Apple Menarik Alat Perlindungan Data Setelah Kontroversi Keamanan dengan Pemerintah Inggris
(bbc.com)- Setelah pemerintah Inggris meminta hak akses ke data pengguna, Apple membuat pelanggan di Inggris tidak lagi dapat mengaktifkan fitur keamanan tingkat tertinggi Advanced Data Protection untuk iCloud
- ADP adalah fitur opsional yang menerapkan enkripsi end-to-end pada data yang disimpan online seperti foto dan dokumen, sehingga hanya pemilik akun yang dapat melihatnya; Apple pun tidak dapat mengakses data yang sudah diaktifkan fitur ini
- Mulai 21 Februari 2025 pukul 15:00 GMT, pengguna di Inggris yang mencoba mengaktifkan ADP akan melihat pesan kesalahan, dan ADP milik pengguna yang sudah ada juga akan dinonaktifkan di kemudian hari
- Tanpa ADP, sebagian data iCloud hanya akan menerapkan enkripsi standar, sehingga dapat diakses oleh Apple dan dapat dibagikan kepada aparat penegak hukum jika ada surat perintah
- Belum jelas apakah langkah ini akan meredakan tuntutan Inggris berdasarkan Investigatory Powers Act dan kekhawatiran tentang backdoor global, sementara penolakan dari kalangan politik AS dan komunitas perlindungan privasi juga terus berlanjut
Penarikan ADP dan Dampaknya bagi Pengguna iCloud di Inggris
- Apple mengambil langkah yang belum pernah terjadi sebelumnya dengan menghentikan penyediaan Advanced Data Protection(ADP) bagi pelanggan di Inggris
- ADP menerapkan enkripsi end-to-end pada data seperti foto dan dokumen yang disimpan di iCloud, sehingga hanya pemilik akun yang dapat mengaksesnya
- Data yang fiturnya diaktifkan saat ini bahkan tidak dapat dilihat oleh Apple
- Di Inggris, ADP tidak dapat lagi diaktifkan untuk pertama kali
- Mulai 21 Februari 2025 pukul 15:00 GMT, pengguna di Inggris yang mencoba mengaktifkan ADP akan melihat pesan kesalahan
- Akses pengguna ADP yang sudah ada juga akan dinonaktifkan nanti
- Tidak diketahui berapa orang yang telah mendaftar sejak ADP tersedia bagi pelanggan Apple di Inggris pada Desember 2022
- Jika ADP hilang, tidak semua data iCloud pelanggan di Inggris akan dilindungi dengan enkripsi end-to-end penuh
- Data dengan enkripsi standar dapat diakses oleh Apple
- Jika aparat penegak hukum memiliki surat perintah, Apple dapat membagikan data tersebut
- Apple menyatakan “gravely disappointed” karena pelanggan di Inggris tidak lagi dapat menggunakan fitur keamanan ini
- Perusahaan mempertahankan sikap bahwa mereka tidak pernah membuat “backdoor” atau “master key” pada produknya, dan tidak akan melakukannya di masa depan
- Apple menilai penguatan keamanan penyimpanan cloud dengan enkripsi end-to-end kini lebih mendesak daripada sebelumnya
- Apple berharap dapat menyediakan tingkat keamanan tertinggi untuk data pribadi di Inggris pada masa mendatang
Tuntutan Pemerintah dan Penolakan Internasional
- Tuntutan pemerintah Inggris diketahui dikirim oleh Home Office berdasarkan Investigatory Powers Act(IPA)
- IPA dapat memaksa perusahaan untuk memberikan informasi kepada aparat penegak hukum
- Apple tidak berkomentar mengenai pemberitahuan tersebut, dan Home Office menyatakan tidak akan mengonfirmasi ataupun membantah keberadaan pemberitahuan semacam itu
- BBC dan Washington Post menghubungi sejumlah sumber yang mengetahui perkara ini
- Kalangan perlindungan privasi serta sebagian pihak di bidang teknologi dan kebijakan menentang keras langkah ini
- Para aktivis perlindungan privasi menyebutnya sebagai “unprecedented attack” terhadap data pribadi seseorang
- Kepala WhatsApp Will Cathcart menulis di X bahwa jika Inggris memaksa adanya backdoor global pada keamanan Apple, semua orang di semua negara akan menjadi kurang aman
- Dua politisi senior AS menilai tuntutan tersebut sebagai ancaman serius bagi keamanan nasional AS hingga pemerintah AS perlu mengevaluasi ulang perjanjian berbagi intelijen dengan Inggris jika tuntutan itu tidak dicabut
- Belum jelas apakah penarikan ADP oleh Apple di Inggris saja akan mengakhiri kontroversi ini
- Perintah IPA berlaku di seluruh dunia, sementara ADP tetap beroperasi di negara lain
- Senator Ron Wyden menyatakan bahwa langkah menarik cadangan terenkripsi end-to-end di Inggris menciptakan preseden berbahaya yang dapat diikuti negara-negara otoriter
- Wyden menilai langkah ini saja kemungkinan tidak cukup untuk membuat Inggris mencabut tuntutannya, dan dapat mengancam serius privasi pengguna di AS
Perdebatan tentang Enkripsi dan Keselamatan Anak
- Ada pula tanggapan yang menuntut keseimbangan antara keselamatan anak dan enkripsi
- Rani Govender dari NSPCC menyatakan bahwa perusahaan teknologi seperti Apple harus menyeimbangkan keselamatan anak dan pengguna dengan perlindungan privasi
- NSPCC menilai layanan enkripsi end-to-end dapat menghambat upaya perlindungan anak, seperti identifikasi penyebaran materi pelecehan seksual terhadap anak (CSAM)
- Sebaliknya, ada bantahan bahwa enkripsi adalah sarana perlindungan privasi sehari-hari
- Salah satu pendiri Global Signal Exchange, Emily Taylor, menyatakan bahwa enkripsi berkaitan dengan perlindungan privasi konsumen, dan tidak sama dengan dark web tempat CSAM terutama beredar
- Taylor mengatakan enkripsi adalah sarana perlindungan privasi yang digunakan setiap hari, seperti komunikasi perbankan dan aplikasi pesan terenkripsi end-to-end
- Kontroversi ini terjadi di tengah meningkatnya penolakan di AS terhadap tekanan regulasi luar negeri terhadap perusahaan teknologi Amerika
- Wakil Presiden AS JD Vance mengatakan dalam pidatonya di Paris AI Action Summit pada awal Februari bahwa pemerintahan Trump khawatir atas laporan bahwa sejumlah pemerintah asing berupaya meningkatkan tekanan terhadap perusahaan teknologi AS yang beroperasi secara internasional
2 komentar
Semua orang tampaknya akan ikut-ikutan mengajukan permintaan serupa. Sangat disayangkan.
Pendapat Hacker News
Benar, sebenarnya ini jauh lebih serius daripada yang dijelaskan pemerintah
Tuntutan pemerintah Inggris datang sebagai “technical capability notice” di bawah Investigatory Powers Act, dan isinya meminta Apple membuat backdoor yang bisa mengakses data pengguna terenkripsi di seluruh dunia
Jika membayangkan perangkat digeledah di bandara berdasarkan Counter Terrorism Act, tidak ada hak atas nasihat hukum atau hak untuk diam, dan sasarannya bukan hanya warga Inggris, tetapi juga orang asing yang melewati wilayah Inggris
Ini mungkin mendekati backdoor terbesar yang pernah saya dengar, dan yang lebih mengkhawatirkan adalah Apple tampaknya satu-satunya yang melawan secara terbuka
Perangkat Android juga terus mendorong backup cloud dan membuatnya sulit dimatikan, jadi sulit memastikan bahwa Google atau Microsoft belum memenuhi tuntutan serupa
Selain itu, sebagian besar autentikasi dua faktor melewati perusahaan teknologi besar atau ponsel, sehingga pada akhirnya ini seperti menyerahkan kunci semua akun, dan rasanya pertarungan privasi serta keamanan sedang kalah
Jika harus mematuhi IPA, mereka perlu memasukkan mekanisme untuk mengekstraksi kunci di dalam Android, dan karena riset keamanan di Android lebih mudah daripada iOS, bukankah kemungkinan pelanggaran seperti itu akan ditemukan cukup besar?
Google meninggalkan Tiongkok ketika pemerintah Tiongkok menuntut semua kunci data warganya
Apple cenderung melawan hanya ketika itu terlihat oleh publik dan tidak menjadi ancaman besar bagi bisnisnya; menurut saya mereka lebih mirip perusahaan yang piawai dalam pemasaran dan pengelolaan citra daripada perusahaan yang benar-benar melindungi data pengguna
Isu kali ini adalah upaya mengakses backup terenkripsi Apple, yang diyakini Apple tidak memiliki kuncinya
Dan saya rasa AS juga dapat mengakses data warga non-AS yang disimpan di AS tanpa banyak pengawasan
Misalnya, jika Apple menyediakan backdoor untuk data senator AS, menyerahkan informasi itu mungkin dianggap pengkhianatan di AS
Ini contoh yang sepenuhnya hipotetis, tetapi pada akhirnya bisa menjadi masalah kedaulatan data
Pada dasarnya, saya melihat ini sebagai masalah literasi teknologi di kalangan politik
Mereka terus bersandar pada kekeliruan “kalau tidak ada yang disembunyikan, tidak ada yang perlu ditakuti”, dan Inggris khususnya memiliki tata kelola negara yang paternalistis serta dukungan otoritarian lintas partai
Undang-undang seperti ini selalu ditulis agar bisa diterapkan dan ditargetkan secara ambigu untuk mengakali hukum lain, dan setelah diberlakukan, dalih “pikirkan anak-anak” kemungkinan akan segera menghilang
Pemerintah keliru mengira backdoor mereka bisa membedakan pihak baik dan pihak jahat, padahal satu-satunya perlindungan nyata adalah security through obscurity, karena mengungkap keberadaan backdoor atau fakta adanya permintaan semacam itu adalah ilegal
Bagi penyerang jahat yang mengasumsikan perusahaan cloud multinasional sudah terkompromi, ini hanya menambah target, dan backdoor semacam ini akan menjadi kesempatan impian bagi black hat dan gray hat yang ingin menembus pemerintah
Kalangan politik membutuhkan kontrol, dan mereka menganggap meningkatnya risiko bagi pengguna dalam proses membangun kontrol itu bukan masalah mereka
Saya belajar bahasa Latin, jadi tahu pater berarti ayah, tetapi saya tidak tahu apa itu negara yang seperti ayah
“Dukungan otoritarian lintas partai” juga ungkapannya ambigu
Meski begitu, saya setuju bahwa merusak enkripsi sehari-hari adalah ide yang benar-benar bodoh, dan agak disayangkan Apple juga menjualnya seperti fitur tambahan
Menjalankan
openssljuga tidak mahal, dan itu open source yang layakMereka menginginkan sistem yang bisa mereka tembus tetapi tidak bisa ditembus kriminal; ini mungkin bisa terjadi dalam keamanan fisik, tetapi mustahil dalam keamanan siber
Rasanya para politisi juga sudah tahu bahwa keamanan siber parsial itu mustahil, tetapi tidak peduli, dan badan intelijen yang menasihati mereka pasti mengetahuinya
Dunia tempat rahasia dianggap ilegal membuat pekerjaan hacker lebih mudah dibanding dunia yang benar-benar menghentikan mereka
Dalam beberapa bulan terakhir saja sudah terlihat bahwa orang-orang yang berada di dalam pemerintah atau yang ingin menjadi pemerintah belum tentu pihak baik, dan bahkan jika akses dibatasi hanya untuk pemerintah, semakin sulit untuk mengklaim “kami adalah pihak baik”
Apple memublikasikan jumlah permintaan data pemerintah yang diterimanya per negara
Jumlah permintaan dari Inggris meningkat tajam dalam beberapa tahun terakhir: https://www.apple.com/legal/transparency/gb.html#:~:text=77%...
Sebagian besar kemungkinan disebabkan oleh implementasi dan otomasi perjanjian akses data AS-Inggris berdasarkan CLOUD Act, yang tampaknya menyederhanakan prosedur permintaan bagi lembaga penegak hukum dan keamanan nasional Inggris
https://www.apple.com/legal/transparency/de.html#:~:text=77%...
Karena itu, permintaan seperti ini kemungkinan besar tidak muncul dalam laporan transparansi
Karena Apple telah memutuskan untuk menonaktifkan Advanced Data Protection, sulit untuk mengesampingkan kemungkinan bahwa mereka akan memberikan backdoor kepada Inggris, dan sangat meresahkan karena publik juga tidak punya cara untuk mengetahui seberapa sering dipakai dan untuk alasan apa
Semua periode 6 bulan dari Januari 2014 hingga Juni 2017 memiliki jumlah permintaan yang lebih besar daripada periode 6 bulan mana pun dalam 5 tahun terakhir
Pemerintah harus diwajibkan meminta surat perintah yang spesifik untuk mengakses data pribadi
Pernyataan bahwa “belum pernah terjadi perusahaan tidak bekerja sama dengan pemerintah dan menarik produknya” terlalu nyaman untuk pihak sendiri
Jika Apple memberikan backdoor kepada Inggris, pengguna di seluruh dunia akan menjadi lebih rentan
Keputusan ini berarti mematuhi hukum setempat, dan negara itu harus menanggung konsekuensi yang diinginkan oleh penguasa yang mereka pilih sendiri
Pernyataan di paragraf berikutnya bahwa “jika operator komunikasi lain merasa bisa menarik produk dan tidak bertanggung jawab kepada pemerintah, itu menjadi preseden yang sangat mengkhawatirkan” juga terdengar menyeramkan
Google sudah lama menarik diri dari China agar tidak tunduk pada tuntutan pemerintah China, dan yang ditarik bukan satu produk, melainkan seluruh bisnisnya
Pornhub melakukan itu di beberapa negara bagian AS, dan Meta juga pernah mengancam serupa di beberapa negara
Perusahaan kuat yang melawan regulasi sudah selalu ada, tetapi taktik menghukum negara dengan menarik produk tampaknya makin sering digunakan belakangan ini
Menentukan di mana pekerjaan dan fasilitas akan dibangun juga merupakan alat kekuasaan korporasi, seperti kasus Musk yang pindah dari California ke Texas, dan perusahaan pertahanan serta minyak juga memakai taktik semacam itu
Pada kenyataannya ia tampak bermusuhan dengan privasi
Langkah ini tidak memenuhi tuntutan awal pemerintah, yaitu akses backdoor ke akun cloud terenkripsi end-to-end di seluruh dunia
Pertanyaan yang lebih penting adalah bagaimana enkripsi end-to-end bisa “ditarik kembali” tanpa kehilangan data
Bagaimana dengan orang-orang yang sudah mengaktifkannya?
Logika Apple dalam menolak backdoor bertumpu pada prinsip AS bahwa “tenaga kerja tidak boleh dipaksa”, tetapi jika Apple membuat fitur untuk “mematikan enkripsi end-to-end akun ini”, implementasi seperti itu akan membuat klaim bahwa hal tersebut merupakan kerja paksa atau ujaran paksa menjadi lebih sulit dipertahankan
Apple juga bisa memblokir akses iCloud sampai pengguna melakukan tindakan ini
Menurut artikel, jika pengguna tidak menonaktifkannya sendiri, Apple tidak bisa melakukannya atas nama mereka, sehingga akun iCloud akan dibatalkan
Mereka bisa mendistribusikan pembaruan yang membuat perangkat mendekripsi dan mengunggah data
“Pemerintah Inggris naif jika berpikir bisa memerintahkan perusahaan teknologi AS melakukan sesuatu secara global”
Saya tidak tahu apakah ada cara memenuhi permintaan awal tanpa pada praktiknya menjadi backdoor, dan mematikan enkripsi end-to-end di pasar Inggris hanya menunda masalah
Sekadar membuat alat yang mendorong pengguna keluar dari enkripsi end-to-end tanpa persetujuan eksplisit pun nantinya bisa disalahgunakan di negara lain untuk memperoleh pesan terenkripsi end-to-end lewat surat perintah
Masalah ini bukan hanya urusan pengguna Apple
Jika seseorang mencadangkan percakapan dengan Anda ke Apple cloud, percakapan Anda juga menjadi target akses dan Anda tidak punya pilihan
Pada akhirnya, semua orang kalah dalam struktur seperti ini
Saya sudah membuat semua orang di sekitar saya memakainya
Meski saya tidak ingin membagikan kontak saya, begitu seseorang yang saya kenal menyetujuinya, orang itu membagikannya atas nama saya dan saya kehilangan hak atas data saya
Jika informasi seperti tanggal lahir, alamat rumah, email lain, dan nomor telepon juga tersimpan bersama, semuanya bisa ikut menjadi target
Satu-satunya alat privasi sejati adalah PGP yang memakai model web of trust, tetapi itu hanya berfungsi ketika orang memiliki komputer dan media penyimpanan mereka sendiri
Sekarang semua orang dibuat menyewa komputer dan penyimpanan, dan di sini sulit membangun model keamanan yang berpihak pada pengguna
Mengutip pernyataan “pakar privasi online” Caro Robson tanpa latar bahwa ia memberi nasihat kepada PBB, UE, dan lembaga militer internasional tampak seperti bias pro-pemerintah khas BBC
Situasi ketika operator komunikasi tidak menarik produk, tetapi dipaksa membuat produk yang secara desain menipu dan cacat, itulah yang “sangat, sangat mengkhawatirkan”
Kebebasan berekspresi saja sudah terancam, dan sekarang kita mau menyerahkan hak atas komunikasi pribadi juga?
Apakah orang-orang yang mendukung ini benar-benar percaya bahwa hal ini hanya akan berdampak pada “orang jahat”, dan mereka sendiri tidak akan pernah berada di bawah kaki pemerintah?
Sekalipun Anda percaya pada pemerintah hari ini, apa yang akan Anda lakukan jika tetangga Anda memilih pemerintahan yang secara ideologis berlawanan dengan Anda?
Ini pertanyaan naif, tapi saya benar-benar penasaran
ADP adalah fitur yang baru ada beberapa tahun, jadi saya penasaran kenapa sekarang setelah hilang orang-orang marah, padahal selama 10 tahun sebelumnya mereka tidak marah
Apakah sebelumnya mereka mengira iCloud sudah sepenuhnya terenkripsi?
Apakah mereka dulu tidak peduli pada enkripsi ujung-ke-ujung lalu baru sekarang peduli?
Kalau itu memang masalah sebesar itu, saya tidak mengerti kenapa mereka terus memakai sesuatu seperti iCloud, dan baru sekarang merasa dikhianati
Saya juga tidak memakai iCloud Photos, menyimpan semuanya di NAS yang terenkripsi dengan benar, dan memakai konfigurasi rumit untuk memindahkan data secara berkala
Saya juga memakai iMazing dan backup lokal terenkripsi sesuai jadwal
Banyak orang sudah lama menuntut enkripsi ujung-ke-ujung untuk data seperti ini, tetapi kenyataannya, jika fitur enkripsi dibuat lebih mudah diakses, lebih banyak orang bisa terlindungi
Tidak semua orang punya waktu, kemampuan teknis, dan energi untuk melakukan backup ke NAS serta mengelolanya agar tidak kehilangan data saat NAS rusak atau listrik padam
Kekhawatiran saya lebih pada penyedia layanan cloud yang diretas atau mengalami kompromi jangka panjang akibat kerentanan software seperti log4j, daripada pada pemerintah
ADP melindungi banyak orang dari serangan berbasis cloud, sementara perlindungan terhadap permintaan pemerintah lebih seperti bonus
Seperti pada kasus Salt Typhoon, kita sudah melihat bahwa backdoor bisa ditemukan dan dieksploitasi, dan bahwa kerentanan software bawaan seperti log4j dapat menjebol bahkan penyedia raksasa
Penghapusan fitur di Inggris hanya membuat isu ini kembali disorot; kekhawatiran sudah lama terus dikemukakan di blog independen dan berbagai media
Sebagai pengguna ADP di luar Inggris, saya senang Apple berusaha mempertahankannya, dan saya juga menghargai bahwa fitur ini ada
Ada juga banyak klaim bahwa peluncurannya tertunda karena tekanan pemerintah [1], dan sebagai catatan, laporan itu ditulis oleh jurnalis yang pertama kali melaporkan kabar hari ini beberapa minggu lalu
Penerapan enkripsi memang memakan waktu, jadi orang hanya bisa mengatakan “akhirnya datang”, tetapi tak lama kemudian fitur itu diserang pemerintah Inggris dan dinonaktifkan di Inggris
Saya rasa Apple sekarang akan takut mempromosikan fitur ini secara aktif bahkan di AS, dan para teknisi perlu jauh lebih gencar menjelaskan pentingnya fitur ini kepada teman-teman non-teknis mereka
[1] https://www.reuters.com/article/world/exclusive-apple-droppe...
Kalau Anda bertanya kenapa orang tidak marah saat itu, bukankah menurut Anda orang akan lebih marah jika sekarang tiba-tiba HTTPS dilarang?
Hak dan privilese biasanya memicu kemarahan lebih besar ketika sudah ada lalu dirampas, dibanding ketika sejak awal tidak pernah ada
Yang lebih mengkhawatirkan adalah Apple beberapa tahun lalu sebenarnya sudah siap meluncurkan backup cloud terenkripsi, tetapi menundanya karena penolakan pemerintah AS
Ada juga laporan yang mengatakan, “setelah tertunda akibat tekanan pemerintah selama bertahun-tahun, Apple menyatakan akan mengenkripsi sepenuhnya backup cloud untuk sebagian besar foto, riwayat chat, dan data sensitif pengguna lainnya di seluruh dunia”
https://www.washingtonpost.com/technology/2022/12/07/icloud-...
Pemerintah yang menentang perlindungan privasi nyata bukan hanya Inggris
Setelah enkripsi ujung-ke-ujung dan ADP hadir, saya menyalakannya; jika fitur itu juga hilang di AS, saya akan kembali hanya memakai backup lokal terenkripsi
Mimpi buruk ini terus berlanjut
Saat ini saya memakai layanan backup pihak ketiga yang berjanji bahwa backup dienkripsi dengan kunci yang tidak dapat diakses atau dikendalikan oleh penyedia
Namun di era ketika pemberitahuan rahasia seperti ini dikirim ke begitu banyak perusahaan, saya tidak tahu apakah janji itu bisa dipercaya
Langkah berikutnya adalah memastikan file sudah terenkripsi bahkan sebelum tiba di cloud, tetapi saya belum melihat layanan dengan kenyamanan yang dapat mem-backup ponsel saya, ponsel keluarga, dan laptop-laptop saya semulus solusi backup yang saya gunakan saat ini
Backup offsite itu wajib, dan di dalamnya tak terhindarkan ada data pelanggan juga, yang harus saya jaga kerahasiaannya dari akses pihak luar
Kalau semua hal punya backdoor, bagaimana ini bisa dilakukan?
Selama 20 tahun terakhir, mereka perlahan-lahan memperluas kewenangan ini
Anda harus membuat diri Anda tidak perlu mempercayai siapa pun, dan cukup mengunggah file terenkripsi ke layanan penyimpanan biasa
Dengan Syncthing + Rclone, sepertinya Anda bisa membuat konfigurasi serupa sambil tetap mengendalikannya sendiri
Backup perangkat-perangkat Anda ke sana, lalu enkripsi di server itu sebelum dikirim ke cloud