Keamanan Siber: Pemeriksaan Realitas Pra-Perang

• Keamanan siber di Eropa sedang bergeser dari sekadar merespons peretasan dan ransomware menjadi pertanyaan apakah komunikasi, listrik, jembatan, dan TI pemerintah dapat bertahan di tengah kekacauan pada era pra-perang
• Syarat utamanya adalah infrastruktur yang tangguh yang tidak runtuh dengan sendirinya, dependensi yang diketahui, serta kepemilikan teknis yang memungkinkan perbaikan langsung saat terjadi masalah
• Stuxnet, penghancuran modem Viasat, serta serangan terhadap jaringan listrik Ukraina dan Kyivstar menunjukkan bahwa serangan siber dapat melampaui gangguan layanan dan berujung pada perusakan perangkat serta kelumpuhan infrastruktur sosial
• Jaringan komunikasi darurat dan operasi jembatan di Belanda bergantung pada cloud, jaringan telepon, VPN, dan tenaga pemeliharaan luar negeri, sehingga rantai pemulihan dapat terputus saat listrik padam atau perang
• Ketika ketergantungan pada Google, Microsoft, AWS, dan operasi perangkat telekomunikasi luar negeri meningkat, tenaga teknis internal menyusut dan kemampuan pemulihan mandiri organisasi juga melemah

---

Keamanan Siber di Era Pra-Perang

• Donald Tusk mengatakan bahwa Eropa telah memasuki “era baru”, yaitu era pra-perang, dan dalam konteks ini keamanan siber harus diperlakukan bukan sekadar sebagai perlindungan rahasia atau pertahanan terhadap ransomware, melainkan sebagai persoalan kelangsungan hidup infrastruktur sosial
• Sekretaris Jenderal NATO Mark Rutte juga mengatakan dalam pidatonya pada 12 Desember 2024 bahwa “saatnya beralih ke pola pikir masa perang”
• Peristiwa siber katastrofik seperti pemadaman listrik, gangguan internet, dan lumpuhnya rumah sakit dikhawatirkan semua orang, tetapi sejauh ini baru terjadi secara terbatas
• Pada 2013, Brenno de Winter memperkirakan regulasi baru akan benar-benar berjalan setelah terjadi kecelakaan besar seperti tenggelamnya Titanic, tetapi bahkan tanpa peristiwa seperti itu, UE telah menyiapkan beberapa undang-undang keamanan siber
  • Sudah ada sekitar 6–7 undang-undang yang disusun, tetapi baru satu yang diaktifkan sebagian, sementara sisanya masih dalam proses penerapan
  • Undang-undang ini menyerupai lingkungan pasca-Titanic yang dapat memperbaiki kondisi keamanan siber sampai batas tertentu

Contoh Nyata Serangan Siber Militer

• Stuxnet adalah operasi yang menargetkan fasilitas sentrifugal uranium Iran; bukan hanya menghentikan fasilitas, tetapi membuatnya secara fisik merusak dirinya sendiri
• Tepat sebelum invasi Rusia ke Ukraina, terjadi serangan modem Viasat
  • Penyerang menghapus firmware modem komunikasi satelit, membuat perangkat harus diganti
  • Di Jerman, 4.000 turbin angin yang menggunakan modem ini tidak lagi dapat dioperasikan
  • Komunikasi militer Ukraina juga sangat terganggu, yang menguntungkan Rusia
• Rusia sebelumnya juga pernah melumpuhkan jaringan listrik Ukraina dengan cara serupa
  • Pihak Ukraina memiliki sistem yang sederhana dan tangguh serta kemampuan respons yang baik, sehingga gangguan hanya berlangsung sekitar 6 jam
• Meski contoh seperti ini jarang, semuanya menunjukkan bahwa serangan siber dalam situasi perang dapat melampaui gangguan jaringan dan berujung pada perusakan perangkat serta kelumpuhan infrastruktur sosial

Tiga Syarat yang Dibutuhkan dalam Situasi Kacau

• Dalam perang, kekacauan berskala besar, atau pemadaman listrik, tiga sifat menjadi penting
  • Ketangguhan: infrastruktur tidak boleh tumbang dengan sendirinya meski tidak diserang
  • Dependensi yang terbatas dan diketahui: harus diketahui apakah ada ketergantungan pada komputer atau orang yang berada 5.000 km jauhnya
  • Kepemilikan yang dapat diperbaiki: harus dapat memahami sendiri perangkat, firmware, kabel, dan status konfigurasi, bahkan melakukan tindakan sementara
• Alat komunikasi modern seperti Microsoft 365 dapat mengalami gangguan satu atau dua hari dalam setahun bahkan tanpa serangan, sehingga sulit dianggap sebagai infrastruktur tangguh dalam arti ini
• Operator telekomunikasi yang pemeliharaan perangkatnya dilakukan dari jarak 5.000 km akan sulit mendapat bantuan jika koneksi terputus
• Dalam keadaan darurat, mungkin perlu menggunakan kabel tidak resmi karena kabel yang tepat tidak tersedia, atau memperbaiki firmware sendiri

Kemunduran Jaringan Komunikasi Darurat

• sound-powered phone adalah perangkat sederhana yang beroperasi tanpa listrik, sehingga tetap dapat dipakai untuk berbicara dengan dek kapal bahkan saat kapal terbakar
  • Perangkat ini begitu sederhana dan tangguh hingga tetap bekerja meski dipukul dengan palu
  • Dapat digunakan untuk berbicara dengan hingga 10 stasiun dan tetap berfungsi pada kabel sepanjang 50 km
• Mini-noodnet lama di Belanda adalah jaringan komunikasi darurat berbasis kabel tembaga yang menghubungkan 20 bunker
  • Jaringan ini sepenuhnya independen dari jaringan telepon umum dan dirancang untuk bertahan dalam perang dan bencana
  • Strukturnya sepenuhnya redundan secara A/B
• Jaringan ini telah ditutup, dan fasilitas komunikasi darurat yang dimodernisasi bergantung pada layanan VPN KPN dan modem DSL
  • Semua panggilan melewati beberapa router KPN, dan jika ada sesuatu yang rusak, bagian inilah yang kemungkinan besar rusak lebih dulu
  • Beberapa tahun lalu, saat terjadi pemadaman listrik, sistem ini dicoba digunakan tetapi tidak berfungsi
• WhatsApp banyak digunakan seolah-olah menjadi sarana komunikasi bencana de facto pemerintah Belanda
  • Konsep jaringan darurat berbasis pesan teks singkat itu sendiri berguna
  • Namun jika kabel ke Amerika Serikat terputus, WhatsApp juga bisa tumbang, sehingga redundansi jaringan darurat itu sendiri rendah

Jembatan dan Kemampuan Perbaikan Lapangan

• Rijkswaterstaat sering memberi tahu bahwa mereka “memanggil engineer” ketika sebuah jembatan tidak mau menutup
  • Untuk memperbaiki jembatan, jaringan telepon harus berfungsi, dan nomor telepon engineer mungkin berada di file Excel cloud
  • Pada 2024, rantai pemulihan jembatan dapat mencakup cloud, jaringan telepon, kendaraan lapangan, dan dalam beberapa kasus bahkan cloud untuk van listrik
• Infrastruktur sosial modern menjadi struktur yang hanya dapat dipertahankan jika listrik, kabel ke Amerika Serikat, cloud, dan jaringan telepon semuanya berfungsi
• Botlek Bridge adalah jembatan modern yang mengalami total 250 kali kerusakan, dan pada awalnya rusak sekitar 75 kali per tahun
  • Karena merupakan rute utama lalu lintas truk, dampak gangguannya besar
  • Dengan menempatkan engineer khusus di van di lokasi, downtime berkurang sekitar setengahnya
  • Bahkan ada situs web pelacakan gangguan dan layanan notifikasi SMS
• Bertahun-tahun kemudian, penyebabnya terungkap sebagai kabel atau port Ethernet yang buruk pada server yang mengelola status dan sensor
  • Fakta bahwa penyebabnya tidak ditemukan selama lebih dari 3 tahun menunjukkan kurangnya kendali atas infrastruktur sendiri
• Maeslantkering, sebaliknya, adalah contoh infrastruktur besar yang sederhana dan tangguh
  • Ini adalah struktur untuk menahan air tinggi, dan mesin merah yang digunakan untuk menutupnya hanya berfungsi mendorong struktur agar tertutup
  • Bahkan jika mesin tidak bekerja, ada cara lain untuk menutupnya, dan struktur itu tidak harus tertutup sepenuhnya
  • Ini adalah struktur pasif dan tidak bergantung pada sensor

Infrastruktur Telekomunikasi dan Ketergantungan Luar Negeri

• Saat pembahasan 5G, kalangan politik memperlakukannya seolah-olah ini adalah keputusan apakah akan memakai perangkat Tiongkok baru, tetapi dalam kenyataannya pihak Tiongkok sudah mengoperasikan banyak perangkat telekomunikasi
• Tidak terlihatnya posisi operasional terkait 5G dalam lowongan kerja KPN menunjukkan situasi di mana operator telekomunikasi tidak mengoperasikan infrastruktur tersebut sendiri
• Dulu, komunikasi dianggap begitu penting sampai disiapkan 20 bunker dan jaringan komunikasi independen, tetapi kini seolah-olah struktur yang dioperasikan dari Beijing diterima begitu saja
• Perpindahan operator telekomunikasi ke perangkat Ericsson dan Nokia adalah hal positif, tetapi tenaga pemeliharaannya mungkin bukan “Sven” dari Swedia, melainkan personel yang berada jauh
• Tiongkok dan India bersekutu erat dengan Rusia, dan dalam situasi serangan peretas Rusia, tidak jelas apakah organisasi eksternal seperti Infosys dapat datang membantu
• Eropa memiliki kapabilitas dalam optik canggih dan peralatan manufaktur chip, tetapi belum cukup berfokus pada pengoperasian langsung infrastruktur pentingnya sendiri

Kerentanannya Terlalu Mendasar dan Terlalu Banyak

• Jurnalis Belanda Joost Schellevis memindai internet Belanda selama akhir pekan dan menemukan 10.000 titik yang terbuka bagi peretas
  • NCSC dan pihak lain sedang melakukan perbaikan, dan pemindaian kerentanan juga mulai dimungkinkan
  • Pada suatu masa, seorang jurnalis dapat melakukan pemindaian seperti ini, tetapi pemerintah Belanda tidak dapat melakukannya karena alasan hukum
• Nasihat seperti “beli firewall yang bagus maka Anda aman” juga sulit berlaku dalam kondisi ini
  • Banyak vendor keamanan besar merilis produk yang sangat tidak aman dengan ratusan masalah setiap tahun
  • Situasi berulang di mana pembaruan keamanan dari vendor besar seperti Oracle dan Microsoft memuat ratusan kerentanan setiap bulan
• Banyak insiden keamanan terbaru bukan hanya berasal dari serangan tingkat lanjut, tetapi juga dari kesalahan yang sangat mendasar
  • Perangkat lunak help desk memungkinkan akses sebagai admin baru dan reset kata sandi hanya dengan menambahkan satu garis miring di akhir URL
  • GitLab memiliki masalah selama sekitar 6 bulan di mana saat reset kata sandi, tautan reset dikirim ke alamat email kedua, sementara pemeriksaan apakah pengguna adalah admin hanya dilakukan pada email pertama
  • Ivanti tetap menjadi contoh bahwa manipulasi path dasar seperti ../ masih berhasil pada 2024
• Pemerintah AS melarang penggunaan Ivanti, tetapi pemerintah Belanda mengambil posisi bahwa itu tidak masalah jika firewall lain ditempatkan di depannya

Cloud Bukan Jawaban Otomatis

• Kesimpulan bahwa “pindah ke cloud membuat semuanya aman” tidak berlaku
• Microsoft mengatakan mereka menyadari adanya pembobolan dan sedang merespons, tetapi kemudian mengakui bahwa mereka masih dalam kondisi diretas setelah itu
• Untuk melihat kondisi keamanan perusahaan yang sebenarnya, ada tafsir bahwa orang harus membaca pengungkapan pasar modal
  • Jika masalah disembunyikan dalam pengungkapan, dewan direksi dapat dihukum, sehingga relatif lebih jujur
• Cyber Safety Review Board AS menyelidiki insiden terkait Microsoft, dan laporan terkait disebut sebagai referensi penting
• Eropa dan Belanda sedang memindahkan banyak TI ke cloud besar seperti Google, Microsoft, dan AWS
  • Pemerintah Belanda mengatakan beberapa item seperti informasi rahasia dan registrasi dasar pemerintah tidak akan dipindahkan ke cloud
  • Sebagian besar hal lainnya dapat menjadi target migrasi cloud
• Ketika organisasi yang sebelumnya mengoperasikan TI sendiri pindah ke cloud, tenaga operasional internal pergi
  • Ada juga kasus mereka pergi sendiri karena pekerjaannya menjadi membosankan
  • Tenaga teknis yang baik pindah ke perusahaan cloud, dan setelah itu cara operasi internal perusahaan tersebut sulit diketahui
• Masalah intinya adalah situasi di mana di dalam organisasi penting tidak tersisa orang yang benar-benar tahu apa yang dilakukan komputer

Biaya Pengambilan Keputusan Non-Teknis

• Pengambilan keputusan di Belanda dan Eropa dapat berjalan dengan sangat non-teknis
• Dalam posisi yang mengambil keputusan seperti strategi cloud, mungkin ada orang yang mempelajari hukum, sejarah, seni, bahasa Prancis, dan sebagainya, tetapi kekurangan orang yang tahu apa yang dilakukan komputer
• Selagi teknisi tidak menghadiri rapat, perusahaan dapat mengambil keputusan untuk mengalihdayakan semuanya ke luar negeri
• Tren saat ini mengarah pada semakin sedikitnya pengetahuan tentang hal-hal yang dioperasikan sendiri, dan semakin besarnya ketergantungan pada orang-orang yang jauh
• Arus ini sudah berjalan terlalu jauh dan cenderung memburuk, bukan berhenti

Kyivstar dan Perbedaan Kemampuan Pemulihan Masa Perang

• Ukraina sudah mengalami perang selama 2 tahun, sehingga hal-hal yang bisa rusak secara sederhana sebagian besar sudah rusak
• Rusia kemudian melakukan serangan destruktif terhadap salah satu operator telekomunikasi besar Ukraina, Kyivstar
• Kyivstar dan pihak Ukraina sudah siap menghadapi kekacauan, dan karena dapat memulihkan sistem dari awal, layanan kembali berjalan dalam 2 hari
• Ada kekhawatiran bahwa jika VodafoneZiggo atau Odido menerima serangan yang sama dan tidak mendapatkan bantuan eksternal, mereka bisa tumbang selama setengah tahun
  • Alasannya adalah mereka tidak cukup memahami sistem mereka sendiri
• Seperti pada masa COVID ketika alat pelindung diri dan masker tidak dapat dibuat sendiri sehingga bergantung pada Tiongkok, dalam situasi perang akan berbahaya jika harus meminta India atau pemerintahan Donald Trump untuk menyelesaikan masalah cloud

Eksperimen Perangkat Lunak Kecil dan Masalah Kompleksitas

• Saat mencoba berbagi gambar tanpa menggunakan cloud, situs berbagi gambar modern seperti Imgur diperlakukan sebagai layanan dengan sekitar 5 juta baris kode dan kompleksitas tinggi
• Solusi berbagi gambar buatan sendiri hanya terdiri dari 1.600 baris kode, ribuan kali lebih kecil daripada layanan pesaing
• IEEE membahas kasus ini, dan juga memuatnya di majalah cetak
• Para pakar keamanan mengaudit 1.600 baris kode ini dan menemukan tiga kerentanan utama
  • Kode kecil pun dapat menyembunyikan kerentanan serius
  • Ini mengarah pada kesimpulan bahwa kode berskala 5 juta baris pada dasarnya dapat terus tidak aman
• Kode kecil, sedikit dependensi, dan struktur yang dapat dipahami masih mungkin, tetapi itu saja tidak otomatis menjamin keamanan

Kondisi Saat Ini dan Peringatan Praktis

• Sistem yang menopang kehidupan sehari-hari terlalu kompleks dan rentan, sehingga gagal sendiri bahkan tanpa serangan
• Ketika operator telekomunikasi besar mengalami gangguan, kini harus dibedakan apakah itu serangan siber atau sekadar ketidakmampuan
• Pemeliharaan teknis semakin berpindah jauh, dan dalam lowongan kerja operator telekomunikasi pun sulit melihat tenaga yang langsung menangani jaringan nirkabel
• Kapabilitas teknis sendiri melemah, dan agar komunikasi tetap berjalan, dibutuhkan bantuan dari berbagai penjuru dunia
• Jika kondisi ini diterapkan pada situasi perang, hasil yang sangat buruk dapat diperkirakan
• Penyebabnya adalah para pengambil keputusan non-teknis memilih arah yang lebih murah atau tidak merepotkan, dan meskipun dibutuhkan lebih banyak pemikiran teknis, cara mewujudkannya belum jelas

[GN⁺]

Komentar Hacker News

• Saya sepenuhnya setuju dengan sudut pandang penulis. Misalnya, di European Train Control Systems, banyak orang ingin memakai GPS untuk memastikan posisi aman kereta, dan sektor antariksa menyukainya karena bisa membenarkan biaya menempatkan satelit seperti Galileo di orbit.
  Namun jika melakukan latihan pengecekan sebelum perang, kesimpulannya langsung jelas: jika GPS terkena jamming atau interferensi, semua kereta di Eropa mau tidak mau akan merayap lalu berhenti. Sebelum perang Ukraina, peringatan seperti ini jarang didengar.
  Infrastruktur penting tidak boleh bergantung pada sesuatu yang berada di antariksa atau di sisi lain Bumi. Di ranah seperti ini, regulasi harus datang sebelum logika pasar, dan kita tidak bisa menunggu Titanic berikutnya.

  • Perkeretaapian kini juga bisa mengalihdayakan kendali kereta. “Wabtec Cloud Positive Train Control Communication Solution” dari Wabtec disebut sebagai “solusi kantor hosting turnkey lengkap untuk sistem Positive Train Control berbasis I-ETMS”.
    Wabtec pernah mengalami insiden intrusi, tetapi mengklaim bahwa yang terkait hanya informasi karyawan, bukan sistem kendali.
    https://www.wabteccorp.com/digital-intelligence/signaling-an...
    https://industrialcyber.co/ransomware/wabtec-suffers-data-br...
  • Sulit untuk sepenuhnya setuju. Seluruh sistem rumah sakit Ascension Healthcare harus kembali ke catatan kertas sejak 8 Mei sehingga pasien berada dalam status pengalihan, dan Change Healthcare kehilangan 872 juta dolar AS setelah serangan pada Februari.
    Seperti pandemi, ada sisi di mana ini tampak bukan masalah besar sampai Anda terdampak langsung.
    https://en.wikipedia.org/wiki/Ascension_(healthcare_system)
    https://www.wired.com/story/change-healthcare-admits-it-paid...
    Selain itu, komputer yang berada 5.000 km jauhnya tidak selalu buruk. Jika tinggal di Gulf Coast yang rentan badai, Anda akan ingin sumber daya komputasi cadangan di luar wilayah itu dalam keadaan aktif. Setelah Katrina, sekolah kedokteran Tulane bisa berorganisasi ulang dengan cepat berkat papan pesan yang berjalan di VM di Rumania, sementara sisanya terendam air.
    Telepon bertenaga suara (sound-powered phone) pernah saya pakai saat bertugas menangani pengendalian kerusakan di kapal, dan hampir tidak pernah berfungsi dengan baik. Untuk mengoordinasikan respons kebakaran nyata, dibutuhkan radio dan sistem pengeras suara internal kapal, dan keduanya bergantung pada listrik.
    Ketika seluruh San Diego padam listrik selama 4 jam pada jam pulang kerja pada 2011, jaringan seluler tetap berfungsi, dan saya bisa mengirim dokumen lewat email ke Tokyo dari dalam mobil tanpa lampu lalu lintas.
    Ada juga kasus kabel di sisi AS terputus, tetapi banyak bencana terjadi saat kabel tetap baik-baik saja. Degradasi yang anggun muncul dari memiliki opsi yang tersebar luas, dan jika Anda menganggap jaringan IP rentan, menurut saya lebih baik menyiapkan terminal Starlink dan lisensi radio amatir.
    https://en.wikipedia.org/wiki/SpaceX_Starshield
  • Kereta memakai beberapa sensor untuk pengukuran jarak tempuh, jadi kehilangan salah satunya tidak langsung menjadi bencana.
  • Perkeretaapian jelas harus memakai GPS. Namun, seperti penerbangan, GPS harus dilengkapi dengan pemancar lokal, dan pemancar seperti itu perlu dipasang dalam jumlah sangat banyak.

• Ini salah satu tulisan terbaik yang pernah saya baca di HN, dan saya berharap lebih banyak orang melihatnya. Bahkan sebagai seorang “nerd”, saya sering berpikir apakah kita tidak sedang mencoba menyelesaikan masalah yang bisa diselesaikan lebih sederhana dengan pendekatan ala nerd.
  Kita sering tampak memilih cara yang paling rumit atau paling nerdy untuk membuktikan kepada diri sendiri dan orang lain bahwa kita bisa melakukannya, alih-alih mempertanyakan apakah kita seharusnya melakukannya. Tentu saja itu bukan berarti pendekatan seperti itu selalu buruk; untuk sebagian masalah, solusi yang sederhana memang lebih tepat.

  • Dalam kurikulum pendidikan, insiden Therac-25 cukup banyak dibahas sebagai contoh utama kepercayaan berlebihan pada perangkat lunak.
    https://en.m.wikipedia.org/wiki/Therac-25
  • Penulis sudah lama membicarakan sisi buruk alih daya, dan tulisan-tulisan sebelumnya juga menarik.

• Saya setuju bahwa pihak nonteknis membuat pilihan yang mengoptimalkan hal murah, dan ada dua hal tambahan di sini. Pelaku jahat dalam keamanan siber bersifat terdesentralisasi dan tersebar, cepat berinovasi dan berbagi, sementara pembela bersifat tersentralisasi, proprietari, dan terkurung di dalam batas-batas.
  Selain itu, penyedia perangkat lunak dan layanan secara tradisional gagal memasukkan jaringan yang aman ke dalam produk mereka, lalu melemparkan tanggung jawab itu kepada konsumen untuk ditambahkan belakangan. Ini berbahaya karena jaringan sering menjadi permukaan serangan terbesar dan paling rentan.

  • Sebenarnya masalah yang lebih besar adalah bahwa membuat produk yang aman dianggap, dengan sedikit pengecualian, sebagai gangguan yang bisa dilemparkan ke tim keamanan siber. Tim itu pun sering kali kekurangan kemampuan engineering pengembangan produk yang nyata.
    Jadi satu-satunya hal yang bisa dilakukan adalah membeli satu lagi alat dari ribuan vendor yang berkata “beli ini saja maka Anda aman”, yang bagi siapa pun yang pernah membangun produk aman seharusnya jelas terdengar omong kosong.
    Sebagian besar alat hanya sedikit berguna atau sama sekali tidak berguna, dan jelas bukan jawaban serba bisa. Untuk membuat produk yang aman, keamanan harus dijadikan persyaratan kelas satu dan dimasukkan ke dalam desain sejak hari pertama. Mudah dikatakan, sulit dilaksanakan.
  • Keputusan pihak nonteknis harus dicegah

• Sekitar 10 tahun lalu, saya pernah menulis artikel yang memprediksi bahwa karena infrastruktur Barat rentan terhadap operasi siber, AS tidak akan bisa turun tangan untuk membantu sekutu kecilnya. Logikanya, biaya kekacauan domestik akibat serangan infrastruktur akan membuat mereka ragu terlibat dalam perang di luar negeri, dan kerentanan itu akan membuat negara lawan seperti Russia atau China makin berani
  Sejauh ini, prediksi itu salah. Beberapa insiden infrastruktur baru-baru ini terlihat seperti operasi deterrence Russian yang seolah berkata “kalau kalian tidak mundur, kami bisa menunjukkan hal seperti ini”, tetapi AS tetap sangat terlibat dalam perang Ukraine dan tampaknya juga memberi perlindungan kepada Israel dalam menghadapi Iran. Tidak tampak banyak kekhawatiran bahwa kedua negara lawan itu mungkin punya kemampuan untuk menghentikan jaringan listrik AS
  China juga bersikap keras terhadap Taiwan, tetapi tampaknya puas mengelolanya alih-alih melakukan aneksasi politik penuh, dan tampaknya menganggap serius dukungan AS untuk Taiwan. Itu tetap berlaku bahkan jika diasumsikan China bisa menghentikan hampir semua hal di AS yang mengandung semikonduktor
  Mungkin dalam tatanan dunia baru, selama suatu negara bisa mengelola apa yang dibutuhkannya secara efektif, negara itu tidak perlu memperluas wilayah berdaulat. Kecuali untuk kasus seperti penempatan rudal, kalau bisa mendapatkan susu, mengapa harus menginvasi sapi dan menanggung beban memerintahnya. Dengan begitu, siber berada dalam dinamika yang lebih cair daripada asumsi geopolitik sebelum era ruang angkasa dan jaringan

  • Menurut saya yang hilang dari analisis ini adalah kapabilitas siber ofensif AS. Saya curiga, seberapa jauh kapabilitas itu diremehkan dalam narasi justru sebanding dengan kekuatannya
    Kalau ada banyak perdebatan gaduh tentang perlunya berinvestasi lebih banyak pada siber ofensif, saya justru akan khawatir. Dari cara mereka bertindak seolah-olah kapabilitas itu tidak ada saja sudah cukup memberi petunjuk

• Saya penulisnya. Kalau ada hal yang ingin ditanyakan, beri tahu saja

  • Sebagai software engineer, saya cukup setuju, tetapi ceritanya belum lengkap. Kalau melihat serangan terhadap Ukraine dan dampak kerusakan keamanan sibernya, dalam gambaran besar skalanya cukup kecil
    Selain itu, karena Microsoft membantu pertahanan, itu bukan investasi yang buruk. Saya penasaran apakah ada penilaian risiko kuantitatif untuk memahami potensi kerusakan jika Russians melakukan serangan serupa terhadap Netherlands
  • Senang melihat masih ada orang yang membela kebajikan pemrograman gaya lama. Di tengah percakapan yang didominasi sentralisasi berbasis modal, penskalaan, dan peningkatan kompleksitas, saya sempat merasa seperti kehilangan akal
  • Ini bukan pertanyaan, tetapi sebagai orang Eropa yang pernah bekerja di “perusahaan besar yang penting bagi negara/EU”, tulisan ini sangat beririsan dengan rasa frustrasi saya. Saya tidak bekerja di bidang keamanan
    Semua hal dalam infrastruktur IT di-outsourcing ke India, atau kalau sedikit lebih baik, ke Poland. Di kantor EU ada orang-orang kompeten, tetapi mereka tidak punya wewenang untuk memakai hardware sendiri. Mereka harus memohon selama berminggu-minggu kepada petugas tiket berketerampilan rendah dari perusahaan outsourcing dan menjalani rapat tanpa akhir
    Staf EU terdorong menjadi pabrik fitur atau manajer proses, dan sama sekali tidak ada operasi. Alasannya “itu bukan kompetensi inti”
    Saya tidak akan pernah lagi bekerja di perusahaan besar Eropa yang “penting bagi keamanan nasional”. Mengikis jiwa, dan sangat jelas bahwa tidak ada yang peduli
    Setiap kali melihat berita bahwa puluhan miliar euro dialokasikan untuk kedaulatan EU, hati saya sakit. Saya terlalu sering mengalami rapat yang terlalu panjang dalam tim berisi 10 manajer dan 2 engineer, sambil memohon kepada tim $indian_outsourcing_company agar mengizinkan saya melakukan pekerjaan saya
  • Kalau presentasi ini dilakukan di AS, Anda juga bisa menyebutkan fakta bahwa para petani AS tampaknya tidak bisa bertani tanpa GPS
    Tidak mungkin tidak ada masalah jika pasokan pangan sepenuhnya bergantung pada sistem satelit yang rumit dan mudah di-jamming
    https://www.404media.co/solar-storm-knocks-out-tractor-gps-s...
  • Presentasinya bagus, dan saya suka caranya menekankan risiko serta menjelaskan kebutuhan akan infrastruktur yang tangguh dengan gambaran yang jelas. Namun saya ingin memverifikasi bagian bahwa “4.000 turbin angin tidak lagi bisa dioperasikan”
    Dari yang saya temukan, detail utamanya sedikit berbeda. Turbinnya tetap beroperasi, dan jumlahnya tampaknya bukan 4.000 melainkan 5.800. Yang hilang tampaknya kemampuan pemantauan jarak jauh dan kendali jarak jauh
    https://cyberconflicts.cyberpeaceinstitute.org/law-and-polic...
    Saya harap Anda bisa menjelaskan perbedaan ini. Saya jelas berniat membagikan transkrip ini kepada orang lain, jadi ini layak dirapikan

• Baru-baru ini saya bertanya kepada para pengendali lalu lintas udara apa yang terjadi jika mereka tidak bisa memakai GPS, dan semuanya bereaksi tidak nyaman
  Itu akan menjadi hari yang sangat sibuk untuk memandu semua pesawat mendarat dengan vectoring. Sebab, tiba-tiba sebagian besar pesawat tidak bisa bernavigasi dengan aman dan pada dasarnya tidak bisa lepas landas
  Menurut saya memang gila memangkas anggaran alat bantu navigasi berbasis darat

  • Ada juga sarana navigasi lain. Misalnya VOR, yaitu beacon berbasis darat
    Sayangnya, karena waypoint GPS makin disukai, sarana seperti ini makin jarang digunakan dan pada dasarnya sedang menuju penghapusan. Kalaupun masih ada, pilot tidak memakainya setiap hari, sehingga pengalaman mereka berkurang
  • Karena jamming Russian, GPS sudah sering tidak bisa digunakan di Eropa timur dan utara. Beberapa lapangan terbang kecil harus memperbarui sistemnya agar tidak bergantung hanya pada GPS
  • Saya mengira GPS adalah aset non-kritis dalam penerbangan, sehingga pesawat apa pun bisa kapan saja memutusnya dengan aman dan tetap terbang menggunakan VOR serta alat bantu navigasi lain
    Artikel ini memperkenalkan beberapa skenario ketika pilot hanya bergantung pada GPS. Untuk mendapatkan angin yang menguntungkan dan rute yang lebih langsung, mereka memakai waypoint berbasis GPS bahkan di tempat tanpa VOR, dan keberangkatan/kedatangan RNAV bergantung “bukan pada alat bantu berbasis radio, melainkan hanya GPS” untuk menyediakan jarak yang lebih presisi dan kapasitas lebih tinggi. Di area seperti pegunungan, GPS dipakai sebagai pengganti ILS pada beberapa pendekatan
    https://simpleflying.com/gps-in-aviation-pilots-guide/
  • GPS hanyalah salah satu dari tiga sistem penentuan posisi satelit yang saat ini sudah diterapkan, jadi saya penasaran mengapa pesawat tidak memakai yang lainnya juga

• Rasanya gila bahwa terlalu banyak bagian dari pemeliharaan infrastruktur nasional di-outsourcing-kan ke China
  Jika China menginvasi Taiwan, apa yang bisa kita lakukan ketika mereka memegang daya ungkit seperti itu atas kita. Ketergantungan pada gas Russia saja sudah cukup buruk

  • AS tidak bergantung pada siapa pun untuk kebutuhan energinya. China tidak demikian, dan jika beberapa pipa seperti Nord Stream meledak, mereka cukup rentan
    Itu juga salah satu alasan AS mempertahankan kehadiran yang begitu besar di Middle East

• Saya penasaran apakah secara rahasia ada kehancuran bersama yang pasti dalam perang siber
  Tampaknya cukup masuk akal untuk berasumsi bahwa kekuatan-kekuatan besar utama memiliki cukup banyak 0-day kapan saja, sehingga jika digunakan bersama-sama mereka bisa memformat sebagian besar komputer dan ponsel di seluruh dunia. Membuat worm memakai IP secara cerdas untuk menargetkan negara tertentu juga seharusnya tidak terlalu sulit
  Sulit membayangkan seberapa besar kerusakannya jika hanya 25% komputer kantor dan rumah dihapus, ditambah sebagian besar ponsel yang belum diperbarui dalam 6 bulan dan bagian yang cukup besar dari server online

  • Kalau itu benar, saya heran mengapa kita hampir tidak pernah mendengar peretas Russian menghapus data ponsel dan komputer secara massal di Ukraine
    Jawaban bahwa Kremlin menyimpan 0-day untuk konflik yang lebih serius tidak meyakinkan. Kremlin memandang situasi Ukraine sebagai masalah yang sangat serius bagi keamanan nasional Russian, memakai banyak rudal yang harganya lebih dari satu juta dolar per tembakan untuk melemahkan jaringan listrik Ukraine, dan juga beberapa kali mencoba membunuh presiden Ukraine
    Kalau begitu, mengapa mereka tidak habis-habisan mencoba menimbulkan kerusakan sebesar mungkin pada Ukraine lewat serangan siber
  • EMP nuklir di orbit rendah bisa menjadi opsi semacam itu. Secara teknis bukan siber, memang

• Jika COVID-19 saja tidak mengubah ketergantungan pada penyerahan pekerjaan remeh ke luar negeri, saya rasa sangat kecil kemungkinan situasi menjelang perang akan berbeda
  Kita adalah spesies yang mengoptimalkan jalur terpendek dan memangkas sudut di sepanjang prosesnya. Baru setelah sesuatu terjadi dan kita duduk di atas abu, kita akan berpikir, “sebenarnya apa yang salah”

  • Istilah yang dicari sepertinya Friendshoring
    Sebagian perusahaan dan pemerintah mendorong Friendshoring untuk mengurangi risiko geopolitik sambil mempertahankan akses ke pasar dan rantai pasok internasional. Bonnie Glick pertama kali memakai istilah “allied shoring” saat menjabat sebagai wakil administrator USAID pada awal pandemi Covid-19, dan kebijakan perdagangan baru AS, termasuk USMCA dan IPEF, juga selaras dengan struktur Friendshoring
    https://en.wikipedia.org/wiki/Friendshoring

• Rasanya mengganggu bahwa tak lama setelah saya banyak mengangkat kekhawatiran keamanan soal perangkat lunak pengadilan dan peradilan, saya pada dasarnya dipecat
  Sejak itu saya terus menganggur, pendapatan mulai tidak stabil, dan pencarian kerja sama sekali tidak menunjukkan kemajuan
  Berapa banyak orang yang sekarang punya kemampuan teknis tinggi tetapi sulit mendapatkan pekerjaan. Seberapa besar godaan yang mereka rasakan untuk beralih menjadi blackhat karena alasan pendapatan. Saya yakin bukan hanya saya yang memikirkan ini

  • Situasinya benar-benar buruk sekarang. Setelah beberapa tahun, saya belajar untuk tidak mengusik-usik tanpa perlu. Kalau peran utama Anda bukan keamanan, lebih baik mengikuti arus
    Di setiap perusahaan tempat saya bekerja, saya melihat lubang keamanan yang sangat besar. Selama checklist untuk asuransi sudah tercentang, tidak ada yang peduli
  • Saya berhenti mencari kerja. Saya mendapati diri saya memaksa bangun dari tempat tidur setiap hari, pergi ke kafe, dan membuat versi baru CV, hanya untuk ditolak dari pekerjaan yang sebenarnya juga tidak saya inginkan
    Kalau ada yang tahu tips blackhat, kirimkan juga ke saya… bercanda