AT&T dan Verizon Blokir Publikasi Laporan Penilaian Keamanan Salt Typhoon

• Operator telekomunikasi AS AT&T dan Verizon menghalangi publikasi laporan penilaian keamanan terkait Salt Typhoon
• Seorang senator AS menyoroti bahwa kedua perusahaan menghambat pengungkapan hasil investigasi keamanan siber pemerintah
• Laporan tersebut diketahui membahas penilaian aktivitas kelompok peretas Salt Typhoon yang terkait dengan Tiongkok
• Kedua operator disebut menolak membuka laporan dengan alasan kerahasiaan dan keamanan
• Isu ini berkembang menjadi kontroversi seputar keamanan nasional dan transparansi infrastruktur telekomunikasi swasta

---

Kontroversi publikasi laporan penilaian keamanan Salt Typhoon

• AT&T dan Verizon memblokir publikasi laporan penilaian keamanan terkait Salt Typhoon
  • Laporan itu mencakup penilaian ancaman siber terhadap infrastruktur telekomunikasi di AS
  • Dokumen tersebut disusun berdasarkan hasil investigasi lembaga pemerintah
• Seorang senator AS mengkritik bahwa kedua perusahaan menghambat hak publik untuk tahu dan transparansi keamanan siber
  • Laporan itu disebut memuat analisis aktivitas kelompok peretas Salt Typhoon yang terkait dengan Tiongkok
• Kedua perusahaan menolak membuka laporan dengan dasar alasan keamanan dan kewajiban menjaga kerahasiaan
  • Dasar hukum spesifik maupun rincian lebih lanjut belum diungkap

Dampak politik dan industri

• Insiden ini meluas menjadi perdebatan soal keamanan nasional dan batas tanggung jawab operator telekomunikasi swasta
  • Muncul pertanyaan tentang mekanisme berbagi informasi antara pemerintah dan sektor swasta
• Timbul keraguan apakah sistem respons terhadap ancaman siber pada infrastruktur telekomunikasi sudah memadai
  • Tidak dibukanya hasil penilaian keamanan berpotensi memengaruhi pembahasan kebijakan ke depan
• Hingga kini, isi rinci laporan maupun jadwal publikasinya belum diketahui

[GN⁺]

Opini Hacker News

• Dulu saya pernah menulis spesifikasi fitur lawful intercept untuk node data 3G
  Prinsip desain utamanya adalah tidak mempercayai perusahaan operator jaringan. Dengan begitu, karyawan bisa dilindungi dari pengaruh kejahatan terorganisir
  Penyadapan dimulai dari konsol LI milik aparat penegak hukum, dan operator jaringan tidak mengetahuinya. Sistem dirancang agar hingga sekitar 3% trafik bisa disadap, dan itu tidak muncul di log maupun alat administrasi
  Tetapi jika peretas berhasil menembus konsol LI, secara desain mereka bisa mencuri trafik tertentu secara presisi tanpa terdeteksi
  Karena beberapa vendor memasok software konsol LI dan memakai protokol yang distandardisasi, sulit menentukan pihak yang bertanggung jawab saat terjadi masalah
  • Saya pernah bekerja di tim operasi jaringan operator telekom besar di AS, dan beberapa engineer bisa memperkirakan node yang sedang disadap lewat analisis call flow. Jadi tidak sepenuhnya tersembunyi
  • Saya penasaran apa sebenarnya konsol LI itu dan dipasang di mana
  • Apakah yang dimaksud mungkin sistem RAVEN?
• Pemerintah mewajibkan operator telekom menyediakan kemampuan lawful intercept, lalu pelaku jahat menyalahgunakan backdoor yang diwajibkan pemerintah itu. Meski begitu, pemerintah masih bicara soal keamanan dan privasi, yang terasa munafik. Pada akhirnya kita perlu memilih politisi yang lebih baik
  • Dulu saat bekerja sebagai konsultan keamanan, saya menangani perusahaan yang membuat perangkat keras untuk penyadapan. Perangkat ini adalah perangkat black box yang cukup dipasang operator telekom agar memenuhi persyaratan pemerintah
    Tetapi pengujian keamanan hanya diizinkan pada jaringan pengguna, dan kami dilarang keras menyentuh produknya sendiri. Dari tingkat keamanan internalnya, sangat mungkin perangkat itu sebenarnya sudah lama berhasil ditembus
  • Mengganti politisi memang penting, tetapi pada dasarnya ini adalah masalah struktural pemerintah
    1. Mengusulkan rancangan undang-undang dengan pemahaman masalah yang salah → 2) Lolos, tetapi memunculkan banyak masalah baru → 3) Lalu maju pemilu lagi dengan janji memperbaiki masalah itu → 4) Siklus tanpa akhir
  • Inti masalahnya bukan backdoor itu sendiri, melainkan buruknya keamanan telco. Sistem penyadapan memang harus ada secara hukum, tetapi operator besar sangat kompleks dan kontrol keamanannya lemah
    Lingkungan seperti ini menjadi target utama peretas negara, dan kasus Salt Typhoon menunjukkan hal itu. Bahkan jika sistem penyadapan tidak diretas, pengambilalihan sistem call routing atau billing pun sangat berbahaya
  • Saya tidak setuju dengan klaim bahwa pemerintah sedang mengedepankan privasi. Faktanya, AT&T dan Verizon sedang menghalangi publikasi laporan penilaian keamanan Mandiant
  • Saya ingin tahu apakah semua ini sekadar spekulasi, atau fakta yang sudah terkonfirmasi
• Semua ini dimungkinkan berkat CALEA yang disahkan pada 1994. Pada akhirnya pemerintah harus menanggung sendiri jalur intrusi yang mereka ciptakan. Sudah saatnya menghapus backdoor wajib dari pemerintah seperti ini
• Saat bekerja di Verizon 10 tahun lalu, tim keamanan eksternal datang melakukan audit dan dalam 3–4 jam mereka berhasil menguasai seluruh jaringan hanya lewat satu konsol Jenkins di Windows. Selemah itu keamanan internalnya
• Sekarang China, bersama berbagai negara dan individu lain, berada dalam posisi bisa mengakses sistem penyadapan telekom
  Ironisnya, satu-satunya pihak yang tidak bisa mengaksesnya justru pengguna biasa
  Sistem seperti ini pada akhirnya hanya dipakai untuk mengumpulkan bahan pemerasan atau manipulasi peradilan demi tujuan politik. Padahal pesan terenkripsi sudah digunakan secara luas, jadi pengawasan seperti ini tidak diperlukan
• Menghalangi publikasi laporan seperti ini adalah pukulan besar bagi manajemen risiko sistemik
  Jika jalur kompromi tidak diungkap, industri infrastruktur lain akan tetap dalam keadaan buta total. Demi melindungi reputasi perusahaan, mereka justru mengorbankan keamanan bersama
  • Ada wawancara Cybersecurity Dive yang membahas vektor serangan terkait
• Dibagikan tautan artikel MSN tanpa skrip Datadome dan tautan versi teks
  (Anehnya Microsoft menyajikannya lewat HTTP)
  • Saya penasaran kenapa terjadi regresi dari HTTPS ke HTTP
• Operator telekom tidak ingin backdoor buatan mereka sendiri dan buruknya pengelolaan terekspos
  Bukan cuma operator seluler, ISP rumahan seperti Comcast, Cox, dan Charter juga bahkan lebih parah tidak kompetennya. Saya mengalaminya langsung setelah berpindah-pindah perusahaan
• Situasi ini adalah contoh kegagalan AS saat mencoba meniru kebijakan otoriter
  Mereka tidak mampu mengejar China dalam keamanan, pengawasan, maupun kemampuan teknologi, dan justru melemahkan diri sendiri dari dalam
  Brain drain akibat krisis ekonomi dan PHK massal makin dipercepat, dan ini menciptakan lingkaran setan yang semakin memperkuat keunggulan teknologi China
  • Situasi sekarang terasa seperti konfrontasi AS-Uni Soviet era Perang Dingin yang dibalik