Apple Mengonfirmasi Pemerintah Menggunakan Push Notification untuk Mengawasi Pengguna

• Karena struktur notifikasi smartphone melewati server Apple dan Google, peringatan bahwa sebagian pemerintah dapat melacak pengguna melalui data push notification dipublikasikan lewat surat Senator AS Ron Wyden
• Wyden mengatakan pejabat asing telah meminta data kepada kedua perusahaan untuk melacak cara penggunaan aplikasi tertentu, dan menilai struktur ini dapat menjadi titik kontak untuk pengawasan pemerintah
• Apple mengatakan kepada Reuters bahwa sebelumnya mereka tidak dapat mengungkap informasi terkait karena pemerintah federal AS, tetapi setelah pengungkapan ini akan mencerminkan permintaan semacam itu secara lebih rinci dalam laporan transparansi
• Menurut sumber yang mengetahui masalah ini, baik lembaga pemerintah asing maupun AS telah meminta metadata push notification, dan data itu digunakan untuk mengaitkan pengguna aplikasi pesan anonim dengan akun Apple atau Google tertentu
• Isi notifikasi dapat dienkripsi oleh pengembang, tetapi metadata tidak dienkripsi, seperti aplikasi mana yang mengirim notifikasi dan seberapa sering, sehingga masih ada kemungkinan pola penggunaan aplikasi terekspos

---

Mengapa Push Notification Menjadi Titik Kontak Pengawasan

• Peringatan bahwa sebagian pemerintah yang identitasnya tidak diungkap melacak dan mengawasi push notification pengguna smartphone muncul melalui surat Senator AS Ron Wyden kepada Departemen Kehakiman
• Target pengawasan adalah data push notification yang melewati server Google dan Apple
• Wyden menyatakan bahwa pejabat asing meminta data kepada kedua perusahaan teknologi tersebut untuk melacak smartphone

Permintaan Wyden kepada Departemen Kehakiman

• Lalu lintas push notification menempatkan Apple dan Google pada posisi khusus yang dapat mengakses cara pengguna memakai aplikasi
  • Kedua perusahaan dapat menjadi titik kontak yang memfasilitasi pengawasan pemerintah atas penggunaan aplikasi tertentu
• Wyden meminta Departemen Kehakiman untuk menghapus atau mengubah kebijakan yang menghalangi diskusi publik mengenai pengawasan push notification

Tanggapan Apple

• Apple mengatakan kepada Reuters bahwa surat Wyden memungkinkan mereka mengungkap lebih banyak informasi tentang cara pemerintah mengawasi push notification
• Sebelumnya, Apple berpendapat bahwa pemerintah federal AS mencegah pembagian informasi tentang masalah ini
• Karena metode tersebut kini telah dipublikasikan, Apple berencana memperbarui laporan transparansi untuk membahas jenis permintaan ini secara lebih rinci

Data yang Diminta dan Cara Penggunaannya

• Dalam surat Wyden, sumber informasi pengawasan disebut sebagai sebuah laporan dari informan
• Sumber yang mengetahui masalah ini mengonfirmasi bahwa lembaga pemerintah asing dan AS telah meminta metadata terkait push notification kepada Apple dan Google
• Data tersebut dilaporkan digunakan dalam upaya mengaitkan pengguna aplikasi pesan anonim dengan akun Apple atau Google tertentu
• Sumber Reuters tidak mengungkap pemerintah mana yang mengajukan permintaan, tetapi menggambarkan pihak peminta sebagai “negara-negara demokrasi yang bersekutu dengan AS”
• Tidak diketahui sudah berapa lama permintaan tersebut berlangsung

Rekomendasi untuk Pengembang dan Titik Eksposur yang Tersisa

• Apple menyarankan pengembang agar tidak memasukkan data sensitif dalam notifikasi
• Apple juga memberikan rekomendasi untuk mengenkripsi data sebelum memasukkannya ke payload notifikasi
• Namun, perlindungan ini harus dilakukan sendiri oleh pengembang
• Metadata seperti aplikasi mana yang mengirim notifikasi dan seberapa sering notifikasi dikirim tidak dienkripsi
• Pihak yang dapat mengakses metadata ini berpotensi memperoleh informasi tentang cara pengguna memakai aplikasi

[GN⁺]

Pendapat di Hacker News

• Ini duplikat dari https://news.ycombinator.com/item?id=38543155
  • Tampaknya ini adalah isi tanggapan/pengakuan Apple atas pengungkapan seorang senator. Kecuali Reuters memperbarui artikelnya
• Apa solusi yang mungkin?
  Jalankan UnifiedPush di server Nextcloud, lalu gunakan aplikasi Nextpush di perangkat. Beberapa aplikasi menggunakan ini
  Beberapa aplikasi memakai websocket, tetapi sepengetahuan saya jika terus berjalan di latar belakang, itu memakan banyak sumber daya
  Beberapa aplikasi bisa menerima push notification dengan menumpang pada aplikasi Cheogram
  Saya memakai fork Android tanpa Google Play Services, jadi tidak tahu apa yang memungkinkan di iPhone
• Jadi kalau push notification dimatikan, apakah pelacakan juga tidak terjadi?
  • Menurut saya itu hanya mencegahnya ditampilkan di ponsel. Aplikasi sepertinya tetap akan mencoba mengirim notifikasi melalui server Apple
    Jika dimatikan dari dalam aplikasi, bukan dari pengaturan ponsel, mungkin ada efeknya