- ฝ่ายโจทก์ซึ่งเป็นผู้ลงโฆษณาได้ขอให้ศาลวินิจฉัยว่า Meta ไม่สามารถปกปิดการสื่อสารที่เกี่ยวข้องกับ โครงการ IAAP ไว้ภายใต้เอกสิทธิ์ทนายความ-ลูกความได้ และให้พิจารณาการใช้ ข้อยกเว้นอาชญากรรม-ฉ้อโกง
- IAAP ดำเนินการตั้งแต่เดือนมิถุนายน 2016 ถึงราวเดือนพฤษภาคม 2019 และฝ่ายโจทก์อ้างว่าโครงการนี้ดักจับและถอดรหัสทราฟฟิกวิเคราะห์ที่มีการป้องกันด้วย SSL ของ Snapchat·YouTube·Amazon ด้วยวิธี SSL man-in-the-middle
- Mark Zuckerberg ในอีเมลวันที่ 9 มิถุนายน 2016 หัวข้อ “Snapchat analytics” ระบุว่าไม่มีข้อมูลวิเคราะห์เพราะการเข้ารหัส และสั่งให้หาวิธีวิเคราะห์แบบใหม่เพื่อจับแนวโน้มการเติบโตของ Snapchat
- Javier Olivan ตอบว่าประเด็นนี้มีความซับซ้อนทางเทคนิคและอาจต้องได้รับ การอนุมัติจากฝ่ายกฎหมาย พร้อมให้ทีม Onavo พิจารณาถึงขั้นจ่ายเงินให้ผู้ใช้ติดตั้งซอฟต์แวร์ขนาดใหญ่
- ฝ่ายโจทก์มองว่า IAAP ไม่ใช่แค่พฤติกรรมต่อต้านการแข่งขัน แต่ยังละเมิด Wiretap Act หรือ 18 U.S.C. §2511(a), (d) และทนายของ Facebook มีส่วนร่วมในการออกแบบ ดำเนินการ และขยายโครงการ
คำร้องต่อศาลว่าด้วยข้อยกเว้นอาชญากรรม-ฉ้อโกง
- ฝ่ายโจทก์ผู้ลงโฆษณาในคดี Klein v. Meta Platforms, Inc. ได้ขอให้ศาลวินิจฉัยว่ามีการแสดงให้เห็นเบื้องต้นแล้วว่า ข้อยกเว้นอาชญากรรม-ฉ้อโกง ใช้ได้กับการสื่อสารบางส่วนที่ Meta Platforms, Inc. ยังคงระงับไว้โดยอ้างเอกสิทธิ์ทนายความ-ลูกความ
- การสื่อสารดังกล่าวเกี่ยวข้องกับโครงการ In-App Action Panel(IAAP) ของ Facebook
- IAAP มีอยู่ตั้งแต่เดือนมิถุนายน 2016 ถึงราวเดือนพฤษภาคม 2019
- ฝ่ายโจทก์อ้างว่าโครงการนี้เริ่มต้นจากคำขอของ Mark Zuckerberg
- ฝ่ายโจทก์ได้ส่งหนังสือเว้นบรรทัดเดี่ยวความยาว 19 หน้าให้ Facebook เมื่อวันที่ 15 พฤษภาคม 2023
- หนังสือดังกล่าวมีภาพหน้าจอ การอ้างเอกสาร และการอ้างพยานหลักฐาน
- มีการวิเคราะห์การกระทำโดยอิง 18 U.S.C. §2511 และเกณฑ์ข้อยกเว้นอาชญากรรม-ฉ้อโกงของ Ninth Circuit ในคดี In re Grand Jury Investigation, 810 F.3d 1110, 1113
- หลังจากนั้นมีการแลกเปลี่ยนหนังสือและอีเมลเพิ่มเติมตลอด 2 สัปดาห์ และในการหารือวันที่ 31 พฤษภาคมก็ถึงภาวะ ทางตัน
ข้อมูลวิเคราะห์คู่แข่งที่ IAAP พยายามเข้าถึง
- ตามที่ฝ่ายโจทก์ระบุ IAAP ดักจับและถอดรหัสทราฟฟิกวิเคราะห์ที่มีการป้องกันด้วย SSL ของคู่แข่งด้วยวิธี SSL man-in-the-middle
- เป้าหมายแรกคือ Snapchat
- ต่อมาขยายไปยัง YouTube และ Amazon
- อ้างว่าข้อมูลที่ได้ถูกใช้ในการตัดสินใจเชิงแข่งขันของ Facebook
- เมื่อวันที่ 9 มิถุนายน 2016 Mark Zuckerberg ส่งอีเมลถึงผู้บริหารระดับสูง 3 คนในหัวข้อ “Snapchat analytics”
- เขาเขียนว่าคำตอบที่ได้ตามปกติคือไม่มีข้อมูลวิเคราะห์ของ Snapchat เพราะทราฟฟิกถูกเข้ารหัส
- เขามองว่าการหาแนวทางใหม่เพื่อให้ได้การวิเคราะห์ที่เชื่อถือได้เป็นเรื่องสำคัญ เพราะ Snapchat กำลังเติบโตอย่างรวดเร็ว
- เขาสั่งให้หาวิธี ซึ่งอาจต้องสร้าง panel หรือเขียนซอฟต์แวร์เฉพาะขึ้นมา
- Javier Olivan เห็นด้วยว่านี่เป็นหนึ่งในคำถามด้านการวิเคราะห์ตลาดที่สำคัญที่สุดของบริษัท
- เขาเปิดเผยว่ากำลังพิจารณาเรื่องนี้ร่วมกับทีม Onavo อยู่แล้ว
- เขาประเมินว่าเทคนิคการมองเข้าไปในทราฟฟิกวิเคราะห์ที่มีการป้องกันด้วย SSL ของ Snapchat นั้นซับซ้อนมาก
- เขาเขียนว่างานนี้อาจต้องได้รับ การอนุมัติจากฝ่ายกฎหมาย
การพิจารณาของทีม Onavo และการมีส่วนร่วมของฝ่ายกฎหมาย
- Olivan ส่งต่ออีเมลของ Zuckerberg ไปยังทีม Onavo ของ Facebook พร้อมขอให้ช่วยคิดแบบ “out of the box thinking”
- เขาเน้นว่างานนี้สำคัญมาก
- เขากล่าวถึงแนวทางการจ่ายเงินให้ผู้ใช้เพื่อติดตั้ง “ซอฟต์แวร์ขนาดใหญ่มาก”
- และระบุว่าซอฟต์แวร์ดังกล่าวอาจทำ man-in-the-middle ได้ด้วย
- Guy Rosen ผู้ก่อตั้ง Onavo ตอบว่าจะจัดทำแผน “lockdown effort” ภายในเดือนมิถุนายนเพื่อเพิ่มการมองเห็น Snapchat อย่างมาก
- เขาอธิบายว่านี่เป็นโอกาสให้ทีมได้แสดงฝีมือ
- สองวันต่อมา Olivan ส่งต่อเธรดอีเมลทั้งหมดให้ Colin Stretch ซึ่งขณะนั้นเป็น General Counsel
- เขาเขียนว่าควรเดินหน้าให้เร็วที่สุด
- และเสริมว่าหาก Colin อนุมัติการวิจัยประเภทนี้ งบประมาณจะไม่ใช่ปัญหา
- ฝ่ายโจทก์อ้างว่าการกระทำภายใต้ IAAP ละเมิด 18 U.S.C. §2511(a), (d) หรือ Wiretap Act และไม่มีข้อยกเว้นใดที่ใช้ได้
- พวกเขาเห็นว่าทนายของ Facebook มีส่วนร่วมอย่างกว้างขวางในการออกแบบ ดำเนินการ และขยายโครงการ
1 ความคิดเห็น
ความคิดเห็นจาก Hacker News
ถ้าบุคคลทั่วไปทำเรื่องแบบนี้ คิดว่า Computer Fraud and Abuse Act น่าจะถูกนำมาใช้ ต้องรอดูว่า Meta จะโดนแบบนั้นด้วยไหม
น่าขันที่ในปีเดียวกัน แอปหนึ่ง (Whatsapp) ประกาศต่อสาธารณะว่าจะเพิ่ม การเข้ารหัสแบบต้นทางถึงปลายทาง แต่อีกทางหนึ่งกลับแอบทำลาย TLS อยู่ #Tethics
พวก FANG แทบจะทำ ปฏิบัติการจิตวิทยาขนาดใหญ่ กับสาธารณชนได้โดยไม่ถูกลงโทษ และคดีความน่ารำคาญเป็นครั้งคราวก็ดูแทบไม่มีผลอะไร
อยากรู้มากกว่าว่าถ้าถูกจับได้ว่าขโมยของที่ปล้นมาจากการสอดส่องของกันและกัน จะเกิดอะไรขึ้น
Meta จ้าง ผู้ใช้ Snapchat ผ่านบริษัทบริการทดสอบ เพื่อให้ Meta สามารถสังเกตการใช้งาน Snapchat ของพวกเขาได้
คล้ายกับการจ่ายเงินให้คนที่ยอมให้นักวิจัยของ Meta นั่งข้าง ๆ แล้วดูเขาใช้แอป
วิธีแบบนี้พบได้ทั่วไป มักมีการรับสมัครผู้ใช้ผ่านบริการทดสอบให้มาใช้แอปของตัวเอง แล้ววิเคราะห์รูปแบบผ่านการบันทึกหน้าจอ เป็นต้น
สิ่งใหม่ตรงนี้คือจ่ายเงินให้พวกเขา “ทดสอบ” แอปของคู่แข่ง
หวังว่าผู้ทดสอบจะรู้ว่า Snapchat จะถูกวิเคราะห์ ไม่ใช่แค่ถูกบอกว่ากำลังทดสอบ Onavo เท่านั้น
ไม่ว่าเป้าหมายสุดท้ายคืออะไร การโจมตีแบบคนกลาง ก็ควรถูกเรียกว่า “การโจมตี” ไม่ใช่ “การวิจัย”
ถ้าบริษัทไหน要求ให้ทำเรื่องแบบนี้ คงอยู่ได้ไม่ถึงวัน เคยทำงานในฝ่าย IT ของพรรคการเมืองระดับชาติ และลาออกทันทีหลังได้รู้ถึงแนวปฏิบัติที่ทุจริตและการฉ้อโกง
ถ้าวิศวกรร่วมกันยึดถือจริยธรรมเป็นส่วนหนึ่งของวัฒนธรรมวิชาชีพ Meta ก็คงทำเรื่องแบบนี้ไม่ได้
ถ้าวิศวกรภาคปฏิบัติอยู่ในสถานะที่พลาดครั้งเดียวก็อาจถูกไล่ออกจากสหรัฐฯ และสูญเสียโอกาสในอนาคตที่นั่น พวกเขาก็มีแนวโน้มมากขึ้นที่จะก้มหน้าแล้วทำตามที่ผู้จัดการสั่ง
ต้องเอาผิดคนระดับบนมากกว่า
แล้วคิดยังไงกับ การยุติ/ออฟโหลด SSL ของ Cloudflare?
ตัวอย่างเช่น เหตุผลต่อต้านแบ็กดอร์อาจถูกหน่วยข่าวกรองใช้เพื่อสร้างความชอบธรรมให้กับ “การให้ความช่วยเหลือ” ได้ แค่การที่องค์กรอาชญากรรมทั่วไปสามารถแอบดูข้อมูลเข้ารหัสบางส่วนได้ก็มีมูลค่ามหาศาลแล้ว จึงไม่ใช่แค่คำเลี่ยงสวย ๆ เพียงอย่างเดียว แต่ในขณะเดียวกันก็เป็นคำเลี่ยงในระดับหนึ่งด้วย
การที่ข้อถกเถียงเรื่องกลุ่มก่อการร้ายใช้ Cloudflare ถูกปล่อยให้เกิดขึ้นได้ ก็น่าจะมองว่าเป็นเพราะมีใครบางคนในหน่วยข่าวกรองสหรัฐฯ รู้วิธีรีดความลับจากกลุ่มเหล่านั้น
ในเชิงทฤษฎี การแตะต้อง SSL เป็นหนึ่งในฟังก์ชันของ Cloudflare ไม่ใช่ความลับ แต่ในทางปฏิบัติ ผู้ใช้ปลายทางส่วนใหญ่ดูเหมือนจะรับเรื่องทั้งหมดนี้เหมือนเป็นเวทมนตร์ ผมเคยเห็นกับตาเลยว่ามีคนคิดแบบวิเศษนิยมกับไอคอนแม่กุญแจในเบราว์เซอร์
*ลูกค้า CloudFlare ที่สมัครใจส่วนใหญ่
“Meta” ตอนนี้คือ จักรวรรดิออนไลน์อันชั่วร้าย แล้ว ประวัติของบริษัทต่อให้ไม่ได้ชั่วร้ายอย่างโจ่งแจ้ง ก็เป็นลำดับต่อเนื่องของพฤติกรรมที่ชัดเจนว่าไร้ศีลธรรม
ที่มา: https://www.vice.com/en/article/v7gd9b/facebook-helped-fbi-h...
เรื่องนี้ไม่ได้รู้กันมาตั้งแต่ปี 2018 แล้วเหรอ?
https://mashable.com/article/facebook-used-onavo-vpn-data-to...
สิ่งสำคัญอีกอย่างคือ ตอนนั้น Google ก็ทำสิ่งคล้ายกัน ทั้งสองรายใช้ ใบรับรององค์กร เพื่อเลี่ยงกลไกคุ้มครองความเป็นส่วนตัวของ iOS ซึ่งทำให้ไซด์โหลดแอปได้โดยไม่ต้องผ่านการตรวจของ Apple เพื่อตอบสนองต่อเรื่องนี้ Apple จึงจำกัดอย่างเข้มงวดขึ้นว่าใบรับรองเหล่านี้ใช้ได้อย่างไร
ที่น่าสนใจคือ ในเธรดเกี่ยวกับ DMA ผมเห็นบางคนตอบโต้ว่า ความกังวลว่าบริษัทอาจใช้ไซด์โหลดในทางที่ผิดเพื่อหลบเลี่ยงกลไกคุ้มครองความเป็นส่วนตัวของ Apple เป็นแค่การปลุกปั่นความกลัว ราวกับว่านั่นเป็นเส้นที่นักพัฒนาจะไม่มีวันข้าม
น่าประหลาดใจที่คนใน HN ไม่รู้ประวัติที่ค่อนข้างไม่นานมานี้ และคิดอย่างไร้เดียงสาว่ากลไกคุ้มครองเหล่านี้โผล่มาอย่างกะทันหันเพื่อกลั่นแกล้งนักพัฒนา ไม่ใช่เป็นการตอบสนองต่อการแข่งขันสะสมอาวุธที่ดำเนินอยู่รอบสิทธิความเป็นส่วนตัวของผู้บริโภค
(1) https://www.extremetech.com/internet/284770-apple-kills-face...
ลิงก์ PDF โดยตรง:
https://s3.documentcloud.org/documents/24520332/merged-fb.pd...
คำตอบของ Meta:
https://ia802908.us.archive.org/29/items/gov.uscourts.cand.3...
Meta ปฏิเสธว่าไม่ได้ละเมิด Wiretap Act แต่ก็ไม่ได้แสดงหลักฐานเรื่องการยินยอม แม้จะพยายามอยู่บ้าง แต่ก็ดูตลกอย่างเหลือเชื่อ Meta ยังอ้างด้วยว่าเอกสารเหล่านี้ไม่เกี่ยวข้อง
Meta อ้างว่าการที่แอป VPN ดักรับการสื่อสารกับบริษัทที่ขายบริการโฆษณาออนไลน์อย่าง Snap นั้นไม่ได้เป็นการต่อต้านการแข่งขัน แต่เป็นเพียง “การวิจัยตลาด”
ไม่รู้ว่าทำไม Meta ถึงกลัวการส่งเอกสารเกี่ยวกับ “การวิจัยตลาด” ขนาดนั้น
Meta ไม่ได้ปฏิเสธข้อเท็จจริงว่ามีการดักรับการสื่อสารเอง เมื่อดูความสนใจที่เรื่องนี้ได้รับจาก HN, MalwareBytes ฯลฯ ก็ดูชัดเจนว่าผู้ใช้แอป VPN ไม่น่าจะคาดคิดถึงการดักรับแบบนี้ของ Meta ได้ ยากจะจินตนาการว่าพวกเขาจะยินยอมต่อการดักรับที่คาดไม่ถึงได้อย่างไร
รายละเอียดเพิ่มเติม:
https://ia802908.us.archive.org/29/items/gov.uscourts.cand.3...
ดูเหมือนว่า Facebook ใช้ squid เวอร์ชันที่ “เก่ามากจริงๆ”
“… the Wiretap Act provides that an interception is not unlawful if a party to the
communication “has given prior consent to such interception.” 18 U.S.C. § 2511(2)(d). Advertisers
conspicuously fail to mention—and apparently do not contest—that Meta obtained participants’
prior consent to participate in the Facebook Research App, and with good reason: Participants
affirmatively consented to “Facebook … collecting data about [their] Internet browsing activity
and app usage” to enable Facebook to “understand how [they] browse the Internet, how [they] use
the features in the apps [they’ve] installed, and how people interact with the content [they] send
and receive.”
ถ้าอย่างนั้นก็หมายความว่าผู้ใช้ยินยอมแล้วไม่ใช่หรือ?
แผนคือแค่จะปล่อยสิ่งนี้ออกไปมั่วๆ ให้โลกรู้หรือ?
ในเอกสารระบุว่าจะมอบให้ผู้เข้าร่วมการทดลองในฐานะส่วนหนึ่งของแบบสำรวจ เช่น yougov ถ้าอย่างนั้นก็หมายความว่าผู้เข้าร่วมได้รับการแจ้งให้ทราบและได้รับเงิน
ถ้าเป็นแบบแรกก็เป็นการดักฟังโดยไม่ได้รับอนุญาตอย่างชัดเจน ถ้าเป็นแบบหลัง ตราบใดที่มีการยินยอมบนพื้นฐานของการแจ้งข้อมูลที่เพียงพอ ก็ยังดีกว่าเทคโนโลยีโฆษณาในปัจจุบันมาก
บนอุปกรณ์ Android จำนวนมาก Facebook ไม่สามารถลบออกได้ ถ้าอย่างนั้นหมายความว่า Zuckerberg ดูทราฟฟิกทั้งหมดของผู้ใช้ทุกคนมาหลายปีโดยไม่เกี่ยวกับ TLS เลยหรือ?
สำหรับทราฟฟิก TLS ต้องติดตั้ง Onavo ด้วย
แต่แอปจะสแกนรายชื่อผู้ติดต่อทุกๆ ไม่กี่นาที แล้วส่งความแตกต่างไปยังเซิร์ฟเวอร์ แม้ว่าคุณจะไม่เคยเปิดแอปเลยก็ตาม ใน Android เวอร์ชันเก่า ยังส่งรายการแอปที่เพิ่งเปิดล่าสุดด้วย
อย่างไรก็ตาม ถ้าติดตั้ง WhatsApp สุดท้ายก็ต้องให้สิทธิ์เข้าถึงรายชื่อผู้ติดต่ออยู่ดี ไม่อย่างนั้นแอปจะจงใจทำงานเสียๆ และน่ารำคาญ
https://en.wikipedia.org/wiki/Onavo อ่านเข้าใจง่ายกว่าเอกสารศาลที่ลิงก์ไว้เล็กน้อย
ถ้าอย่างนั้นทราฟฟิกวิเคราะห์ของ YouTube, Snapchat ก็น่าจะถูกโจมตีแบบคนกลาง