- Les plaignants annonceurs demandent au tribunal de juger que Meta ne peut pas dissimuler les communications liées au programme IAAP au titre du secret professionnel avocat-client, et d’examiner l’application de l’exception crime-fraude
- L’IAAP a été exploité de juin 2016 à environ mai 2019, et les plaignants affirment que ce programme interceptait et déchiffrait, par une méthode de SSL man-in-the-middle, le trafic d’analyse protégé par SSL de Snapchat, YouTube et Amazon
- Dans un e-mail du 9 juin 2016 intitulé « Snapchat analytics », Mark Zuckerberg expliquait qu’il n’y avait pas de données d’analyse à cause du chiffrement, et demandait de trouver une nouvelle méthode d’analyse pour comprendre la croissance de Snapchat
- Javier Olivan a répondu que c’était techniquement complexe et pourrait nécessiter une validation juridique ; il a même demandé à l’équipe Onavo d’étudier l’option consistant à payer des utilisateurs pour installer un logiciel lourd
- Les plaignants estiment que l’IAAP allait au-delà d’un simple comportement anticoncurrentiel, qu’il violait les 18 U.S.C. §2511(a), (d), connus sous le nom de Wiretap Act, et que des avocats de Facebook ont participé à sa conception, à sa mise en œuvre et à son extension
Demande au tribunal autour de l’exception crime-fraude
- Dans l’affaire Klein v. Meta Platforms, Inc., les plaignants annonceurs demandent au tribunal de conclure qu’il existe une preuve prima facie permettant d’appliquer l’exception crime-fraude à certaines communications que Meta Platforms, Inc. retient au motif du secret professionnel avocat-client
- Ces communications concernent le programme In-App Action Panel (IAAP) de Facebook
- L’IAAP a existé de juin 2016 à environ mai 2019
- Les plaignants affirment que ce programme a été lancé à la demande de Mark Zuckerberg
- Le 15 mai 2023, les plaignants ont envoyé à Facebook une lettre de 19 pages à interligne simple
- La lettre comprenait des captures d’écran, des citations de documents et des références à des éléments de preuve
- Elle analysait les faits au regard du 18 U.S.C. §2511 et du test de l’exception crime-fraude du Ninth Circuit, In re Grand Jury Investigation, 810 F.3d 1110, 1113
- Au cours des deux semaines suivantes, d’autres lettres et e-mails ont été échangés, et les échanges du 31 mai ont abouti à une impasse
Les données d’analyse de concurrents que l’IAAP cherchait à obtenir
- Selon les plaignants, l’IAAP interceptait et déchiffrait le trafic d’analyse protégé par SSL de concurrents au moyen d’une méthode de SSL man-in-the-middle
- La cible initiale était Snapchat
- YouTube et Amazon ont ensuite également été inclus parmi les cibles
- Les informations obtenues auraient été utilisées pour les décisions concurrentielles de Facebook
- Le 9 juin 2016, Mark Zuckerberg a envoyé à trois très hauts dirigeants un e-mail intitulé « Snapchat analytics »
- Il y écrivait que la réponse habituelle était qu’il n’existait pas de données d’analyse parce que le trafic de Snapchat était chiffré
- Il considérait qu’il était important de trouver une nouvelle façon d’obtenir des analyses fiables, Snapchat connaissant une croissance rapide
- Il demandait de trouver une méthode, quitte à créer un panel ou à écrire un logiciel sur mesure
- Javier Olivan a convenu qu’il s’agissait de l’une des questions d’analyse de marché les plus importantes pour l’entreprise
- Il a indiqué qu’il l’examinait déjà avec l’équipe Onavo
- Il a estimé que la technologie permettant d’observer l’intérieur du trafic d’analyse protégé par SSL de Snapchat était très complexe
- Il a écrit que ce travail pourrait nécessiter une validation juridique
Examen par l’équipe Onavo et implication du service juridique
- Olivan a transféré l’e-mail de Zuckerberg à l’équipe Onavo de Facebook en demandant une réflexion « out of the box »
- Il a souligné que le travail était très important
- Il a évoqué l’idée de payer des utilisateurs pour qu’ils installent un « logiciel très lourd »
- Il a écrit que ce logiciel pourrait aussi effectuer une attaque man-in-the-middle
- Guy Rosen, fondateur d’Onavo, a répondu qu’il préparerait courant juin un plan de « lockdown effort » visant à accroître fortement la visibilité sur Snapchat
- Il a décrit cela comme une occasion pour l’équipe de briller
- Deux jours plus tard, Olivan a transféré l’ensemble du fil d’e-mails à Colin Stretch, alors General Counsel
- Il a écrit qu’il fallait avancer aussi vite que possible
- Il a ajouté que si Colin approuvait ce type de recherche, le budget ne serait pas un problème
- Les plaignants soutiennent que les actes liés à l’IAAP violaient les 18 U.S.C. §2511(a), (d), c’est-à-dire le Wiretap Act, et qu’aucune exception applicable n’existait
- Ils estiment que les avocats de Facebook ont été largement impliqués dans la conception, la mise en œuvre et l’extension du programme
1 commentaires
Avis de Hacker News
Si un particulier avait fait ça, je pense que le Computer Fraud and Abuse Act se serait appliqué. Reste à voir si ce sera aussi le cas pour Meta.
Ironique : la même année, une appli (WhatsApp) annonçait publiquement l’ajout du chiffrement de bout en bout, tandis que de l’autre côté on cassait TLS en douce. #Tethics
Les FANG peuvent mener des opérations psychologiques à grande échelle contre le public, pratiquement sans sanction, et un procès pénible de temps en temps ne semble pas avoir beaucoup d’effet.
Je suis plus curieux de voir ce qui se passerait s’ils se faisaient prendre à voler le butin de surveillance les uns des autres.
Meta a recruté des utilisateurs de Snapchat via une société de services de test, afin de pouvoir observer leur utilisation de Snapchat.
C’est un peu comme payer quelqu’un pour autoriser un chercheur de Meta assis à côté de lui à le regarder utiliser l’appli.
Ce genre de méthode est courant. On recrute souvent des utilisateurs via des services de test pour leur faire utiliser sa propre appli, puis analyser leurs habitudes à l’aide d’enregistrements d’écran, etc.
Ce qui est nouveau ici, c’est qu’ils ont payé des gens pour “tester” l’appli d’un concurrent.
J’espère que les testeurs savaient que Snapchat allait être analysé. J’espère qu’on ne leur avait pas seulement dit qu’ils testaient Onavo.
Quel que soit l’objectif final, une attaque de l’homme du milieu doit être appelée une “attaque”, pas de la “recherche”.
Je pense que je ne tiendrais pas une journée dans une entreprise qui me demanderait de faire ce genre de chose. J’ai travaillé dans le service informatique d’un parti politique national, et j’ai démissionné dès que j’ai pris connaissance de pratiques corrompues et de fraudes.
Si les ingénieurs faisaient collectivement de l’éthique une partie de leur culture professionnelle, Meta n’aurait pas pu tenter ce genre de choses.
Quand des ingénieurs de terrain risquent, à la moindre erreur, d’être expulsés des États-Unis et de perdre toute perspective d’avenir là-bas, ils sont beaucoup plus susceptibles de baisser la tête et de faire ce que leur manager leur demande.
Il faut demander des comptes aux niveaux supérieurs.
Que pensez-vous de la terminaison / décharge SSL de Cloudflare ?
Par exemple, les arguments contre les portes dérobées peuvent être utilisés par les agences de renseignement pour justifier le fait de “fournir de l’assistance”. Le simple fait que des organisations criminelles ordinaires puissent jeter un œil à une partie de données chiffrées aurait une valeur énorme, donc ce n’est pas qu’un simple euphémisme, même si, en même temps, c’en est aussi un dans une certaine mesure.
Si les controverses sur le fait que des groupes terroristes utilisent Cloudflare sont tolérées, il faut, à mon avis, supposer que quelqu’un dans les services de renseignement américains sait comment extraire des secrets de ces groupes.
En théorie, manipuler SSL fait partie des fonctionnalités de Cloudflare, ce n’est pas un secret. Mais en pratique, la plupart des utilisateurs finaux semblent accepter tout ça comme de la magie. J’ai même vu de mes yeux des gens avoir une pensée magique à propos de l’icône de cadenas du navigateur.
*la plupart des clients volontaires de Cloudflare
“Meta” est désormais un empire en ligne maléfique. Même si l’histoire de l’entreprise n’est pas ouvertement maléfique, c’est une succession d’actions manifestement immorales.
Source : https://www.vice.com/en/article/v7gd9b/facebook-helped-fbi-h...
Ce n’est pas connu depuis 2018, ça ?
https://mashable.com/article/facebook-used-onavo-vpn-data-to...
Il est aussi important de noter qu’à l’époque, Google faisait quelque chose de similaire. Les deux ont contourné les protections de confidentialité d’iOS en utilisant des certificats d’entreprise qui permettent de sideloader des apps sans passer par la validation d’Apple. En réponse, Apple a davantage restreint la manière dont ces certificats peuvent être utilisés.
Fait intéressant, dans des fils sur le DMA, j’ai vu des réactions affirmant que s’inquiéter du fait qu’une entreprise puisse abuser du sideloading pour éviter les protections de confidentialité d’Apple n’était que de la peur irrationnelle. Comme si c’était une ligne que les développeurs ne franchiraient jamais.
Je suis surpris que les gens de HN ne connaissent pas cette histoire relativement récente, et pensent naïvement que ces protections sont sorties de nulle part pour embêter les développeurs, plutôt que d’être une réponse à la course aux armements permanente autour des droits des consommateurs en matière de confidentialité.
(1) https://www.extremetech.com/internet/284770-apple-kills-face...
Lien direct vers le PDF :
https://s3.documentcloud.org/documents/24520332/merged-fb.pd...
Réponse de Meta :
https://ia802908.us.archive.org/29/items/gov.uscourts.cand.3...
Meta nie avoir violé le Wiretap Act, mais ne fournit aucune preuve de consentement. Ils essaient, mais c’est risible. Meta affirme aussi que les documents ne sont pas pertinents.
Meta soutient que le fait que son appli VPN ait intercepté les communications avec des sociétés vendant des services de publicité en ligne, comme Snap, n’était pas anticoncurrentiel, mais simplement de « l’étude de marché ».
Je ne vois pas pourquoi Meta a si peur de produire des documents liés à cette « étude de marché ».
Meta ne nie pas le fait même d’avoir intercepté les communications. Vu l’attention que cela suscite sur HN, MalwareBytes, etc., il paraît évident que les utilisateurs de l’appli VPN n’auraient jamais pu s’attendre à ce type d’interception par Meta. Difficile d’imaginer comment ils auraient pu consentir à une interception qu’ils ne pouvaient pas prévoir.
Détails supplémentaires :
https://ia802908.us.archive.org/29/items/gov.uscourts.cand.3...
Facebook semble avoir utilisé une version « vraiment ancienne » de squid.
“… the Wiretap Act provides that an interception is not unlawful if a party to the
communication “has given prior consent to such interception.” 18 U.S.C. § 2511(2)(d). Advertisers
conspicuously fail to mention—and apparently do not contest—that Meta obtained participants’
prior consent to participate in the Facebook Research App, and with good reason: Participants
affirmatively consented to “Facebook … collecting data about [their] Internet browsing activity
and app usage” to enable Facebook to “understand how [they] browse the Internet, how [they] use
the features in the apps [they’ve] installed, and how people interact with the content [they] send
and receive.”
Alors les utilisateurs n’avaient-ils pas donné leur accord ?
Le plan, c’était juste de balancer ça plus ou moins n’importe comment dans la nature ?
Les documents indiquent que cela devait être proposé aux participants à l’expérience dans le cadre d’enquêtes, notamment via YouGov. Cela signifie donc que les participants étaient informés et rémunérés.
Dans le premier cas, c’est clairement de l’écoute non autorisée. Dans le second, tant qu’il y a un consentement fondé sur une information suffisante, c’est bien mieux que l’adtech actuelle.
Sur beaucoup d’appareils Android, Facebook ne peut pas être désinstallé ; cela veut-il dire que Zuckerberg voyait tout le trafic de tous les utilisateurs depuis des années, indépendamment de TLS ?
Pour le trafic TLS, il fallait aussi installer Onavo.
Mais l’appli scanne la liste de contacts toutes les quelques minutes et envoie les différences au serveur. Même si vous n’avez jamais ouvert l’appli. Sur les anciennes versions d’Android, elle envoyait aussi la liste des applis récemment ouvertes.
Cela dit, si vous installez WhatsApp, vous devez de toute façon lui donner l’autorisation d’accéder à votre liste de contacts. Sinon, l’appli est volontairement dégradée et pénible à utiliser.
https://en.wikipedia.org/wiki/Onavo est un peu plus lisible que les documents judiciaires liés.
Dans ce cas, le trafic d’analyse de YouTube et Snapchat aurait fait l’objet d’une attaque de type homme du milieu.