Clubhouse – hype skryl bezpečnostní problémy

O Clubhouse jste již jistě slyšeli – jedná se o novou sociální síť, kde jsou „chatovací“ místnosti a kde se můžete bavit s přáteli. A to doslova – na této sociální síti se nepíše, nesdílí se fotky, ale hlavní roli hraje mluvené slovo.

S tímhle článkem jsem chtěl počkat až natočíme podcast, ,byl hotový již 8.2.2021, ale Daniel Dočekal s tím šel dnes ven na Lupě a píše se o tom už i na Živě, tak jdu ven taky. Podcast bude příští týden.

Celá síť, potažmo aplikace operuje s jistou dávkou exkluzivity – je dostupná pouze na pozvánky a jen uživatelům iOS/iPadOS. Androiďáci mají (zatím) smůlu, ale i tak dosáhl v lednu 2021 více než 2,3 milionu stažení.

Kolem appky se rozjel hrozný hype, všichni tam chtějí a je to hrozně cool, protože tam mluví lidi. Hm. Já dostal pozvánku od Václava Maněny rovnou s dotazem, co si myslím o bezpečnosti této appky. Pustil jsem se do průzkumu a rád bych se s Vámi o své zjištění podělil.

Pokud nechcete číst, poslechněte si to jako podcast: Clubhouse ve škole, útok na vodárnu, úniky dat a chyba v Defenderu

Zásady ochrany osobních údajů

Nejprve jsem se podíval na místo, na které se nikdo nedívá – do podmínek zásady ochrany osobních údajů, které najdete zde: https://www.notion.so/Privacy-Policy-cd4b415950204a46819478b31f6ce14f

Pokud byste čekali, že Clubhouse používá nějaké šifrování, třeba poslední dobou tolik propírané end-to-end, tak jste na omylu. Nejen že se o něm nikde nedočtete, ale hned v části s názvem Personal Data We Collect zjistíte proč tomu tak je:

Audio: Solely for the purpose of supporting incident investigations, we temporarily record the audio in a room while the room is live. If a user reports a Trust and Safety violation while the room is active, we retain the audio for the purposes of investigating the incident, and then delete it when the investigation is complete. If no incident is reported in a room, we delete the temporary audio recording when the room ends.

Volně a stručně přeloženo: Nahráváme si vše, co se v místnostech říká, když je místnost odstraněna a není třeba vyšetřovat porušení pravidel, smažeme uložené nahrávky.

Z toho je jasné že o nějakém E2EE nemůže být řeč. Navíc to odporuje legislativě EU, protože podle směrnice o soukromí a elektronických komunikacích (2002/58/ES) je vyžadováno zachování důvěrnosti sdělení a k odposlechu těchto sdělení může dojít pouze legálně, se souhlasem všech stran zapojených do tohoto sdělení.

Tento souhlas dle GDPR, článku 4 musí pak být dobrovolný, konkrétní, informovaný a nemůže být podmínkou přístupu ke službě.

Stejně tak dle článku 25 odporují tato pravidla povinnosti poskytovatele zajistit bezpečí a soukromí takzvaně by default – zde je nahrávání všech hovorů v přímém rozporu s legislativou.

We collect content, communications, and other information you provide, including when you sign up for an account, create or share content, and message or communicate with others.

Dále je sbírán, volně přeloženo „veškerý obsah i komunikace a vlastně všechno co síti poskytnete, nebo na ní vytvoříte a sdílíte, včetně zpráv a komunikace s ostatními“.

Wau. Zde se jedná opět o jasný příklad porušení směrnice o soukromí a elektronických komunikacích (článek 5). Když už bude společnost tato data mít, určitě je bude chtít nějakým způsobem využít, třeba k profilování svých uživatelů. A opět nemáte žádnou možnost to odmítnout, protože:

We collect information about the people, accounts, and groups you are connected to and how you interact with them.

To znamená že shromažďují informace o Vás a všech Vašich účtech a skupinách, se kterými proběhla nějaká interakce. K čemu to ale použijí, se už nedozvíte, ale může to být cokoliv. Každopádně si ale mohou vytvořit kompletní síť Vašich kontaktů, jejich kontaktů, kontaktů jejich kontaktů a zájmů Vás, Vašich kontaktů, jejich kontaktů a kont… Však to znáte.

A na cestě je další bomba:

We use your contact information and (if you choose to provide us with access to it) your address book.

Opět volně přeloženo – můžeme využívat kontaktní informace o Vás, ale i Váš seznam kontaktů.

Nejhorší je, že přístup k seznamu kontaktů je vyžadován při tom, když chcete někoho pozvat.

To je opět porušení GDPR a nespadá pod výjimku „Aktivity domácnosti“ (ano, v EU máme judikaturu pro referral marketing, která stanoví, že musíte mít souhlas svého přítele se sdílením jeho osobních údajů s komerčním subjektem třetí strany, pokud jej chcete do nějaké služby pozvat).

Jako společnost nemůžete používat osobní údaje poskytnuté třetí stranou, pokud jste k tomu nedali výslovný souhlas (což jste tady nedali) a zveřejnění osobních údajů tímto způsobem je nezákonné.

Pokud vezmete v potaz, že jediná možnost jak se k síti dostat, je přes pozvánku od stávajícího přítele, který kvůli tomu nelegálně poskytne všechny své (a tedy i Vás) kontakty této firmě, máme tu problém.

Další perličkou je pak to, že účet nemáte nikde na první dobrou možnost smazat – musíte napsat někam na podporu a doufat že Vám odpoví.

Cookies

Pokud jde o monitorování vašich dalších internetových aktivit (Internet Activity Data), dělají toho tolik (vše nezákonně podle směrnice GDPR), že nám to ve svých zásadách ochrany osobních údajů raději dávají vědět DVAKRÁT. Tak to je v pořádku… Až na to, že není – je to nelegální.

Pokud se třeba přihlásíte Twitterovým účtem (Single Sign On), bude mít společnost Alpha Exploration Co., která za Clubhousem stojí přístup ke všem Vašim twitterovským kontaktům, obsahu a účtu na této síti – ale nebojte se, slibují, že ve skutečnosti nebudou zveřejňovat nic pomocí vašich přihlašovacích údajů. 😉 Budou jen čekovat všechna vaše data a připojení, protože kdo stejně potřebuje vyhovět reguli o  minimalizaci dat a omezení účelu (další porušení GDPR – opět článek 5, pokud Vás to zajímá).

A pokračujeme dále:

We may infer your preferences for content and features of the Service, or future products and services, based on the Personal Data we collect about you.

To znamená že se na základě dat, která se na Vás nasbírají bude dělat automatické profilování – je libo nechat se zavřít v sociální bublině?

Takže to je další porušení GDPR – čl. 22 odst. 1 uvádí: „Subjekt údajů má právo nepodléhat rozhodnutí založenému výhradně na automatizovaném zpracování, včetně profilování…“ jedná se o obecně zakázanou doložku.

Dále by Vaše data měla být dle platné legislativy uložena na serverech v EU a bez zjevného důvody by neměla být odesílána jinam. Myslíte že tuto podmínku Clubhouse splňuje?

Ne, nesplňuje, data jsou posílána do USA bez jakýchkoli požadovaných právních záruk pro přenos údajů.

Závěrem

Co se týče ochrany soukromí, je Clubhouse docela sebevražda. Stejně tak to může být problém pro firmu Alpha Exploration Co. a její investory, až se do nich pustí právníci.

Clubhouse je zářným příkladem toho, jak porušovat legislativu v EU – jsou v tom tak dobří, že by mohli napsat knihu na toto téma.

🔥 Čaj, všiml/a sis, že tenhle web je bez reklam? 🤔

💸 Nesbírám a neprodávám data návštěvníků. 💸
🕵️‍♂️ Respektuji Vaše soukromí. 🕵️‍♂️
🌎 Píšu pro dobro lidstva. 🌎

❤️ Líbil se ti článek? ❤️

Tak mi kup kafe!

Nebo pošli BTC:bc1qzcu2325kc89lx7zf07vaud8yqx04aemu8ayggu