FCC menambahkan router konsumen buatan luar negeri ke ‘Covered List’

• FCC Amerika Serikat baru memasukkan router konsumen yang diproduksi di luar negeri ke dalam ‘Covered List’
• Langkah ini melarang persetujuan model baru untuk router tersebut
• Pembaruan ini dilakukan berdasarkan penilaian keamanan nasional oleh lembaga eksekutif pemerintah AS
• FCC merilis dokumen terkait melalui siaran pers dan pemberitahuan resmi dalam format DOCX, PDF, dan TXT
• Keputusan ini merupakan respons di tingkat federal yang bertujuan memperkuat pengelolaan risiko keamanan perangkat jaringan konsumen

---

FCC menambahkan router konsumen buatan luar negeri ke ‘Covered List’

• FCC (Federal Communications Commission) baru memasukkan router konsumen yang diproduksi di luar negeri ke dalam ‘Covered List’
  • Langkah ini berarti persetujuan model baru dilarang untuk router tersebut
• Pembaruan ini dilakukan berdasarkan penilaian keamanan nasional oleh lembaga eksekutif pemerintah AS, dan disebutkan bahwa perangkat tersebut berpotensi menjadi ancaman keamanan nasional
• FCC mengumumkan hal ini dalam bentuk siaran pers (News Release) dan pemberitahuan resmi (Public Notice), serta menyediakannya dalam file DOCX, PDF, dan TXT
• Dokumen tersebut mencakup tautan FAQ pembaruan Covered List, yang menjelaskan perubahan regulasi terkait router buatan luar negeri
• Langkah ini diumumkan sebagai respons di tingkat federal untuk memperkuat pengelolaan risiko keamanan perangkat jaringan konsumen

[GN⁺]

Komentar Hacker News

• FCC mengelola daftar perangkat dan layanan bernama ‘Covered List’. Belakangan serangan yang mengeksploitasi kerentanan pada router kecil dan rumahan buatan luar negeri meningkat, tetapi akar masalahnya bukan negara pembuat, melainkan praktik keamanan yang buruk dari produsennya. Karena lembaga pemerintah tidak mewajibkan firmware yang aman, produsen tidak punya alasan untuk peduli. Baik FCC maupun FTC lebih terikat pada kepentingan politik daripada perlindungan konsumen, dan pada akhirnya AS malah menghasilkan banyak perangkat dengan keamanan yang kacau

  • ‘Firmware aman’ adalah konsep yang relatif. Daripada menuntut firmware yang sempurna, yang lebih penting adalah pembaruan berkelanjutan. Namun produsen menghentikan dukungan setelah 3 tahun, sementara konsumen memakainya sampai 15 tahun. Solusinya adalah memberi konsumen hak untuk mengganti firmware sendiri. Dengan begitu, meski perusahaannya bangkrut, perangkat tetap bisa diganti ke firmware open source dan keamanannya bisa lebih baik
  • Ironisnya, banyak perangkat konsumen memiliki backdoor bawaan dengan dalih untuk ‘pemecahan masalah’. Masalah ini tidak terbatas pada produk luar negeri. Satu-satunya saat lembaga pemerintah benar-benar peduli pada keamanan adalah ketika FBI mencoba melemahkan enkripsi
  • Eropa akan mulai memberlakukan Cyber Resilience Act pada 2027 untuk mewajibkan persyaratan keamanan minimum pada semua produk digital. Isinya mencakup larangan kata sandi default yang di-hardcode, pembaruan keamanan otomatis, enkripsi data, dan lainnya. Efektivitasnya belum pasti, tetapi upaya ini sendiri dinilai positif
  • FCC hanya mengatur interferensi radio, bukan lembaga perlindungan konsumen. FTC juga menangani praktik dagang yang tidak adil, bukan kualitas keamanan
  • Mengkritik pemerintah biasanya sudah biasa, tetapi langkah kali ini dibaca sebagai “mengetahui adanya kerentanan, membiarkannya tetap ada, lalu baru memperbaikinya setelah dieksploitasi oleh pihak sendiri”. Belakangan malah terasa lebih baik membuat router sendiri

• Inti pengumuman ini adalah bahwa router buatan luar negeri pada dasarnya dilarang, tetapi masih boleh dijual jika mendapat Conditional Approval. FCC meminta produsen memberikan informasi soal yurisdiksi hukum, asal komponen, rencana pembaruan perangkat lunak, dan rencana perluasan produksi di AS. Artinya, ada niat mendorong manufaktur domestik lewat proses persetujuan ini

  • Namun dalam praktiknya, kemungkinan besar hanya perusahaan yang memberi donasi politik (payola) yang akan lolos, sementara yang lain akan terhambat. Pola seperti ini sudah terlihat dalam kebijakan tarif
  • Di atas kertas terlihat bagus, tetapi dalam kenyataan ada risiko besar disalahgunakan sebagai alat mencari keuntungan pribadi oleh pemerintah
  • Sulit berharap proses seperti ini dijalankan sebagai administrasi teknis yang nonpartisan, dan pada akhirnya akan menjadi struktur ‘Pay-to-Play’
  • Pada akhirnya ini terbaca sebagai pendekatan “kalau tarif tidak berhasil, mari tekan mitra dagang dengan cara lain”
  • Ada juga pandangan sinis bahwa hanya perusahaan yang menyumbang ke proyek pribadi Trump yang akan lolos

• Ada juga kekhawatiran bahwa langkah ini bisa menjadi titik awal pembangunan sistem pengawasan. Jika router buatan AS diwajibkan memiliki akses jarak jauh untuk pemerintah, pada akhirnya semua rumah bisa tersambung ke jaringan pengawasan. Satu-satunya keunggulan yang dijamin perdagangan bebas adalah bahwa tidak ada satu negara pun yang bisa mengawasi seluruh rakyatnya

  • Misalnya, aplikasi router Xfinity dikabarkan kini punya fitur baru untuk “mendeteksi pergerakan di dalam rumah lewat WiFi”
  • Sebagai lelucon, ada juga yang bilang jika router AS, Tiongkok, dan Rusia disambungkan secara serial, maka tidak ada satu pihak pun yang bisa mendapat akses backdoor sepenuhnya
  • Namun dalam praktiknya, ini bisa menjadi fondasi bukan hanya untuk pengawasan sederhana, tetapi juga kontrol internet domestik. Seperti kasus Iran, pemerintah bisa membangun struktur untuk menutupi kekerasan lewat pemblokiran informasi

• Jika benar-benar ingin keamanan, yang harus dilakukan bukan melarang perangkat, melainkan membuka firmware agar bisa diaudit

  • Namun backdoor bisa disembunyikan bukan hanya di firmware, melainkan juga di dalam chip silikon. Verifikasi sempurna secara realistis mustahil, jadi keamanan rantai pasok adalah kuncinya. Tetapi langkah ini tampak seperti sarana mempersenjatai perdagangan ala Trump
  • Firmware terbuka memang sulit sukses secara komersial, tetapi proyek seperti OpenWRT One adalah contoh yang baik. Model yang dibuat bersama Software Conservancy dan Banana Pi disebut bekerja dengan baik
  • Namun karena regulasi FCC, pengguna sulit memodifikasi perangkat RF secara bebas, dan ada pengecualian ‘Right to Repair’. Selama Kongres tidak mengubahnya, kemajuan nyata akan sulit terjadi
  • Selain itu, pengguna biasa juga nyaris mustahil memverifikasi apakah firmware benar-benar sesuai dengan source code. Pemilik toko biasa yang bukan teknisi tidak punya cara untuk memastikannya

• Putusan Loper Bright Enterprises v. Raimondo (2024) baru-baru ini sangat melemahkan kewenangan FCC. Dalam situasi seperti ini, muncul pertanyaan apakah pembatasan terhadap router buatan luar negeri bisa lolos uji hukum

  • Ada yang mengkritik bahwa “Mahkamah Agung yang condong ke Republik hanya memperkuat wewenang pemerintah untuk mengumpulkan suap”

• Meski disebut sebagai “larangan total router konsumen buatan luar negeri”, muncul pertanyaan apakah router buatan AS itu memang ada

  • Menurut artikel heise.de, hampir tidak ada router yang diproduksi di AS
  • Namun model lama tetap boleh dijual. Berdasarkan aturan ‘Covered List’ FCC, langkah kali ini hanya berlaku pada model baru. Beberapa perusahaan bahkan mungkin mengimpor switch tanpa firmware lalu melakukan reflashing di AS
  • Bahkan Cisco pun tidak memproduksi di AS
  • Ada juga cara mengubah komputer kecil seperti Raspberry Pi menjadi router
  • Ada pula pendapat bahwa mungkin Starlink menjadi pengecualian

• Ada dugaan FCC sedang mencoba memperluas kewenangan regulasi internet lewat langkah ini. Disebutkan juga diskusi sebelumnya sebagai contoh kasus serupa di masa lalu

• Dari sudut pandang produsen, solusinya mungkin menjual produk bukan sebagai ‘router’ melainkan komputer serbaguna. Sudah ada banyak perangkat keras yang bisa dipakai sebagai NAS, firewall, atau proxy server

  • Namun kebanyakan konsumen tetap menginginkan produk jadi dengan nama ‘router’. Orang yang menginginkan perangkat jaringan DIY umumnya memang sudah melakukannya

• Bahkan jika perusahaan Tiongkok membuat router di pabrik dalam AS, risiko rantai pasok tetap ada. Yang sebenarnya lebih berbahaya justru perangkat IoT yang sudah terhubung ke jaringan rumah. Karena itu langkah ini dipandang lebih sebagai gestur politik daripada perubahan nyata

• Pada akhirnya, pertanyaan yang tersisa adalah: sebenarnya ada berapa banyak router konsumen yang bukan buatan luar negeri?