mengecualikan Facebook dari hasil pencarian, dan itu efektif. Di feed Google News juga saya hampir tidak melihat konten terkait Facebook. Namun saya masih memakai WhatsApp, karena di Asia di luar Tiongkok itu adalah aplikasi perpesanan terbesar.

    • Alasannya mungkin campuran beberapa hal. Mulai dari kejadian seperti tulisan ini, tracking pixel, apa yang disebut akun bayangan, hingga sikap mereka melawan apa pun yang menghambat pelacakan, ada sejarah panjang melemahkan privasi demi meningkatkan laba. Dari perusahaan yang disebutkan, hanya Google yang agak tumpang tindih, tetapi tidak sampai sejauh itu.
      Mereka juga tidak bertanggung jawab atas efek algoritma yang memperkuat ujaran kebencian. Perusahaan lain tidak punya masalah berskala seperti ini.
      Pemasarannya juga tidak jujur. Hampir di semua iklan Quest dan pengungkapan fiturnya, mereka memakai visualisasi konsep untuk menyesatkan soal apa yang mungkin dilakukan. Mark juga sering memakai bahasa ganda saat menangani masalah. Bahasa ganda memang bukan hanya milik Meta, tetapi dibanding perusahaan lain yang disebutkan, mereka mendorong iklan menipu sampai batasnya.
      Dalam siklus AI kali ini, popularitas Meta kembali naik berkat model berbobot terbuka, meski bukan open source, dan Mark juga berusaha membentuk ulang citranya lewat ofensif PR belakangan ini.
      Tetap saja, dari perusahaan yang disebutkan, menurut saya secara budaya hanya Meta yang tidak punya inti moral dalam pekerjaannya. Budaya turun dari atas, dan Zuckerberg serta Thiel menanamkan budaya “sukses adalah segalanya” dalam cara Meta beroperasi.
      Perusahaan lain jelas juga kapitalistis, tetapi masih punya tingkat rasa tanggung jawab tertentu terhadap keluaran mereka.
    • Terus memakai WhatsApp berarti ikut berkontribusi pada monopoli Meta. Monopoli WhatsApp makin membesar, dan mereka bahkan mulai terang-terangan meniru pesaingnya, Telegram.
      Jika saya sendiri memperkuat pihak lawan, menentangnya secara terbuka tidak akan ada efeknya.
    • Nama perusahaannya sekarang Meta, jadi mungkin itu juga alasan Anda tidak banyak melihat berita Facebook.

  • Ungkapan “Dalam gugatan class action saat ini terhadap Meta, dokumen pengadilan memuat klaim bahwa perusahaan melanggar Wiretap Act” tidak akurat.
    Ini bukan gugatan penyadapan. Semua klaimnya adalah pelanggaran Sherman Act, yaitu terkait antitrust. Pengacara penggugat hanya kebetulan menemukan bukti dalam proses discovery bahwa Facebook mungkin telah melanggar Wiretap Act. Tidak ada klaim terkait penyadapan; ini adalah perkara antitrust.

    • Bukankah ini juga melanggar DMCA? Karena ini mengakali sistem yang terenkripsi.
      Saya penasaran sekaligus bingung apakah DMCA tidak cukup kuat untuk hal sebesar ini, apakah ini soal standing atau kerugian yang bisa dibuktikan, atau apakah para penggugat lupa.

  • Salah satu kerabat saya dulu hampir ikut mendaftar ke riset pasar yang pada dasarnya mirip dengan ini. Caranya adalah semua trafik internet di ponsel dialihkan lewat VPN dan proxy yang dikendalikan perusahaan riset pasar, serta memasang sertifikat juga.
    Ia akan menerima imbalan kecil, dan ia juga akan menyetujui instalasinya. Saya tidak ingat perusahaan itu secara persis menipu soal apa pun.
    Namun meski secara umum saya tidak menyukai kebijakan yang terlalu paternalistis, saya mempertanyakan seberapa bermaknanya persetujuan orang dengan pengetahuan teknis yang relatif sedikit untuk hal seperti ini. Itu bukan penipuan, tetapi mereka juga tidak menjelaskan dengan cara yang benar-benar mudah dipahami oleh orang yang tidak tahu apa yang sedang terjadi.

    • Fakta bahwa sebagian perusahaan riset pasar memberikan pemberitahuan yang memadai sama sekali tidak berarti Onavo juga begitu. Onavo tidak mengiklankan dirinya kepada pengguna sebagai “perusahaan riset pasar”, melainkan tampak seperti aplikasi utilitas gratis yang mengategorikan penggunaan data internet.

  • Setelah membaca tulisan ini, saya jadi berpikir bahwa di Facebook sekarang sepertinya ada divisi yang pada dasarnya organisasi samaran NSA

    • Orang-orang tampaknya lupa bahwa riset yang kemudian menjadi Google pada awalnya juga didanai oleh NSA dan CIA
      https://qz.com/1145669/googles-true-origin-partly-lies-in-ci...
      Sekarang mobil hadir dengan layanan Google dan Android tertanam di sistem infotainment, dan tidak ada cara untuk mencabutnya. Apa yang bisa salah ketika sebuah perusahaan iklan bisa melihat ke mana Anda pergi dan siapa saja yang ada di mobil?
    • Saat kebocoran Prism, hampir semua perusahaan teknologi besar bekerja sama
    • Atau bisa juga organisasi samaran Unit 8200. Karena ini soal Facebook Israel

  • Ooooh, SSLbump
    Rasanya pasti ada preseden hukum yang menganggap sniffing trafik jaringan di sisi pelanggan sebagai tindak pidana
    Mungkin salah satu dari beberapa kasus terkait penyadapan informasi perbankan

    • Bukankah Computer Fraud and Abuse Act mencakup hal ini?

  • Inilah alasan server dan klien harus sama-sama saling bertukar sertifikat lewat mutual TLS sebelum mengirim informasi berbahaya melalui internet. Tapi kenyataannya, tidaaaak

    • Bagaimana mutual TLS membantu dalam kasus ini?
    • Certificate pinning bisa dilakukan

  • Sayangnya tidak mengejutkan. Pelaku jahat seperti Meta kemungkinan besar sudah menanamkan banyak dark pattern
    Misalnya, kita bisa membayangkan risiko keamanan kebocoran data sensor, seperti memantau data sensor dari akselerometer dan giroskop untuk menyimpulkan informasi audio. Jika data yang dikumpulkan diam-diam diteruskan ke luar dan diproses, informasi sensitif bisa direkonstruksi tanpa akses langsung ke mikrofon perangkat
    Tidak akan aneh kalau mereka mampu melakukan hal seperti ini
    Meta serta perusahaan berbahaya lain dan lembaga pemerintah kemungkinan memakai teknik penyadapan yang jauh lebih banyak, lebih buruk, dan lebih sederhana di lingkungan nyata