- Ditemukan masalah keamanan serius di mana StarDict pada lingkungan X11 mengirim pilihan teks pengguna ke server eksternal melalui HTTP tanpa enkripsi
- Masalah ini terjadi karena plugin YouDao dan dict.cn aktif secara default dalam konfigurasi bawaan Debian
- Ini berarti setiap kali pengguna memilih teks, teks tersebut otomatis dikirim ke server, sehingga ada risiko kebocoran informasi sensitif
- Pengelola paket telah meninjau usulan untuk menonaktifkan fitur dan memisahkan plugin, tetapi penerapan solusi mendasar masih kurang memadai
- Masalah ini sudah beberapa kali diangkat di masa lalu, namun kembali menunjukkan tidak adanya respons yang tuntas serta pentingnya kesadaran keamanan
Ringkasan cara kerja StarDict dan isu keamanannya
- StarDict adalah program kamus lintas platform berlisensi GPLv3, dengan dukungan berbagai bahasa dan ekosistem plugin
- Dalam konfigurasi bawaan Debian, saat StarDict berjalan, teks yang dipilih pengguna dikirim ke dua server jarak jauh, youdao.com dan dict.cn, melalui HTTP tanpa enkripsi
- Masalah ini juga telah dilaporkan ke milis oss-security dan pelacak bug Debian
Rincian masalah
- Secara desain StarDict, kode yang berkomunikasi dengan situs web kamus merupakan bagian yang wajar, tetapi fitur "scan" aktif secara default
- Ini berarti ketika pengguna memilih teks dengan mouse, popup terjemahan akan muncul otomatis, dan teks tersebut otomatis dikirim ke server eksternal
- Masalah menjadi serius ketika pengguna membiarkan StarDict terus berjalan di latar belakang
Perbedaan menurut lingkungan Linux
- Di lingkungan Wayland, StarDict tidak dapat menangkap teks dari aplikasi lain, sehingga fitur scan tidak berfungsi dan masalah keamanan ini tidak muncul
- Masalah ini saat ini hanya ada di lingkungan X11 lama
Respons Debian dan pengembang StarDict
- Pengelola paket Debian, Xiao Sheng Wen, menilai ini bukan masalah besar dengan mengatakan bahwa
"fitur scan dan plugin YouDao dapat dinonaktifkan"
- Namun pelapor, Vincent Lefevre, menekankan bahwa "fitur yang berkaitan dengan privasi harus nonaktif secara default"
- Fitur ini bisa diberitahukan lewat deskripsi paket, tetapi deskripsi stardict-plugin tidak menyebutkan penggunaan kamus online
- Ada usulan perbaikan seperti pemisahan plugin, tetapi belum ada tindakan segera
Kenyamanan fitur dan kekhawatiran keamanan
- Fitur scan adalah keunggulan utama StarDict saat pengguna ingin cepat mencari arti ketika membaca bahasa asing
- Namun pengguna sulit memperkirakan bahwa komunikasi ini tidak dienkripsi. Siapa pun di jalur perantara dapat menyebabkan risiko terbukanya teks sensitif
Insiden keamanan serupa di masa lalu dan penanganannya
- Pada 2009 dan 2015, kasus serupa juga pernah dilaporkan
- 2009: penonaktifan kamus jaringan sempat dijadikan default
- Namun plugin YouDao yang ditambahkan pada 2016 mengabaikan pengaturan tersebut
- Masalah tahun 2015 baru diselesaikan pada 2025 dalam bentuk penghapusan plugin
- Hal ini menunjukkan isu yang berulang dan lambatnya penanganan, bersama pergantian pemelihara dan buruknya penetapan prioritas
Skala pengguna dan dampak keamanan
- Menurut statistik Debian, saat ini hanya sekitar 178 orang yang memasang dan memakai StarDict, tetapi dengan mempertimbangkan sistem yang tidak ikut statistik, banyak pengguna selama bertahun-tahun mungkin telah terekspos pada risiko kebocoran teks
- Salinan kata sandi, email sensitif, atau teks yang dipilih saat mengedit dokumen bisa saja terekspos ke pihak luar
Ekosistem open source dan agenda keamanan
- Distribusi besar seperti Debian mengelola sangat banyak paket, sehingga pembaruan yang terlewat dan penuaan perangkat lunak sering terjadi
- Hukum Linus yang berbunyi "dengan cukup banyak orang melihat, semua bug menjadi dangkal" pada praktiknya baru berlaku jika seseorang menemukan bug, melaporkannya, lalu pemelihara mengakui masalah tersebut dan memperbaikinya
Perubahan dari X11 ke Wayland
- Adopsi Wayland bertujuan untuk mengurangi kemungkinan cacat keamanan jenis ini, terutama kebocoran informasi antar aplikasi
- Namun, ketidaknyamanan fungsional dan cara baru menangani izin penggunaan tetap menjadi tantangan
Kesimpulan dan implikasi
- Kenyataan bahwa masalah keamanan yang ditemukan, didiagnosis, dan dilaporkan masih tetap belum terselesaikan atau kembali terulang menimbulkan kekhawatiran
- Untuk menjaga reputasi keamanan Linux, pengembang open source, pengelola paket, dan pengguna perlu terus sadar terhadap masalah ini dan merespons dengan cepat
Belum ada komentar.