Android 14 memperkenalkan fitur keamanan koneksi seluler

• Sistem operasi mobile pertama yang menghadirkan fitur mitigasi keamanan seluler tingkat lanjut untuk konsumen dan perusahaan, yang secara langsung menangani kelemahan struktural pada lapisan tautan komunikasi
• Menyediakan kontrol bagi administrator TI untuk menonaktifkan dukungan 2G pada perangkat yang dikelola
• Menambahkan fitur untuk memblokir koneksi null cipher di tingkat modem sehingga mengurangi risiko penyadapan trafik suara dan SMS
• Sasaran utama perlindungan ini adalah serangan pengawasan dan penyadapan yang memanfaatkan kelemahan standar seluler, seperti False Base Station(FBS), Stingray, IMSI catcher
• Sebagai perpanjangan dari model keamanan Android yang menganggap semua jaringan bersifat bermusuhan, langkah ini memperkuat keamanan komunikasi di tingkat platform

---

Penguatan keamanan jaringan Android

• Model keamanan Android menganggap semua jaringan bersifat bermusuhan dan melindungi pengguna dari injeksi paket, manipulasi, dan penyadapan
  • Dirancang agar seluruh trafik jaringan menggunakan enkripsi ujung-ke-ujung(E2EE) tanpa bergantung pada enkripsi lapisan tautan
• Saat terhubung ke jaringan seluler, lapisan tautan komunikasi memiliki persoalan keamanan dan privasi yang khas
  • False Base Stations(FBS) dan Stingray mengeksploitasi kelemahan standar seluler untuk merugikan pengguna
  • Smartphone tidak dapat memverifikasi secara andal legitimasi menara seluler sebelum tersambung
  • Penyerang dapat menyalahgunakannya untuk menyadap trafik, melakukan sideloading malware, hingga pengawasan massal tanpa pandang bulu
• Untuk pengguna yang berisiko, penguatan teleponi seluler dijadikan prioritas utama
  • Mencakup risiko jaringan 2G, risiko null cipher, ancaman FBS lainnya, serta penguatan baseband bersama mitra ekosistem

2G dan sejarah risiko keamanan yang melekat

• Ekosistem mobile sedang cepat mengadopsi 5G, dan banyak operator tengah menghentikan layanan 2G
  • Di Amerika Serikat, sebagian besar operator utama telah menutup jaringan 2G
  • Namun, semua perangkat mobile lama masih mendukung 2G dan akan otomatis terhubung ke 2G bila tersedia
• Koneksi 2G dapat dipicu dari jarak jauh melalui serangan berbahaya
  • Perangkat dapat diam-diam diturunkan ke koneksi khusus 2G sehingga dipaksa mengabaikan jaringan non-2G
  • Perilaku ini dapat terjadi terlepas dari apakah infrastruktur 2G operator lokal sudah dihentikan atau belum
• 2G yang pertama kali diimplementasikan pada 1991 tidak menyediakan tingkat keamanan seperti generasi setelahnya
  • 2G berbasis standar GSM tidak memiliki autentikasi timbal balik(mutual authentication), sehingga serangan man-in-the-middle mudah dilakukan
  • Sejak 2010, para peneliti keamanan telah dengan mudah mendemonstrasikan penyadapan dan dekripsi trafik 2G melalui udara
• Kombinasi keamanan 2G yang usang dan pemaksaan penurunan dari 5G/4G ke 2G adalah cara penyalahgunaan paling umum oleh FBS, IMSI catcher, dan Stingray

  • Contoh penyalahgunaan Stingray

    • Kemungkinan sideloading malware Pegasus ke ponsel jurnalis
    • Kasus phishing canggih yang memengaruhi ratusan ribu orang dengan satu FBS
    • Serangan penipuan yang diduga menyuntikkan payload SMSishing(smishing) setelah menurunkan koneksi ke 2G

  • Respons Android 12

    • Merilis fitur yang memungkinkan pengguna menonaktifkan 2G di tingkat modem
    • Pixel 6 menjadi yang pertama mengadopsinya, dan kini didukung di semua perangkat Android yang mematuhi Radio HAL 1.6 atau lebih tinggi
    • Dirancang agar pengguna tidak terdampak saat melakukan panggilan darurat

Mitigasi risiko keamanan 2G untuk perusahaan

• Manfaat keamanan dan privasi dari menonaktifkan 2G bagi pengguna berisiko telah diakui industri, dan juga penting bagi pelanggan Android Enterprise
• Perusahaan memerlukan keamanan kuat untuk melindungi data sensitif dan kekayaan intelektual
  • Android Enterprise menyediakan kontrol manajemen keamanan konektivitas, seperti menonaktifkan WiFi, Bluetooth, dan sinyal data USB
• Mulai Android 14, perusahaan dan lembaga pemerintah yang mengelola perangkat melalui Android Enterprise dapat membatasi penurunan ke 2G
  • Mereka dapat mengatur koneksi mobile sesuai model risiko untuk melindungi dari penyadapan trafik 2G, serangan man-in-the-middle, dan ancaman berbasis 2G lainnya
  • Radio 2G dapat dimatikan sepanjang waktu, atau dikonfigurasi untuk melindungi karyawan saat berpindah ke wilayah berisiko tinggi
• Fitur ini adalah bagian dari lebih dari 200 kontrol manajemen yang disediakan Android Enterprise
  • Tersedia audit logging untuk lebih dari 80 jenis peristiwa, yang dapat digunakan untuk melacak akses tidak sah, mengidentifikasi pelanggaran keamanan, dan memecahkan masalah

Fitur tambahan Android 14 — pemblokiran null cipher

• Android 14 juga menangani risiko null cipher seluler
  • Trafik berbasis IP dilindungi platform dengan E2EE, tetapi jaringan seluler masih mengekspos trafik suara switched circuit dan SMS
  • Kedua jenis trafik ini hanya dilindungi oleh enkripsi lapisan tautan seluler, dan keputusan apakah dienkripsi sepenuhnya ditentukan jaringan tanpa visibilitas bagi pengguna
• Penggunaan null cipher telah terkonfirmasi di jaringan komersial
  • Trafik suara dan SMS seperti OTP(One-Time Password) terekspos terhadap penyadapan nirkabel yang mudah dilakukan
  • Beberapa Stingray komersial dapat menipu perangkat agar mengira enkripsi tidak didukung, lalu menurunkannya ke null cipher untuk memungkinkan penyadapan
• Android 14 memperkenalkan opsi pengguna untuk menonaktifkan koneksi null cipher di tingkat modem
  • Seperti kontrol 2G, panggilan darurat tetap dapat dilakukan meski melalui koneksi tidak terenkripsi
  • Pada perangkat yang mengadopsi Radio HAL terbaru, privasi komunikasi meningkat secara signifikan, dan fitur ini diperkirakan meluas ke lebih banyak perangkat dalam beberapa tahun ke depan

Kolaborasi berkelanjutan untuk meningkatkan standar keamanan seluler

• Selain pekerjaan internal Android, pengembangan dan perbaikan standar keamanan seluler juga diikuti secara rutin
  • Aktif berpartisipasi di badan standardisasi seperti GSMA Fraud and Security Group dan grup keamanan serta privasi 3GPP(SA3)
  • Tujuan jangka panjangnya adalah menetralkan ancaman FBS
• Di dalam GSMA FASG, memimpin inisiatif baru untuk mengeksplorasi kelayakan teknik identitas, kepercayaan, dan kontrol akses modern yang dapat secara mendasar memperkuat keamanan jaringan telekomunikasi
• Mengadopsi strategi defense-in-depth Android
  • Bekerja sama dengan tim internal seperti Android Red Team dan Vulnerability Rewards Program
  • Juga bekerja sama dengan kelompok akademik terkemuka di bidang riset keamanan seluler, serta mendukung proyek PoC evaluasi penguatan koneksi 5G melalui hibah ASPIRE pada 2022
    • Hasil riset tersebut dipresentasikan di ACM Conference on Security and Privacy in Wireless and Mobile Networks

[GN⁺]

Opini Hacker News

• Bagi kebanyakan orang, ini tampaknya kompromi yang tepat. Satu-satunya jaringan 2G nasional di AS adalah T-Mobile, dan dijadwalkan dihentikan pada 2 April 2024.
  Di wilayah pedesaan ada juga operator regional seperti Commnet Wireless yang menyediakan satu-satunya cakupan di daerah tersebut, tetapi itu jarang, dan biasanya mereka sudah memasang 3G di seluruh area layanan. Big Three juga memperluas cakupan mereka sendiri agar tumpang tindih dengan operator-operator ini. Meski begitu, sesuai Hukum Murphy, seseorang dengan ponsel Android 14 akan mendapati bahwa ia tidak bisa menelepon siapa pun selain 911. Idealnya, saat tidak ada layanan, harus ada prompt tombol untuk menyalakan kembali 2G. Menurut aturan FCC, ponsel harus bisa fallback ke null cipher jika itu diperlukan untuk menghubungkan panggilan darurat.
  (1) https://www.t-mobile.com/support/coverage/t-mobile-network-e...
  (2) https://www.cellularmaps.com/regional-carriers/commnet-wirel...

  • Menganalisis masalah ini hanya dari sudut pandang AS tidak terlalu berguna. Android dipakai di seluruh dunia, dan justru lebih populer di luar AS, jadi analisis yang berpusat pada AS terasa lebih terbatas.
  • Melihat bahwa koneksi 4G yang cukup cepat pun tersedia di Deadhorse, AK (https://www.google.com/maps/place/Deadhorse,+Prudhoe+Bay,+AK...), agak aneh kalau masih ada tempat di AS yang hanya punya 2G.
  • Jika ponsel disadap oleh Stingray, saya selalu berharap saat menelepon 911, yang berdering adalah telepon di dalam mobil polisi.
  • Saya penasaran wilayah pedesaan mana yang hanya 2G. Saat mengemudi ke berbagai tempat di daratan utama AS, saya sering melihat tidak ada layanan dan 3G, tetapi tidak pernah melihat 2G (T-Mobile Samsung S22).
  • Ini juga keluhan soal T-Mobile yang mematikan layanan 4G non-LTE. T-Mobile masih menyediakan 4G non-LTE, tetapi tidak mengizinkan perangkat 4G non-LTE baru diaktifkan di jaringannya.
    Tahun lalu saya lebih dulu bertanya apakah bisa mengaktifkan perangkat 4G non-LTE baru, dan dijawab tidak masalah. Perangkat memang aktif, tetapi beberapa hari kemudian berhenti berfungsi. Setelah berjam-jam dengan dukungan teknis, saya mendapat SIM baru, tetapi hal yang sama terjadi: beberapa hari kemudian berhenti lagi. Saat saya menukar SIM dengan perangkat T-Mobile 4G non-LTE lain di akun yang sama (iPad Pro), keduanya berfungsi, dan setelah dikembalikan seperti semula keduanya masih berfungsi untuk sementara, tetapi hanya perangkat baru itu yang berhenti lagi beberapa hari kemudian. Akhirnya dukungan teknis menemukan buletin teknis yang menyatakan bahwa perangkat yang diaktifkan setelah tanggal tertentu pada 2022 akan berhenti berfungsi jika tidak melakukan registrasi 4G LTE ke menara seluler setiap 24 jam. T-Mobile pasti menulis skrip untuk menerapkan ini, dan tampaknya murni untuk tujuan pemasaran. iPad Pro 4G non-LTE keluaran 2016 masih berfungsi dengan baik, tetapi perangkat 4G non-LTE lain harus diganti dengan perangkat yang lebih baru. Itu adalah perangkat yang sama yang sudah dipakai bertahun-tahun di T-Mobile, lalu hendak diaktifkan kembali setelah nonaktif 6 bulan; seandainya diaktifkan kembali satu bulan lebih awal, tidak akan ada masalah.
    Singkatnya, operator seluler menghasilkan uang dengan menjual perangkat baru, dan bisa mengatakan bahwa perangkat yang sebenarnya bisa dipakai tidak didukung.

• Hal yang paling menonjol dari artikel ini menurut saya adalah bahwa inti Stingray pada dasarnya adalah serangan downgrade yang mahal. Menonaktifkan 2G bisa menjadi cara ampuh bagi Ma Bell untuk mencegah perusahaan keamanan seperti Stingray menggerogoti pendapatan yang sudah berlimpah. Karena trik ala Stingray itu langsung terlihat sebagai ancaman keamanan nasional, 2G pun ditinggalkan.

  • Apakah itu baru terungkap? Serangan downgrade sudah menjadi pengetahuan umum yang dipublikasikan luas setidaknya sejak awal 2010-an.

• Pengaturan bagi pengguna untuk mematikan 2G sudah ada sejak dulu, jadi bagian baru kali ini tampaknya adalah null cipher dan pengelolaan perusahaan. Menghapus null cipher adalah hal bagus, dan akan lebih baik lagi jika cipher lemah atau cipher ekspor juga ditolak.

  • Pada Samsung S21 dengan Android 13 terbaru, tidak ada opsi untuk mematikan 2G sambil tetap mempertahankan 4G/5G. Daftarnya secara harfiah hanya 2G/3G/4G/5G, 2G/3G/4G, 2G/3G, hanya 3G, dan hanya 2G.
    Kalau ingin mempertahankan 4G atau 5G, pilihannya membingungkan. Secara pribadi saya lebih memilih 4G/5G, karena di jaringan saya fallback 2G/3G di luar cakupan 4G/5G hampir tidak berguna. Jika Android 14 hadir untuk S21, saya berharap setidaknya ada opsi menonaktifkan 2G seperti yang dijelaskan artikel.
  • Pengaturan itu mungkin tidak bekerja seperti yang Anda kira. Dalam deskripsi opsi tersebut ada pengecualian besar bahwa untuk panggilan darurat, 2G selalu diizinkan. Artinya, meski dimatikan, ponsel tetap bisa menggunakan jaringan 2G.
    Opsi baru ini terdengar benar-benar mematikan semua fungsi 2G.

• Pada bagian “jaringan menentukan apakah lalu lintas dienkripsi, dan pengguna tidak bisa melihat apakah enkripsi aktif”, saya kira awalnya UI sistem operasi memang dimaksudkan untuk menampilkan koneksi yang tidak terenkripsi. Tetapi karena aktor negara tidak menginginkannya, sepertinya tidak ada pihak yang menampilkannya.
  Selain itu, meski enkripsi aktif, itu hanya berlaku pada segmen nirkabel dari transmisi data, bukan end-to-end antarterminal. Kalau tidak begitu, kita tidak akan bisa menelepon telepon kabel, jadi bukankah operator jaringan memang sudah mudah mendekripsi data mentah? Ini mungkin membantu untuk situasi seperti kedutaan yang memasang BTS palsu dan mengumpulkan data peserta demonstrasi di luar. Dan saya juga penasaran bagaimana kita bisa mengetahui jika mereka melemahkan kunci enkripsi dengan membuat banyak bit menjadi 0 seperti yang dulu dilakukan di GSM.

• NSA dan aktor negara lain sekarang punya cara lain, jadi sepertinya fitur seperti ini bisa dipublikasikan untuk mendapatkan poin di internet.

  • Benar. Cukup minta akses langsung ke perusahaan. Dengan sedikit tekanan, biasanya mereka mendapatkan yang dibutuhkan, dan karena hukum berpihak pada mereka, kerja sama bukanlah pilihan. Kalau bisa masuk lewat pintu depan, tidak perlu pintu belakang.

• Google membantu keamanan itu mirip seperti mafia ramah yang mengetuk pintu dan menawarkan perlindungan. Jangan lupa bahwa Google adalah puncak perusahaan jahat yang ingin menguasai semua data. Perusahaan itulah yang mengubah “don’t do evil” menjadi “do things”

  • Perusahaan raksasa seperti Google punya sekitar 100 ribu karyawan, dan struktur insentif yang kompleks di tiap lapisan mendorong tujuan yang berbeda-beda. Beberapa tahun lalu saya hampir menghapus Google dari kehidupan saya, tetapi menganggap semua yang disentuh Google pasti berniat jahat itu bodoh. Ada banyak kontribusi bagus juga, seperti sebagian AOSP
    Kalau saya tidak beralih ke Apple, saya dengan senang hati akan memakai fitur seperti ini di ponsel GrapheneOS
  • Ada kritik spesifik terhadap fitur-fitur ini?
  • Bisa menambahkan sesuatu yang konstruktif, seperti alternatif? Kalau mau bilang Apple, sebaiknya kembali ke awal dan pikirkan lagi
  • Apa hubungan keluhan ini dengan topik? Ada bukti sedikit pun yang mendukung klaim itu?
  • Dunia memang jauh dari sempurna, tetapi para mafia itu pun mungkin benar-benar akan mencoba melindungi uang “mereka” dari organisasi lain. Obsesi Google terhadap data justru memperbesar insentif untuk melindungi data itu dari aktor lain
    Selain itu, ada juga insentif umum untuk membuat fitur yang bisa membuat lebih banyak orang atau organisasi memilih Android

• AT&T sudah menghentikan perangkat 3G, dan ada juga aplikasi Android yang mengklaim bisa mendeteksi stingray atau BTS palsu. Tetap saja ini langkah bagus dari Google

• GrapheneOS juga menerapkan fitur serupa untuk membatasi ke jaringan seluler 4G. Ini berguna ketika ponsel menganggap koneksi 3G atau 2G lebih baik, tetapi setahu saya 4G sebenarnya lebih cepat
  Kekurangannya, dalam situasi jaringan 4G benar-benar kelebihan beban, misalnya di lokasi festival, Anda bisa saja tidak menerima panggilan atau SMS yang mestinya bisa diterima jika dapat beralih ke 2G. Ini benar-benar pernah terjadi pada saya; ponsel punya koneksi 4G, tetapi SMS tidak berfungsi kecuali 2G diizinkan

• Mungkin sebaiknya kebocoran VPN always-on dibereskan dulu
  https://issuetracker.google.com/issues/250529027

• Apakah ini punya arti lebih dari sekadar memungkinkan perusahaan saya mematikan 2G di ponsel saya?

  • Null cipher juga dihapus, tetapi bagian itu hanya dibahas relatif singkat