Legislator negara bagian AS dorong larangan VPN, picu kontroversi karena dinilai kurang memahami teknologi

• Di Wisconsin dan Michigan, AS, sedang didorong legislasi yang memasukkan ketentuan pemblokiran VPN ke dalam RUU verifikasi usia untuk akses ke konten dewasa
• RUU Wisconsin (A.B.105/S.B.130) memperluas cakupan ‘materi yang berbahaya bagi anak di bawah umur’ dan mewajibkan situs web yang menyediakan konten tersebut untuk memblokir pengguna VPN
• Namun, situs web tidak dapat mengidentifikasi lokasi sebenarnya dari pengguna VPN, sehingga hal ini dikritik sebagai tuntutan yang secara teknis mustahil dipenuhi
• VPN digunakan untuk berbagai tujuan seperti keamanan perusahaan, kerja jarak jauh, riset mahasiswa, aktivitas hak asasi manusia, dan perlindungan privasi pribadi, sehingga pemblokiran dikhawatirkan menimbulkan dampak luas
• RUU semacam ini dinilai mengancam privasi digital dan kebebasan berekspresi, serta berpotensi melemahkan keamanan internet tanpa memberikan efek nyata

---

Wisconsin dan Michigan dorong RUU pelarangan VPN

• Legislator Wisconsin berupaya mewajibkan verifikasi usia dan pemblokiran VPN saat mengakses konten dewasa melalui RUU A.B.105/S.B.130
  • RUU ini mewajibkan semua situs web yang menyediakan materi bermuatan seksual untuk memiliki sistem verifikasi identitas dengan kartu identitas resmi pemerintah dan fitur pemblokiran pengguna VPN
  • Definisi ‘materi yang berbahaya bagi anak di bawah umur’ diperluas jauh lebih luas dari sebelumnya, sehingga berpotensi mencakup konten tentang anatomi tubuh, pendidikan seks, dan reproduksi
• RUU Wisconsin sudah lolos di DPRD negara bagian dan kini sedang dibahas di senat negara bagian
• Di Michigan, RUU serupa juga pernah diajukan, tetapi tidak lolos proses legislasi
  • RUU tersebut mewajibkan penyedia layanan internet (ISP) untuk memantau dan memblokir koneksi VPN
• Di Inggris, sebagian pejabat juga menyebut VPN sebagai “celah (loophole) yang harus ditutup”

Kemustahilan teknis dan efek samping

• VPN adalah teknologi yang menyembunyikan lokasi asli pengguna dan mengalihkan lalu lintas melalui server lain
  • Situs web hanya dapat mengenali alamat IP server VPN, sehingga tidak bisa membedakan lokasi asli pihak yang terhubung
• Karena itu, tuntutan untuk “memblokir pengguna VPN di Wisconsin” adalah mustahil secara teknis
• Jika RUU ini diberlakukan, situs web harus memilih antara menghentikan layanan di Wisconsin atau memblokir seluruh pengguna VPN di seluruh dunia
  • Ini berpotensi membuat hukum satu negara bagian memengaruhi akses internet secara global

Bidang-bidang penting yang bergantung pada VPN

• Keamanan perusahaan: pekerja jarak jauh dan pelaku perjalanan dinas menggunakan VPN untuk mengakses jaringan internal perusahaan dengan aman
  • Digunakan untuk melindungi data pelanggan dan karyawan, mengamankan komunikasi internal, serta bertahan dari serangan siber
• Lembaga pendidikan: universitas mewajibkan penggunaan VPN untuk mengakses basis data riset, materi kuliah, dan sumber daya perpustakaan
  • Contoh: WiscVPN di kampus University of Wisconsin–Madison mendukung akses ke sumber daya kampus dari jaringan luar
• Perlindungan kelompok rentan:
  • Penyintas kekerasan dalam rumah tangga menggunakan VPN agar lokasinya tidak terlacak
  • Jurnalis dan aktivis hak asasi manusia memakainya untuk melindungi sumber dan aktivitas dari pengawasan
  • Pengguna LGBTQ+ memanfaatkannya untuk mengakses informasi kesehatan dan komunitas di lingkungan yang tidak ramah
• Pengguna umum memakai VPN untuk menghindari pelacakan iklan, pengawasan ISP, dan pengumpulan data berbasis lokasi

Risiko pelanggaran privasi dan kebocoran data

• Jika VPN diblokir, pengguna harus langsung menyerahkan kartu identitas pemerintah, data biometrik, atau informasi kartu kredit ke situs web untuk mengakses konten
• Data semacam ini kemungkinan besar disimpan tanpa enkripsi memadai, sehingga berisiko tinggi diretas dan bocor
  • Dalam praktiknya, peretasan terhadap sistem verifikasi usia memang sudah pernah terjadi
• Akibatnya, identitas asli seseorang dan riwayat kunjungannya dapat terekspos, yang berujung pada pelanggaran privasi yang serius
• RUU ini dinilai sebagai kebijakan penguatan pengawasan yang dibungkus atas nama “keamanan”

Perluasan berlebihan definisi ‘materi berbahaya bagi anak di bawah umur’

• Dalam hukum sebelumnya, materi yang bisa dilarang untuk anak di bawah umur dibatasi pada hal-hal yang hampir tidak memiliki nilai sosial dan merangsang rasa ingin tahu seksual
• RUU Wisconsin memperluasnya, sehingga sekadar deskripsi tentang seks atau penjelasan anatomi tubuh pun bisa dianggap berbahaya
  • Ini berpotensi mencakup sastra, seni, musik, film, hingga konten ilmiah dan medis
• Selain itu, jika lebih dari sepertiga konten situs web masuk kategori tersebut, maka situs itu menjadi objek regulasi
  • Berdasarkan kriteria ini, media sosial, situs pendidikan seks, dan situs informasi kesehatan LGBTQ+ pun bisa ikut diregulasi
• Definisi yang sangat luas ini memberi pemerintah kewenangan untuk menilai kelayakan ekspresi secara sewenang-wenang
  • Secara historis, sensor semacam ini kerap merugikan komunitas minoritas

Tidak efektif dan mudah diakali

• Bahkan jika hukum ini disahkan, pengguna tetap bisa dengan mudah mengakalinya melalui VPN nonkomersial, open proxy, atau server pribadi
  • Tunneling trafik melalui layanan cloud seperti AWS dan DigitalOcean juga dimungkinkan
• Pada akhirnya, dampak pemblokiran justru akan terkonsentrasi pada pengguna sah, perusahaan, mahasiswa, jurnalis, dan korban kekerasan
• Klausul pemblokiran VPN dinilai tidak efektif dan justru membuat internet menjadi kurang aman
• Pada dasarnya, masalah utamanya bukan VPN, melainkan ketidakefisienan hukum verifikasi usia itu sendiri serta strukturnya yang melanggar privasi

Ancaman terhadap privasi dan kebebasan

• Pengguna selama ini makin banyak memakai VPN sebagai respons terhadap meluasnya kewajiban verifikasi usia
• Namun, sebagian politisi menganggapnya sebagai “alat untuk menghindari pengawasan” dan mulai bergerak ke arah pelarangan teknologi perlindungan privasi itu sendiri
• Larangan VPN dipandang sebagai serangan terhadap privasi digital dan kebebasan berekspresi
• Sebagai alternatif dari kebijakan yang mengatasnamakan perlindungan remaja, diajukan pendekatan seperti penguatan edukasi, dukungan bagi orang tua, dan penanganan faktor risiko online yang nyata
• Upaya legislasi untuk melarang VPN tanpa pemahaman teknis dinilai sebagai ancaman serius terhadap kebebasan dan keamanan internet

[GN⁺]

Opini Hacker News

• Mengingatkan pada kebijakan sensor di Rusia
  Mereka memblokir penyedia VPN utama, bridge Tor, bahkan situs yang di-host di luar negeri
  Protokol seperti IPsec dan WireGuard juga diblokir
  Karena penggunaan VPN ditetapkan sebagai faktor pemberat dalam kejahatan “mencari informasi ekstremis”, banyak orang menjadi takut
  Pada akhirnya, jika mayoritas orang hanya memakai layanan lokal yang diawasi dan disensor, whitelist atau pemutusan akses ke jaringan internasional pun jadi mudah dilakukan
  • Kecuali sampai ke tingkat kontrol ala Rusia sepenuhnya, kebijakan seperti ini tidak akan berjalan
    Amerika Serikat masih memiliki sistem rule of law, jadi untuk benar-benar menerapkan larangan VPN, banyak lembaga harus runtuh dulu
• Saya pernah mengalami sensor internet di Zanzibar
  VPN seperti Proton diblokir, dan memakai VPN tanpa izin bisa dihukum denda 2000 dolar atau penjara 12 bulan
  Untuk mendapatkan izin penggunaan VPN, kami harus mengajukan formulir dengan detail seperti alamat IP, tetapi proses peninjauannya lambat dan tidak transparan
  Meski konteks rancangan undang-undangnya berbeda, kesamaannya adalah para legislator tidak memahami hakikat VPN
  Ironisnya, Zanzibar ingin menarik digital nomad sambil menghalangi internet yang bebas
• Fitur filter IP yang bisa dikunci orang tua dengan kata sandi di pengaturan perangkat jauh lebih efektif dan lebih mudah diterapkan
  Hal seperti ini seharusnya menjadi opsi bawaan, tetapi anehnya bahkan nyaris tidak dibahas
  Undang-undang sensor internet atas nama perlindungan anak pada dasarnya merupakan pendekatan yang salah
  Orang tua seharusnya bertanggung jawab atas pendidikan anaknya, bukan pemerintah yang menggantikannya
  Undang-undang seperti ini pada akhirnya membuka pintu menuju masyarakat pengawasan
  • Terlepas dari niatnya, undang-undang seperti ini memungkinkan pengawasan massal atas nama “perlindungan”
  • “Melindungi anak” hanyalah dalih; tujuan sebenarnya adalah mengendalikan informasi
  • Sejak awal tujuannya memang pengawasan
    Masalahnya, para perancang kebijakan seperti ini bahkan tidak menganggap diri mereka otoriter
    Keserakahan dan kebodohan, ditambah ketiadaan etika, pada akhirnya mengalir ke arah fasisme
  • Memang benar kontrol seharusnya ada pada orang tua, tetapi banyak orang tua pada praktiknya tidak meluangkan waktu
    Tidak ada hukum yang bisa mengubah kenyataan itu
  • Pemblokiran IP tidak realistis
    Jika memblokir rentang IP Cloudflare, CloudFront, Amazon, dan Google, hampir tidak ada yang tersisa
    Ada cara yang lebih baik daripada pemblokiran IP
• Mengingatkan pada upaya pelarangan enkripsi kuat pada 1990-an
  Pemerintah mengklaim bahwa pengedar narkoba dan pelaku kejahatan terhadap anak memakai enkripsi, lalu berusaha membatasi HTTPS ke enkripsi yang lemah
  Pada akhirnya, logika propaganda yang sama sedang terulang sekarang
  • Kasus Clipper Chip adalah contoh yang representatif
  • Pada akhirnya, tampaknya mereka tidak menduga bahwa para penjahat akan cukup berani untuk berkomunikasi lewat email plaintext
• Jika Wisconsin menemukan cara membuat undang-undang yang bisa memblokir VPN dengan sempurna, mungkin mereka juga bisa mengajarkannya ke Netflix atau Akamai
  Dalam kenyataannya, geoblocking mungkin bisa dilakukan sampai tingkat tertentu, tetapi memblokir VPN hampir mustahil
  Seorang teman mengatakan bahwa jika NordVPN diblokir, dia selalu bisa terhubung lagi setelah beberapa kali mengganti IP
  • Tidak perlu diblokir sempurna
    Sama seperti pembunuhan yang tidak bisa dihentikan sepenuhnya tetapi tetap ilegal, larangan VPN pun bisa begitu
  • Rasanya seperti melihat orang-orang yang ingin membentuk internet sesuai imajinasi mereka sendiri
    Seperti mencoba menahan internet dengan lakban
  • Ceritanya berbeda jika pelakunya adalah pihak seperti pemerintah yang bisa mengendalikan jaringan
    Tiongkok belakangan ini cukup berhasil memblokir VPN
    Tetapi ya, itu mungkin jika tidak ada batasan seperti konstitusi
  • Pemblokiran VPN adalah permainan kucing dan tikus
    AWS WAF juga menambahkan fitur pemblokiran IP VPN pada 2020
    Tautan pembaruan AWS WAF
  • Kenyataannya, banyak situs memang memblokir VPN
    Karena tinggal berlangganan NordVPN lalu memeriksa IP-nya langsung, hal itu sebenarnya tidak terlalu sulit
• Kita sedang menyaksikan keruntuhan lambat “demokrasi” Barat dan kebangkitan Global South
  Para pemimpin Barat tampak panik, dan baik Biden maupun Trump terlihat lemah
  Pada level individu, kita perlu membangun kekuatan batin lewat keluarga, teman, pembelajaran seumur hidup, spiritualitas, kerja yang produktif, dan dukungan komunitas
• Memakai SSH tunnel lebih sederhana daripada VPN
  Pada akhirnya, mereka harus mengatur pustaka seperti libssl dan libcrypto, yang jelas tidak masuk akal
  Bisa-bisa kita masuk penjara karena “penggunaan pasangan private key tanpa izin”
  • Itu hanya mungkin kalau kamu miskin atau diklasifikasikan sebagai musuh politik
    Entah ke mana perginya “small government”
  • Tunneling bukan fungsi enkripsi; enkripsi hanya membuatnya lebih sulit dideteksi
    Tunneling juga bisa dilakukan lewat HTTP, Telnet, DNS, SMS, dan lainnya
  • Jika seseorang sudah dewasa, ini hanya soal mengakses konten legal dengan cara lain
    Tujuan undang-undang seperti ini adalah mencegah anak-anak melihat konten berbahaya secara tidak sengaja
    Jika seseorang sudah cukup paham untuk berlangganan VPN sendiri atau menjalankan server SSH, kemungkinan besar ia sudah cukup dewasa untuk membuat penilaian sendiri
• Untuk verifikasi usia, mereka meminta terlalu banyak data pribadi
  Nama, alamat, tanda tangan, wajah, dan semacamnya tidak diperlukan
  Cukup membuktikan bahwa seseorang berusia ‘21 tahun ke atas’
  Jika ada metode verifikasi yang ramah privasi, undang-undang seperti ini mungkin akan menimbulkan lebih sedikit penolakan
  • Kemungkinan besar tujuan sebenarnya bukan verifikasi usia, melainkan pengumpulan data dan kontrol
• Melihat kebijakan seperti ini membuat saya merasa tidak ada seorang pun yang benar-benar memegang kendali
  Rasanya seluruh negeri hanya hanyut terbawa arus
• Lucu melihat negara-negara demokrasi Barat menyalin hukum negara otoriter lima tahun terlambat
  • Pola seperti ini sudah berulang dalam politik Amerika Serikat
    Ada kasus seperti hukum Comstock, CDA, pemaksaan enkripsi lemah, dan Clipper Chip
    Otoritarianisme bisa muncul di mana saja, terlepas dari kewarganegaraan
  • Great Firewall Tiongkok muncul pada 2003, tetapi Inggris masih belum punya firewall seperti itu
    Artinya jeda waktunya malah lebih panjang
  • Ini mungkin bukan sekadar soal jeda waktu, tetapi bahwa mereka memang sedang berubah menjadi lebih otoriter
  • Ini bukan sesuatu yang lucu, melainkan hal yang benar-benar mengerikan