Usulan Chat Control gagal lagi di tengah penolakan publik

• Dewan Uni Eropa kembali menarik usulan Chat Control yang hendak mewajibkan pengawasan pesan terenkripsi, dan ini dinilai sebagai kemenangan bagi kelompok hak digital
• Usulan tersebut berupaya memeriksa pesan sebelum dan sesudah enkripsi melalui client-side scanning, namun dikritik karena secara struktural melemahkan sistem enkripsi itu sendiri
• Peneliti keamanan dan kelompok masyarakat sipil menegaskan bahwa “backdoor yang aman itu tidak ada,” sambil memperingatkan risikonya dengan merujuk pada kasus Apple tahun 2021
• Penarikan kali ini dinilai sebagai contoh bahwa tekanan warga yang berkelanjutan dan solidaritas para pakar teknis benar-benar dapat memengaruhi pengambilan kebijakan
• Namun, tekanan politik dan kesalahpahaman teknis masih tetap ada, sehingga diperlukan respons jangka panjang dan penyusunan alternatif untuk melindungi enkripsi

---

Kegagalan berulang dan kontroversi usulan Chat Control

• Usulan Chat Control Uni Eropa adalah rencana untuk memindai pesan terenkripsi secara massal, dan kali ini kembali ditarik oleh kepresidenan Denmark
  • Ini merupakan bagian dari konflik yang terus berlanjut antara pembela privasi dan para legislator yang ingin melemahkan enkripsi dengan alasan keselamatan publik
• Sejak diperkenalkan pada 2022, usulan ini terus hidup kembali dan berulang kali diajukan ulang meski ada penolakan dari masyarakat sipil, pakar teknis, dan publik
• Electronic Frontier Foundation (EFF) dan lebih dari 80 organisasi masyarakat sipil dengan tegas menentang kewajiban client-side scanning atas nama penanganan materi eksploitasi seksual anak
• Usulan ini berulang kali mengklaim memuat “perlindungan privasi”, tetapi para ahli menilainya sebagai mekanisme pengaman yang ilusif
• Akses backdoor ke pesan terenkripsi membuat seluruh sistem menjadi rentan, sehingga juga berisiko dimanfaatkan oleh pelaku jahat

Ketidakmungkinan teknis dari “pemindaian yang aman”

• End-to-end encryption (E2EE) adalah struktur di mana hanya pengirim dan penerima yang memiliki kunci dekripsi, sehingga pihak ketiga tidak dapat membaca isi pesan
  • Ini adalah struktur keamanan yang bertumpu pada kepastian matematis, bukan sekadar pilihan desain
• Client-side scanning adalah upaya menganalisis pesan pada tahap sebelum atau sesudah enkripsi, yang secara mendasar merusak model enkripsi
  • Jika perangkat pengguna dapat memindai pesan, maka malware atau program pengawasan pemerintah juga dapat memperoleh akses yang sama
• Rencana Apple pada 2021 untuk memindai gambar anak di iCloud disebut sebagai contoh yang akhirnya ditarik setelah memicu penolakan keras dari para ahli
• Sistem semacam ini tidak mungkin dibatasi hanya untuk pemindaian dengan “tujuan baik”, dan risiko penyalahgunaan celah keamanan tak terelakkan
• Teknologi pengawasan sangat mungkin meluas melampaui tujuan awalnya menjadi pemantauan oposisi politik atau ekspresi, yang dapat menjadi preseden penyalahgunaan oleh rezim otoriter

Tekanan publik dan pengaruh masyarakat sipil

• Penarikan kali ini dinilai menunjukkan pentingnya partisipasi publik yang berkelanjutan dan pengawasan terhadap kebijakan teknologi
• Berbeda dari masa lalu, dalam pembahasan kali ini organisasi masyarakat sipil, perusahaan teknologi, peneliti keamanan, dan warga biasa ikut terlibat dalam skala besar
• Kelompok seperti EFF dan European Digital Rights memberi tahu jutaan orang tentang risikonya melalui penjelasan teknis, analisis hukum, dan kampanye publik
• Gelombang penolakan ini menciptakan lingkungan politik yang menyulitkan politisi untuk mendukung usulan tersebut
• Sikap konsisten para pakar teknis, solidaritas lintas sektor, dan tekanan berkelanjutan disebut sebagai faktor kunci yang memungkinkan kebijakan ini diblokir

Tugas perbaikan kebijakan dan alternatifnya

• Kebangkitan berulang Chat Control menyingkap masalah struktural yang berakar pada kesalahpahaman para pembuat kebijakan terhadap teknologi enkripsi
• Sebagian legislator percaya bahwa enkripsi yang kuat dan hak akses pemerintah bisa dimiliki sekaligus, namun ini bertentangan dengan penolakan menyeluruh dari komunitas kriptografi
• Untuk mewujudkan keselamatan daring yang nyata, diperlukan penguatan kapasitas investigasi yang tidak merusak enkripsi, serta kerja sama internasional dan program pencegahan sosial
• Perusahaan teknologi perlu mengembangkan fitur keselamatan yang ramah privasi seperti analisis metadata, pelaporan pengguna, dan pembatasan akun, bukan pemindaian konten
• Perlindungan enkripsi dipaparkan bukan sebagai kemenangan sesaat, melainkan tugas jangka panjang yang membutuhkan pengawasan terus-menerus, edukasi, dan pengembangan teknologi alternatif secara paralel

Prospek ke depan dan perlunya kewaspadaan berkelanjutan

• Penarikan Chat Control hanyalah kemenangan sementara, dan ada kemungkinan ia muncul kembali dalam bentuk yang telah diubah pada kepresidenan UE berikutnya
• Tekanan politik dan dalih perlindungan anak masih tetap ada, sehingga risiko kemunculan kembali usulan serupa tetap besar
• Kewaspadaan berkelanjutan dari komunitas privasi, edukasi publik, dan pengajuan kebijakan alternatif sangat penting
• Upaya melemahkan enkripsi menimbulkan masalah yang lebih besar daripada manfaat keamanannya, dan meyakinkan para pembuat kebijakan akan hal ini menjadi tugas utama
• Chat Control yang dijuluki “usulan zombie” bisa bangkit lagi, sehingga dibutuhkan respons jangka panjang dari para pembela hak digital

[GN⁺]

Komentar Hacker News

• Kabar ini benar-benar melegakan
  Sekarang perlu dibuat perlindungan konstitusional, dan dikembangkan sistem yang bisa menghindari hal seperti ini jika terulang lagi
  Bahkan saat ini, masih ada wilayah di mana hanya komunikasi sneakernet yang menjamin privasi, jadi dibutuhkan alat privasi untuk non-ahli yang tetap berfungsi tanpa harus selalu terhubung

  • Ada juga negara seperti Jerman yang sudah memiliki perlindungan semacam itu
    Chat Control bisa dianggap sebagai tindakan kekerasan ideologis terhadap rakyat Jerman, sehingga ilegal
    Masalahnya adalah ketidakpedulian orang-orang dan kurangnya kemauan untuk bertindak

• Jika RUU ini muncul lagi, sepertinya akan datang dengan nama seperti “Protecting Children and Countering Terrorism Act”

  • Jika para politikus memberinya nama ala Amerika, kemungkinan akan dibungkus seperti “PROTECT Act” (Preventing Risks Online; Thwarting Exploitation of Children and Terrorism)
  • Menyebalkan karena prediksi seperti ini terasa terlalu akurat

• Setiap kali versi baru RUU ini muncul, hal pertama yang harus dicek adalah apakah ada klausul pengecualian untuk pemerintah
  Jika pemerintah menyatakan dirinya sendiri tidak akan terkena dampaknya, saat itu juga RUU tersebut langsung pantas dibuang ke tempat sampah

• Penasaran siapa yang menginginkan hal seperti ini, dan siapa yang mendorongnya sekeras ini
  Akan terus ada pihak yang menghidupkannya kembali karena mereka tahu kekalahan ini hanya sementara

  • NGO Thorn.org yang didirikan Ashton Kutcher, Demi Moore, dan lainnya terlibat dalam hal ini
    Organisasi ini menjual alat bernama Safer.io, yang memungkinkan pemeriksaan hash CSAM di situs web
    Mereka juga pernah mempekerjakan mantan pejabat Europol
    Untuk detail lebih lanjut, lihat laporan investigasi Balkan Insight
  • Sebenarnya ini lebih mirip kebisingan yang timbul dari proses legislasi panjang di UE
    Sekitar 2021, paket yang mencakup Chat Control diajukan dan terus dibahas sampai sekarang
    Sekarang kondisinya sudah terlalu terlambat untuk dibalikkan
  • Tujuan akhirnya adalah membuat ucapan anonim tampak mencurigakan
    Para politikus sudah lelah diejek secara anonim, dan undang-undang ini adalah salah satu bagian dari puzzle itu
    Terutama didorong oleh kekuatan politik sentris di Eropa untuk menjaga posisi mereka

• Tidak paham kenapa pembahasan seperti ini terus berulang
  Bukankah seharusnya ada insentif kalah pemilu jika mendorong backdoor enkripsi

  • Sebenarnya masalahnya adalah proses legislasi UE yang rumit
    Komisi, parlemen, dan dewan menteri masing-masing mengambil posisi berbeda, dan prosesnya panjang serta berulang, jadi terus muncul di berita
  • Pemilih harus lebih peduli agar upaya seperti ini bisa dihentikan
  • Mereka hanya perlu berhasil sekali, sedangkan kita harus berhasil menggagalkannya setiap saat
    Politikus yang menerima lobi tidak menganggap ini pemborosan waktu
    Selain itu, kali ini siapa yang mendorongnya juga dilindungi secara anonim
  • Karena itu mereka selalu mendorongnya secara diam-diam
    Dengan dalih seperti “melindungi anak”, mereka melemahkan enkripsi secara tidak langsung
    Publik umum bahkan tidak tahu arti enkripsi atau backdoor, jadi tidak merasa ada masalah

• Ini bukan sekadar terjadi karena 10% kalangan yang tertarik pada teknologi memberi tekanan
  Para politikus juga memakai teknologi yang sama, dan mereka jauh lebih banyak yang bisa hilang jika terjadi kebocoran informasi

  • Tetapi mereka memberi diri mereka sendiri pengecualian pemindaian
    Ada klausul yang menyebut bahwa “politikus UE dapat dikecualikan karena aturan kerahasiaan profesional”
    Lihat tulisan blog Nextcloud
  • Ada juga kasus di mana ponsel Von der Leyen dihapus dengan sangat kebetulan sebelum dipakai sebagai bukti di pengadilan
    Tidak ada budaya pertanggungjawaban meski kebocoran terjadi

• Jika obrolan elektronik dibandingkan dengan sensor surat di masa lalu, apakah orang akan diam saja jika pemerintah memindai semua surat untuk mencari kata-kata terlarang?
  Tidak ada alasan chat harus diperlakukan berbeda

  • Pasal 15 Konstitusi Italia menjamin kebebasan dan kerahasiaan semua bentuk komunikasi
    Tidak bisa dibatasi tanpa keputusan yudisial
    Tautan teks konstitusi
  • Konstitusi sejumlah negara Eropa dan Pasal 8 ECHR juga melarang penyadapan sewenang-wenang
    Ini juga dinyatakan dalam ketentuan konstitusi Swedia
  • Enkripsi tidak bisa dirusak sebagian
  • Percakapan digital lebih mirip komunikasi langsung seperti berbisik daripada surat
    Pemerintah sama sekali tidak boleh membaca semua yang diucapkan
  • Ini tidak berbeda dari membaca semua surat tanpa perintah pengadilan
    Bahkan pengumpulan metadata saja sudah cukup invasif

• Pertanyaan yang sebenarnya adalah “kapan, dan dalam bentuk apa ini akan muncul lagi”

  • Mereka hanya perlu menang sekali, sedangkan kita harus menang setiap kali
  • Mungkin akan disisipkan ke RUU yang tidak terkait, atau dicoba diloloskan diam-diam
  • Atau mungkin sudah berjalan secara tertutup saat ini

• Muncul pikiran sinis seperti, “mungkin percobaan ke-25 akan berhasil”

  • Rasanya seperti loop tak berujung while True: ProposeChatControl()

• Saat RUU ini muncul lagi nanti, jadi penasaran apakah akan muncul lagi nama domain baru untuk kampanye penolakannya