- Kekhawatiran meningkat bahwa penonton yang tidak bersalah pun bisa terseret ke dalam jaring investigasi, setelah lembaga penyelidikan federal AS melalui dua perintah pengadilan meminta Google menyerahkan informasi penonton video dan live stream YouTube tertentu
- Dalam kasus Kentucky, untuk menemukan pengguna “elonmuskwhm”, diminta informasi akun Google dari orang-orang yang menonton tutorial YouTube yang dikirimkan kepadanya, serta alamat IP penonton yang tidak login
- Dalam kasus New Hampshire, setelah ancaman bahan peledak, polisi menilai mereka dipantau melalui live stream YouTube, lalu meminta daftar akun yang menonton atau berinteraksi dengan 8 stream pada rentang waktu tertentu
- Google menyatakan bahwa untuk semua permintaan penegakan hukum, pihaknya meninjau validitas hukum dan privasi pengguna, serta menggugat permintaan data yang berlebihan atau tidak pantas
- Riwayat tontonan online dapat mengungkap informasi sensitif seperti kecenderungan politik, minat, dan keyakinan agama, sehingga ada risiko perintah pengadilan meluas menjadi investigasi jaring digital
Dua perintah pengadilan yang meminta informasi penonton YouTube tertentu
- Lembaga penyelidikan federal AS, melalui perintah pengadilan, meminta Google menyerahkan informasi tentang orang-orang yang menonton video dan live stream YouTube tertentu
- Para pakar privasi dari kelompok hak sipil khawatir metode ini dapat memperlakukan penonton YouTube yang tidak bersalah seperti tersangka kriminal, sehingga mendekati penyelidikan berlebihan yang inkonstitusional
- Dari catatan pengadilan saja, tidak dapat dipastikan apakah Google benar-benar menyerahkan data tersebut
Kasus Kentucky: permintaan informasi penonton untuk melacak “elonmuskwhm”
- Dalam kasus Kentucky yang dipublikasikan, penyidik yang menyamar berusaha mengidentifikasi seseorang yang menggunakan alias online “elonmuskwhm”
- Penyidik menilai pengguna ini membeli bitcoin dengan uang tunai dan kemungkinan melanggar undang-undang pencucian uang serta aturan terkait pengiriman uang tanpa izin
- Dalam percakapan awal Januari, penyidik yang menyamar mengirimkan tautan tutorial YouTube terkait pemetaan drone dan perangkat lunak augmented reality kepada pengguna tersebut
- Setelah itu, lembaga penyelidikan meminta Google menyerahkan informasi orang-orang yang menonton video-video tersebut
- Video-video itu secara gabungan ditonton lebih dari 30.000 kali
- Periode yang diminta adalah dari 1 Januari hingga 8 Januari 2023
- Untuk pengguna akun Google, mereka meminta nama, alamat, nomor telepon, dan aktivitas pengguna
- Untuk penonton yang tidak login, mereka meminta alamat IP
- Lembaga penyelidikan menilai catatan ini dapat membantu mengidentifikasi pelaku dalam investigasi kriminal yang sedang berlangsung
Kasus New Hampshire: ancaman bahan peledak dan live stream YouTube
- Polisi Portsmouth, New Hampshire, menerima ancaman dari seorang pria bahwa bahan peledak telah dipasang di tempat sampah di ruang publik
- Setelah menggeledah lokasi, polisi mengetahui bahwa mereka telah diawasi melalui kamera live stream YouTube yang terkait dengan bisnis lokal
- Lembaga penyelidikan federal menilai kasus serupa terjadi di seluruh Amerika Serikat, dengan pola ancaman bom dilakukan dan polisi diamati melalui YouTube
- Lembaga penyelidikan meminta Google menyerahkan daftar akun yang “menonton dan/atau berinteraksi” dengan 8 live stream YouTube pada rentang waktu tertentu, beserta informasi identifikasi terkait
- Ini juga mencakup video yang diunggah Boston and Maine Live, yang memiliki 130.000 pelanggan
- Mike McCormack, pendiri IP Time Lapse, perusahaan di balik akun tersebut, mengetahui perintah ini dan mengatakan bahwa hal itu terkait dengan insiden swatting yang menargetkan tampilan kamera saat itu
Sikap Google dan bagian yang tidak diungkap
- Juru bicara Google, Matt Bryant, mengatakan bahwa perusahaan memiliki prosedur ketat untuk mendukung pekerjaan penegakan hukum sekaligus melindungi privasi pengguna dan hak konstitusional dalam setiap permintaan dari aparat penegak hukum
- Sikap Google adalah meninjau validitas hukum setiap permintaan dan menilainya secara konsisten dengan preseden hukum yang berkembang
- Google menyatakan menolak permintaan data pengguna yang berlebihan atau tidak pantas, dan sepenuhnya menggugat sebagian permintaan
- Dari catatan pengadilan saja, tidak dapat dipastikan apakah Google benar-benar menyerahkan data dalam kedua kasus tersebut
- Departemen Kehakiman belum menjawab permintaan komentar hingga saat artikel diterbitkan
Kekhawatiran pakar privasi soal inkonstitusionalitas
- Para pakar privasi menilai perintah ini dapat melemahkan perlindungan Amandemen Pertama dan Keempat yang menjamin kebebasan berekspresi dan kebebasan dari penggeledahan yang tidak wajar
- Albert Fox-Cahn dari Surveillance Technology Oversight Project mengatakan ada tren lembaga pemerintah mengubah surat perintah penggeledahan menjadi jaring digital, dan hal itu inkonstitusional sekaligus menakutkan
- Fox-Cahn mengatakan orang tidak semestinya takut didatangi polisi hanya karena menonton konten yang dimunculkan algoritme YouTube
- Ia menilai perintah ini memiliki efek membungkam sebesar geofence warrant yang meminta data pengguna di sekitar lokasi kejahatan
- Google mengumumkan melalui pembaruan pada Desember bahwa mereka akan membuat pemberian informasi lokasi sebagai respons atas perintah geofence menjadi tidak mungkin secara teknis
- Sebelumnya, pengadilan California memutuskan geofence warrant yang mencakup beberapa area padat penduduk di Los Angeles sebagai inkonstitusional
- John Davisson dari Electronic Privacy Information Center mengatakan apa yang ditonton seseorang secara online dapat mengungkap informasi sensitif seperti politik, minat mendalam, dan keyakinan agama
- Davisson menilai wajar bila ada ekspektasi bahwa aparat penegak hukum tidak akan mengakses informasi semacam itu tanpa alasan yang kuat, tetapi perintah kali ini membalik premis tersebut
1 komentar
Komentar Hacker News
Ada beberapa kasus berbeda yang tercampur di sini
Yang pertama, ketika polisi mengunggah video dan meminta informasi penonton, itu benar-benar serius, dan saya heran bagaimana pengadilan bisa mengizinkannya
Yang berikutnya saya tidak sepenuhnya pahami, tetapi tampaknya pelaku kasus swatting dicurigai telah menonton siaran langsung kamera tertentu dan polisi mengajukan syarat yang cukup sempit seperti rentang waktu atau ciri lain, jadi terlihat jauh lebih beralasan
Mereka meminta informasi tentang video yang telah ditonton 30 ribu kali; bahkan jika diasumsikan semua orang menonton video itu 10 kali dan targetnya memang salah satu penonton sebenarnya — itu pun tidak jelas — berarti hak 2.999 orang dilanggar untuk menemukan satu orang
Rasanya Blackstone akan punya sesuatu untuk dikatakan soal ini[0]. Ini secara harfiah 30 kali dari rasio Blackstone yang sangat memengaruhi para Founding Fathers
Ini tidak terlihat masuk akal
Edit: typo
[0] https://en.wikipedia.org/wiki/Blackstone%27s_ratio
Sebaliknya, ada saluran komunikasi terbuka dengan target, dan mereka berada dalam situasi bisa mengirim beberapa tautan YouTube kepada orang tersebut
Hipotesis polisi adalah bahwa jika mereka menemukan pengguna yang mengklik semua atau sebagian besar tautan itu, kemungkinan besar itulah targetnya. Kecil kemungkinan pengguna acak kebetulan menonton semua video itu
Meski begitu, meminta daftar mentah seluruh penonton tampak seperti pelanggaran konstitusi. Terlalu luas, dan memberi polisi terlalu banyak informasi bahkan tentang pengguna yang hanya menonton satu video
Namun, jika Google yang mengidentifikasi pengguna target lalu hanya menyerahkan informasi pengguna itu saja, dengan permintaan yang jauh lebih sempit, mungkin itu bisa saja dimungkinkan secara konstitusional
Di sisi lain, bahkan surat perintah yang sempit yang mengungkap informasi banyak orang juga telah diizinkan secara konstitusional. Contoh klasiknya adalah surat perintah kepada motel untuk meminta nama semua tamu yang check-in atau terdaftar pada tanggal tertentu, dan itu telah beberapa kali dipertahankan
Kasus pertama memang terlihat aneh
Bagus juga kalau Google setidaknya sedikit melawan. Hanya saja saya ragu mereka akan melakukan hal yang sama untuk warga Inggris yang bukan warga AS, mungkin tidak
“Menurut perintah pengadilan, pemerintah memerintahkan Google untuk memberikan nama, alamat, nomor telepon, dan aktivitas pengguna dari semua pengguna akun Google yang menonton video YouTube tersebut”
Semoga ini membuat sedikit lebih jelas mengapa perusahaan teknologi besar/media sosial bersikeras meminta nomor telepon dengan alasan “2FA untuk keamanan”, padahal serangan SIM swapping marak
Orang bisa saja memakai VPN, dan alamat atau nama mungkin tidak ada di akun Google, tetapi nomor telepon hampir pasti ada. Kalau memakai Android malah lebih buruk, karena mereka berpotensi menarik riwayat aplikasi/penelusuran juga
Credential stuffing adalah masalah besar bagi penyedia besar, dan mewajibkan 2FA adalah mitigasi yang signifikan. Untuk serangan terarah, pelaku mungkin melakukan SIM swapping, tetapi tingkat kesulitannya jauh lebih tinggi daripada credential stuffing biasa
Saat ini juga tidak ada kewajiban hukum bagi Google untuk menyimpan nomor telepon semua pengguna YouTube, dan Sundar juga tidak akan masuk penjara karenanya
Gagasan seperti “10 tahun lalu ada product manager Google yang memutuskan, ‘ayo kita buat basis data nomor telepon pengguna untuk berjaga-jaga jika suatu hari ada permintaan pengawasan massal dari penegak hukum, lalu kita bilang ke pengguna ini demi keamanan’” kalau dipikir-pikir adalah teori konspirasi yang cukup konyol
— tidak ada orang seperti itu
Tolong dipikirkan. Bahkan untuk organisasi yang lebih kecil yang pada dasarnya hanya punya nama dan email, untuk apa mereka menginginkan nomor telepon? Mereka tidak tertarik pada identifikasi identitas. Kalaupun tertarik, mereka sudah punya email dan nama
Sebaiknya lepaskan saja topi aluminium itu
“Menurut perintah pengadilan, pemerintah memerintahkan Google untuk memberikan nama, alamat, nomor telepon, dan aktivitas pengguna dari semua pengguna akun Google yang menonton video YouTube tersebut antara 1 Januari 2023 hingga 8 Januari”
Sebagai catatan sampingan yang menarik, Viacom juga pernah memakai permintaan yang sangat luas serupa pada 2008 dalam gugatan yang nyaris menghancurkan YouTube pada masa awalnya[1]
Kali ini pemerintah yang memintanya, dan Google punya jauh lebih banyak data yang secara potensial bisa diberikan
[1]: https://web.archive.org/web/20100702111029/http://afp.google...
Semakin condong ke pandangan bahwa anonimitas makin tidak bisa dijamin. Sepertinya kita harus berasumsi bahwa semua orang tahu apa yang kita lakukan dan siapa diri kita
Jadi mungkin lebih baik memakai nama asli saja dan jauh mengurangi aktivitas online
Aku sendiri belum sepenuhnya menerimanya, tapi rasanya ini tak bisa dihindari
Menurutku, satu-satunya pilihan adalah membuat privasi dan anonimitas menjadi sangat mudah. Bukan hanya untuk orang teknis, tapi sampai kakek-nenek yang tidak akrab dengan teknologi pun bisa memakainya
Kita harus benar-benar mendorong alat seperti Signal, di mana pengguna mendapatkan enkripsi tanpa harus sadar sedang menggunakan enkripsi. Orang-orang menginginkan privasi dan keamanan, tetapi tidak tahu caranya, atau tidak memahami apa yang membuat data mereka bocor
Ironisnya, industri yang menciptakan masalah ini adalah bidang tempat kita sendiri terlibat secara inti
Aku belum siap menelan pil itu, dan juga belum yakin bahwa kita memang harus begitu. Jelas masih ada sesuatu yang bisa kita lakukan. Bisa dengan tidak membuat hal-hal semacam itu, atau hanya dengan membangun pertahanan
Sikap tidak peduli tak berbeda dari mendukung perembesan otoritarian semacam ini. Karena memang itulah yang sedang terjadi
Jika membuat akun HN yang hanya diakses lewat Tor dari browser dengan JavaScript dimatikan, lalu tulisan kita dilewatkan sekali ke layanan penyuntingan AI, akan cukup sulit melacaknya kembali
Sebaliknya, kalau tiap hari menyiarkan diri sendiri selama 16 jam, nama samaran tidak banyak membantu. Begitu ada yang berkata, “Eh, aku kenal orang itu,” rahasianya selesai
Pada akhirnya, seperti halnya banyak hal lain, ini masalah keseimbangan. Bergantung pada siapa yang mengincarmu dan seberapa suka kamu melakukan sesuatu secara online
Ini pertanyaan yang perlu ditanyakan pada diri sendiri sebelum pindah ke kabin di tengah hutan dan hanya menulis novel sepanjang hari. Tentu saja penerbitannya tetap harus memakai nama pena
Artinya, kita boleh merencanakan untuk menghadapi skenario terburuk, tetapi jangan melepaskan penilaian dan nilai sosial bahwa hal itu terlalu umum, salah, dan tidak normal
Pelacakan, dan perusahaan-perusahaan yang melakukannya, luar biasa luas dan sulit dikalahkan. Misalnya, iklan browser yang cuma terlewat saat scroll pun bisa cukup untuk membuat sidik jari
“Kalau ada sesuatu yang tidak ingin diketahui orang lain, mungkin dari awal kamu memang tidak seharusnya melakukannya”
Ini bisa dibaca sebagai ucapan mengerikan ala “kalau tidak ada yang disembunyikan, tidak ada yang perlu ditakutkan”, atau sebagai peringatan yang cukup tepat tentang keadaan nyata saat ini
Buat yang belum tahu, Invidious layak dicek: https://invidious.io/
Kalau khawatir soal identifikasi, kemungkinan kamu ingin memakai instance publik, dan daftarnya ada di sini: https://docs.invidious.io/instances/
Artikel yang agak terkait dari beberapa tahun lalu:
Justice Department withdraws FBI subpoena for USA Today records ID'ing readers - https://news.ycombinator.com/item?id=27408647 - Juni 2021, 174 komentar
Polisi menelusuri pencarian Google untuk menemukan tersangka, dan menghadapi tantangan hukum pertama
2022-06-30 https://news.ycombinator.com/item?id=31938350
Perintah itu nyaris cuma formalitas. Saat pemerintah federal AS benar-benar menginginkan sesuatu, sulit membayangkan perusahaan mana pun bisa melawan dan berhasil
Kemungkinan besar negara-bangsa besar lain juga mirip. Pemerintah Tiongkok mungkin juga mendapat kerja sama dengan menunjukkan bahwa mereka bisa mengakses semua data Google kapan saja, dan menurutku AS juga mendapatkan akses penuh kapan pun dengan alasan apa pun
Tapi penghargaan tetap harus diberikan kalau memang layak: https://en.wikipedia.org/wiki/Apple%E2%80%93FBI_encryption_d...
Pada dasarnya Google terus menyuruh NSA pergi, lalu NSA menggali celah dan menyadap serat optik untuk mengambil komunikasi antarpusat data yang masih plaintext. Sepertinya saat itu ada cukup banyak hal penting di dalamnya
Dalam beberapa minggu setelah bocoran MUSCULAR, semua pusat data Google mulai saling berkomunikasi melalui terminasi SSL yang semestinya
Tahu Aurora juga? Pada 2009, sebuah organisasi militer Tiongkok menyusup ke Google dan mencari informasi tentang para pembangkang yang sudah diketahui. Mereka cepat diusir, dan setelah itu peningkatan keamanan Google mencapai tingkat yang nyaris belum pernah ada dalam sejarah keamanan informasi
NSA atau berbagai lembaga penegak hukum memang bisa mendapatkan informasi dari Google lewat proses hukum yang sah, dan mungkin ada segelintir orang dalam badan intelijen yang kadang menyerahkan data dari internal Google sebagai bagian dari perjanjian berbagi informasi
Tapi gagasan bahwa NSA bebas mengakses apa pun yang mereka inginkan dari Google itu tidak masuk akal
Suntingan: lagi pula ini bahkan bukan pemerintah federal, dan pemerintah negara bagian maupun lokal lebih lemah lagi dibanding sedikit pengaruh yang dimiliki pemerintah federal
Sejujurnya, jika yang di atas benar, saya mungkin akan senang. Saya memang bias karena benar-benar membenci pencuri dan pemeras.