Meta의 Onavo VPN, 경쟁사 분석 트래픽의 SSL 암호화 해제

 (documentcloud.org)
2P by GN⁺ | ★ favorite | 댓글 1개
  • 광고주 원고들은 Meta가 IAAP 프로그램 관련 커뮤니케이션을 변호사-의뢰인 특권으로 숨길 수 없으며, 범죄-사기 예외 적용을 판단해 달라고 법원에 요청함
  • IAAP는 2016년 6월부터 약 2019년 5월까지 운영됐고, 원고 측은 이 프로그램이 SSL man-in-the-middle 방식으로 Snapchat·YouTube·Amazon의 SSL 보호 분석 트래픽을 가로채 복호화했다고 주장함
  • Mark Zuckerberg는 2016년 6월 9일 “Snapchat analytics” 이메일에서 암호화 때문에 분석 데이터가 없다며, Snapchat 성장세를 파악할 새 분석 방법을 찾으라고 지시함
  • Javier Olivan은 기술적으로 복잡하고 법무 승인이 필요할 수 있다고 답했으며, Onavo 팀에는 사용자에게 비용을 지급해 무거운 소프트웨어를 설치하게 하는 방안까지 검토하게 함
  • 원고 측은 IAAP가 단순한 반경쟁 행위를 넘어 Wiretap Act로 불리는 18 U.S.C. §2511(a), (d)를 위반했고, Facebook 변호사들이 설계·실행·확장에 관여했다고 봄

범죄-사기 예외를 둘러싼 법원 요청

  • 광고주 원고들은 Klein v. Meta Platforms, Inc. 사건에서 Meta Platforms, Inc.가 변호사-의뢰인 특권을 이유로 보류 중인 일부 커뮤니케이션에 대해 범죄-사기 예외가 적용될 일응 입증이 있다고 판단해 달라고 법원에 요청함
  • 해당 커뮤니케이션은 Facebook의 In-App Action Panel(IAAP) 프로그램과 관련됨
    • IAAP는 2016년 6월부터 약 2019년 5월까지 존재함
    • 원고 측은 이 프로그램이 Mark Zuckerberg의 요청으로 시작됐다고 주장함
  • 원고 측은 2023년 5월 15일 Facebook에 19쪽 분량의 단일 간격 서한을 보냄
    • 서한에는 스크린샷, 문서 인용, 증거 인용이 포함됨
    • 18 U.S.C. §2511 및 Ninth Circuit의 범죄-사기 테스트인 In re Grand Jury Investigation, 810 F.3d 1110, 1113을 기준으로 행위를 분석함
    • 이후 2주 동안 추가 서한과 이메일을 주고받았고, 5월 31일 협의 끝에 교착 상태에 도달함

IAAP로 확보하려 한 경쟁사 분석 데이터

  • 원고 측에 따르면 IAAP는 SSL man-in-the-middle 방식으로 경쟁사의 SSL 보호 분석 트래픽을 가로채고 복호화함
    • 초기 대상은 Snapchat이었음
    • 이후 YouTube와 Amazon도 대상에 포함됨
    • 확보한 정보는 Facebook의 경쟁 의사결정에 쓰였다고 주장함
  • 2016년 6월 9일 Mark Zuckerberg는 최고위 임원 3명에게 “Snapchat analytics”라는 제목의 이메일을 보냄
    • Snapchat 트래픽이 암호화돼 분석 데이터가 없다는 답변이 보통 나온다고 적음
    • Snapchat이 빠르게 성장하고 있으므로 신뢰할 수 있는 분석을 얻는 새 방법을 찾는 일이 중요하다고 봄
    • 패널을 만들거나 맞춤 소프트웨어를 작성해야 할 수도 있으니 방법을 찾아야 한다고 지시함
  • Javier Olivan은 이 사안이 회사의 가장 중요한 시장 분석 질문 중 하나라는 데 동의함
    • Onavo 팀과 이미 검토 중이었다고 밝힘
    • Snapchat의 SSL 보호 분석 트래픽 내부를 들여다보는 기술은 매우 복잡하다고 평가함
    • 해당 작업에는 법무 승인이 필요할 가능성이 있다고 씀

Onavo 팀 검토와 법무 관여

  • Olivan은 Zuckerberg의 이메일을 Facebook의 Onavo 팀에 전달하며 “out of the box thinking”을 요청함
    • 작업이 매우 중요하다고 강조함
    • 사용자에게 비용을 지급해 “매우 무거운 소프트웨어”를 설치하게 하는 방안을 언급함
    • 그 소프트웨어가 man-in-the-middle도 수행할 수 있다고 적음
  • Onavo 창업자 Guy Rosen은 6월 중 Snapchat 가시성을 크게 높이기 위한 “lockdown effort” 계획을 만들겠다고 답함
    • 그는 이를 팀이 빛날 기회라고 표현함
  • 이틀 뒤 Olivan은 전체 이메일 스레드를 당시 General Counsel인 Colin Stretch에게 전달함
    • 가능한 한 빨리 진행해야 한다고 씀
    • Colin이 이 유형의 연구를 승인한다면 예산은 문제가 되지 않는다고 덧붙임
  • 원고 측은 IAAP 행위가 18 U.S.C. §2511(a), (d), 즉 Wiretap Act를 위반했으며 적용 가능한 예외가 없다고 주장함
    • Facebook 변호사들이 프로그램의 설계, 실행, 확장에 광범위하게 관여했다고 봄

함께 보면 좋은 글 β

GN⁺   [-]
Hacker News 의견들

  • 개인이 이런 일을 했다면 Computer Fraud and Abuse Act가 적용됐을 거라고 봄. Meta에게도 그렇게 될지는 지켜봐야 함

    • 몇 년 전에 이 얘기를 들었는데, 실험 참가자들은 고지받고 동의했으며 돈도 받았다고 함. 루트 인증서 설치와 분석 트래픽 프록시에 동의했다면, 그걸로 끝인 셈임

  • 같은 해에 한 앱(Whatsapp)에서는 종단 간 암호화 추가를 공개 발표하면서, 다른 쪽에서는 몰래 TLS를 깨고 있었다니 아이러니함 #Tethics

  • FANG들은 사실상 처벌 없이 대중을 상대로 대규모 심리전을 벌일 수 있고, 가끔 귀찮은 소송 하나쯤은 별 영향도 없어 보임
    서로의 감시 전리품을 훔치다 걸리면 어떻게 될지가 더 궁금함

    • 이걸 모두에게 적용한 건 아니라는 점은 감안해야 함. 현실적으로도 불가능했을 것임
      Meta는 테스트 서비스 업체를 통해 Snapchat 사용자를 고용해서, Meta가 그들의 Snapchat 사용을 관찰할 수 있게 했음
      Meta 연구원이 옆에 앉아서 앱 쓰는 걸 보도록 허락한 사람에게 돈을 주는 것과 비슷함
      이런 방식은 흔함. 테스트 서비스로 사용자를 모집해 자기 앱을 쓰게 하고, 화면 녹화 등으로 패턴을 분석하는 일은 자주 있음
      여기서 새로운 점은 경쟁사 앱을 “테스트”하게 하려고 돈을 줬다는 것임
      테스터들이 Snapchat이 분석된다는 걸 알고 있었기를 바람. 단지 Onavo만 테스트한다고 들은 게 아니었으면 함

  • 최종 목적이 뭐였든 중간자 공격은 “연구”가 아니라 “공격”이라고 부르는 게 맞음
    이런 일을 하라고 요구하는 회사라면 하루도 못 버틸 것 같음. 전국 정당의 IT 부서에서 일한 적이 있는데, 부패 관행과 사기를 알게 된 뒤 바로 그만뒀음
    엔지니어들이 집단적으로 직업 문화의 일부로 윤리를 지켰다면 Meta도 이런 시도를 못 했을 것임

    • 윤리적인 엔지니어라면 조직의 더러운 면을 발견했을 때 그 조직을 방해할 의무도 있다고 봄. 결코 이익을 위해서가 아니라, 때로는 자존심 때문에, 그리고 모든 엔지니어가 헛소리에 맞서면 세상이 훨씬 나아질 것이기 때문임
    • “엔지니어들이 집단적으로 직업 문화의 일부로 윤리를 지켰다면”이라는 말은 맞지만, 직장이나 미래의 영주권이 걸려 있으면 정말 어려움
      실무 엔지니어들이 실수 한 번이면 미국에서 쫓겨나고 미국에서의 미래 가능성을 잃을 수 있는 처지라면, 고개를 숙이고 관리자가 시키는 일을 할 가능성이 훨씬 커짐
      더 윗선에 책임을 물어야 함
    • “중간자 공격은 ‘연구’가 아니라 ‘공격’”이라니, 무슨 말인지 모르겠음

  • Cloudflare의 SSL 종료/오프로딩은 뭐라고 생각함?

    • Snowden 이후로는 Cloudflare가 적어도 NSA의 영향 아래 있다고 봐야 한다고 생각함
      예를 들어 백도어 반대 논리들은 정보기관이 “지원 제공”을 정당화하는 데 쓰일 수 있음. 암호화된 데이터 일부를 일반 조직범죄가 엿보는 것만으로도 엄청나게 가치가 있으니 단순한 완곡어법만도 아니지만, 동시에 어느 정도는 완곡어법이기도 함
      테러 단체가 Cloudflare를 쓴다는 논란이 허용되는 것도, 미국 정보기관 누군가가 그 단체들에서 비밀을 짜낼 방법을 알고 있기 때문이라고 봐야 할 것 같음
      이론적으로 SSL을 건드리는 건 Cloudflare의 기능 중 하나이지 비밀은 아님. 하지만 실제로는 대부분의 최종 사용자가 이 모든 걸 마법처럼 받아들이는 듯함. 브라우저의 자물쇠 아이콘을 두고 마법적 사고를 하는 장면을 직접 본 적도 있음
    • 그건 다름. Cloudflare에 불만은 많지만, 트래픽을 봐야 하는 서비스에 가입하고 명시적으로 자기 트래픽을 보도록 설정했다면 여기서 불만을 제기할 부분이 뭔지 모르겠음
    • 차이는 사람들*이 CloudFlare가 이걸 한다는 걸 알고 받아들인다는 데 있음. CloudFlare는 이걸 기능으로 홍보함
      *대부분의 자발적인 CloudFlare 고객들
    • 왜 Cloudflare만 콕 집는지 모르겠음. SSL 프런팅을 하는 CDN이나 PaaS가 Cloudflare뿐인 건 아님

  • “Meta”는 이제 사악한 온라인 제국임. 회사 역사가 노골적으로 사악하진 않더라도 명백히 비도덕적인 행동의 연속임

  • 이건 2018년부터 알려진 얘기 아닌가?
    https://mashable.com/article/facebook-used-onavo-vpn-data-to...

    • 맞음, 오래된 뉴스(1)이지만 몇 가지 이유로 HN과 reddit에 다시 여러 번 올라오고 있음. HN을 훑어보면 이 이야기의 여러 버전이 낮은 순위에 걸려 있는 걸 볼 수 있음
      당시 Google도 비슷한 일을 하고 있었다는 점도 중요함. 둘 다 Apple의 검토 없이 앱을 사이드로드할 수 있게 해주는 엔터프라이즈 인증서를 사용해 iOS의 개인정보 보호 장치를 우회했음. 이에 대응해 Apple은 이 인증서를 어떻게 쓸 수 있는지 더 엄격하게 제한했음
      흥미롭게도 DMA 관련 스레드에서는 회사가 사이드로드를 악용해 Apple의 개인정보 보호 장치를 피할 수 있다는 우려가 단지 공포 조장일 뿐이라고 하는 반응도 봤음. 마치 개발자들이 절대 넘지 않을 선인 것처럼 말함
      HN 사람들이 비교적 최근의 이 역사를 모르고, 이런 보호 장치가 소비자의 개인정보 권리를 둘러싼 계속되는 군비 경쟁에 대한 반응이 아니라 개발자를 괴롭히려고 갑자기 나온 것이라고 순진하게 생각한다는 게 놀라움
      (1) https://www.extremetech.com/internet/284770-apple-kills-face...

  • PDF 직접 링크:
    https://s3.documentcloud.org/documents/24520332/merged-fb.pd...
    Meta의 답변:
    https://ia802908.us.archive.org/29/items/gov.uscourts.cand.3...
    Meta는 Wiretap Act를 위반했다는 점은 부인하지만 동의의 증거는 제시하지 않음. 시도는 하지만 웃길 정도임. Meta는 문서들이 관련이 없다고도 주장함
    Meta는 VPN 앱이 Snap 같은 온라인 광고 서비스 판매 회사와의 통신을 가로챈 것이 반경쟁적이지 않았고, 그냥 “시장 조사”였다고 주장함
    Meta가 “시장 조사” 관련 문서 제출을 왜 그렇게 두려워하는지 모르겠음
    Meta는 통신을 가로챘다는 사실 자체는 부인하지 않음. HN, MalwareBytes 등에서 이게 받는 관심을 보면 VPN 앱 사용자가 Meta의 이런 가로채기를 예상했을 리 없다는 점은 분명해 보임. 예상할 수 없었던 가로채기에 어떻게 동의했을지 상상하기 어려움
    추가 세부 내용:
    https://ia802908.us.archive.org/29/items/gov.uscourts.cand.3...
    Facebook은 “정말 오래된” 버전의 squid를 쓰고 있었던 듯함

    • Facebook/Meta 법무팀이 판사에게 보낸 문서의 인용문임. 여기서 “Advertisers”는 Snapchat, YouTube, Amazon을 뜻함
      “… the Wiretap Act provides that an interception is not unlawful if a party to the
      communication “has given prior consent to such interception.” 18 U.S.C. § 2511(2)(d). Advertisers
      conspicuously fail to mention—and apparently do not contest—that Meta obtained participants’
      prior consent to participate in the Facebook Research App, and with good reason: Participants
      affirmatively consented to “Facebook … collecting data about [their] Internet browsing activity
      and app usage” to enable Facebook to “understand how [they] browse the Internet, how [they] use
      the features in the apps [they’ve] installed, and how people interact with the content [they] send
      and receive.”
      그러면 사용자들이 동의한 것 아닌가?
    • 물론 사람들의 집에 침입해서 우편물을 읽고 모든 전화 통화를 엿듣는 방식으로도 “시장 조사”를 할 수는 있음. 이번 공개로 실제 형사 기소가 나오길 바람. 이건 아주 명백히 “해킹”, “도청”, “무단 접근”임

  • 계획이 그냥 이걸 대충 세상에 뿌리자는 거였나?
    문서에는 yougov 등 설문조사의 일부로 실험 참가자에게 제공될 예정이었다고 되어 있음. 그렇다면 참가자들이 고지받고 돈을 받았다는 뜻임
    전자라면 명백히 무단 도청임. 후자라면 충분한 고지에 기반한 동의가 있는 한, 지금의 광고 기술보다는 훨씬 나음

  • 많은 Android 기기에서 Facebook은 제거할 수 없는데, 그럼 Zuckerberg가 TLS와 상관없이 수년간 모든 사용자 트래픽을 보고 있었다는 뜻인가?

    • 맞기도 하고 아니기도 함
      TLS 트래픽의 경우 Onavo도 설치해야 함
      하지만 앱은 몇 분마다 연락처 목록을 스캔해서 차이를 서버로 보냄. 앱을 한 번도 열어본 적이 없어도 그럼. 예전 Android 버전에서는 최근에 연 앱 목록도 보냈음
      다만 WhatsApp을 설치하면 어차피 연락처 목록 권한을 줘야 함. 안 그러면 앱이 의도적으로 망가지고 귀찮게 동작함
    • Onavo를 썼을 때만 그런 것 같음
      https://en.wikipedia.org/wiki/Onavo가 링크된 법원 문서보다 조금 더 읽기 쉬움
    • 틀릴 수도 있지만 Onavo VPN이 설치되어 있어야 한다고 생각함
      그러면 YouTube, Snapchat 분석 트래픽이 중간자 공격을 당했을 것임
답변달기