Facebook’un Rakiplerinin Şifrelenmiş Mobil Uygulama Trafiğini Nasıl Yakaladığı

 (doubleagent.net)
2 puan yazan GN⁺ 2024-07-29 | 1 yorum | WhatsApp'ta paylaş
  • Meta’ya karşı açılan antitröst toplu davasındaki kamuya açık belgeler ve arşivlenmiş Onavo Protect Android APK tersine mühendisliği, Facebook’un rakip uygulamaların HTTPS trafiğini ortadaki adam yöntemiyle şifresini çözebilecek bir yapı kurduğunu ortaya koydu
  • Temel mekanizma, cihaza Facebook Research CA sertifikası yükletmek ve ardından Onavo VPN trafiğini Facebook altyapısındaki Squid transparan proxy ssl bump üzerinden geçirmekti
  • Onavo Protect Android’de 10 milyondan fazla kez kuruldu; 2016 dağıtımında CA sertifikası uygulama varlıkları içinde yer alıyordu ve bunlardan biri 2027’ye kadar geçerliydi
  • Android 7 sonrasında kullanıcı tarafından eklenen CA’lara güven ve sertifika kurulum akışı kısıtlanınca etkisi azaldı; ancak o dönemde Snapchat’in sc-analytics.appspot.com alanında sertifika pinning olmadığı için MITM’in mümkün olduğu bir örnek olarak doğrulandı
  • Android güvenliğinin güçlenmesi ve pinning’in yaygınlaşmasının ardından Facebook, Accessibility API kullanımını bile değerlendirdi; Onavo’nun izin yapısı ise IMSI gibi hassas bilgilere erişim olasılığını da açık bıraktı

Kamuya açık belgeler ve APK tersine mühendisliğiyle doğrulanan Onavo yapısı

  • Meta’ya karşı süren mevcut toplu davanın kamuya açık belgeleri, Facebook’un Wiretap Act’i ihlal etmiş olabileceğine dair materyaller içeriyor
    • Bir HN kullanıcısının açıklamasına göre davanın kendisi bir wiretapping davası değil; Sherman Act ihlalini ele alan bir antitröst davası ve davacı taraf avukatları delil keşfi sürecinde Wiretap Act ile ilgili olası durumu tesadüfen fark etmiş
  • Analizin dayanağı, kamuya açık mahkeme belgeleri ve arşivlenmiş Onavo Protect Android uygulama paketi tersine mühendisliği
  • Kamuya açık bilgiler sınırlı ve parçalı olduğundan bazı olgular hatalı veya eksik olabilir
    • Tüm uygulama kullanıcılarının trafiğinin yakalanıp yakalanmadığı, yoksa yalnızca bazı kullanıcıların mı etkilendiği henüz belirsiz

Belirli HTTPS trafiğinin ssl bump ile şifresini çözme yöntemi

  • Facebook bu tekniğe ssl bump adını veriyordu; ad, Squid caching proxy’nin transparan proxy özelliğinden geliyordu
  • İşleyiş akışı kabaca şu yapıya yakındı
    • Cihaza Facebook Research tarafından verilen güvenilir sertifikanın kurulması
    • Cihaz trafiğinin Onavo VPN üzerinden Facebook’un kontrolündeki altyapıya gönderilmesi
    • Trafiğin Squid transparan proxy’ye yönlendirilmesi
    • ssl bump ayarıyla belirli alan adlarının TLS trafiğinin şifresinin çözülmesi
  • Mahkeme belgelerinde ilgi alanı olan alan adları Snapchat, Amazon ve YouTube ile ilgili alan adları olarak görünüyor
  • Yalnızca arşivlenmiş Onavo uygulamasından, diğer kullanıcı trafiğinin gerçekten yakalanıp yakalanmadığını veya sadece proxy’den geçirilip geçirilmediğini doğrulamak zor

Onavo Protect uygulamasının izinleri ve toplama işlevleri

  • Onavo Protect Android uygulaması 10 milyondan fazla kez kurulmuştu ve kullanıcıyı cihazın kullanıcı güven deposuna CA sertifikası kurmaya yönlendiren kod içeriyordu
  • Uygulama, “koruma” ve veri kullanımını gösterme gerekçesiyle çeşitli izinler istiyordu
    • Display over other apps
    • Access past and deleted app usage
  • Android manifest’inde android.permission.PACKAGE_USAGE_STATS yer alıyordu; bu izinle diğer uygulamaların kullanım istatistikleri ve ağ kullanımı toplanabiliyordu
  • Yerel veritabanı şemasında uygulama kullanım istatistikleri ve uygulama bazında ağ trafiği kullanımı gibi nispeten üst düzey verilerin saklandığı görülüyor
  • Kamuya açık belgelerdeki e-postalar, Snapchat için “reliable analytics” ihtiyacını ve “belirli alt alan adlarının trafiğini yakalayan iOS ve Android için kit” fikrini içeriyor

CA sertifikası kurulumu ve Android güvenliğindeki değişimler

  • Onavo uygulamasında Android’in KeyChain.createInstallIntent() çağrısıyla sertifika kuran bir özellik vardı; kullanıcıya Facebook Research adıyla bir kurulum açılır penceresi gösteren bir yapı söz konusuydu
  • KeyChain.createInstallIntent(), Android 7 Nougat’ta artık aynı şekilde çalışmamaya başladı
  • Android güvenlik politikası da daha sonra önemli ölçüde değişti
    • Android 6.0 API level 23 ve altını hedefleyen uygulamalar varsayılan olarak kullanıcı tarafından eklenen CA deposuna güveniyordu
    • Android 7’den itibaren uygulamalar ayrı bir güvenlik ayarı yapmadığı sürece kullanıcı tarafından eklenen CA’lara varsayılan olarak güvenmiyor
    • Android 7’de root olmadan sistem deposuna sertifika kurmak imkânsız hale geldi
  • Android 11, uygulamaların kullanıcıyı sertifika kurulumuna yönlendirdiği mekanizmayı tamamen engelledi ve hiçbir uygulama varsayılan olarak kullanıcı deposundaki sertifikalara güvenmemeye başladı
  • 2016–2019 döneminde mümkün olan bu yöntemi günümüz Android ortamında teknik olarak aynı şekilde uygulamak zor

Uygulamada yer alan Facebook Research sertifikaları

  • Eylül 2017 sürümü Onavo APK’sında assets klasörü altında old_ca.cer ve new_ca.cer bulunuyordu
  • İlgili kod ResearchCertificateManager sınıfında doğrulandı
  • İki sertifika arasındaki fark geçerlilik süresiydi
    • İlk sertifika 8 Eylül 2016’dan itibaren geçerliydi ve bir yıllıktı
    • İkinci sertifika 8 Haziran 2017’den 8 Haziran 2027’ye kadar geçerliydi
  • Mahkeme belgelerinde SSL bump için kullanılan sertifikanın “sunucuda oluşturulup cihaza gönderildiği” ifadesi yer alıyor
  • Elde edilen uygulamalarda 2017 sonrası sertifikanın sunucudan eklenmesine yönelik somut bir işlev henüz doğrulanmadı; ek araştırma gerekiyor

Snapchat analiz alan adı ve sertifika pinning

  • Sertifika pinning’i tam olarak uygulayan bir uygulamada bu MITM yöntemi çalışmazdı
  • Kamuya açık belgelerdeki delillerde Snapchat ile ilgili alan adı olarak sc-analytics.appspot.com yer alıyor
  • Eski bir Snapchat uygulaması decompile edildiğinde, söz konusu analiz alan adı trafiğine sertifika pinning uygulanmadığı görüldü
  • Facebook, Android güvenliğinin güçlenmesi ve sertifika pinning’in yaygınlaşmasının ssl bumpın uzun vadeli uygulanabilirliğini azalttığının farkındaydı

Accessibility API değerlendirmesi ve hassas bilgilere erişim

  • Android güvenliğinin güçlenmesi ve sertifika pinning’in yaygınlaşması üzerine Facebook, alternatif olarak Accessibility API kullanımını değerlendirdi
  • Google, erişilebilirlik özelliklerinin yalnızca engelli kişilerin cihaz kullanmasına veya engelden kaynaklanan zorlukları aşmasına yardımcı olan hizmetler için erişilebilirlik aracı olarak ilan edilebileceğini belirtti
  • Android erişilebilirlik özelliklerinin kötüye kullanımı genellikle banking malware gibi zararlı uygulama örnekleriyle ilişkilendirilir
  • Onavo uygulamasının manifest’inde READ_PHONE_STATE izni yer alıyordu ve o dönemde bu izinle subscriber IMSI gibi hassas bilgiler elde edilebiliyordu
  • IMSI’ye erişim olasılığı, Onavo uygulamasının toplamış olabileceği diğer veriler için de ek doğrulama gerektiğini gösteriyor

Önceki Onavo tartışmalarıyla bu analizin farkı

  • Bu MITM ile ilgili bilgiler, 2019’da bilinen Facebook Project Atlas ve Onavo tartışmalarından farklı bir konu
  • 2019’da Facebook’un gençlere para ödeyerek uygulamayı kullandırıp kullanım alışkanlığı verileri topladığına dair soruşturmanın ardından Onavo uygulaması uygulama mağazalarından kaldırıldı
  • 2023’te Facebook’un iki iştiraki, Avustralya tüketici hukukunu ihlal edebilecek yanıltıcı davranışları nedeniyle Avustralya Federal Mahkemesi tarafından toplam 20 milyon Avustralya doları para cezasına çarptırıldı
  • Bu analizin odağı, uygulama kaldırıldıktan sonra bile arşivlenmiş APK üzerinden dönemin teknik uygulamasının doğrulanabilmiş olmasıdır

İlgili okumalar

1 yorum

 
GN⁺ 2024-07-29
Hacker News yorumları

  • Tam olarak neyin sorun olarak öne sürüldüğünü toparlarsak, birçok yazının atlamış gibi göründüğü bir ayrıntı var: Bana kalırsa FB, SC kullanıcılarına pazar araştırmasına katılmaları karşılığında ödeme yapıp bir proxy kurdurmuş gibi görünüyor
    Çoğu yazı bunu hack gibi duyuracak şekilde yazıyor ama gerçekte öyle görünmüyor. Katılımcılara neyin karşılığında para aldıklarının söylendiğini daha çok bilmek isterim; ama kendi davranışlarının izlendiğini bilmediklerini sanmıyorum
    İletişimin taraflarından biri, üçüncü tarafın sağladığı bir araçla şifrelemeyi kırıyorsa bunun dinleme olduğu iddiası bana biraz zayıf geliyor. Hukukçu değilim ama bu dinlemeyse, benim yerel SSL proxy ile bir hizmetin API trafiğini çözümleyip analiz etmem de dinleme mi?

    • Neilson da TV’de benzer bir şey yapıyor. Panel hanelerine, ne izlediklerini anlamak için yakalama kutuları kuruyor: https://www.nytimes.com/athletic/3194414/2022/03/22/the-ulti...
      Umarım ne topladıklarını dürüstçe bildirmişlerdir. Makalede proxy kurulmadan önceki onay ekranının nasıl olduğu yer almıyordu
    • Makaleye göre bu, TechCrunch’ın ele aldığı, Facebook’un gençlere para vererek kullanım alışkanlığı verileri toplattığı olaydan farklı yeni bir olay
      O olay, Onavo uygulamasının uygulama mağazasından kaldırılmasına ve para cezalarına yol açmıştı
    • “Hack gibi duyuluyor ama öyle değil gibi” sözüne gelirsek, en iyi ve en etkili hack’ler genellikle birine indirmemesi gereken bir şeyi indirterek güvenliği aşma yöntemidir
    • Yazı bir şeyi atlamış değil; farklı olayları birbirine karıştırıyor. Bu yazı, ödeme yapılmayan Onavo Protect, “Free VPN + Data Manager” hakkında
      Ayrı olarak Facebook’un gençlere para verip enterprise dağıtım kanalı üzerinden Facebook Research VPN kurdurarak App Store’u ve kuralları by-pass ettiği bir program vardı; o ücretli sürüm daha müdahaleciydi
      Bu yüzden bu Onavo meselesi hiçbir şekilde savunulamaz
      https://apkpure.com/onavo-protect-from-facebook/com.onavo.sp...
      https://techcrunch.com/2019/01/29/facebook-project-atlas/?re...
    • “FB, SC kullanıcılarına pazar araştırmasına katılmaları karşılığında ödeme yapıp proxy kurdurdu” kısmı önceki olayla karıştırılmış gibi. Bu uygulama Google Play ve Apple App Store’da herkesin indirebildiği bir uygulamaydı
      Blog yazısı da 2023’te Avustralya Federal Mahkemesi’nin, Facebook’un iki iştirakine Avustralya tüketici hukukunu ihlal etmiş olabilecek yanıltıcı davranış nedeniyle toplam 20 milyon dolar ödettiği önceki tartışmayı bu dinleme iddiasından ayırıyor
      “Kendi yerel SSL proxy’imle kendi trafiğimi çözümleyip analiz etmem de dinleme mi” kısmına gelince, kendi ağınızda veya cihazınızda kendi trafiğinizi görüyorsanız elbette değil

  • E-postaların bazıları birçok açıdan çarpıcı; özellikle FB’deki insanların ne kadar aptal ya da kibirli olduğunu gösteriyor. MITM’den açık açık bahsetmeleri ve bu kiti başka birçok şirketin ürünlerine de koydurduklarını yazılı bırakmaları gerçekten akılsızca
    “Zuck, önerdiğiniz konuyla ilgili bazı fikirlerim var, buluşup konuşalım” gibi bir şey bile şüpheli olurdu ama en azından suç delili sayılmazdı. Sanki hiç film izlememiş ya da yakalanan başka şirketler hakkındaki haberleri hiç okumamış insanlar gibiler

    • Yazılı olarak bir şey gönderdiğim her seferinde, aynı sözleri mahkemede tekrarlamak zorunda kalsam ya da o mesaj haberlerde çıksa nasıl hissederdim diye düşünmem gerektiği öğüdünü aklımda tutuyorum. O kadar ağır bir şey yazmışlığım yok ama yine de faydası oluyor
    • Yani daha zeki olup kötü niyetli davranışlarının izini gizleyebilmelerini mi tercih ederdiniz?
      Asıl sorun etiğin tamamen yokluğu. Etiği bir engel olarak görmenin toplantı odasında alay konusu edileceği ya da işten atılmaya yol açacağı bir yer gibi geliyor. Şirket kültürü her şeyden önce kâr peşinde; yazılım sektöründe kendi eylemlerinin etik sonuçlarını hiç düşünmeyen insan sayısı çok fazla olduğu için bu özellikle kötü
    • Milyarder patronlar fırsatçılar ve yağcılarla çevrilidir. Zamanla, dev bir çöp alanı gibi bu topluluk yönetilemez biçimde büyür; azıcık bile normal davranan herkes onların fantezilerine, hâkimiyetlerine, manipülasyonlarına, lükslerine ve boş zaman yaşamlarına yönelik varoluşsal bir tehdit olarak görülüp dışlanır
    • Meta hakkında bilinmesi gereken tek şey, Myanmar soykırımına katkıda bulunmuş olması bile yeterli. Savunma sanayiiyle ilgili bir şirkette çalışmak çoğu zaman hor görülürken Meta’da çalışmanın genellikle nötr karşılanması trajik. İlkinin olumsuz etkisinden ikincisi ezici biçimde daha büyük olabilecek olsa da böyle
      Instagram’dan bahsetmiyorum bile
      Sonuçta çok fazla para ödüyor ve sektörden çok fazla kişiyi işe alıyor; bu da eleştiriyi azaltıyor gibi. Hepimizin Meta’da çalışmış bir arkadaşı var ya da bir ara oraya başvurmuş olabiliriz. Buna karşılık çevremizde Anduril gibi yerlerde bulunmuş insan pek yok
    • Bu insanlardan biri yeni iş ararsa, sizin çalıştığınız yer de onu mülakat döngüsüne almak için sıraya girecektir

  • Küçümsemeye çalışmıyorum ama bu, en azından kullanıcının Onavo uygulamasını indirmesini gerektirdiği için o kadar yaygın bir şey değil
    Benim daha sık düşündüğüm şey, iOS’ta kullanılabilen ve kullanımdan kaldırılmamış iki WebView türü: WKWebView ve SFSafariViewController. İkisinin amaçlanan kullanımları çok farklı
    Facebook uygulamasında bir bağlantıya dokunulduğunda SFSafariViewController kullanılmalı. Uygulama kodu içini göremediği için gizlidir, Safari ile çerezleri paylaşır ve kelimenin tam anlamıyla “bu uygulama bağlamı içinde harici web içeriği yükle” diye tasarlanmıştır
    Ama FB hâlâ WKWebView kullanıyor. Bunu kullanınca istenen sayfaya keyfî JS enjekte edilebilir; gezinme, yüklenen kaynaklar vb. her şey izlenebilir. Bu yazıya ve diğer ifşalara bakınca FB’nin bu özellikle ne yaptığını hayal etmek bile korkutucu. Harici sitelerde kullanıcının hangi piksele dokunduğunu bile izliyor olmaları büyük ihtimal. Uygulama içi WebView’a girilen tüm kullanıcı adlarını ve parolaları izliyor olabilirler diye düşünmek çılgınca görünebilir, ama teknik olarak mümkün. Ve gerçekten bunu yapmayacaklarına güvenebilir miyiz?

    • Gerçekten JS enjekte ediyorlar. Eskiden ödeme otomatik doldurmada belirli bir JS çağrısını bozan bir sorun vardı
      https://x.com/jameshartig/status/1534886418266431488
    • WKWebView’un uygulamaya bu kadar büyük yetki verdiğini bilmiyordum. Kullanıcı bir web sayfası açtığında bunun WKWebView mu SFSafariViewController mı olduğunu anlamanın bir yolu var mı? FB kullanmıyorum ama başka uygulamaların WebView’larını kullanıyorum; onların da böyle şeyler yapamamasını isterim
    • Onavo uygulamasını indirmek gerektiği için yaygın olmadığı sözüne gelince, AndroidRank’e göre Android’de 10 milyon kurulum vardı
      Hâlâ bilmediğimiz şey, bu kurulumların yüzde kaçında FB rakiplerinin trafiğine MITM uygulandığı
      https://www.androidrank.org/application/onavo_protect_from_f...
    • Şu yazıya bakabilirsiniz: https://krausefx.com/blog/ios-privacy-instagram-and-facebook...
    • Instagram’ım yok, Facebook kullanıyorum; insanlar Messenger’dan Instagram video bağlantıları gönderdiğinde, giriş yapmadığınız sürece, yani fiilen bir hesap oluşturmadığınız sürece uygulama içinde izleyemiyorsunuz. Ancak Safari’de dışarıda açarsanız izleyebiliyorsunuz

  • Nedenini bilmiyorum ama Facebook bir türlü iyi gözle bakamadığım tek teknoloji şirketi. Google, Microsoft, Apple, Nvidia, AMD, Intel vb. için ayrı ayrı sevdiğim ve sevmediğim yanlar var; Facebook’tan ise sadece hoşlanmıyorum
    Yaklaşık 10-11 yıl önce Facebook hesabımı kapattım ve arama sonuçlarından Facebook’u çıkaran bir filtre koydum; işe yarıyor. Google haber akışında da Facebook’la ilgili içerikleri neredeyse hiç görmüyorum. Yalnız WhatsApp’ı hâlâ kullanıyorum, çünkü Asya’da Çin dışında en büyük mesajlaşma uygulaması o

    • Sebebi muhtemelen birkaç şeyin birleşimi. Bu yazıdaki türden olaylardan izleme piksellerine, sözde hayalet hesaplara ve izlemeyi engelleyen her şeye karşı tutumlarına kadar, kârını artırmak için gizliliği zayıflatma konusunda uzun bir geçmişi var. Saydığın şirketler arasında yalnızca Google biraz örtüşüyor ama o ölçüde değil
      Ayrıca algoritmanın nefret söylemini büyütme etkisi konusunda sorumsuzlar. Diğer şirketlerde bu ölçekte bir sorun yok
      Pazarlamaları da dürüst değil. Neredeyse tüm Quest reklamlarında ve özellik tanıtımlarında, yapılabilecek şeyleri olduğundan farklı göstermek için konsept görselleştirmeleri kullanıyorlar. Mark da sorunları ele alırken sık sık çifte dil kullanıyor. Çifte dil Meta’ya özgü değil ama saydığın diğer şirketlere kıyasla aldatıcı reklamcılığı sınırına kadar zorluyorlar
      Bu yapay zeka döngüsünde, açık kaynak olmayan ama açık ağırlıklı modeller sayesinde Meta’nın popülerliği yeniden artıyor; Mark da son dönemdeki PR atağıyla imajını yeniden yaratmaya çalışıyor
      Yine de saydığın şirketler arasında, yaptığı işte ahlaki bir özü olmayan yerin kültürel olarak yalnızca Meta olduğunu düşünüyorum. Kültür tepeden aşağı iner; Zuckerberg ve Thiel Meta’nın işleyişine “başarı her şeydir” kültürünü yerleştirdi
      Diğer şirketler de elbette kapitalist ama kendi çıktıları konusunda bir derece sorumluluk hissediyorlar
    • WhatsApp’ı kullanmaya devam etmek Meta’nın tekeline katkıda bulunmak demek. WhatsApp’ın tekeli büyüyor ve rakibi Telegram’ı açıkça kopyalamaya bile başladı
      Karşı tarafı önce ben güçlendiriyorsam, kamusal olarak karşı çıkmamın hiçbir etkisi olmaz
    • Şirketin adı artık Meta olduğu için Facebook haberlerini fazla görmemenizin nedeni de bu olabilir

  • “Meta’ya karşı süren mevcut toplu davada, mahkeme belgelerinde şirketin Wiretap Act’i ihlal ettiği iddiası yer alıyor” ifadesi hatalı
    Bu bir dinleme davası değil. Taleplerin tamamı Sherman Act ihlali, yani antitröst ile ilgili. Davacı tarafın avukatları keşif sürecinde tesadüfen Facebook’un Wiretap Act’i ihlal etmiş olabileceğine dair kanıt bulmuş. Dinlemeyle ilgili bir talep yok; bu bir antitröst davası

    • Bu DMCA’yı da ihlal etmiyor mu? Çünkü şifreli bir sistemi atlatmak söz konusu
      Bu ölçekte bir iş için DMCA’nın yeterince güçlü mü olmadığı, dava ehliyeti ya da kanıtlanabilir zarar meselesi mi olduğu, yoksa davacıların bunu unutup unutmadığı konusunda meraklı ve kafam karışık

  • Bir akrabam eskiden bununla özünde benzer bir pazar araştırmasına neredeyse kaydoluyordu. Telefondaki tüm internet trafiğini pazar araştırması şirketinin kontrol ettiği bir VPN ve proxy üzerinden yönlendiriyor, sertifika da kurduruyorlardı
    Küçük bir ödeme alacaktı ve kuruluma da onay vermiş olacaktı. Şirketin tam olarak bir şeyi gizlediğini hatırlamıyorum
    Ancak aşırı paternalist politikaları genel olarak sevmesem de, teknik bilgisi nispeten az birinin böyle bir şeye onay vermesinin ne kadar anlamlı olduğu konusunda şüpheliyim. Aldatmış sayılmazlardı ama ne olup bittiğini bilmeyen birine durumu çarpıcı biçimde açıklamış da değillerdi

    • Bazı pazar araştırması şirketlerinin yeterli bildirim yapması, Onavo’nun da bunu yaptığı anlamına kesinlikle gelmez. Onavo kendisini kullanıcılara “pazar araştırması şirketi” olarak pazarlamıyordu; internet veri kullanımını sınıflandıran ücretsiz ve kullanışlı bir uygulama gibi görünüyordu

  • Bu yazıyı okuyunca Facebook’ta artık sanki doğrudan NSA paravan kuruluşu gibi bir bölüm varmış diye düşünmeden edemiyorum

    • İnsanlar, Google’a dönüşen araştırmanın başta NSA ve CIA tarafından da finanse edildiğini unutuyor gibi
      https://qz.com/1145669/googles-true-origin-partly-lies-in-ci...
      Artık otomobiller, bilgi-eğlence sistemlerine gömülü Google hizmetleri ve Android ile geliyor; bunları sökmenin bir yolu da yok. Bir reklam şirketi nereye gittiğinizi ve arabada kimlerin olduğunu tamamen görebiliyorken ne ters gidebilir ki?
    • Prism sızıntıları sırasında neredeyse tüm büyük teknoloji şirketleri işbirliği yaptı
    • Ya da 8200 Birimi için bir paravan kuruluş da olabilir. Sonuçta konu Facebook Israel

  • Ooo, SSLbump
    Müşteri tarafında ağ trafiğini koklamanın suç sayıldığı bir emsal karar varmış gibi geliyor
    Banka bilgilerinin dinlenmesiyle ilgili çeşitli davalardan biri olmalı

    • Computer Fraud and Abuse Act bunu kapsamıyor mu?

  • Zararlı bilgileri internete göndermeden önce sunucunun ve istemcinin ikisinin de sertifika alışverişi yaptığı karşılıklı TLS kullanmamızın nedeni bu. Ama gerçeklikte, hayıııııır

    • Burada karşılıklı TLS nasıl yardımcı olurdu?
    • Sertifika sabitleme yapılabilir

  • Üzücü ama şaşırtıcı değil. Meta gibi kötü niyetli aktörlerin çoktan çeşitli dark pattern’ler yerleştirmiş olması kuvvetle muhtemel
    Örneğin ivmeölçer ve jiroskop gibi sensör verilerini izleyerek ses bilgisini çıkarsama gibi, sensör verisi sızıntısına dayalı güvenlik riskleri hayal edilebilir. Toplanan veriler gizlice dışarı aktarılıp işlenirse, cihaz mikrofonuna doğrudan erişmeden de hassas bilgiler yeniden oluşturulabilir
    Böyle şeyler yapabilseler hiç şaşırmam
    Meta ve diğer zararlı şirketler ile devlet kurumlarının gerçek dünyada çok daha fazla, daha kötü ve daha basit dinleme teknikleri kullanıyor olması kuvvetle muhtemel