Clubhouse haalt site offline waar gebruikers zonder login konden meeluisteren

Chatapp Clubhouse heeft een site offline gehaald, waarmee een gebruiker audiostreams aanbood van gesprekken in Rooms op het platform. Daarmee konden gebruikers zonder login meeluisteren via het web.

Daardoor was het mogelijk om in Clubhouse mee te luisteren vanaf desktops en vanaf Android-telefoons, waarvoor nu nog geen Clubhouse-client is. De chatapp zegt tegen Bloomberg nieuwe veiligheidsmaatregelen te hebben genomen om te voorkomen dat iemand anders een dergelijke site opnieuw opzet.

Door de client konden niet-ingelogde gebruikers meeluisteren in Rooms en gesprekken opnemen. Dat is tegen de voorwaarden van de app. De gebruiker die het mogelijk maakte heeft een permanente ban gekregen van Clubhouse.

De site werkt niet meer, maar de code is nog in te zien op Github. Daaruit blijkt dat de software leunt op reverse-engineering van de manier waarop de app communiceert met Agora, de Chinese leverancier van de back-end van de Amerikaanse chatapp. Dat kan mede door het werk van een andere ontwikkelaar die een variant van een webinterface voor Clubhouse maakte onder de naam Hipster.house. De webclient leek niet heel schaalbaar: het benaderen van Rooms verliep via het persoonlijke account van de ontwikkelaar.

Wat vind je van dit artikel?

Geef je mening in het Geachte Redactie-forum.

Reacties (64)

Van hoe 'groot' het is/zou zijn, heb ik het echt nóg nóóit in het echt over horen gesproken, behalve als het over een nieuwsbericht ging.
Ligt het soms aan mijn kring, of hebben anderen ook deze ervaring?

Edit: en al geschat op $1 miljard. Wat?

[Reactie gewijzigd door Aerkhanite op 22 februari 2021 08:12]

Het is invite-only en je mag maar 2 mensen uitnodigen. Dus het verspreiden duurt even.

Zelf vind ik het bizar om te horen wat voor zaken mensen er allemaal bespreken terwijl ik - voor hen totaal onbekende - zit mee te luisteren.

We zien wel eens mensen in de problemen komen om oude tweets of facebook posts. Ik wil niet weten hoe die cancel-drift straks ook hier toeslaat.

Op Twitter kun je nog claimen dat je account gehackt was, maar dat gaan met een opname van je eigen stem natuurlijk niet lukken.

Elke iteratie een verdubbeling. Zit je na 24x op de 25 mln. Verspreiden gaat erg langzaam dus.

Dat is waar, maar het was meer om even te etaleren dat een verdubbeling per iteratie de schijn geeft dat de groei langzaam gaat, terwijl het exponentieel is. Een collega van mij gaf ooit zakgeld aan zijn zoontje. Zijn zoontje was een slimmerik met 6 jaar en had overlegd met z'n paps dat ze het zakgeld elke keer zouden verdubbelen. Mijn collega leek dat ook heel slim en het viel enigszins ook mee natuurlijk. Eerst 50 cent, bij 7 jaar een euro, 8 jaar 2 euro. Maar dan gaat het ineens hard: 4 euro per week, 8 euro, 16 euro, 32 euro per week. Voor je het weet werk je voor het zakgeld van je kinderen haha

Met een paar uur praten op Clubhouse, heb je zo een AI getraind voor een deepfake van je stem... dus dat is ook leuk

Het ligt voornamelijk aan je kring denk ik.
In mijn kring is het enorm in gebruik, en doordat de kring het gebruikt zijn de invites ook ruim beschikbaar die weer rondgaan in die zelfde kring.

Verder viel t mij de eerste dagen dat ik erop zat idd wel op dat het heel erg techies en influencers waren die er rondhingen.

Waar ik dan oprecht heel benieuwd naar ben is: Hoe denkt men in die kring dan over de privacy problemen in Clubhouse? Wuift men het weg? Is men bezorgd? Maakt het niets uit?

Nieuws dat men onopgemerkt gewoon met gesprekken mee kon luisteren zou toch wel wat moeten losmaken... Maar collectief Kop-in-het-zand is ook een mogelijke reactie. Wat leeft er hier onder gebruikers?

En dan met name het feit dat de gebruiker zelf al aansprakelijk is voor die privacy schending. Er dus een risico is dat je boetes op basis van de AVG kunt ontvangen.....

https://www.linkedin.com/...er-heard-alexander-hanff/

Één linkje van een privacygekkie maakt nog geen wet of geldend recht

Juridisch gezien klopt het deels dat tijdelijke opslag van gegevens valt onder het verwerkingsbegrip

Maar verwerken van gegevens is toegestaan zonder voorafgaande toestemming

A voor de essentiële werking van de dienst
B on aan een wettig gegeven bevel gehoor te geven of om aan een wettelijke plicht te voldoen

Nu zul je je dus af moeten vragen of moderatie na inroepen valt onder de bovenstaande uitzonderingsgronden

Het opslaan van audio en uitsluitend beperkt tot de duur van het kanaal zou wel eens gerechtvaardigd kunnen zijn onder beide gronden

Namelijk omdat moderatie een essentieel onderdeel is van communicatiekanalen
En omdat het tegengaan van zaken als discriminatie hatespeach en soortgelijke handelingen juist steeds meer en effectiever wordt geëist

Dat neemt niet weg dat ik persoonlijk liever zou zien dat men desondanks gebruikers actief beter informeert over het bestaan van de tijdelijke opnames

Onderandere deze punten van kritiek op het gelinkte stuk doet me twijfelen aan de juridische compentie van de schrijver

Iedere zichzelf respecterende jurist zou uitgebreid hebben stilgestaan bij De uitzonderingen fair use, essential use en obligatory use in zowel de GDPR als de E-prvivacydirective

[Reactie gewijzigd door i-chat op 22 februari 2021 09:57]

Behalve dat de AVG in de praktijk niet van toepassing is op particulieren door dit soort uitzonderingen.

Anders kan elke WhatsApp gebruiker beboet worden voor het delen van diens contactenlijst.

[Reactie gewijzigd door The Zep Man op 22 februari 2021 09:53]

De AVG is hier inderdaad glashelder in:

Maar is uw publicatie uitsluitend bedoeld voor persoonlijk of huishoudelijk gebruik? Dan is de AVG niet van toepassing. En heeft u dus ook geen grondslag nodig voor publicatie.

[...]

Deze uitzondering geldt alleen als u privé publiceert, dus niet namens een bedrijf. En als u uitsluitend publiceert voor uw eigen persoonlijke of huishoudelijke doeleinden. Dus niet (ook) voor professionele of commerciële doeleinden.

Dus hier zou je, als Clubhouse gebruiker, niet onder de AVG uitkomen.

Ik ben geen advocaat, maar ik denk het toch wel. Als gebruiker publiceer je niet voor een professioneel of commercieel doeleind de gegevens uit je adresboek. Tenminste niet namens een bedrijf.

De vraag is of het essentieel/noodzakelijk is dat je toegang verleent tot je contactenlijst voor het kunnen uitnodigen van een contact. Maar die technische noodzaak is er niet: Om mensen een uitnodiging te kunnen geven is het helemaal niet strikt noodzakelijk dat jij toegang verleent tot je complete contactenlijst.

Clubhouse zou ook gewoon z'n doel kunnen bereiken (controle houden op het aantal nieuwe aanmeldingen en zien wie door wie is uitgenodigd) middels invite codes, of invite-URLs, die jij dan zelf aan het beoogde contact geeft.

Clubhouse heeft wèl commercieel belang bij het harvesten van al diebcontactgegevens, die informatie is immers veel geld waard. Een gebruiker "koopt" nu het kunnen uitnodigen met volledige toegang verlenen tot de contactenlijst.

Er is nogal een groot verschil tussen een app toegang verlenen (zodat gehash'te contacten vergeleken kunnen worden met contacten die je hebt) en een app toestemming geven om je adresboek te delen.

Zelfs als WhatsApp alleen hashes vergelijkt, het aantal telefoonnummers is beperkt. Hashes kunnen prima terug herleid worden tot de originele telefoonnummers, en daarmee kan gezegd worden dat een 1-op-1 afgeleide die terug te herleiden is daadwerkelijk een vorm is van een persoonsgegeven.

[Reactie gewijzigd door The Zep Man op 22 februari 2021 12:32]

Hier is de sha-256 hash van mijn telefoonnummer, bel me maar even.
Als je me hebt gebeld update ik dit bericht weer.

a185e50e6e350b26ffd88f1ab99xxxb0981fb523872c180e714b0982e7

Edit: wil dus prima, zoals @Takenzo aantoonde

[Reactie gewijzigd door P_Tingen op 22 februari 2021 13:21]

Ik heb je een smsje gestuurd.. denk ik

Haha, gelukt! Ik pas mijn bericht even aan. Chapeau!

zo zie je maar sha256 is ook niet zaligmakend in veel gevallen.

Edit: wil dus prima, zoals @Takenzo aantoonde

En dat was binnen 40 minuten.

Voor een grote organisatie en een minimum aan berekeningen vooraf is het gewoon zichtbaar wat welk nummer is.

[Reactie gewijzigd door The Zep Man op 22 februari 2021 14:34]

Ik was dan ook erg verbaasd dat ik van mijn contacten kon zien hoeveel vrienden zij hebben op clubhouse, zonder dat ze zelf op clubhouse zitten.

[Reactie gewijzigd door D2FValinor op 22 februari 2021 11:12]

De UI is zo ontworpen dat het niet zo snel doorhebt hoeveel vreemden er meeluisteren. Bovenaan zie je de goedgekeurde "sprekers" in de kamer. Daarna de mensen die de sprekers zelf volgen, en daarna pas onbekenden.

Ook mogen alleen de goedgekeurde sprekers daadwerkelijk spreken. In die zin is het meer een Cult dan een Clubhouse. Je hebt als spreker al snel het idee dat je met vrienden zit te kletsen en bent niet altijd bewust dat er 800 mensen meeluisteren.

Nee hoor het is er gewoon nog niet zo lang.
https://en.wikipedia.org/wiki/Clubhouse_(app)

edit: en gezien de "historie" blijf ik er bij weg ook

[Reactie gewijzigd door Pep7777 op 22 februari 2021 08:05]

Dat hangt van jouw betekenis van "in het echt" af. Ik heb verschillende mensen er wel over gehoord op Twitter. Maar "in het echt" spreek ik weinig mensen.

Het is eigenlijk ook een tool van in het begin voornamelijk "techbro's" geweest. Daar kwamen op een gegeven moment celebrities bij kwamen. Ik heb het idee dat pas de afgelopen paar maanden de "normale" mensen erbij kwamen.

Het is in ieder geval een hele aparte omgeving.

Ik hoorde er toevallig over twee dagen voordat Tweakers volgende artikel maakte:
nieuws: Audiochatapp Clubhouse groeit hard, maar er liggen grote problemen te...

Gelukkig de app nooit in gebruik genomen, maar gezien in ieder geval één vriend het gebruikt, heeft Clubhouse waarschijnlijk al een account aangemaakt voor mij gebaseerd op zijn adresboek.

Die app is echt alle privacy problemen van Facebook LinkedIn en Twitter bij elkaar.

Ik blijf er ver van weg.

Licht eens toe?

Zit het eerste commentaar op het vorige nieuwsbericht: nieuws: Audiochatapp Clubhouse groeit hard, maar er liggen grote problemen te...

Dit deel was echt mooi

de Chinese leverancier van de back-end van de Amerikaanse chatapp.

Wat ik vooral niet snap aan de tendens hier op tweakersBijna allemaal hebben we vroeger op IRC gezeten en elk kanaal had een logbot

Is het niet een beetje vreemd om nu privacy in te roepen terwijl je er zelf actief voor kiest om deel te nemen aan een openbare discussieruimte het is een beetje als luidkeels een gesprek voeren op het marktplein en dan gaan klagen dat de verkeerde mensen meeluisteren

Er is duidelijk geen sprake van de schijn van privégesprekken noch is er sprake een verplichte deelname
Ik vraag me dan oprecht af hoe er sprake is van privacy
Dat er dingen fout gaan mogen duidelijk zijn. Het kunnen maken van opnames ondanks de zogenaamde beveiliging zou niet moeten kunnen, het hosten van de audio stream zou al helemaal onmogelijk moeten zijn en als daar boetes uit voortvloeien ben ik het daar uiteraard volledig mee eens.Maar laten we nou niet doen alsof je van tevoren niet kunt weten dat deelname aan een openbaar gesprek enige mate van privacy verlies met zich meebrengt

Ik ken de app verder niet, maar wat ik er uit begrepen had, is dat volgens mij het grootste bezwaar is dan men niet weet dat er anderen (onzichtbaar) mee luisteren.
Om even je IRC voorbeeld bij te nemen.
Stel je zit in een kanaal met 2 vrienden, dus 3 in totaal, dan ga je er vanuit dat alles wat je bespreekt bij deze 3 personen blijft, en niet dat er tientallen mensen het meelezen via een stealth bot.

Niet echt te vergelijken. IRC is een open protocol, waarbij de privacybescherming afhankelijk is van de precieze implementatie. Er is keuze uit allerlei client- en serversoftware voor IRC, dus je hebt ook de vrijheid een ander pad in te slaan als je ontevreden bent over de koers van een ontwikkelaar.

Clubhouse is een gesloten app, waar je geen enkele vrijheid hebt, geen enkele verwachting kan hebben op het gebied van beveiliging en privacy en waar je overgeleverd bent aan de nukken van het bedrijf erachter. De sociale kosten om later weer "uit te stappen" zijn, als al je vrienden er eenmaal op zitten, enorm hoog.

Net als bij Facebook, Whatsapp, etc. dus genoeg redenen voor mij om er nooit aan te willen beginnen.

Treurige is dat aantrekkelijke functionaliteit het altijd (!) wint van overwegingen met betrekking tot veiligheid en privacy. De overheden/toezichthouders kunnen niet snel genoeg reageren waardoor er toch een soort wild-west ontstaat. Terwijl de voetbalvereniging die op zijn/haar website een fout maakt sneller een boete heeft.

Pak maar al mijn contacten en upload ze naar je server alsof het LinkedIn 2012 is.