RUU Online Safety Inggris Picu Kekhawatiran Pelemahan Enkripsi End-to-End di Seluruh Dunia

 (eff.org)
2 poin oleh GN⁺ 2023-07-29 | 1 komentar | Bagikan ke WhatsApp
  • Online Safety Bill di Parlemen Inggris berada pada tahap terakhir sebelum disahkan House of Lords, dan dapat memaksa layanan perpesanan menyediakan backdoor sehingga berdampak pada privasi pengguna di seluruh dunia
  • Titik konflik utama dalam RUU ini adalah bahwa kewajiban pemindaian pesan untuk mendeteksi konten terkait pelecehan anak dan terorisme sulit dipadukan dengan enkripsi end-to-end
  • WhatsApp, Signal, Element, dan lainnya memperingatkan dalam surat terbuka pada April 2023 bahwa hal ini dapat berujung pada pengawasan rutin, umum, dan tanpa pandang bulu terhadap pesan pribadi; Apple juga bergabung menentangnya pada Juni
  • Pemerintah Inggris mengatakan keamanan dan privasi dapat sama-sama dijaga lewat pemindaian sisi klien, tetapi EFF membantah bahwa backdoor enkripsi tidak mungkin hanya digunakan untuk tujuan baik
  • Tanpa amandemen yang melindungi enkripsi end-to-end, orang-orang yang bergantung pada perpesanan privat—seperti aktivis HAM, jurnalis, dan pengguna LGBTQ+ yang bekerja di lingkungan tidak bersahabat—akan menanggung risiko langsung

Tekanan Online Safety Bill terhadap enkripsi

  • Parlemen Inggris sedang mendorong Online Safety Bill, RUU regulasi internet yang luas, dan saat ini berada pada tahap terakhir sebelum disahkan House of Lords
  • RUU ini dapat meruntuhkan enkripsi end-to-end dengan memberi pemerintah Inggris kewenangan untuk memaksa layanan perpesanan menyediakan backdoor
  • Amandemen untuk mengurangi unsur paling berbahaya dalam RUU ini belum diterima
  • EFF memperingatkan bahwa RUU ini tidak akan berhenti di Inggris, tetapi dapat membawa kemunduran bagi privasi dan demokrasi di seluruh dunia

Cakupan regulasi internet dan isu utama

  • Online Safety Bill berawal dari white paper “online harms” yang sudah berusia lebih dari 4 tahun, dan diperlakukan sebagai regulasi internet yang sangat luas
  • Persyaratannya mencakup pemfilteran konten, verifikasi usia untuk mengakses konten dewasa, serta laporan terperinci tentang aktivitas online yang diserahkan kepada pemerintah
  • Di antara semuanya, kewenangan pemindaian pesan yang dapat mematahkan enkripsi end-to-end dianggap sebagai isu paling fatal

Pemindaian pesan bertentangan dengan enkripsi end-to-end

  • Percakapan pribadi adalah hak asasi dasar, dan di lingkungan digital sarana teknis terkuat untuk mewujudkannya adalah enkripsi end-to-end
  • Jika teknologi pemindaian pesan yang disetujui pemerintah diwajibkan, hal itu bertentangan dengan model enkripsi yang membuat pesan hanya dapat dibaca oleh pengirim dan penerima
  • Bantahan utama EFF adalah tidak ada cara agar backdoor enkripsi hanya digunakan oleh “orang baik”
    • Cara yang melarang enkripsi
    • Cara yang menekan perusahaan agar mundur dari enkripsi
    • Cara yang mewajibkan pemindaian sisi klien semuanya dapat menguntungkan pelaku jahat dan negara otoriter

Peringatan dari perusahaan dan masyarakat sipil

  • Pemerintah Inggris mengatakan ingin memiliki kewenangan untuk memindai semua pesan online demi menemukan konten terkait pelecehan anak atau terorisme, sembari tetap dapat melindungi privasi pengguna
  • EFF membantah bahwa tidak ada cara untuk memenuhi kedua tujuan itu sekaligus
  • Organisasi masyarakat sipil Inggris, pakar teknologi, dan organisasi HAM di seluruh dunia juga mengkritik RUU ini
  • Penyedia perpesanan terenkripsi seperti WhatsApp, Signal, dan Element yang berbasis di Inggris memperingatkan bahaya OSB dalam surat terbuka pada April 2023
    • RUU ini dapat mematahkan enkripsi end-to-end
    • Pesan pribadi teman, keluarga, karyawan, eksekutif, jurnalis, aktivis HAM, dan politisi dapat menjadi sasaran pengawasan rutin, umum, dan tanpa pandang bulu
  • Apple bergabung dengan arus penolakan pada Juni 2023, dan secara terbuka menyatakan bahwa RUU ini mengancam enkripsi serta dapat menempatkan warga Inggris dalam bahaya yang lebih besar

Argumen teknis pemerintah Inggris

  • Menteri Kebudayaan, Media, dan Olahraga Inggris, dalam jawaban yang dikirim ke House of Lords, kembali menyatakan posisi bahwa pesan dapat dipindai sambil tetap menjaga privasi bahkan pada platform enkripsi end-to-end
  • Jawaban itu menyatakan bahwa perusahaan sebelumnya telah mengembangkan solusi untuk platform enkripsi end-to-end, dan Ofcom harus dapat mewajibkan penggunaan teknologi semacam itu
  • Jawaban tersebut juga memuat posisi bahwa ketika belum ada solusi yang langsung dapat digunakan, pemerintah memang seharusnya memimpin pencarian teknologi

  • Safety Tech Challenge Fund

    • Ini adalah program pemerintah Inggris yang memberikan hibah kecil untuk pengembangan perangkat lunak yang diklaim dapat memindai file sambil melindungi privasi pengguna
    • Deskripsi prototipe pemenang memuat berbagai bentuk pemindaian sisi klien yang menggunakan AI untuk memeriksa file sebelum file dikirim melalui kanal terenkripsi
    • EFF memandang ada kekeliruan yang berulang: jika perusahaan teknologi tidak bisa membuat “backdoor ajaib” yang melindungi pengguna, mereka diminta mengembangkan teknologinya lebih keras lagi

Amandemen yang masih mungkin dan pihak yang terdampak

  • Anggota parlemen Inggris masih memiliki kesempatan untuk mencegah keputusan yang dapat berujung pada pengawasan massal
  • Pada tahap komite maupun tahap laporan di House of Lords, enkripsi end-to-end belum diperiksa dan divoting secara memadai
  • Lords dapat menambahkan amandemen sederhana yang melindungi perpesanan pribadi dan secara eksplisit memastikan enkripsi end-to-end tidak dilemahkan atau dihapus
  • EFF, bersama organisasi masyarakat sipil Inggris, mengirim briefing ke House of Lords pada Juli 2023
    • Menjelaskan masalah terkait enkripsi dalam RUU saat ini
    • Mengusulkan adopsi amandemen yang melindungi enkripsi end-to-end
  • Jika amandemen tidak diadopsi, yang akan menanggung akibatnya adalah aktivis HAM dan jurnalis yang bergantung pada perpesanan privat untuk bekerja di lingkungan tidak bersahabat, serta pengguna LGBTQ+ yang bergantung pada privasi untuk berekspresi secara bebas

Opini publik dan dokumen rujukan

Bacaan terkait

1 komentar

 
GN⁺ 2023-07-29
Komentar Hacker News

  • Pemerintah Inggris berulang kali gagal memahami bahwa internet tidak punya perbatasan, dan perbatasan semacam itu tidak bisa dibuat tanpa pembatasan ekstrem setingkat rezim totaliter.
    Jika mereka memaksakan langkah tanpa kerja sama internasional yang luas, mereka hanya akan mendorong jumlah orang yang sangat besar ke sudut-sudut internet yang lebih gelap, bukan saja menghancurkan tujuan mereka sepenuhnya, tetapi juga memperburuk masalah.
    Meta saja punya kekuatan untuk membuat undang-undang ini menjadi kegagalan total. Orang-orang ingin memakai WhatsApp, dan pemerintah sendiri juga menggunakannya secara luas. Jika Meta menolak, hampir tidak ada yang bisa dilakukan pemerintah. Facebook tetap bisa beroperasi tanpa satu pun karyawan di Inggris; bisnisnya memang akan sedikit terpukul, tetapi itu sangat mungkin dilakukan.
    Pemerintah bisa menekan Apple dan Google agar menurunkan WhatsApp dari app store Inggris, tetapi pembatasan regional seperti ini mudah diakali, dan WhatsApp cukup populer sehingga orang-orang akan mau mencobanya. Maka praktik seperti sideloading, jailbreak, dan mengakali pembatasan regional akan menjadi hal yang normal, para penjahat siber akan melihat peluang dan menggosok tangan, sementara para pedofil dan teroris yang ingin dicegah justru akan ikut menumpang arus itu.

    • Apple bahkan mengancam akan menarik sistemnya dari Inggris daripada mematuhi undang-undang ini.
      https://9to5mac.com/2023/07/20/apple-imessage-facetime-remov...
    • Pernah ke Tiongkok? Internet jelas punya perbatasan dan batas wilayah. Kadang orang bisa menyeberang diam-diam atau mendapatkan visa, tetapi tiap negara membuat aturannya sendiri, dan kebanyakan orang mematuhinya atau bahkan tidak menyadarinya. Perusahaan multinasional besar juga biasanya mengikuti hukum setempat karena mereka menjadi sasaran yang bagus.
      Perusahaan-perusahaan yang menentang undang-undang ini di Inggris mengancam akan keluar dari pasar. Itu berarti mereka bukan membantu pengguna Inggris mencari cara melanggar hukum, melainkan memblokir pengguna Inggris dari layanan mereka.
    • Bahkan rezim totaliter pun tidak bisa menghentikan seluruh dunia memakai enkripsi. Perusahaan bisa keluar dari Inggris, dan Inggris tidak punya yurisdiksi di luar perbatasannya.
      Kalau saya membuat aplikasi pesan dengan enkripsi ujung ke ujung, saya sama sekali tidak perlu mendengarkan Inggris. Sama seperti Tiongkok tidak bisa memerintah saya, Inggris juga tidak bisa. Jika Tiongkok mau, mereka bisa memblokir aplikasi saya, tetapi pemblokiran itu urusan mereka, bukan urusan saya. Inggris juga bisa membangun firewall kalau mau. Namun jika saya tidak menginjakkan kaki di Inggris, saya tidak perlu mengubah aplikasi saya.
    • Mengapa pembatasan ekstrem akan menghentikan mereka? Sepertinya mereka sama sekali tidak keberatan menerapkan pembatasan seperti itu.
      Kekhawatiran soal tidak adanya kerja sama internasional yang luas juga tidak perlu terlalu dipikirkan. Pemerintah lain sama buruknya dan menginginkan omong kosong yang sama.
    • Pemerintah Inggris sebelumnya juga tidak terlalu peduli ketika memaksakan hal-hal yang tidak bisa dijalankan. Sebagai orang Inggris, kadang saya melihat akibat ISP memblokir situs bajakan; ketika muncul tulisan seperti “situs ini diblokir”, tinggal tekan satu atau dua tombol untuk beralih ke koneksi lain atau menyalakan VPN, selesai.
      Larangan enkripsi tampaknya juga akan “sulit” dielakkan dengan cara yang kurang lebih sama. Ini lebih terlihat sebagai upaya tampak bermoral di mata pemilih daripada benar-benar mencapai sesuatu.

  • Jika Anda tinggal di Inggris, sebaiknya tanda tangani petisi ini di situs pemerintah dan parlemen Inggris: https://petition.parliament.uk/petitions/634725
    Saat ini ada 6.327 tanda tangan; masih perlu 3.673 lagi untuk mendapat tanggapan pemerintah, lalu 90.000 lagi setelah itu agar dipertimbangkan untuk debat.

    • Menulis surat langsung kepada anggota parlemen akan lebih efektif. Sebaiknya jangan memakai templat. Saya belum pernah melihat petisi seperti ini menghasilkan lebih dari sekadar diabaikan, termasuk petisi yang jauh lebih populer.
      Surat kepada anggota parlemen juga hampir selalu berakhir dengan jawaban formal, tetapi setidaknya mereka memperhatikan. Sesekali, kita bahkan mendapat balasan yang bukan templat.
    • 6 ribu tanda tangan itu menariknya sangat sedikit, dan kalau hasil pencarian menunjukkan hanya ada satu petisi tanpa duplikasi, angkanya tampak makin rendah. Tampaknya isu ini belum banyak menyebar ke lingkaran berbagi massal Facebook yang biasanya bisa mendorong petisi seperti ini ke angka besar.

  • Saya benar-benar membenci pemerintah Inggris sekarang.
    Setelah pengadilan memastikan bahwa realitaslah yang pada akhirnya mengayunkan palu, semoga rancangan undang-undang yang berantakan ini runtuh di pengadilan.
    Mungkin di dalamnya juga ada pasal yang menetapkan mulai sekarang nilai pi adalah 4.

    • Bagaimana pengadilan bisa meruntuhkannya? Setahu saya pengadilan Inggris tidak bisa membatalkan undang-undang parlemen, dan berbeda dengan AS, strukturnya menempatkan pengadilan di bawah parlemen.
    • Ini bukan hanya masalah pemerintah saat ini. Seluruh parlemen dan berbagai komite tampaknya cenderung mengikuti begitu saja ketika badan intelijen dan keamanan mengatakan bahwa enkripsi itu buruk.
    • Bukankah Labour juga mendukung ini? Kalau begitu, bagaimanapun kita sudah celaka.
    • Dibilang pemerintah “saat ini”, padahal mereka sudah berkuasa lebih dari 10 tahun.

  • Saya juga membenci pemerintah kita, tetapi media juga memainkan peran besar dalam menopang mereka.
    Semua perusahaan teknologi harus berdiri bersama, bahkan siap memblokir akses layanan. Bayangkan apa yang terjadi jika di Inggris orang tidak bisa memakai WhatsApp saja, apalagi iMessage. Itu bukan tindakan tidak bertanggung jawab atau tidak aman. SMS yang bisa sepenuhnya dikendalikan pemerintah akan selalu tetap ada.
    Menurut saya perusahaan-perusahaan ini juga tidak perlu takut pada pesaing. Layanan-layanan ini sudah terlalu mengakar sehingga protes selama beberapa minggu, atau paling lama beberapa bulan, tidak akan mengubah apa pun. Jika pemerintah akhirnya menyerah, pemulihan akan mudah, dan angkanya akan segera kembali normal.

    • Baru-baru ini saya melihat wawancara David Yelland, mantan editor The Sun; ia mengatakan media berita Inggris pada dasarnya dijalankan oleh kelompok kecil yang sama dengan orang-orang yang bekerja sebagai spads[1]. Itu cocok dengan pernyataan bahwa media menopang pemerintah. Sebab sekarang media dan politik telah menjadi komunitas yang homogen dan sangat rapat.
      [1] https://www.theguardian.com/politics/2015/apr/19/spads-speci...
    • Benar. Inggris tanpa WhatsApp akan berada dalam keadaan pemberontakan. Semua orang yang saya kenal, dari remaja sampai lansia, mengatur hidup mereka lewat WhatsApp. Ketiadaan WhatsApp saja sudah cukup untuk menyeret bahkan orang-orang seperti kami yang apatis, malas, dan tidak suka berdemonstrasi turun ke jalan.

  • Ini benar-benar tidak masuk akal dan bodoh. Ini akan menciptakan internet yang jauh lebih terpecah, setiap negara akan mulai makin terpisah, dan kepercayaan terhadap produk Barat/Inggris/AS juga akan hilang.
    Kalau begitu, mengapa bagian dunia lainnya harus terus memakai iPhone, MacBook, Google, Amazon, dan sebagainya? Dari sisi pendapatan yang hilang bagi semua perusahaan besar, biayanya akan sangat besar.
    Sebaliknya, ada cara-cara yang lebih cerdas untuk melakukan hal yang diperlukan sambil tetap menghormati privasi dan tidak menimbulkan kerugian ekonomi yang tidak perlu bagi perusahaan. Hanya saja itu mensyaratkan adanya orang-orang cerdas di pemerintahan, sementara pemerintahan penuh dengan orang-orang yang bukan seperti itu.
    Sisi lainnya adalah ini tidak mungkin ditegakkan terhadap sebagian besar individu. Cara untuk mengakalinya ada di mana-mana, dan banyak perusahaan akan mulai mendirikan entitas di wilayah yang tidak terdampak atau yurisdiksi lepas pantai untuk menyediakan alternatif bagi Viber, Skype, Google, dan sebagainya. Sebagian bahkan sudah ada.

    • Menurut saya, internet yang makin terpecah adalah masa depan kita.

  • Pada saat hal seperti ini terjadi, Inggris juga sedang memasang serat optik ke semua rumah. Banyak orang yang tinggal di jalan pedesaan yang sangat terpencil melihat kabel drop 36x fibre COF215 digantung di antara pepohonan atau ditanam di samping jalan berlumpur.
    EE memelopori LTE Cat16 di kota-kota tier 1 dan 2 pada akhir dekade 2010-an, bertepatan dengan peluncuran iPhone X yang mendukung trafik gigabit. Tak lama lagi, itu juga akan tersedia di ladang dekat Anda. Bandwidth berlimpah dengan latensi rendah sedang menuju semua orang.
    Dengan konektivitas seperti ini, pembagian antara siapa yang menyediakan transmisi dan siapa yang menyediakan konektivitas IP bisa dilakukan dengan jauh lebih kreatif. VPN sudah menjadi arus utama. Kedengarannya seperti arah yang positif. Internet merutekan lalu lintas untuk menghindari kerusakan, dan hukum yang membatasi apa yang boleh dan tidak boleh dilakukan juga bisa “dirutekan untuk dihindari” dengan mengakhiri trafik di Dublin atau Amsterdam.
    Masalahnya, semakin normal bagi warga Inggris untuk mengirim trafik mereka ke luar negeri, jalur kebijakan pemerintah Inggris pada akhirnya tampak tidak punya pilihan selain kembali ke perang total melawan enkripsi.

  • Saya menjalankan server XMPP terenkripsi yang dipakai sekitar 12 orang. Server ini sepenuhnya sementara, dalam arti server tidak menyimpan pesan. Kalau sedang offline, Anda melewatkan pesan, mirip seperti IRC.
    Apakah undang-undang ini juga berlaku untuk saya? Apakah saya harus memastikan tidak ada pengguna Inggris di server saya?
    Saat membuat server ini, saya sama sekali tidak membayangkan hal seperti ini. Saya menganggap penerapan langkah keamanan dan privasi yang kuat sebagai tanggung jawab yang harus ditanggapi serius.
    Kalau saya harus merusak privasi orang, saya tidak berminat menjalankan server. Tanpa privasi, tidak ada bedanya dengan berada di layanan perusahaan raksasa.

    • Kalau Anda tidak berada di Inggris, Anda tidak berada di bawah yurisdiksi Inggris.

  • Saya melihat beberapa komentar yang mengatakan pergantian pemerintahan akan membantu, tetapi pemerintahan Labour sebelumnya (1997–2010) memperkenalkan Regulation of Investigatory Powers Act 2000: https://en.m.wikipedia.org/wiki/Regulation_of_Investigatory_...
    Di dalamnya juga ada aturan pengungkapan kunci: https://en.m.wikipedia.org/wiki/Key_disclosure_law#United_Ki.... Dalam pengungkapan kunci, beban pembuktian dibalik sehingga terdakwa harus membuktikan bahwa ia tidak memiliki kunci atau tidak dapat mendekripsi, dan saat itu hal ini cukup kontroversial di kalangan orang-orang yang memperhatikannya. Penggunaan nyata ketentuan RIPA III dimulai pada 2007.
    Pemerintahan Labour yang sama juga mendorong Interception Modernisation Programme: https://en.m.wikipedia.org/wiki/Interception_Modernisation_P.... Anda mungkin mengingatnya sebagai “mastering the internet” dari bocoran Snowden, tetapi IMP sendiri bukan rahasia. Mereka juga mengajukan rancangan undang-undang untuk memasukkan sebagian darinya ke dalam hukum: https://en.m.wikipedia.org/wiki/Communications_Data_Bill_200.... Ini tidak berhasil menjadi undang-undang.
    Menurut saya Labour juga setuju dengan arah ini. Dan lapisan pegawai negeri senior yang bekerja langsung dengan menteri atau dekat dengan mereka tidak berubah seperti administrasi AS. Mungkin saja RUU ini kehabisan waktu di parlemen saat ini lalu gugur, dan pemerintahan berikutnya tidak melanjutkannya; hal seperti itu juga bisa terjadi meskipun partai yang sama tetap berkuasa. Namun gagasan ini akan kembali dalam bentuk tertentu, dan pada akhirnya tampaknya akan menjadi undang-undang.

    • Labour juga tidak berjanji akan membatalkan RUU pembatasan unjuk rasa yang diperkenalkan Suella Braverman, dan ketika wakil pemimpin oposisi ditanya langsung soal itu, ia menjawab kurang lebih “sekarang bukan waktunya untuk meninjau hal itu”, jadi saya tidak terlalu berharap mereka akan mengambil langkah progresif dalam masalah ini.

  • Untuk menerapkan ini sepenuhnya, mereka harus membongkar sejumlah besar perangkat lunak dan protokol, termasuk VPN, SSL/TLS, SSH, WebRTC.
    Negara-negara lain tidak akan ingin protokol-protokol ini dilemahkan hanya demi Inggris. Pada akhirnya Inggris akan memiliki “firewall raksasa” dan secara efektif membuat internet kecilnya sendiri, sementara orang-orang yang paham teknologi akan menembus celah-celahnya seperti di Tiongkok.

  • Saya penasaran berapa banyak perusahaan yang akan memilih memblokir Inggris daripada mematuhi undang-undang ini. Jelas angkanya tidak akan nol.

    • Ada WhatsApp (Meta), Signal, dan Apple.
      https://www.politico.eu/article/uk-ministers-lock-horns-with...
    • Apakah mereka benar-benar harus memblokir pengguna Inggris?
      Bukankah cukup dengan menghapus keberadaan bisnis mereka di Inggris agar terhindar dari potensi masalah hukum?
    • Semuanya akan gagal begitu mereka menyadari betapa mustahilnya menerapkan ini.