Serangan deanomisasi 0-click yang menargetkan platform seperti Signal dan Discord

• Halo, saya Daniel. Saya siswa kelas 12 SMA berusia 15 tahun. Di waktu luang, saya meretas perusahaan besar dan membuat hal-hal keren. Tiga bulan lalu, saya menemukan serangan deanomisasi 0-click yang memungkinkan penyerang melacak lokasi target dalam radius 250 mil melalui perangkat yang memasang aplikasi tertentu. Melalui riset ini, saya ingin memperingatkan jurnalis, aktivis, dan peretas.

Cloudflare

• Cloudflare adalah salah satu CDN paling populer di pasar, melampaui Sucuri, Amazon CloudFront, Akamai, Fastly, dan lainnya.
• Salah satu fungsi utama Cloudflare adalah caching, yang menyimpan konten yang sering diakses untuk mengurangi beban server dan meningkatkan performa situs web.
• Cloudflare memiliki data center di 330 kota di seluruh dunia, angka yang 273% lebih banyak dibanding Google.
• Karena data cache Cloudflare disimpan dekat dengan pengguna, muncul ide apakah hal ini bisa disalahgunakan untuk serangan deanomisasi.

Cloudflare Teleport

• Saya tidak bisa mengirim permintaan HTTP langsung ke data center Cloudflare, tetapi saya menemukan cara menggunakan Cloudflare Workers untuk mengirim permintaan ke data center tertentu.
• Cloudflare Teleport adalah alat proxy yang mengalihkan permintaan HTTP ke data center tertentu melalui Cloudflare Workers.
• Alat ini kemudian ditambal oleh Cloudflare, tetapi digunakan untuk pengujian awal.

Serangan deanomisasi pertama

• Dengan menggunakan alat Cloudflare Teleport, saya memverifikasi teori tersebut, lalu melalui program CLI sederhana mengirim permintaan HTTP GET ke URL tertentu dan mencantumkan cache resource serta usianya.
• Pengujian dilakukan menggunakan favicon milik Namecheap, dan teorinya terkonfirmasi.

Penerapan di dunia nyata: Signal

• Signal adalah layanan pesan terenkripsi open source yang banyak digunakan jurnalis dan aktivis.
• URL lampiran Signal diatur menggunakan caching Cloudflare, sehingga lokasi penerima dapat dilacak dengan metode geolokasi cache.
• Melalui push notification, serangan 0-click dimungkinkan, dan lampiran diunduh otomatis meskipun pengguna tidak membuka percakapan.

Penerapan di dunia nyata: Discord

• Discord adalah aplikasi gratis yang ditujukan untuk gamer, dan belakangan mendapat sorotan terkait kebocoran pemerintah serta kejahatan siber.
• URL avatar pengguna Discord diatur menggunakan caching Cloudflare, sehingga serangan 0-click dimungkinkan melalui push notification.
• Dengan bot Discord bernama GeoGuesser, serangan otomatis dapat dilakukan dan hasilnya bisa dilihat langsung di Discord.

Laporan bug bounty

• Hasil riset ini telah dilaporkan ke Signal dan Discord, tetapi sebagian besar tanggapannya mengecewakan.
• Cloudflare telah menambal bug yang memungkinkan perpindahan antar-data center, tetapi masalah mendasarnya belum teratasi.

Cara melindungi diri

• Serangan ini bisa menjadi risiko besar khususnya bagi jurnalis, aktivis, dan individu yang sangat peduli pada privasi.
• Semua aplikasi yang menggunakan CDN masih bisa rentan jika tidak mengambil langkah pencegahan yang tepat.

Pemikiran akhir

• CDN meningkatkan performa dan skalabilitas, tetapi juga menghadirkan risiko yang bisa disalahgunakan dengan cara baru.
• Pengguna yang memegang peran sensitif atau sangat memprioritaskan privasi perlu tetap terinformasi dan waspada.

[GN⁺]

Pendapat Hacker News

• Saat pengguna Signal mengirim foto, data di-cache di pusat data melalui Cloudflare. Melacak lokasi pengguna adalah pernyataan yang berlebihan, dan kecuali pengguna berada di tempat terpencil, ini tidak merusak anonimitas. Namun, ini analisis yang menarik

  • Saya pikir fitur penerimaan lampiran otomatis di Signal perlu memiliki opsi untuk dinonaktifkan demi perlindungan privasi
  • Signal mengambil pendekatan yang berusaha menyeimbangkan kemudahan penggunaan dan perlindungan privasi. Pengguna yang sensitif terhadap keamanan disarankan menggunakan VPN dan proxy
  • Caching akan tetap ada, dan respons Cloudflare adalah salah satu cara terbaik. Caching untuk informasi sensitif tidak disarankan

• Signal maupun Discord tidak memberikan anonimitas. Mereka mengklaim pesan tidak bisa dibaca, tetapi itu tidak sempurna

  • Pemrosesan media otomatis adalah pilihan demi kenyamanan pengguna, tetapi bisa digunakan sebagai bagian dari serangan terhadap anonimitas
  • Jika ingin mempertahankan anonimitas, sebaiknya tidak menggunakan Discord maupun Signal

• Beberapa pengguna menganggap teknik ini merusak anonimitas. Dengan serangan berulang, pergerakan pengguna bisa dilacak

• Pelacakan lokasi dalam radius 250 mil bukan berarti anonimitas rusak. Diperlukan OSINT tambahan

• Serangan ini dapat digunakan oleh penegak hukum atau pelaku jahat untuk mengetahui lokasi pengguna

• Ada yang mempertanyakan mengapa Signal mengaktifkan URL caching. Menonaktifkan caching mungkin bisa menyelesaikan masalah

• Ini adalah cara kerja dasar internet, dan alasan mengapa proxy anonimisasi diperlukan. Bagi sebagian besar pengguna, ini bukan ancaman besar

• Serangan ini adalah serangan nontradisional tanpa eksekusi kode. Lokasi kasar pengguna bisa diperkirakan melalui pusat data Cloudflare