Wie Facebook den verschlüsselten mobilen App-Traffic von Konkurrenten abfing

 (doubleagent.net)
2 Punkte von GN⁺ 2024-07-29 | 1 Kommentare | Auf WhatsApp teilen
  • Durch veröffentlichte Dokumente aus der Meta-Sammelklage und Reverse Engineering einer archivierten Onavo Protect Android APK wurde offengelegt, wie Facebook den HTTPS-Traffic von Konkurrenz-Apps per Man-in-the-Middle entschlüsseln konnte
  • Der Kern bestand darin, ein Facebook Research CA-Zertifikat auf dem Gerät installieren zu lassen und den Onavo-VPN-Traffic an ssl bump eines transparenten Squid-Proxys in der Facebook-Infrastruktur weiterzuleiten
  • Onavo Protect wurde unter Android mehr als 10 Millionen Mal installiert, und in einer 2016 verbreiteten Version war ein CA-Zertifikat als App-Asset enthalten, von denen eines bis 2027 gültig war
  • Nach Android 7 wurde die Wirkung eingeschränkt, weil das Vertrauen in benutzerhinzugefügte CAs und der Zertifikat-Installationsablauf begrenzt wurden. Damals war jedoch sc-analytics.appspot.com von Snapchat als Fall bestätigt, bei dem wegen fehlendem Certificate Pinning ein MITM möglich war
  • Nach der Härtung von Android und der weiteren Verbreitung von Pinning prüfte Facebook sogar die Nutzung der Accessibility API. Die Berechtigungsstruktur von Onavo ließ außerdem die Möglichkeit offen, auf sensible Informationen wie IMSI zuzugreifen

Onavos Struktur, bestätigt durch veröffentlichte Dokumente und APK-Reverse-Engineering

  • In den veröffentlichten Dokumenten der laufenden Sammelklage gegen Meta finden sich Unterlagen, die darauf hindeuten, dass Facebook möglicherweise gegen den Wiretap Act verstoßen hat
    • Laut der Erklärung eines HN-Nutzers handelt es sich bei dem Fall selbst nicht um eine Wiretapping-Klage, sondern um eine Kartellklage wegen Verstößen gegen den Sherman Act. Die Anwälte der Klägerseite stießen im Rahmen der Beweisaufnahme eher zufällig auf mögliche Verstöße gegen den Wiretap Act
  • Grundlage der Analyse sind veröffentlichte Gerichtsunterlagen und Reverse Engineering eines archivierten Onavo Protect Android App-Pakets
  • Da die öffentlich verfügbaren Informationen begrenzt und nur teilweise vollständig sind, könnten einige Fakten ungenau oder unvollständig sein
    • Ob der Traffic aller App-Nutzer abgefangen wurde oder nur der einiger Nutzer, ist weiterhin unklar

Wie bestimmter HTTPS-Traffic mit ssl bump entschlüsselt wurde

  • Facebook nannte diese Technik ssl bump, wobei der Name von der Transparent-Proxy-Funktion des Squid-Caching-Proxys stammt
  • Der Ablauf entsprach ungefähr folgender Architektur
    • Installation eines von Facebook Research ausgestellten vertrauenswürdigen Zertifikats auf dem Gerät
    • Weiterleitung des Gerätetraffics über das Onavo-VPN an eine von Facebook kontrollierte Infrastruktur
    • Umleitung des Traffics an einen transparenten Squid-Proxy
    • Entschlüsselung des TLS-Traffics bestimmter Domains per ssl bump-Konfiguration
  • Laut den Gerichtsunterlagen gehörten Domains von Snapchat, Amazon und YouTube zu den Zielobjekten
  • Anhand der archivierten Onavo-App allein lässt sich schwer feststellen, ob tatsächlich Traffic anderer Nutzer abgefangen wurde oder nur über den Proxy lief

Berechtigungen und Erfassungsfunktionen der Onavo-Protect-App

  • Die Onavo-Protect-Android-App wurde mehr als 10 Millionen Mal installiert und enthielt Code, der Nutzer dazu bringen sollte, ein CA-Zertifikat im benutzervertrauenswürdigen Speicher des Geräts zu installieren
  • Unter dem Vorwand von „Schutz“ und der Anzeige des Datenverbrauchs verlangte die App mehrere Berechtigungen
    • Display over other apps
    • Access past and deleted app usage
  • Im Android-Manifest war android.permission.PACKAGE_USAGE_STATS enthalten, womit sich Nutzungsstatistiken und Netzwerkverbrauch anderer Apps erfassen ließen
  • Im Schema der lokalen Datenbank scheinen vergleichsweise hochrangige Daten wie App-Nutzungsstatistiken und app-spezifischer Netzwerktraffic gespeichert worden zu sein
  • In E-Mails aus den veröffentlichten Unterlagen ist von der Notwendigkeit „zuverlässiger Analytics“ für Snapchat sowie von einem „Kit für iOS und Android zum Abfangen des Traffics bestimmter Subdomains“ die Rede

Installation von CA-Zertifikaten und Änderungen an der Android-Sicherheit

  • In der Onavo-App gab es eine Funktion, die Androids KeyChain.createInstallIntent() aufrief, um ein Zertifikat zu installieren. Dem Nutzer wurde dabei ein Installations-Popup mit dem Namen Facebook Research angezeigt
  • KeyChain.createInstallIntent() funktionierte seit Android 7 Nougat nicht mehr auf dieselbe Weise
  • Auch die Android-Sicherheitsrichtlinien änderten sich später deutlich
    • Apps mit Zielversion Android 6.0 API Level 23 oder niedriger vertrauen standardmäßig dem benutzerhinzugefügten CA-Speicher
    • Ab Android 7 vertrauen Apps benutzerhinzugefügten CAs nicht mehr standardmäßig, sofern sie keine separate Sicherheitskonfiguration setzen
    • Unter Android 7 konnten Zertifikate ohne Root-Zugriff nicht mehr im Systemspeicher installiert werden
  • Android 11 blockierte den Mechanismus vollständig, mit dem Apps Nutzer zur Zertifikatinstallation bewegen konnten, und keine App vertraut standardmäßig mehr Zertifikaten aus dem Benutzerspeicher
  • Die Vorgehensweise, die zwischen 2016 und 2019 möglich war, lässt sich in der heutigen Android-Umgebung technisch nicht mehr in gleicher Form umsetzen

In der App enthaltene Facebook-Research-Zertifikate

  • In der Onavo-APK-Version von September 2017 befanden sich im Ordner assets old_ca.cer und new_ca.cer
  • Der zugehörige Code ist in der Klasse ResearchCertificateManager zu finden
  • Der Unterschied zwischen den beiden Zertifikaten lag in der Gültigkeitsdauer
    • Das erste Zertifikat war ab dem 8. September 2016 gültig und auf ein Jahr ausgestellt
    • Das zweite Zertifikat war vom 8. Juni 2017 bis zum 8. Juni 2027 gültig
  • In den Gerichtsunterlagen findet sich die Formulierung, das für SSL bump genutzte Zertifikat werde „auf dem Server erzeugt und an das Gerät übertragen“
  • In den gesicherten Apps wurde bislang jedoch keine konkrete Funktion bestätigt, die nach 2017 zusätzliche Zertifikate vom Server nachlädt; das bedarf weiterer Untersuchung

Snapchat-Analytics-Domain und Certificate Pinning

  • Bei Apps mit vollständig umgesetztem Certificate Pinning hätte diese MITM-Methode nicht funktioniert
  • In den Beweisstücken der veröffentlichten Unterlagen taucht als Snapchat-bezogene Domain sc-analytics.appspot.com auf
  • Das Dekompilieren älterer Snapchat-Apps zeigte, dass auf den Traffic zu dieser Analytics-Domain kein Certificate Pinning angewendet wurde
  • Facebook war sich bewusst, dass die Härtung von Android und die zunehmende Verbreitung von Certificate Pinning die langfristige Einsetzbarkeit von ssl bump verringern würden

Prüfung der Accessibility API und Zugriff auf sensible Daten

  • Mit der Härtung von Android und der zunehmenden Einführung von Certificate Pinning prüfte Facebook als Alternative den Einsatz der Accessibility API
  • Google erklärt, dass Accessibility-Funktionen nur dann als Accessibility-Tools deklariert werden dürfen, wenn sie Menschen mit Behinderungen bei der Nutzung von Geräten helfen oder beeinträchtigungsbedingte Schwierigkeiten ausgleichen
  • Der Missbrauch von Android-Accessibility-Funktionen wird allgemein eher mit bösartigen Apps wie Banking-Malware in Verbindung gebracht
  • Im Manifest der Onavo-App war die Berechtigung READ_PHONE_STATE enthalten, über die damals sensible Informationen wie die subscriber IMSI erlangt werden konnten
  • Die Möglichkeit des Zugriffs auf IMSI zeigt, dass auch andere Daten, die die Onavo-App möglicherweise gesammelt hat, weiter überprüft werden sollten

Frühere Onavo-Kontroversen und der Unterschied zur aktuellen Analyse

  • Die aktuellen Informationen zum MITM-Thema unterscheiden sich von der 2019 bekannt gewordenen Kontroverse um Facebook Project Atlas und Onavo
  • 2019 wurde die Onavo-App aus dem App Store entfernt, nachdem Recherchen bekannt gemacht hatten, dass Facebook Jugendlichen Geld zahlte, damit sie die App nutzten und so Daten über ihr Nutzungsverhalten sammelte
  • 2023 wurden zwei Facebook-Tochtergesellschaften vom australischen Bundesgericht zu Geldstrafen in Höhe von insgesamt 20 Millionen australischen Dollar verurteilt, weil ihr Verhalten möglicherweise gegen das australische Verbraucherrecht verstoßen und irreführend gewesen sei
  • Im Mittelpunkt der aktuellen Analyse steht, dass sich die damalige technische Umsetzung auch nach dem Verschwinden der App noch anhand archivierter APKs nachvollziehen ließ

Verwandte Beiträge

1 Kommentare

 
GN⁺ 2024-07-29
Hacker-News-Kommentare

  • Um genau zusammenzufassen, worum es hier als Problem geht: Es gibt ein Detail, das in mehreren Beiträgen offenbar fehlt. So wie ich es sehe, hat FB wohl SC-Nutzer dafür bezahlt, einen Proxy zu installieren, als Gegenleistung für die Teilnahme an Marktforschung
    Die meisten Beiträge sind so geschrieben, dass es wie Hacking klingt, aber tatsächlich sieht es für mich nicht so aus. Ich würde gern mehr darüber wissen, was den Teilnehmern genau gesagt wurde, wofür sie bezahlt werden, aber ich halte es für unwahrscheinlich, dass sie nicht wussten, dass ihr Verhalten überwacht wird
    Wenn eine der Kommunikationsparteien die Verschlüsselung mit einem von einem Dritten bereitgestellten Tool aufbricht, wirkt die Behauptung, das sei Abhören, etwas schwach. Ich bin kein Jurist, aber wenn das Abhören ist, ist es dann auch Abhören, wenn ich mit einem lokalen SSL-Proxy den API-Traffic eines Dienstes entschlüssele und analysiere?

    • Neilson macht im Fernsehen etwas Ähnliches. Dort werden in Panel-Haushalten Capture-Boxen installiert, um festzustellen, was die Leute sehen: https://www.nytimes.com/athletic/3194414/2022/03/22/the-ulti...
      Hoffentlich wurde ehrlich kommuniziert, was gesammelt wird. Im Artikel steht nicht, wie der Zustimmungsbildschirm vor der Proxy-Installation aussah
    • Laut Artikel handelt es sich hierbei um einen neuen Fall, getrennt von dem Fall, den TechCrunch behandelt hatte, bei dem Facebook Teenagern Geld zahlte, um Daten über ihre Nutzungsgewohnheiten zu sammeln
      Dieser Fall führte dazu, dass die Onavo-App aus dem App Store entfernt wurde und Geldstrafen nach sich zog
    • Zu „Klingt wie Hacking, scheint es aber nicht zu sein“: Das beste und effektivste Hacking besteht oft darin, jemanden etwas herunterladen zu lassen, das er nicht herunterladen sollte, um so die Sicherheit zu umgehen
    • Es fehlt dem Beitrag nicht an etwas, er vermischt nur verschiedene Vorfälle. Dieser Beitrag handelt von Onavo Protect, „Free VPN + Data Manager“, bei dem nicht bezahlt wurde
      Daneben gab es ein separates Programm, bei dem Facebook Teenager dafür bezahlte, über den Enterprise-Distributionskanal Facebook Research VPN zu installieren und so den App Store und seine Regeln zu umgehen; diese bezahlte Version war noch invasiver
      Deshalb ist der Onavo-Fall überhaupt nicht zu verteidigen
      https://apkpure.com/onavo-protect-from-facebook/com.onavo.sp...
      https://techcrunch.com/2019/01/29/facebook-project-atlas/?re...
    • Der Teil „FB hat SC-Nutzer für die Teilnahme an Marktforschung bezahlt und sie einen Proxy installieren lassen“ scheint eine Verwechslung mit dem früheren Vorfall zu sein. Diese App war im Google Play Store und im Apple App Store für jeden erhältlich
      Auch der Blogbeitrag trennt die frühere Kontroverse, bei der ein australisches Bundesgericht 2023 zwei Facebook-Tochtergesellschaften zur Zahlung von insgesamt 20 Millionen Dollar wegen irreführenden Verhaltens mit möglichem Verstoß gegen australisches Verbraucherrecht verurteilte, von der aktuellen Abhörbehauptung
      Zur Frage „Ist es auch Abhören, wenn ich mit meinem lokalen SSL-Proxy meinen Traffic entschlüssele und analysiere?“: Wenn man den eigenen Traffic im eigenen Netzwerk oder auf dem eigenen Gerät ansieht, natürlich nicht

  • Teile der E-Mails sind in vieler Hinsicht beeindruckend, vor allem weil sie zeigen, wie dumm oder arrogant die Leute bei FB waren. Sie reden ganz offen über MITM, und dass sie dieses Kit auch in Produkte mehrerer anderer Unternehmen eingebaut haben, schriftlich festzuhalten, ist wirklich töricht
    Selbst etwas wie „Zuck, ich habe eine Idee zu deinem Vorschlag, lass uns darüber sprechen“ wäre zwar immer noch verdächtig, aber zumindest kein Schuldeingeständnis. Es wirkt, als hätten sie nie einen Film oder einen Nachrichtenartikel über andere Firmen gesehen, die erwischt wurden

    • Ich habe mir den Rat zu Herzen genommen, jedes Mal, wenn man etwas schriftlich verschickt, daran zu denken, wie es wäre, denselben Satz vor Gericht wiederholen zu müssen oder ihn in den Nachrichten zu sehen. Ich habe nie etwas so Krasses geschrieben, aber hilfreich ist der Gedanke trotzdem
    • Würdest du lieber hoffen, dass sie klüger wären und die Spuren ihres bösartigen Verhaltens besser verbergen könnten?
      Das eigentliche Problem ist das völlige Fehlen von Ethik. Es klingt nach einem Ort, an dem man im Besprechungsraum ausgelacht oder gefeuert würde, wenn man Ethik als etwas anderes denn als Hindernis betrachtet. Die Unternehmenskultur scheint vor allem auf Profit ausgerichtet zu sein, und in der Softwarebranche gibt es besonders viele Menschen, die über die ethischen Implikationen ihres Handelns überhaupt nicht nachdenken
    • Milliardärs-Bosse sind von Opportunisten und Schleimern umgeben. Mit der Zeit wächst diese Gruppe wie eine riesige Müllhalde ins Unbeherrschbare, und jeder, der sich auch nur ansatzweise normal verhält, wird als ontologische Bedrohung für ihre Fantasien von Macht, Kontrolle, Manipulation, Luxus und Freizeit behandelt und hinausgedrängt
    • Über Meta muss man im Grunde nur wissen, dass das Unternehmen zur Völkermord in Myanmar beigetragen hat. Es ist tragisch, dass man oft verachtet wird, wenn man bei einem Rüstungsunternehmen arbeitet, während eine Tätigkeit bei Meta meistens als neutral gilt. Dabei kann der negative Einfluss des Letzteren den des Ersteren bei Weitem übersteigen
      Dabei ist Instagram noch nicht einmal erwähnt
      Am Ende zahlen sie wohl einfach zu viel Geld und beschäftigen zu viele Leute aus der Branche, sodass die Kritik abnimmt. Wir alle haben wahrscheinlich Freunde, die bei Meta gearbeitet haben, oder haben uns selbst irgendwann einmal dort beworben. Dagegen kennt man kaum jemanden, der bei Anduril war
    • Wenn jemand von diesen Leuten einen neuen Job sucht, wird auch dein Arbeitgeber sie wohl gern in den Interview-Loop aufnehmen

  • Ich will das nicht kleinreden, aber zumindest ist das nichts besonders Häufiges, weil der Nutzer dafür erst die Onavo-App herunterladen musste.
    Woran ich öfter denke, sind die zwei nicht eingestellten Arten von Webviews unter iOS: WKWebView und SFSafariViewController. Die beiden sind für sehr unterschiedliche Zwecke gedacht.
    Wenn man in der Facebook-App auf einen Link tippt, sollte dafür SFSafariViewController verwendet werden. Das ist privat, weil der App-Code nicht ins Innere sehen kann, teilt Cookies mit Safari und wurde ausdrücklich dafür geschaffen, „externe Webinhalte im Kontext dieser App zu laden“.
    FB verwendet aber immer noch WKWebView. Damit kann man beliebiges JS in die gewünschte Seite injizieren und außerdem Navigation, geladene Ressourcen und praktisch alles andere verfolgen. Wenn man diesen Artikel und andere Enthüllungen liest, ist es beängstigend, sich vorzustellen, was FB mit dieser Fähigkeit macht. Wahrscheinlich verfolgen sie sogar, auf welches Pixel ein Nutzer auf externen Websites tippt. Es klingt verrückt zu denken, dass sie vielleicht jeden Benutzernamen und jedes Passwort verfolgen, das in In-App-Webviews eingegeben wird, aber technisch ist das möglich. Und kann man wirklich glauben, dass sie es nicht tun würden?

    • Sie injizieren tatsächlich JS. Früher gab es ein Problem, bei dem dadurch ein bestimmter JS-Aufruf beim automatischen Ausfüllen von Zahlungsdaten kaputtging.
      https://x.com/jameshartig/status/1534886418266431488
    • Ich wusste nicht, dass WKWebView der App so weitreichende Befugnisse gibt. Gibt es eine Möglichkeit herauszufinden, ob es WKWebView oder SFSafariViewController ist, wenn ein Nutzer eine Webseite öffnet? Ich nutze FB nicht, verwende aber Webviews in anderen Apps und hoffe, dass auch diese Apps so etwas nicht tun können.
    • Zur Aussage, es sei nicht häufig, weil man die Onavo-App herunterladen musste: Laut AndroidRank gab es auf Android 10 Millionen Installationen.
      Was noch unbekannt ist: Bei wie viel Prozent dieser Installationen der Traffic von FB-Konkurrenten per MITM abgefangen wurde.
      https://www.androidrank.org/application/onavo_protect_from_f...
    • Siehe diesen Artikel: https://krausefx.com/blog/ios-privacy-instagram-and-facebook...
    • Ich habe kein Instagram, nutze aber Facebook. Wenn Leute über Messenger Instagram-Video-Links schicken, kann man sie in der App nicht ansehen, solange man sich nicht anmeldet, also faktisch solange man kein Konto erstellt. Man muss sie extern in Safari öffnen, um sie überhaupt sehen zu können.

  • Aus irgendeinem Grund ist Facebook das einzige Tech-Unternehmen, über das ich absolut nichts Positives denken kann. Bei Google, Microsoft, Apple, Nvidia, AMD, Intel usw. gibt es Dinge, die ich mag, und Dinge, die ich nicht mag, aber Facebook mag ich einfach nicht.
    Ich habe mein Facebook-Konto vor etwa 10 bis 11 Jahren geschlossen und einen Filter eingerichtet, der Facebook aus den Suchergebnissen entfernt, und das wirkt. Selbst in meinem Google-News-Feed sehe ich fast nichts mehr zu Facebook. WhatsApp nutze ich allerdings noch, weil es außerhalb Chinas in Asien die größte Messenger-App ist.

    • Vermutlich ist es eine Mischung aus mehreren Dingen. Von solchen Vorgängen wie in diesem Artikel über Tracking-Pixel, sogenannte Geisterkonten bis hin zum Vorgehen gegen alles, was Tracking behindert, gibt es eine lange Geschichte, in der die Privatsphäre geschwächt wurde, um Gewinne zu steigern. Von den genannten Firmen überschneidet sich höchstens Google ein wenig damit, aber nicht in diesem Ausmaß.
      Dazu kommt die Verantwortungslosigkeit gegenüber der Wirkung des Algorithmus, Hassrede zu verstärken. Andere Unternehmen haben kein Problem in dieser Größenordnung.
      Auch das Marketing ist unehrlich. In fast jeder Quest-Werbung und Produktankündigung werden Konzeptvisualisierungen verwendet, um über die tatsächlichen Möglichkeiten hinwegzutäuschen. Auch Mark benutzt oft Doppelsprech, wenn er Probleme behandelt. Doppelsprech ist nichts Exklusives von Meta, aber im Vergleich zu den anderen aufgezählten Firmen treibt Meta irreführende Werbung bis an die Grenze.
      In diesem aktuellen AI-Zyklus ist Meta dank Modellen mit offenen Gewichten, die aber nicht Open Source sind, wieder beliebter geworden, und auch Mark versucht mit einer jüngsten PR-Offensive sein Image neu zu erfinden.
      Trotzdem ist Meta für mich kulturell das einzige der genannten Unternehmen, dessen Arbeit kein moralischer Kern zugrunde liegt. Kultur kommt von oben, und Zuckerberg und Thiel haben Meta eine Betriebsweise eingeprägt, in der „Erfolg alles ist“.
      Die anderen Unternehmen sind sicher ebenfalls kapitalistisch, haben aber zumindest ein gewisses Verantwortungsgefühl für ihre Produkte.
    • WhatsApp weiter zu nutzen, trägt zum Monopol von Meta bei. Das Monopol von WhatsApp wird größer, und sie haben sogar begonnen, den Konkurrenten Telegram schamlos zu kopieren.
      Wenn ich selbst zuerst die Gegenseite stärke, bringt es nichts, mich öffentlich dagegen auszusprechen.
    • Da der Firmenname jetzt Meta ist, könnte auch das ein Grund sein, warum du so wenig Facebook-Nachrichten siehst.

  • Die Formulierung „in der aktuellen Sammelklage gegen Meta enthalten Gerichtsdokumente die Behauptung, das Unternehmen habe gegen den Wiretap Act verstoßen“ ist ungenau.
    Das ist keine Abhörklage. Alle Ansprüche betreffen Verstöße gegen den Sherman Act, also Kartellrecht. Die Anwälte der Kläger haben im Discovery-Verfahren nur zufällig Beweise dafür gefunden, dass Facebook möglicherweise gegen den Wiretap Act verstoßen hat. Es gibt keine Ansprüche wegen Abhörens; es ist ein Kartellverfahren.

    • Verstößt das nicht auch gegen den DMCA? Schließlich wird damit ein verschlüsseltes System umgangen.
      Ich frage mich und bin verwirrt, ob der DMCA für so etwas in diesem Umfang nicht stark genug ist, ob es um Klagebefugnis oder nachweisbare Schäden geht oder ob die Kläger das einfach vergessen haben.

  • Ein Verwandter wäre früher beinahe einem Marktforschungsprogramm beigetreten, das im Kern sehr ähnlich war. Dabei wäre der gesamte Internet-Traffic des Telefons über ein von der Marktfirma kontrolliertes VPN und einen Proxy umgeleitet worden, und zusätzlich wäre ein Zertifikat installiert worden.
    Dafür hätte es eine kleine Vergütung gegeben, und er hätte der Installation auch zugestimmt. Ich erinnere mich nicht daran, dass die Firma dabei konkret über etwas getäuscht hätte.
    Trotzdem frage ich mich, auch wenn ich übermäßig paternalistische Regeln im Allgemeinen nicht besonders mag, wie bedeutungsvoll die Zustimmung von Menschen mit vergleichsweise wenig technischem Wissen in so einem Fall wirklich ist. Es war keine Täuschung, aber man hat es Leuten, die nicht verstehen, was dabei passiert, auch nicht so erklärt, dass sie es wirklich begreifen konnten.

    • Dass manche Marktforschungsfirmen ausreichend informieren, bedeutet überhaupt nicht, dass Onavo das ebenfalls getan hat. Onavo hat sich Nutzern gegenüber nicht als „Marktforschungsfirma“ dargestellt, sondern sah wie eine kostenlose Komfort-App aus, die bei der Kategorisierung des Internet-Datenverbrauchs hilft.

  • Beim Lesen dieses Artikels kommt mir der Gedanke, dass Facebook inzwischen wohl einfach eine als NSA getarnte Organisationseinheit hat

    • Die Leute scheinen zu vergessen, dass auch die Forschung, aus der Google entstand, anfangs von NSA- und CIA-Geldern unterstützt wurde
      https://qz.com/1145669/googles-true-origin-partly-lies-in-ci...
      In Autos sind inzwischen Google-Dienste und Android fest in die Infotainment-Systeme eingebaut, und es gibt keine Möglichkeit, das zu entfernen. Was könnte schon schiefgehen, wenn eine Werbefirma genau sieht, wohin man fährt und wer alles im Auto sitzt?
    • Beim Prism-Leak haben fast alle großen Tech-Unternehmen kooperiert
    • Oder vielleicht ist es eine als Einheit 8200 getarnte Organisation. Es geht ja um Facebook Israel

  • Oooooh, SSLbump
    Ich vermute, es gibt Präzedenzfälle, in denen das Mitschneiden von Netzwerkverkehr auf Kundenseite als Straftat angesehen wurde
    Das war vermutlich einer der vielen Fälle rund um das Abhören von Bankinformationen

    • Fällt das nicht unter den Computer Fraud and Abuse Act?

  • Genau deshalb sollte man mutual TLS verwenden, bei dem Server und Client beide Zertifikate austauschen, bevor schädliche Informationen über das Internet gesendet werden. Aber in der Realität: neeiiiin

    • Wie hätte mutual TLS hier geholfen?
    • Certificate Pinning wäre möglich

  • Bedauerlich, aber nicht überraschend. Bei einem böswilligen Akteur wie Meta ist es gut möglich, dass bereits verschiedene Dark Patterns eingebaut wurden
    Man kann sich zum Beispiel Sicherheitsrisiken durch Datenabfluss über Sensoren vorstellen, bei denen Sensordaten wie vom Beschleunigungsmesser und Gyroskop überwacht werden, um daraus Audioinformationen abzuleiten. Wenn die gesammelten Daten heimlich nach außen weitergeleitet und verarbeitet werden, ließen sich sensible Informationen rekonstruieren, ohne direkt auf das Mikrofon des Geräts zuzugreifen
    Es würde mich nicht wundern, wenn sie zu so etwas in der Lage wären
    Meta und andere schädliche Unternehmen sowie staatliche Stellen setzen in der Praxis wahrscheinlich noch viel mehr, noch schlimmere und noch simplere Abhörtechniken ein