- Kläger aus der Werbebranche baten das Gericht, festzustellen, dass Meta Kommunikationen im Zusammenhang mit dem IAAP-Programm nicht durch das Anwaltsgeheimnis verbergen könne, und die Anwendung der Crime-Fraud Exception zu prüfen
- IAAP lief von Juni 2016 bis etwa Mai 2019; die Kläger behaupten, das Programm habe per SSL Man-in-the-Middle SSL-geschützten Analyse-Traffic von Snapchat, YouTube und Amazon abgefangen und entschlüsselt
- Mark Zuckerberg schrieb am 9. Juni 2016 in einer E-Mail mit dem Betreff „Snapchat analytics“, dass wegen Verschlüsselung keine Analysedaten vorlägen, und wies an, eine neue Analysemethode zu finden, um das Wachstum von Snapchat zu verstehen
- Javier Olivan antwortete, dies sei technisch komplex und könne eine Freigabe durch die Rechtsabteilung erfordern; das Onavo-Team sollte sogar prüfen, Nutzern Geld dafür zu zahlen, schwere Software zu installieren
- Die Kläger sehen IAAP nicht nur als wettbewerbswidriges Verhalten, sondern als Verstoß gegen 18 U.S.C. §2511(a), (d), bekannt als Wiretap Act, und gehen davon aus, dass Facebook-Anwälte an Konzeption, Umsetzung und Ausweitung beteiligt waren
Gerichtsantrag zur Crime-Fraud Exception
- Die Kläger aus der Werbebranche baten das Gericht im Verfahren Klein v. Meta Platforms, Inc. festzustellen, dass ein Anscheinsbeweis für die Anwendung der Crime-Fraud Exception auf bestimmte von Meta Platforms, Inc. unter Berufung auf das Anwaltsgeheimnis zurückgehaltene Kommunikationen vorliegt
- Diese Kommunikationen stehen im Zusammenhang mit Facebooks In-App Action Panel (IAAP)-Programm
- IAAP existierte von Juni 2016 bis etwa Mai 2019
- Die Kläger behaupten, das Programm sei auf Veranlassung von Mark Zuckerberg gestartet worden
- Am 15. Mai 2023 schickten die Kläger Facebook ein 19-seitiges, einzeilig gesetztes Schreiben
- Das Schreiben enthielt Screenshots, Dokumentzitate und Belegstellen
- Es analysierte das Verhalten anhand von 18 U.S.C. §2511 sowie des Crime-Fraud-Tests des Ninth Circuit aus In re Grand Jury Investigation, 810 F.3d 1110, 1113
- In den folgenden zwei Wochen wurden weitere Schreiben und E-Mails ausgetauscht; nach einer Beratung am 31. Mai wurde eine Pattsituation erreicht
Wettbewerber-Analysedaten, die über IAAP beschafft werden sollten
- Den Klägern zufolge fing und entschlüsselte IAAP per SSL Man-in-the-Middle SSL-geschützten Analyse-Traffic von Wettbewerbern
- Das erste Ziel war Snapchat
- Später kamen auch YouTube und Amazon als Ziele hinzu
- Die erlangten Informationen seien für Wettbewerbsentscheidungen von Facebook genutzt worden, so die Behauptung
- Am 9. Juni 2016 schickte Mark Zuckerberg drei Top-Führungskräften eine E-Mail mit dem Betreff „Snapchat analytics“
- Darin schrieb er, die übliche Antwort laute, dass es wegen der Verschlüsselung des Snapchat-Traffics keine Analysedaten gebe
- Da Snapchat schnell wachse, sei es wichtig, neue Wege zu finden, um zuverlässige Analysen zu erhalten
- Er wies an, Wege zu finden, auch wenn dafür ein Panel aufgebaut oder maßgeschneiderte Software geschrieben werden müsse
- Javier Olivan stimmte zu, dass dies eine der wichtigsten Marktanalysefragen des Unternehmens sei
- Er erklärte, man prüfe dies bereits mit dem Onavo-Team
- Er bewertete die Technik, in den SSL-geschützten Analyse-Traffic von Snapchat hineinzusehen, als sehr komplex
- Er schrieb, diese Arbeit könne eine Freigabe durch die Rechtsabteilung erfordern
Prüfung durch das Onavo-Team und Einbindung der Rechtsabteilung
- Olivan leitete Zuckerbergs E-Mail an Facebooks Onavo-Team weiter und bat um „out of the box thinking“
- Er betonte, die Aufgabe sei sehr wichtig
- Er erwähnte die Möglichkeit, Nutzer dafür zu bezahlen, „sehr schwere Software“ zu installieren
- Diese Software könne auch Man-in-the-Middle durchführen, schrieb er
- Onavo-Gründer Guy Rosen antwortete, er werde im Juni einen Plan für einen „lockdown effort“ erstellen, um die Sichtbarkeit auf Snapchat deutlich zu erhöhen
- Er bezeichnete dies als Gelegenheit für das Team, zu glänzen
- Zwei Tage später leitete Olivan den gesamten E-Mail-Thread an Colin Stretch weiter, den damaligen General Counsel
- Er schrieb, man müsse so schnell wie möglich vorankommen
- Er fügte hinzu, das Budget sei kein Problem, wenn Colin diese Art von Forschung genehmige
- Die Kläger behaupten, das Verhalten im Rahmen von IAAP habe gegen 18 U.S.C. §2511(a), (d) verstoßen, also den Wiretap Act, und es gebe keine anwendbare Ausnahme
- Sie gehen davon aus, dass Facebook-Anwälte umfassend an Design, Umsetzung und Ausweitung des Programms beteiligt waren
1 Kommentare
Meinungen auf Hacker News
Wenn eine Privatperson so etwas getan hätte, würde meiner Ansicht nach der Computer Fraud and Abuse Act greifen. Ob das bei Meta auch passiert, bleibt abzuwarten.
Ironisch, dass im selben Jahr bei einer App (WhatsApp) öffentlich die Einführung von Ende-zu-Ende-Verschlüsselung angekündigt wurde, während man an anderer Stelle heimlich TLS aufbrach. #Tethics
FANGs können faktisch straflos psychologische Kriegsführung im großen Maßstab gegen die Öffentlichkeit betreiben, und eine gelegentliche lästige Klage scheint kaum Auswirkungen zu haben.
Ich bin eher gespannt, was passiert, wenn sie dabei erwischt werden, wie sie sich gegenseitig die Überwachungsbeute stehlen.
Meta hat über einen Testdienst Snapchat-Nutzer angeheuert, damit Meta deren Snapchat-Nutzung beobachten konnte.
Das ist in etwa so, als würde man Leute dafür bezahlen, dass ein Meta-Forscher neben ihnen sitzt und ihnen beim Nutzen der App zusieht.
Solche Methoden sind üblich. Häufig rekrutiert man über Testdienste Nutzer, lässt sie die eigene App verwenden und analysiert Muster etwa per Bildschirmaufzeichnung.
Neu daran ist, dass man Leute dafür bezahlt hat, die App eines Konkurrenten zu „testen“.
Ich hoffe, die Tester wussten, dass Snapchat analysiert wurde. Hoffentlich wurde ihnen nicht gesagt, sie würden nur Onavo testen.
Was auch immer das Endziel war: Ein Man-in-the-Middle-Angriff sollte nicht „Forschung“, sondern „Angriff“ genannt werden.
Ich glaube, bei einer Firma, die so etwas von mir verlangen würde, würde ich keinen Tag durchhalten. Ich habe einmal in der IT-Abteilung einer landesweiten politischen Partei gearbeitet und sofort gekündigt, nachdem ich von korrupten Praktiken und Betrug erfahren hatte.
Wenn Ingenieure kollektiv Ethik als Teil ihrer Berufskultur verteidigen würden, hätte Meta so etwas gar nicht versuchen können.
Wenn praktizierende Ingenieure mit einem einzigen Fehler aus den USA geworfen werden und ihre Zukunftschancen dort verlieren könnten, ist die Wahrscheinlichkeit viel höher, dass sie den Kopf einziehen und tun, was der Manager verlangt.
Man muss weiter oben Verantwortung einfordern.
Was hältst du von Cloudflares SSL-Terminierung/-Offloading?
Zum Beispiel können Argumente gegen Backdoors von Nachrichtendiensten genutzt werden, um das „Anbieten von Unterstützung“ zu rechtfertigen. Schon der Umstand, dass gewöhnliche organisierte Kriminalität einen Teil verschlüsselter Daten mitlesen kann, ist enorm wertvoll; es ist also nicht nur ein Euphemismus, aber zugleich bis zu einem gewissen Grad eben doch einer.
Dass die Kontroverse darüber, dass Terrorgruppen Cloudflare nutzen, toleriert wird, liegt meiner Ansicht nach daran, dass irgendjemand in den US-Nachrichtendiensten weiß, wie man aus diesen Gruppen Geheimnisse herauspresst.
Theoretisch ist das Eingreifen in SSL eine Funktion von Cloudflare und kein Geheimnis. In der Praxis scheinen die meisten Endnutzer das alles aber als Magie hinzunehmen. Ich habe selbst schon magisches Denken rund um das Schloss-Symbol im Browser erlebt.
*die meisten freiwilligen CloudFlare-Kunden
„Meta“ ist inzwischen ein böses Online-Imperium. Die Unternehmensgeschichte ist eine Abfolge von Handlungen, die vielleicht nicht offen böse, aber eindeutig unmoralisch sind.
Quelle: https://www.vice.com/en/article/v7gd9b/facebook-helped-fbi-h...
Ist das nicht seit 2018 bekannt?
https://mashable.com/article/facebook-used-onavo-vpn-data-to...
Wichtig ist auch, dass Google damals etwas Ähnliches tat. Beide nutzten Enterprise-Zertifikate, mit denen Apps ohne Apples Review per Sideloading installiert werden konnten, und umgingen so iOS-Datenschutzmechanismen. Als Reaktion darauf schränkte Apple strenger ein, wofür diese Zertifikate verwendet werden dürfen.
Interessanterweise habe ich in DMA-Threads auch Reaktionen gesehen, wonach die Sorge, Unternehmen könnten Sideloading missbrauchen, um Apples Datenschutzmechanismen zu umgehen, bloße Panikmache sei – als wäre das eine Grenze, die Entwickler niemals überschreiten würden.
Es überrascht mich, dass HN-Leute diese relativ junge Geschichte nicht kennen und naiv glauben, solche Schutzmechanismen seien nicht eine Reaktion auf das fortlaufende Wettrüsten um die Datenschutzrechte der Verbraucher, sondern plötzlich eingeführt worden, um Entwickler zu schikanieren.
(1) https://www.extremetech.com/internet/284770-apple-kills-face...
Direkter PDF-Link:
https://s3.documentcloud.org/documents/24520332/merged-fb.pd...
Metas Antwort:
https://ia802908.us.archive.org/29/items/gov.uscourts.cand.3...
Meta bestreitet zwar, gegen den Wiretap Act verstoßen zu haben, legt aber keinen Nachweis für eine Einwilligung vor. Sie versuchen es zwar, aber auf geradezu lächerliche Weise. Meta behauptet außerdem, die Dokumente seien nicht relevant.
Meta argumentiert, es sei nicht wettbewerbswidrig gewesen, dass die VPN-App die Kommunikation mit Unternehmen abgefangen hat, die Online-Werbedienste wie Snap verkaufen; es sei lediglich „Marktforschung“ gewesen.
Ich weiß nicht, warum Meta solche Angst davor hat, Dokumente zur „Marktforschung“ vorzulegen.
Meta bestreitet nicht die Tatsache, dass Kommunikation abgefangen wurde. Angesichts der Aufmerksamkeit, die das bei HN, MalwareBytes usw. bekommt, scheint klar, dass Nutzer der VPN-App ein solches Abfangen durch Meta kaum erwartet haben dürften. Schwer vorstellbar, wie sie einem Abfangen zugestimmt haben sollen, das sie nicht erwarten konnten.
Weitere Details:
https://ia802908.us.archive.org/29/items/gov.uscourts.cand.3...
Facebook scheint eine „wirklich alte“ Version von squid verwendet zu haben.
“… the Wiretap Act provides that an interception is not unlawful if a party to the
communication “has given prior consent to such interception.” 18 U.S.C. § 2511(2)(d). Advertisers
conspicuously fail to mention—and apparently do not contest—that Meta obtained participants’
prior consent to participate in the Facebook Research App, and with good reason: Participants
affirmatively consented to “Facebook … collecting data about [their] Internet browsing activity
and app usage” to enable Facebook to “understand how [they] browse the Internet, how [they] use
the features in the apps [they’ve] installed, and how people interact with the content [they] send
and receive.”
Heißt das dann nicht, dass die Nutzer zugestimmt haben?
War der Plan einfach, das irgendwie grob in die Welt zu streuen?
In den Dokumenten steht, dass es Versuchsteilnehmern im Rahmen von Umfragen, etwa über YouGov, angeboten werden sollte. Das würde bedeuten, dass die Teilnehmer informiert wurden und Geld erhielten.
Im ersten Fall wäre es eindeutig unbefugtes Abhören. Im zweiten Fall wäre es, sofern eine auf ausreichender Aufklärung beruhende Einwilligung vorliegt, deutlich besser als die heutige Werbetechnik.
Auf vielen Android-Geräten lässt sich Facebook nicht entfernen. Heißt das, Zuckerberg hat unabhängig von TLS jahrelang den gesamten Traffic aller Nutzer gesehen?
Für TLS-Traffic musste auch Onavo installiert sein.
Die App scannt aber alle paar Minuten die Kontaktliste und sendet die Unterschiede an den Server. Selbst wenn man die App nie geöffnet hat. In älteren Android-Versionen wurde auch die Liste der zuletzt geöffneten Apps gesendet.
Wenn man allerdings WhatsApp installiert, muss man ohnehin die Berechtigung für die Kontaktliste erteilen. Sonst geht die App absichtlich kaputt und verhält sich nervig.
https://en.wikipedia.org/wiki/Onavo ist etwas leichter zu lesen als die verlinkten Gerichtsunterlagen.
Dann wäre der Analyse-Traffic von YouTube und Snapchat per Man-in-the-Middle-Angriff abgefangen worden.