Comment Facebook a intercepté le trafic chiffré des applications mobiles de ses concurrents

• Un recours collectif est actuellement en cours contre Meta et, d’après les documents judiciaires, l’entreprise pourrait avoir enfreint le Wiretap Act.
• Ce billet s’appuie sur des documents judiciaires et sur une analyse de rétro-ingénierie de l’application Onavo Protect.
• Facebook a utilisé une attaque MITM pour intercepter le trafic HTTPS chiffré des utilisateurs, une méthode qu’il appelait « ssl bump ».

Résumé technique

• L’application Android Onavo Protect contenait du code incitant les utilisateurs à installer un certificat d’autorité de certification délivré par « Facebook Research ».
• Ce certificat était nécessaire pour que Facebook puisse déchiffrer le trafic TLS.
• L’application diffusée en 2016 incluait des certificats Facebook Research CA, dont certains restaient valides jusqu’en 2027.
• Avec l’arrivée de nouvelles versions d’Android, cette méthode n’était plus utilisable.
• Le domaine d’analyse de l’application Snapchat n’utilisait pas l’épinglage de certificat, ce qui rendait l’attaque MITM possible.
• Au-delà des statistiques d’utilisation des applications, il existait aussi des fonctionnalités de collecte de données sensibles, comme l’IMSI.

Fonctionnement

• Un certificat de confiance était installé sur l’appareil, puis tout le trafic était envoyé via un VPN vers l’infrastructure de Facebook, avant d’être déchiffré à l’aide du proxy de cache Squid.
• Le trafic lié aux domaines de Snapchat, Amazon et YouTube était intercepté.
• Avec le temps, le renforcement de la sécurité d’Android a réduit le taux de réussite de cette stratégie.
• Facebook a envisagé l’API d’accessibilité comme solution alternative.

Motivation

• Mark Zuckerberg a indiqué qu’il avait besoin d’analyses fiables sur Snapchat.
• Il existait une volonté de déployer dans d’autres applications la technique d’interception du trafic de certains domaines via l’application VPN Onavo Protect.
• Facebook a acquis Onavo en 2013 pour environ 120 millions de dollars et cherchait à exploiter au mieux cette technologie.

Analyse technique

• Si l’on fait confiance à un site web ou à un serveur distant via HTTPS/TLS, c’est grâce aux certificats publics stockés dans le magasin de confiance de l’appareil.
• L’ajout d’un certificat auto-signé dans ce magasin de confiance permet d’intercepter le trafic TLS chiffré.
• À partir d’Android 11, les certificats ajoutés par l’utilisateur ne sont plus approuvés par la plupart des applications.
• L’application Snapchat n’utilisait pas l’épinglage de certificat pour son domaine d’analyse.

Conclusion

• Le fait que Facebook ait déchiffré le trafic HTTPS des utilisateurs sans leur consentement pourrait contrevenir aux normes éthiques et poser des problèmes juridiques.
• Depuis Android 7, les applications ont été modifiées pour ne plus faire confiance aux certificats du magasin utilisateur.
• Facebook cherchait à collecter des données sensibles comme l’IMSI.

Le récapitulatif de GN⁺

• Cet article explique en détail la méthode technique utilisée par Facebook pour intercepter le trafic de ses concurrents.
• Le renforcement de la sécurité d’Android a rendu ce type de méthode obsolète.
• Le possible détournement de l’API d’accessibilité par Facebook soulève des questions éthiques.
• Parmi les projets similaires, on trouve des outils d’analyse du trafic via VPN.

[GN⁺]

Avis Hacker News

• FB semble avoir payé des utilisateurs de SC pour participer à une « étude de marché » et installer un proxy

  • La plupart des articles décrivent cela comme du piratage, mais en réalité ce n’en était pas
  • Il est probable que les participants savaient que leurs actions étaient surveillées
  • Il y a débat sur le fait de savoir si le déchiffrement par l’une des parties au canal de communication peut être considéré comme une mise sur écoute

• Le fait que des employés de FB aient parlé publiquement de MITM (attaque de l’homme du milieu) et aient encouragé d’autres entreprises à l’inclure était extrêmement stupide

  • Une formulation comme « Zuck, j’ai une idée pour parler de la proposition. Discutons-en en personne » aurait été préférable

• Les utilisateurs avaient un certain degré de choix puisqu’il fallait télécharger l’application Onavo

  • Il existe deux webviews utilisables sur iOS : WKWebview et SFSafariViewController
  • Lorsque l’on clique sur un lien dans l’application Facebook, il faudrait utiliser SFSafariViewController, mais ils utilisent toujours WKWebView
  • Avec WKWebView, il est possible d’injecter du JS arbitraire et de suivre le comportement des utilisateurs

• C’est la seule entreprise tech dont je ne peux pas avoir une bonne opinion

  • J’ai fermé mon compte Facebook il y a 10-11 ans et je filtre Facebook de mes résultats de recherche
  • J’utilise toujours WhatsApp

• Le recours collectif actuel contre Meta inclut des documents alléguant une violation du Wiretap Act

  • Cependant, il ne s’agit pas d’une affaire d’écoutes, mais d’un procès pour violation du Sherman Act
  • Au cours de la procédure de discovery, il a été découvert que Facebook avait peut-être violé le Wiretap Act

• On a l’impression que Facebook fonctionne comme un avant-poste de la NSA

• Il devrait exister un précédent juridique concernant SSLbump

  • Il devrait y avoir des cas où la surveillance du trafic réseau côté client a été qualifiée d’infraction

• Un membre de ma famille a déjà failli participer à une étude de marché puis a renoncé

  • Cela consistait à rediriger tout le trafic Internet via un VPN et un proxy, puis à installer un certificat
  • Je me demande dans quelle mesure le consentement d’une personne peu au fait de la technique a une réelle valeur

• Il faut procéder à un échange de certificats TLS avant de transmettre des informations sensibles sur Internet

• Il est très probable que des acteurs malveillants comme Meta utilisent de nombreux « dark patterns »

  • Il existe des risques de sécurité permettant d’extraire des informations sensibles via les données des capteurs
  • Il est possible que Meta et d’autres entreprises utilisent des techniques d’écoute plus simples et pires