Beveiliging van videochat: wie zit er in jouw Houseparty?

Videochatapps zoals Houseparty hebben de afgelopen maanden een flinke toename aan gebruikers gezien, nu mensen over de hele wereld meer tijd thuis doorbrengen en online meer met vrienden en collega’s omgaan. Wanneer bedrijven zo snel groeien, loopt hun bescherming van gebruikers vaak achter. Gevestigde communicatieapps die in platforms zijn ingebouwd, zoals WhatsApp, iMessage en FaceTime, zijn doorgaans robuust, omdat miljarden gebruikers ze gebruiken en ze daardoor veel zijn onderzocht en getest.

Kleinere, nieuwere videoplatforms zijn op die manier niet onderzocht, en de veiligheid van sommige videoapps is de laatste tijd in twijfel getrokken. We hebben eerder uitgebreid geschreven over hoe bedrijven je gegevens legaal verzamelen, hoe je online veilig blijft en de stappen die je moet nemen als je accounts zijn gehackt. In dit artikel kijk ik kort naar Houseparty, de risico’s die het gebruik ervan met zich meebrengt, en wat je met een paar simpele stappen kunt doen om te voorkomen dat je iets deelt wat je liever privé houdt.

4 risico’s voor alle gebruikers: gegevensdiefstal, te veel delen of tracking van gegevens en zwakke beveiliging

Over het algemeen lopen gebruikers van videoapps als deze vier risico’s:

1. Ongepaste inhoud en zwak ouderlijk toezicht.
2. Opzettelijke, en illegale, gegevensdiefstal rechtstreeks door het appbedrijf.
3. Opzettelijk delen of volgen van gegevens, wat legaal is maar vaak onverwacht.
4. Anderen die bij je persoonlijke gegevens komen door nalatigheid in de beveiliging van de app, of door hacks die het gevolg zijn van een zwakke beveiliging van de app.

Laten we kijken hoe waarschijnlijk elk van deze risico’s is.

De homepage van Houseparty presenteert de app als een sociaal netwerk, maar mist de functies voor ouderlijk toezicht die gebruikers redelijkerwijs van een sociaal netwerk zouden verwachten. De promotietekst van de app in de Play Store van Google omschrijft hem als “truly the next best thing to hanging out in person”. Dat klopt bijna: voor kinderen die Houseparty gebruiken, is de app als samen rondhangen, maar dan met een enge oudere persoon die hun vragen stelt over seks.

Bij het aanmelden bij Houseparty moeten alle gebruikers hun geboortedatum opgeven, en de app houdt die informatie bij de hand zolang hij draait: hij stuurt de geboortedatum van de gebruiker regelmatig naar de trackingproducten die de app gebruikt. De nieuwste functie van Houseparty, en de kern van hun plannen om geld te verdienen, is een reeks geïntegreerde quizzen die geen aandacht besteden aan de leeftijd van de gebruiker.

Bij het kiezen van een quiz krijgen alle gebruikers dezelfde lijst met quizzen te zien, waarin de 18+-quiz “Slang terms” op de derde plaats staat, ook voor minderjarige gebruikers. We houden ons op deze blog verre van inhoud voor volwassenen, dus we gaan niet op details in, maar de quizzen bevatten een reeks zeer kinderonvriendelijke inhoud, met onderwerpen als afkortingen voor vloeken, wat er echt gebeurt in stripclubs, verwijzingen naar drugs van heroïne tot marihuana, en diverse beschrijvingen van seks en geslachtsdelen. Oh, en er is ook inhoud over Jeffrey Dahmer.

De Houseparty-app staat in de App Store van Apple aangemerkt als geschikt voor “12+” en wordt in de Play Store van Google geadverteerd als geschikt voor “Teen”. De app heeft geen geïntegreerde functionaliteit voor ouderlijk toezicht.

Veel ouders maken zich terecht zorgen over waaraan hun kinderen online en in apps worden blootgesteld, en een aantal sites beoordeelt apps en geeft hierover advies. In het VK biedt de non-profitorganisatie Internet Matters zo’n service aan met steun van onder meer BT en Sky. De organisatie promoot momenteel sterk haar richtlijnen over Houseparty en legt uit dat ze met de industrie, de overheid en scholen samenwerkt om deze richtlijnen te bieden.

Services als deze zijn een belangrijke bron voor ouders, maar bij Internet Matters lijkt weinig of geen zorgvuldigheidsonderzoek te zijn gedaan. Hun advies voor ouders is uiterst beperkt en blijft grotendeels steken in een algemene waarschuwing over gevaar van vreemden in video’s, en eindigt met een oproep aan ouders om de app te downloaden.

Wie de algemene voorwaarden van Houseparty vluchtig doorleest, zou als redelijk deskundige merken dat de app niet AVG-conform is, geen ouderlijk toezicht heeft en aanspraak maakt op het recht om alles te gebruiken wat gebruikers in de app delen. Dit is, samen met de 18+-quizinhoud, belangrijk om onder de aandacht van ouders te brengen. Internet Matters doet bezorgde ouders over de hele wereld actief een slechte dienst door deze inhoud aan te bieden.

Internet Matters is niet de enige service die geruststellende pagina’s publiceert over apps die niet voldoende zijn doorgelicht, maar we hebben ervoor gekozen hen uit te lichten omdat ze op 2 april nog steeds investeren in het promoten van misleidende inhoud, ondanks dat ten minste één gebruiker openlijk zorgen heeft gemeld.

Wij vinden dat services als deze duidelijk zichtbaar moeten maken welke stappen ze nemen bij het doorlichten van apps, en een duidelijke disclaimer moeten toevoegen wanneer de beoordeling oppervlakkig was en uitsluitend is gebaseerd op marketingmateriaal en niet op de voorwaarden of het product zelf. Deze services zouden moeten overwegen hun inhoud in te trekken nadat producten en services zijn bijgewerkt, totdat de inhoud de huidige stand van de app weer adequaat weergeeft. (De richtlijnen van Internet Matters zijn voor het laatst bijgewerkt op 24 december 2019, terwijl Houseparty in januari 2019, zo’n 11 maanden eerder, quizzen introduceerde.)

Tracking, overal tracking…

En het legale, maar onverwachte, delen van persoonsgegevens? Daar speelt bij Houseparty wel een en ander.

Het risico op illegale gegevensdiefstal is extreem laag. Het moederbedrijf van Houseparty heeft duidelijke verdienmodellen waarin dit niet voorkomt, en het is gevestigd in een land met behoorlijke wetten voor gegevensbescherming. Houseparty is eigendom van Epic Games. Er is niets wat erop wijst dat het de gegevens van een gebruiker zou stelen, en erop betrapt worden zou contraproductief voor het bedrijf zijn.

Houseparty is geen betaald product en het verdienmodel is momenteel niet duidelijk. Dat is een goede reden om op je hoede te zijn voor wat de app mogelijk volgt. Tot nu toe hebben we echter geen bewijs gezien dat Houseparty is gehackt of informatie lekt.

Anekdotes op Twitter zijn niet genoeg…

Op Twitter staan genoeg berichten van gebruikers die beweren dat hun bankrekeningen zijn geplunderd, hun Spotify-accounts zijn binnengedrongen of hun e-mails beschikbaar zijn gekomen na het gebruik van Houseparty, maar die berichten zijn allemaal anekdotisch en onbetrouwbaar. Veel mensen gebruiken makkelijk te raden wachtwoorden en worden voortdurend gehackt: Security Magazine berichtte over een onderzoek van de University of Maryland waaruit blijkt dat hackers elke 39 seconden aanvallen, en uit de gegevens van Gemalto blijkt dat elke seconde 291 records worden gestolen.

Ter illustratie: de beveiliging van Apple is over het algemeen rotsvast, maar toch wordt er af en toe gesuggereerd dat Apple is gehackt; je vindt op elk moment makkelijk genoeg warhoofden op Twitter die dat beweren. Anekdotische beschuldigingen bewijzen geen wangedrag.

Intussen beweert Houseparty dat een derde partij een lastercampagne tegen hen orkestreert:

Houseparty heeft ook gezegd:

All Houseparty accounts are safe - the service is secure, has never been compromised, and doesn’t collect passwords for other sites

Tot op zekere hoogte is dat echter woordspelletjes: een redelijk product verzamelt of bewaart geen wachtwoorden, maar gebruikt authenticatietokens. Wanneer gebruikers hun Houseparty-account koppelen aan Facebook, Spotify of Snapchat, heeft de Houseparty-app toegang tot authenticatie- of gegevensdelingstokens voor die accounts en kan hij die mogelijk opslaan, en er is niets wat erop wijst of ze wel of niet worden opgeslagen. Er is niets intrinsiek ongewoons aan het opslaan van dit soort tokens, maar er blijft een belangrijke vraag: synchroniseert Houseparty contacten met Facebook alleen bij het aanmelden, of slaat het de authenticatietoken voor Facebook op om in de toekomst contacten of andere accountgegevens te kunnen synchroniseren? Hun tweet sluit dit niet uit.

De beveiliging en het gegevensgebruik van Houseparty in meer detail

ESET heeft de Android-app van Houseparty bekeken en stelde dat die er over het algemeen goed uitziet. Wij hebben op dezelfde manier gekeken naar de iOS-app van Houseparty en hoe die gegevens opslaat, en ook naar enkele contracten en juridisch jargon rond de service. We hebben een paar opvallende bevindingen uitgelicht uit de app com.herzick.houseparty, zoals hij heet:

• Houseparty is momenteel geïntegreerd met Facebook, net zoals Zoom dat was. Integratie houdt in dat er enkele gebruiksgegevens met Facebook worden gedeeld. Het is er ogenschijnlijk om je Facebookvrienden uit te kunnen nodigen, en tracking is een onvermijdelijk gevolg als gebruikers ervoor kiezen om verbinding te maken met Facebook.
• Houseparty slaat feedadressen voor allerlei configuratiegegevens op en cachet ze op de apparaten van eindgebruikers. Het bevat bijvoorbeeld het pad naar alle vragen en antwoorden van het “fun fact”-triviaspel van Houseparty. Het lijkt op de telefoon van elke gebruiker achter te blijven, samen met een heleboel andere feeds.
• De Houseparty-app cachet sommige “Facemails” die gebruikers ontvangen. Ze zijn te vinden in Library/Application Support/Prefetch-Facemails en worden opgeslagen in het formaat mp4. (Als je zelf wilt kijken, kan dit document helpen.)
• Er wordt een redelijke hoeveelheid trackinginformatie over de telefoon van een gebruiker opgeslagen, hoogstwaarschijnlijk voor apparaatvingerafdrukken. Net als Netflix slaat Houseparty de user-agent van een apparaat op (dat wil zeggen Mozilla/5.0 (iPhone; CPU iPhone OS 13_4 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Mobile/15E148), maar bewaart het ook waarden zoals bnc_device_fingerprint_id, waarmee ze apparaten die de service gebruiken in de loop van de tijd kunnen identificeren Apparaatvingerafdrukken zijn een wijdverbreide praktijk waartegen Apple herhaaldelijk is opgetreden, en Houseparty lijkt de aanbevolen trackingidentifiers IDFA / IDFV van Apple niet te gebruiken. Vermoedelijk omdat die de effectiviteit van tracking verminderen!
• Verrassend genoeg bevatten back-ups van de Houseparty-app een volledige logging- en trackingdatabase voor de app. Daarin staan alleen de eigen gegevens van een gebruiker, maar hij is heel uitgebreid en bevat allerlei gedetailleerde gegevens die niet in een back-up thuishoren.

We vermoeden dat Houseparty een beveiligingsaudit door een derde partij niet zou doorstaan zonder dat ten minste enkele van deze punten naar voren komen, dus het feit dat ze nog steeds in de huidige versie van de app aanwezig zijn, maakt ons nerveus. Bevestiging dat Houseparty een beveiligingsaudit door een derde partij heeft laten uitvoeren, zou geruststellend zijn.

De kleine lettertjes bekijken…

Tot slot: toen we naar het privacybeleid en juridisch jargon van Houseparty keken, zagen we een paar dingen die ons niet aanstonden. Ten eerste is er geen beleid voor verantwoorde bekendmaking van kwetsbaarheden. Dat is een document waarin staat hoe het bedrijf reageert wanneer een beveiligingsonderzoeker een probleem vindt. Meestal bevat zo’n beleid een beveiligingspremie voor de vinder, op voorwaarde dat die het probleem op verantwoorde wijze bij het bedrijf meldt zodat het kan worden verholpen.

Zonder zo’n beleid blijft beveiligingsonderzoekers meestal niets anders over dan klantenservicemedewerkers te mailen wanneer ze problemen vinden, en het is berucht moeilijk om via de klantenservice contact te leggen met het beveiligingsteam van een bedrijf. Als we tijdens ons onderzoek echt iets ergs in de app hadden gevonden, had een beleid voor bekendmaking ons een plek geboden om gemakkelijk te melden wat we hadden gevonden. (Ter vergelijking: hier is het beleid voor bekendmaking van Reincubate.)

Het lijkt echt verbazingwekkend dat Houseparty een premie van $1 miljoen zou aanbieden (zonder duidelijke voorwaarden!) voor het vinden van bewijs van een lastercampagne over hun beveiliging, maar geen enkele beloning adverteert voor het op verantwoorde wijze melden van beveiligingsproblemen in het platform.

Er zijn enkele zorgwekkende aspecten in de algemene voorwaarden van Houseparty: er wordt helemaal niet gesproken over Safe Harbor / Privacy Shield of de AVG, wat wijst op een nonchalante houding ten opzichte van de bescherming van gebruikers en hen mogelijk in juridische problemen kan brengen met Europese toezichthouders voor gegevensbescherming. Bovendien kan het ontbreken van AVG-naleving ook betekenen dat bedrijven die dergelijke services gebruiken zelf in strijd zijn met de wetgeving voor gegevensbescherming, waardoor ze het risico lopen te worden aangesproken door hun eigen klanten. Een aanwijzing dat er niet aan de AVG is gedacht, is dat gebruikers zich alleen kunnen afmelden voor marketing; dat is in strijd met de Europese AVG-wetgeving, die vereist dat zulke opties bij het aanmelden “opt-in” zijn. Ook is er geen manier om je af te melden voor andere gegevensverzameling.

De voorwaarden van Houseparty bevatten het volgende:

You agree that Life on Air is free to use the content of any communications submitted by you via the Services, including any ideas, inventions, concepts, techniques, or know-how disclosed therein, for any purpose including developing, manufacturing, and/or marketing goods or Services

We zijn geen juristen, maar dit lijkt vragen over intellectueel eigendom op te roepen: als je praat over je bedrijfsidee of product, zou Houseparty vrij zijn om alles wat je bespreekt te gebruiken om een eigen product te ontwikkelen of de informatie aan een derde partij te verkopen. Het suggereert ook dat de service een deel van de berichtinhoud kan bewaren: als dat zo is, kan het in strijd zijn met Europese wetten over het monitoren van communicatie.

Hun voorwaarden bevatten ook deze zin, die gebruikers vraagt Houseparty te mailen om zich af te melden voor ongevraagde marketingcommunicatie:

Individuals who provide us with Personal Information, or whose Personal Information we obtain from Third Parties, may receive periodic emails, newsletters, mailings, push notifications or text messages from us with information on our or our business partners’ products and services or upcoming special offers/events we believe may be of interest. We offer the option to decline these communications at no cost to the Individual by following the instructions in Section 5 below.

Al deze privacykwesties van Houseparty staan in schril contrast met gevestigde berichtenapps, zoals FaceTime, iMessage, WhatsApp, Zoom en Slack. WhatsApp heeft een uitstekende set documentatie en beleid over privacy. Zelfs Zoom stelt dat “Zoom does not monitor or use customer content for any reason other than as part of providing our services. Zoom does not sell customer content to anyone or use it for any advertising purposes”. Slack maakt duidelijk dat het Customer Data alleen gebruikt om de service te leveren en het bewaart in overeenstemming met de wensen van de klant (sommige zakelijke abonnementen bieden bijvoorbeeld archivering).

Wat te doen als je je zorgen maakt over je beveiliging

Als je je zorgen maakt over je online veiligheid of over het gebruik van Houseparty, raden we je aan de volgende stappen te nemen.

• Houseparty verwijderen is niet genoeg om je gegevens uit hun service te halen. Hun service slaat mogelijk nog steeds je telefoonnummer, naam, geüploade contactenlijst en authenticatietokens op. Hun voorwaarden raden aan contact op te nemen met hello@houseparty.com om je af te melden voor marketing en je gegevens te laten verwijderen. Vreemd genoeg wordt later het e-mailadres data-requests@lifeonair.com genoemd, maar niet voor gegevensverzoeken!
• Het is mogelijk om Houseparty te gebruiken zonder veel meer te delen dan je telefoonnummer. De koppelingen met Facebook, Snapchat en Spotify zijn allemaal optioneel, net als het uploaden van je contactenlijst. We raden aan om dat allemaal niet te doen en vrienden in plaats daarvan handmatig toe te voegen.
• Wanneer je Houseparty gebruikt, moet je er rekening mee houden dat bezoekers op elk moment een kamer kunnen binnenvallen. Andere gebruikers krijgen een melding dat je online bent zodra je de app opent. Pas op! Standaard zijn kamers niet vergrendeld, wat betekent dat iedereen die je hebt toegevoegd kan binnenvallen. Er zijn allerlei tweets van gebruikers die verrast waren doordat hun baas binnenviel in hun Houseparty terwijl ze in bad zaten! Je kunt dit wijzigen in de instellingen van Houseparty.
• Zoals bij elke onlineservice raden we aan een eenvoudige set voorzorgsmaatregelen te nemen om online veilig te blijven. We vatten deze samen aan het einde van dit artikel en geven hier uitgebreide beveiligingstips voor Apple-gebruikers.