Video-app Zoom verwijdert Facebook uit iOS-app en updatet privacybeleid

Video-app Zoom heeft de Login via Facebook-functie verwijderd uit zijn iOS-app. De functie bleek ongevraagd data naar Facebook-servers te sturen. Gebruikers kunnen nog wel inloggen via Facebook via een browservenster.

Bij het opstarten en afsluiten van de app stuurde de app door de integratie van de sdk onder meer data over het apparaat naar Facebook, waaronder het model, identificerende elementen en hoeveel opslag gebruikers nog over hadden, meldt Zoom. Dat vond het bedrijf onacceptabel en daarom heeft het de Facebook-integratie uit de app gehaald.

De site Motherboard wees Zoom op het doorsturen van data naar Facebook en vandaar dat het bedrijf de site bedankt voor het doorgeven van deze informatie. Voortaan zullen gebruikers die willen inloggen via Facebook dat via een browservenster moeten doen.

Bovendien heeft Zoom zijn privacybeleid een update gegeven, waarbij het bedrijf vooral duidelijk wil maken dat het geen gegevens van gebruikers verkoopt. Zoom is een dienst om te videovergaderen. Afgelopen weken is de gratis testversie van de dienst ook meer in gebruik geraakt bij mensen die vanuit huis privé contact willen houden met anderen.

Reacties (78)

Hier kun je toch wel een behoorlijk profiel mee schetsen inderdaad;

Example information sent by the SDK on installation and application open and close:

Application Bundle Identifier
Application Instance ID
Application Version
Device Carrier
iOS Advertiser ID
iOS Device CPU Cores
iOS Device Disk Space Available
iOS Device Disk Space Remaining
iOS Device Display Dimensions
iOS Device Model
iOS Language
iOS Timezone
iOS Version
IP Address

Bron: https://blog.zoom.us/word...cebook-sdk-in-ios-client/

Waarom is iOS advertiser ID een ding? Ik weet niet precies wat het is maar klinkt in mijn oren niet iets wat goed is en alleen is om mensen te identificeren. Had gehoopt dat (zeker) Apple dit überhaupt niet zou hebben.

Je kan er zelf voor kiezen: https://support.apple.com/en-us/HT205223
Simpelweg uitzetten in de instellingen:

When Limit Ad Tracking is enabled on iOS 10 or later, the Advertising Identifier is replaced with a non-unique value of all zeros to prevent the serving of targeted ads.

Weet je toevallig of dit standaard uitstaat?

Snap ook niet zo goed waarom Apple dit, als privacy gericht bedrijf, überhaupt een optie maakt. Voor welke consument is dit een pluspunt.

Apple bedient natuurlijk niet alleen de eindgebruiker, maar het financieel levensvatbaar maken en houden van een app hoort daar ook bij.

Ik denk dat dit een overblijfsel is van iAd.

Bij het de eerste keer instellen van je telefoon wordt hier expliciet om gevraagd en volgens mij bij iedere grote update nog een keer.

Snap ook niet zo goed waarom Apple dit, als privacy gericht bedrijf, überhaupt een optie maakt. Voor welke consument is dit een pluspunt.

Sinds wanneer staat Apple bekend als "Privacy Gericht"?

Sinds wanneer staat Apple bekend als "Privacy Gericht"?

Ze marketen zichzelf in ieder geval wel zo: https://www.apple.com/privacy/ en ik krijg ook wel de indruk dat ze zich inzetten om de privacy te waarborgen ten koste soms van de gebruikerservaring (meer informatie blijft en wordt verwerkt op de telefoon, ipv centrale servers). Al was idealiter hun broncode volledig open en konden we allemaal verifiëren wat er gebeurde. Helaas is dit met Google Play Services enabled Android telefoons ook niet mogelijk.

Met blokada de toegang to googleapis.com blokkeren helpt op Android een heleboel.

Sure, maar het ging over de defaults. Ben het dus eens met @Randomguy369 dat het dus voor Apple logischer zou zijn dat Limited Ad Tracking niet standaard aan zou staan (of een keuze zou zijn bij het configureren van de telefoon, wat het volgens mij niet is...)

Volgens mij geven ze, net als een hoop andere bedrijven, om je privacy zolang het ze uit komt: https://www.cnbc.com/2019...against-ex-chip-exec.html

Exact. Nog enger bedrijf dan de bedrijven die daadwerkelijk inzicht geven in gebruikte gegevens.

Omdat adverteerders anders naar andere middelen grijpen om gebruikers te identificeren. Apple heeft hier voorbeeld genomen van Microsoft, die met Windows Phone in eerste instantie weigerde gebruikers ergens aan te koppelen voor advertentie doeleinden.

Waarop advertentieboeren gebruikers maar gingen vingerprinten of rechten begonnen te vragen die ze niet nodig hebben (wat op Android iig nog steeds schering en inslag is). De privacy werd veel harder geschonden dan door het wel ergens aan te koppelen. Dus Microsoft en niet heel veel later Apple kwamen met een advertisement ID, om toch die adverteerders maar tegemoet te komen en ook de gebruikers een beetje in bescherming te nemen.

Maar, advertentie bedrijven kennende, wat houdt ze tegen het niet nogsteeds te doen? Als dit mijn business was zou ik beiden doen, meer data meer vreugd.

*Volgens mij* juist bedoeld zodat je kunt instellen of je wel of niet 'gepersonaliseerde' advertenties wil. De Advertiser ID kan dan per request verschillen (of altijd 000000 zijn) zodat er geen tracking meer mogelijk is.

Tracking kan ook op andere manieren...
Cookies om er een te noemen, rendering van wat HTML/5 opeen achtergrond blad.

rendering van wat HTML/5 opeen achtergrond blad.

volgens mij kan dat in iOS niet. Web based moet altijd op voorgrond draaien.

Achtergrond blad = niet zichtbaar gemaakt window. Wordt veel gebruikt om sneller een data te tonen door alvast een view in de ahctergrond te maken en dan op de voorgrond te schuiven.
(een soort van tab zonder dat die direct al zichtbaar is). Browser applicatie draait gewoon op de voorgrond.

Ja en volgens mij kan dat dus niet zomaar in iOS zonder dat de view in voorgrond wordt geschoven door de webrenderer.

Ziet er redelijk vergelijkbaar uit met wat Firebase vraagt voor het Crashlytics deel (tegenwoordig Google, vroeger Twitter). Hier kun je data uit halen waarom de app mogelijk crasht. De vraag is alleen waarom Facebook deze data wil hebben want die voeg je niet om die redenen toe. Applicatie data is nog logisch en een paar dingen van iOS eventueel ook (model, taal, versie en eigenlijk advertising ook wel gezien dat een core business is van ze). IP adres krijg je er uiteraard 'gratis' bij vanwege de request die gedaan wordt. Dit zijn data die je kunt verantwoorden als dat ze de SDK ook moeten onderhouden, maar niet iets wat standaard al over de lijn hoeft.

Ik plaats al een tijd geen Facebook SDK meer in de applicatie. Ooit een applicatie gebouwd en die ging van 5MB naar zo'n 50MB puur omdat er bepaalde inlog mogelijkheden bij moesten komen. Maakt de drempel een stukje lager om een account aan te maken, maar het was het naar mijn mening niet waard. Ergens had ik de hoop dat het tegenwoordig beter ging, maar helaas.

Precies wat ik dacht inderdaad.

Device carrier en IP-adres in combinatie lijkt me niet echt relevant voor het debuggen van ook maar iets(?). Een combo van die twee kan men volgens mij gewoon lokaliseren, en dan staat misschien de locatievoorziening voor de app niet eens aan.

Take in note, dit zijn aannames, ik ben geen programmeur dus ik weet niet of dit daadwerkelijk ook zo is.

Ik denk zelf dat FB deze data gebruikt voor verificatie.

Als je met je account op een apparaat inlogt krijg je op je trusted device (waar FB app op staat bv) een soort bevestigingsschermpje zoals Google dat ook wel eens doet met de GMail app.

Hee we zien een nieuwe inlogpoging met jouw account op het volgende type apparaat: en dan een hele rits aan device gegevens, make&model, device name, location. Dat soort stuff.


Vind ik om eerlijk te zijn de moeite niet waard dus zou ik liever uit willen zetten, maar dat kan dan weer niet. Aan de andere kant is het nog redelijk legit usage. Echter wordt die informatie wel weer gebruikt verderop in de keten. ze weten nu immers dat je een bepaald apparaat gebruikt.

Hebben ze nu ook andere privacy issues opgelost, bijvoorbeeld zoals beschreven in:
https://www.forbes.com/si...rivacy-risk/#228d303f28ba

Nu "niet verkopen", maar wel "bewaren" geeft geen garantie over straks toch verkopen. En waarom zou je het allemaal bewaren?

Nu eens kijken of alternatieven zoals https://meet.jit.si (open protocol, open source client en server) plots veel populairder worden.

[Reactie gewijzigd door vascot op 30 maart 2020 09:57]

Wel goed dat Zoom dit doet. Ik vraag me wel of de programmeurs bij Zoom de FB applicatie wel goed hadden doorgenomen? Zelfs amaterus en beginnende programmeurs weten dat FB integratie automatisch betekent dat veel data met FB wordt gedeeld.

Ze gaven er gewoon geen ruk om. Zoom zet intern duidelijk flink druk op alles-behalve-security - vorig jaar hadden ze een security breach waarbij elke computer waar de zoom app op ooit geinstalleerd was (zelfs als die weer was verwijderd) een backdoor had waardoor je van buiten de webcam kon activeren en streamen.

Protonmail heeft er ook nog een blogpost aan gewijd

elke computer

Elke mac. FTFY

[Reactie gewijzigd door cracking cloud op 30 maart 2020 13:36]

Ik vind het wel gek dat Zoom nu zo'n bak over zich heen krijgt terwijl dus blijkbaar elke "log in met Facebook" app hier last van heeft?!

Omdat Zoom nu erg populair is vanwege al die mensen die thuis moeten werken.
En veel bedrijven hebben geen goede thuiswerk mogelijkheden of niet de bandbreedte de conference calls door hun firewalls te loodsen.

Dus conference calls via Zoom laten lopen is dan een makkelijke oplossing.

Als ontwikkelaar moet je afwegingen maken tussen gebruiksgemak en zijn nadelen. Toen Zoom niet zo groot was als nu was elke extra klant goed, dus als die klant het fijn vindt om met Facebook in te loggen is dat een pluspunt. Je krijgt eventueel meer klanten.

Als je een stuk groter wordt moet je die afwegingen weer maken en dan is dit het niet meer waard.

Ik denk dat ze het wel wisten of een vermoeden hadden (welke dev weet dit niet van Facebook) maar die afweging hebben gemaakt en/of de baas wilde dat.

Ik mis nog even waarom dit zo'n ding is:
het gaat om de functie 'inloggen via facebook'. Daarvoor moet je als gebruiker toch al een facebook-account hebben?
En gezien de diverse berichten over Facebook afgelopen jaren... als je als gebruiker nu nog een facebook-account hebt en gebruikt... dan kan het toch niet anders dan dat je als gebruiker niet geeft om je eigen privacy? Waarom is Zoom dan toch de slechterik in dit alles?

Omdat het ook gaat om wanneer er niet wordt ingelogd via Facebook, maar voor iedereen die de applicatie gebruikt. Data wordt verzonden bij app installatie en wanneer de applicatie gestart en gesloten wordt.

Het verhaal is een beetje dubbel als je het mij vraagt. Aan de ene kant is Zoom het maar gedeeltelijk te verwijten. Je moet een afweging maken als bedrijf/programmeur of je de SDK gebruikt of niet en je kunt niet altijd makkelijk zien wat er precies over de lijn wordt gestuurd. Daarnaast gebruiken veel applicaties de SDK, dus waarom Zoom nu zo groot in het nieuws? Omdat ze er iets mee doen?

Aan de andere kant is Zoom de laatste tijd wel erg vaak in het nieuws, en dan niet positief omdat ze veel problemen hebben gehad met fouten in de software (o.a. webcam bug en privacy beleid). Dus dit is weer iets in de grote emmer die bij een aantal bedrijven al is overgelopen.

Ah, OK. Ik had het idee dat er enkel data naar Facebook gestuurd zou worden als je op 'log in met facebook' zou klikken. Dat er data naar Facebook gaat bij het starten verbaasd mij, maar dat is wel fout ja...

Dank voor de verduidelijking!

Zoom is een serieus product gericht op enterprise, niet te vergelijken met houseparty etc. Voor enterprise organisaties is privacy ook stuk crucialer. Stel dat defensie dit wil inzetten tijdens de coronacrisis en allerlei info lekt toch naar facebook, dat is serieus problematisch.
Zoom heeft adequaat gereageerd, zij hebben helemaal geen baat bij het gelek naar facebook.

Aan de andere kant moet het voor programmeur toch haalbaar zijn om de facebook SDK niet aan te spreken als van die integratie geen gebruik wordt gemaakt? Nu lijkt het erop dat als je de SDK maar opneemt dat er 'hooks' actief worden op starten/stoppen van de app?!

Facebook is de slechterik, Zoom valt naïviteit te verwijten. Het venijn zit hem in welke data er met facebook gedeeld wordt. Dat blijkt allerlei informatie over jouw device te zijn en andere "identificerende data"

stuurde de app door de integratie van de sdk onder meer data over het apparaat naar Facebook, waaronder het model, identificerende elementen en hoeveel opslag gebruikers nog over hadden

Dat is niet noodzakelijk voor de functie van identity provider dus dat hoor je gewoon niet te doen. Dit zit in de facebook app gesloten, niet in Zoom.

Te laat. Bij mijn werkgever is in het weekend besloten dat Zoom per direct weg moet. Zoom was al heel lang bij ons de applicatie voor videoconferencing.

Wij zijn nu aan het overwegen Zoom te vervangen door Jitsi. Vorig jaar was er het schandaal met Zoom en de cameratoegang. Toen kwam hun relatie met adverteerders uit (Yeah, that Zoom app you're trusting with work chatter? It lives with 'vampires feeding on the blood of human data') en het zou me niets verbazen als straks blijkt dat ze gesprekken analyseren voor identificatie en advertentiedoeleinden.

Een klant van ons is al naar Jitsi overgestapt en mijn schoonzus geeft werkgroepen op de universiteit via Jitsi en dat heeft ons doen besluiten deze week ook Jitsi te gaan testen.

Bij mij had Zoom een vrij negatief beeld. Dit nieuwsbericht, plus dat het intern gebruikt werd bij een security-organisatie maakt dat ik het wil heroverwegen.

Wat we voor werk nu gebruiken is:
2-3 personen: Jitsi (open source, secure, maar schaalt slecht door dat het peer-to-peer is)
4-9 personen: divers, o.a. StarLeaf (commercieel, Europees, met moeite compatible met Skype for Business, schaalt redelijk)
10 of meer personen: Zoom (commercieel, Amerikaans, schaalt verrassend goed, getest met >10 personen any-to-any en >300 personen one-way)

Waarom Jitsi zo slecht schaalt is mij niet helemaal duidelijk. Het is duidelijk dat de CPU van de end-hosts flink blaast, en het daar mis lijkt te gaan. Aan de andere kant kan het niet alleen de WebRTC zijn, want dat gebruikt Google Meet ook, en dat schaalt wel beter.

Ah, Jitsi is peer-to-peer? Dat zou verklaren waarom de golf van thuiswerkers niet ineens zorgt dat ze miljoenen in infrastructuur moeten steken.

Starleaf kende ik nog niet, dank! Als het Europees kan dan doe ik het ook graag Europees dus ga ik even naar kijken.

Zou het slechte schalen hierdoor komen?

Unlike other videoconferencing technologies, Jitsi Videobridge, the heart of Jitsi, passes everyone’s video and audio to all participants, rather than mixing them first.

(https://jitsi.org/what-is-jitsi/)

Edit: ze beweren zelf dat ze daardoor juist beter kunnen schalen (The result is lower latency, better quality and, if you are running your own service, a much more scalable and inexpensive solution.)

[Reactie gewijzigd door cracking cloud op 30 maart 2020 14:56]

De verwerking bij Jitsi is inderdaad meer gedistribueerd, maar volgens mij schaalt het in beide gevallen (peer-to-peer of met centrale hub) lineair met het aantal deelnemers. In de praktijk is bij Jitsi de traagste computer van alle deelnemers de bottleneck. Wat ik begreep wordt er V8 videoencoding gebruikt, samen met encryptie. Beide (encoding en encryptie) gebeuren in software, omdat er (nog?) geen goede hardwareacceleratie voor is. Vandaar dat je CPU flink moet werken bij Jitsi, en valt die traagste computer sneller om dan ik zou willen. Het is me nog niet duidelijk waarom iets als Google Meet wel lijkt te werken (wellicht een andere encoding of geen encryptie? ik weet het niet).

Jitsi -> gaaf, top tip, dank!

Ja, Jitsi is Open Source en je hebt geen account nodig. We hebben het zelf nog niet getest met grotere groepen maar dat schijnt wel OK te zijn.

Klinkt interessant. Wij zijn zojuist overgestapt op Teams van Microsoft. Vorige week las ik nog dat Microsoft de drukte niet aankon, dus fingers crossed voor ons.

vorige week ook teams getest... zelfde problemen als bij skype bij grote groepen... bijgevolg is het zoom geworden...

Als je groep te groot is voor een normale skype meeting moet je je misschien afvragen of iedereen die bij de meeting zit er wel aanwezig moet zijn.

https://www.youtube.com/watch?v=KPKOVT4vZD4

10 man is niet groot...

Met tien man heb ik nog geen problemen gehad. Je moet gewoon iedereen muten

Wat is groot?
Wij hadden vorige week een "bijeenkomst" op Teams met 150 man. Overigens wel one-to-many, dus niet het kroeg-idee dat iedereen zat te kletsen of video uitzond.
Maar dat ging prima (in ieder geval beter als de Houseparty met 6 man van gisteren ).

Wij gebruikten nog geen webinar tools maar kreeg vanuit onze marketing afdeling de vraag of ze Zoom konden gebruiken. Na een 5 minuten search op google meteen afgeschoten:
https://securityboulevard...-you-need-to-be-aware-of/

Onze keuze is nu gevallen op Webinargeek, is nog even afwachten wat de ervaringen zijn van de gebruikers maar reviews waren goed + het is een Nederlands bedrijf dat erachter zit.

Dan kun je nu toch aan jou baas mededelen dat het weer te gebruiken valt?
Ik denk dat er nu weinig veiliger "gratis" videoconferencing tools zijn.

Zoom heeft nu onder vuur en de loep gelegen. Ik denk niet dat er nog snel zoiets naar boven zou komen bij Zoom. Anderen daarin tegen? Wie weet...

[Reactie gewijzigd door GQAH op 30 maart 2020 09:48]

Hoe zie je dat voor je? Een bedrijf dat al sinds haar oprichting duidelijk maling heeft aan de privacy van haar gebruikers, er geen doekjes om windt zich alle gedeelde content toe te eigenen en door te verkopen aan de hoogste bieder... zou nu ineens door een update van de privacy policy met één pennenstreek de heilige graal geworden zijn?

Sorry maar bij mij gaat dat er niet in. Mijn werkgever heeft ook zoom naar voren geschoven als (één van de) opties voor video-conferencing, maar ik weiger gewoon pertinent die meuk te installeren.

als uw werkgever dat wil... dan heb je doorgaans niet veel te weigeren... :-)
Ook bij ons is het Zoom geworden. Zit je als IT'er dagenlang van alles te testen en de pro en contra van alles uit te zoeken. Komt uiteindelijk de CIO af: ze gebruiken daar dat en zijn er tevreden over, ik wil dat hier ook, en jij moet daar voor zorgen!

Ja de professional z'n werk laten doen is een lastig goed voor menig manager.

Een bedrijf dat [...] zich alle gedeelde content toe te eigenen en door te verkopen aan de hoogste bieder...

Heb je iets meer bron hiervan?

In het artikel staat namelijk

Bovendien heeft Zoom zijn privacybeleid een update gegeven, waarbij het bedrijf vooral duidelijk wil maken dat het geen gegevens van gebruikers verkoopt.

Mijn beeld bij Zoom is dat ze (in het verleden) functionaliteit boven veiligheid laten (lieten?) prevaleren, maar dat hun business model verkoop van abonnementen is, niet de verkoop van gegevens.

Ik ben bang dat het een dusdanig grote (internationale) organisatie is dat dat niet van toepassing is.

Edit n.a.v. jouw edit: Wij gebruikten niet de gratis versie, maar de enterprise-editie.

[Reactie gewijzigd door longtime_lurker op 30 maart 2020 09:53]

Dat is ook de reden waarom ik gratis tussen quotes had gezet. Ging eigenlijk wel van de enterprise-editie uit.

Toch wel jammer dat grote partijen altijd zo snel weg zijn bij een applicatie en het zo moeilijk is om deze partijen weer terug te winnen.

Natuurlijk snap ik dat een bedrijf dit niet tolereert en een andere tool kiest. Echter kost dat ook handen vol geld aangezien elke werknemer de tool opnieuw moet leren kennen. Nu Zoom weer "veilig" is, zou mijn persoonlijke keuze toch neigen naar het terugkeren naar Zoom.

Helaas ben ik niet de eigenaar van de grote (internationale) organisatie waarbij jij werkt.

"Nu Zoom weer "veilig" is"

Dit is dus een aanname, en het bedrijf maakt deze aanname niet. Wat precies de reden is om dan niet meer terug te gaan weten we natuurlijk niet, maar ik vind het niet zo vreemd. Als er nu 1 voorbeeld is gevonden, kan het namelijk betekenen dat er meer zijn (onder het mom 'puntje van de ijsberg'). Kan ook zo zijn dat het bedrijf de developers sowieso niet meer zal vertrouwen, gezien ze dus blijkbaar niet eerst uitvogelen wat libraries/SDK's doen voor ze deze gebruiken in productie.

Afhankelijk van het alternatief waarvoor men kiest kan dit een goede ontwikkeling zijn. Zowel beveiliging als privacy lijken niet op de roadmap te staan, zoals Jos/Superstoned hierboven aangeeft. Hosted groupware zoals Nextcloud kan hierin een uitkomst zijn. En anders zijn er nog legio mogelijkheden. Sommigen zijn stukken beter dan Zoom.

Ik moet na het bericht van vandaag toch terugkomen op mijn eerdere berichten. Dit programma is inderdaad zo lek als een mandje.

Video-app Zoom heeft de Login via Facebook-functie verwijderd uit zijn iOS-app. De functie bleek ongevraagd data naar Facebook-servers te sturen.

Dit is toch al veel langer bekent? Dat de Facebook SDK data doorstuurt, zelfs als de gebruiker niet is ingelogd bij Facebook of überhaupt een account heeft.

Anyhow: Super dat Zoom deze stap nu neemt, hopelijk zullen vele andere app bouwers volgen.

Ik vind het inderdaaad vrij naief om te denken dat Facebook een dergelijke SDK voor niets vrijgeeft, alles wat partijen als Google en Facebook gratis aanbieden hebben altijd een ander doel, namelijk data verzamelen. Dit kan toch geen verassing voor ze zijn.

Ik denk altijd maar zo, als iets gratis is, ben "jij" het "betaalmiddel/product".

Gelukkig zijn er ook nog veel dingen op internet echt écht gratis zijn.

Andere app bouwers zullen net zoals Zoom volgen op het moment dat ze uitgebreid in het nieuws komen betreffende privacy issues.

Als het al veel langer bekent is, waarom doet bijna elke app/website hier nog vrolijk aan mee?

Nieuwswaarde in dat opzicht is meer dat Zoom dit er dus uitsloopt, waar de rest het totaal niet boeit, blijkbaar.

Fyi, er zijn nogal wat apps die gebruik maken van Facebook ADO, voor bepaalde functies en onderdelen wordt er data uitgewisseld met Facebook. Vaak onwenselijk, maar is helaas wel t geval. Zo bouwt men data op van niet Facebook users. Overigens doen praktisch alle apps dit die gebruik maken van Facebook sdk. Zoom pretendeerd hierin zelf “slachtoffer rol” maar nalv discussie en bevindingen op Reddit vorige week is dit balletje gaan rollen.

Goede stap bij Zoom.

Zie ook: https://protonmail.com/blog/zoom-privacy-issues/

Ik heb Zoom (nog) niet gebruikt, maar hoorde al van meerdere kanten dat ze de app niet vertrouwden. Het feit dat een best grote dataset naar Facebook wordt gestuurd (zie @henkkeumuss post) bevestigt dus deze angsten.

Wat wordt er nog meer verstuurd naar welke partijen? Zoom heeft een absurd vrijgevige graties tier, die alleen gratis kan zijn als ze nog meer verzamelen en verkopen lijkt me.

Te laat. Had er gewoon niet in moeten zitten. Het is een zakelijke communicatie app, Facebook heeft daar niks in te zoeken.