Onavo VPN da Meta descriptografava o SSL do tráfego analítico de concorrentes

Descoberta em ação coletiva contra Facebook/Meta

• Os autores anunciantes pedem que o tribunal reconheça a existência da exceção de crime-fraude para determinadas comunicações.
• Essas comunicações estão relacionadas ao chamado programa In-App Action Panel (IAAP) do Facebook, que existiu de junho de 2016 até por volta de maio de 2019.
• O programa IAAP foi iniciado a pedido de Mark Zuckerberg e usava um método de ataque man-in-the-middle em SSL para interceptar e descriptografar o tráfego analítico protegido por SSL de Snapchat, YouTube e Amazon, alimentando a tomada de decisões competitivas do Facebook.

Programa IAAP do Facebook mirava concorrentes por meio de espionagem

• Em 9 de junho de 2016, Mark Zuckerberg enviou aos executivos seniores da empresa uma mensagem com o título "análise do Snapchat".
• Javier Olivan, atual COO do Facebook, concordou que essa era uma das questões mais importantes de análise de mercado e mencionou que isso poderia ser tecnicamente complexo e exigir aprovação jurídica.
• A equipe da Onavo planejou um "lockdown effort" para resolver o problema e comentou que essa seria uma chance de a equipe brilhar.
• A equipe da Onavo propôs uma solução para a alta liderança sob orientação da consultoria jurídica interna.

Opinião do GN⁺

• Este caso trata de questões jurídicas relacionadas à violação da privacidade de dados corporativos, oferecendo informações importantes para consumidores e para a comunidade de tecnologia.
• As acusações de que o Facebook coletou ilegalmente dados de concorrentes podem provocar debates sobre ética empresarial e responsabilidade jurídica.
• Casos como este também servem de alerta para outras empresas e reforçam a importância da proteção de dados e da segurança da privacidade.
• Outros projetos ou produtos com funções semelhantes incluem serviços de VPN com foco em segurança reforçada ou ferramentas de comunicação criptografada, que podem ajudar a proteger os dados dos usuários.
• Ao adotar tecnologia, é preciso considerar com cuidado se ela atende a padrões legais e éticos, e este caso mostra a importância de avaliar os riscos jurídicos no uso corporativo da tecnologia.

[GN⁺]

Opiniões no Hacker News

• Há quem opine que, se um indivíduo tivesse feito isso, a Computer Fraud and Abuse Act (CFAA) seria aplicada. No caso da Meta, resta ver qual será o desfecho.

  • Se um indivíduo tivesse feito algo assim, seria de se esperar a aplicação da Computer Fraud and Abuse Act (CFAA), mas no caso da Meta ainda é preciso esperar para ver o resultado.

• MITM (ataque man-in-the-middle) é chamado de "ataque", não de "pesquisa". Um profissional de TI compartilha a experiência de ter identificado práticas indevidas e ter saído por motivos éticos.

  • Um ataque man-in-the-middle (MITM) é chamado de ataque, não de pesquisa, e um engenheiro que prioriza a ética não teria participado de uma tentativa dessas na Meta.

• Aponta-se a ironia de anunciar publicamente a adição de criptografia de ponta a ponta em um app (WhatsApp), enquanto secretamente quebra o TLS em outro app.

  • Apontamento da atitude irônica da Meta ao anunciar a adição de criptografia de ponta a ponta no WhatsApp e, ao mesmo tempo, quebrar secretamente o TLS em outros apps.

• Há a opinião de que as FANGs (Facebook, Amazon, Netflix, Google) conduzem efetivamente uma guerra psicológica em massa contra o público com impunidade de fato, e que os processos ocasionais não importam.

  • Opinião de que as FANGs conduzem efetivamente uma guerra psicológica em massa contra o público praticamente sem punição, e que os processos que surgem de vez em quando têm pouco impacto.

• A Meta é chamada de "império online do mal", e sua história empresarial é criticada por estar repleta de condutas moralmente duvidosas.

  • Crítica à Meta como um "império online do mal", com uma trajetória empresarial repleta de comportamentos moralmente questionáveis.

• Levanta-se a dúvida sobre o que a Cloudflare está fazendo com terminação/offloading de SSL.

  • Dúvida sobre o que a Cloudflare está fazendo por meio de terminação/offloading de SSL.

• Há quem diga para não confundir TLS com SSL, e que remover TLS sem deixar isso explícito nos termos de serviço deveria ser punido sob a CFAA.

  • Observação de que TLS e SSL não devem ser confundidos, e que remover TLS sem explicitar isso nos termos de serviço deveria ser punido sob a CFAA.

• A Meta nega ter violado leis de escuta, mas não apresenta prova de consentimento. Questiona-se por que a empresa evita divulgar documentos sobre a interferência nas comunicações de um app de VPN, que ela chama de "pesquisa de mercado".

  • Questionamento sobre a Meta negar violação de leis de escuta sem apresentar prova de consentimento, enquanto classifica a interferência nas comunicações via app de VPN como "pesquisa de mercado" e evita divulgar documentos relacionados.

• Segundo os documentos, pergunta-se se o plano era fazer uma implantação experimental sem avisar os usuários, ou se os usuários consentiriam e participariam.

  • Segundo os documentos, questiona-se se o plano da Meta era realizar uma implantação experimental sem informar os usuários ou se haveria consentimento e participação deles.