Pembaruan proyek VeraCrypt

• Akun Microsoft untuk penandatanganan driver Windows milik VeraCrypt dihentikan tanpa pemberitahuan, sehingga pengembang Mounir Idrassi berada dalam situasi tidak dapat mendistribusikan pembaruan versi Windows
• Dari pihak Microsoft hanya tersisa pesan bahwa banding tidak dimungkinkan, dan meski sudah beberapa kali menghubungi, belum ada jawaban selain balasan otomatis
• Komunitas ikut membantu dengan mengusulkan berbagai solusi seperti prosedur pemulihan akun, pelaporan lewat media sosial, dan metode penandatanganan alternatif
• Sebagian pengguna membagikan kasus serupa pada proyek Rufus dan mengemukakan kemungkinan masalah administratif seperti kesalahan verifikasi domain
• Sejumlah pengembang dan pengguna mencoba koneksi internal di Microsoft dan dukungan publik, menunjukkan kemauan untuk bekerja sama demi pemeliharaan berkelanjutan dan keamanan VeraCrypt

---

Pembaruan proyek VeraCrypt

• Penghentian pengembangan akibat penutupan akun Microsoft

  • Pengembang VeraCrypt Mounir Idrassi mengungkapkan setelah beberapa bulan tidak hadir bahwa akun Microsoft yang digunakan untuk menandatangani driver Windows dan bootloader telah ditutup
  • Microsoft menutup akun tanpa peringatan sebelumnya maupun pemberitahuan email, dan pada pesan tersebut tertulis bahwa banding tidak dimungkinkan
  • Ia telah mencoba menghubungi Microsoft melalui berbagai jalur, tetapi hanya menerima balasan otomatis, tanpa berhasil terhubung dengan petugas yang sebenarnya
  • Akibatnya, pembaruan versi Windows VeraCrypt tidak dapat didistribusikan, sehingga operasional proyek mengalami gangguan besar
  • Versi Linux dan macOS masih dapat terus diperbarui, tetapi dampaknya besar karena sebagian besar pengguna memakai Windows

• Respons dan usulan dari komunitas

  • Pengguna Marty mengatakan versi Windows saat ini (1.26.24) ditandatangani dengan sertifikat tahun 2011 yang akan segera kedaluwarsa, dan mengkhawatirkan masalah saat menggunakan versi tanpa tanda tangan di lingkungan Secure Boot
  • AJ B menyarankan menggunakan formulir pemulihan akun dan tautan dukungan pelanggan di halaman dukungan Microsoft, serta menganjurkan pelaporan publik melalui Reddit dan X (sebelumnya Twitter)
  • Alex R mengusulkan akan membagikan persoalan ini ke kanal sosial terkait Microsoft untuk meningkatkan perhatian, dan Idrassi menerimanya secara positif
  • 风之暇想 mengusulkan penambahan program enkripsi berbentuk arsip yang tidak bergantung pada penandatanganan, sebagai opsi untuk menghadapi masalah tanda tangan

• Saran tambahan dan upaya dukungan

  • Phoenix menyebut kemungkinan akun dihapus karena laporan bahwa perangkat lunak dapat digunakan untuk aktivitas ilegal, dan mengusulkan versi terbatas sementara yang hanya mendukung partisi non-sistem
  • Enigma2Illusion memberikan saran rinci tentang cara mengirim email langsung kepada CEO Microsoft Satya Nadella
    • Ia menyediakan contoh format surat yang mencakup subjek email, isi, tangkapan layar lampiran, dan informasi kontak
  • Preguntar Jeeves menyebut kemungkinan akun itu bukan benar-benar dihapus, melainkan hanya dinonaktifkan, dan menyarankan untuk menghubungi tokoh komunitas kriptografi, media, dan politisi
    • Tokoh yang disebut mencakup Bruce Schneier, Chris Titus, Niels Ferguson, Rand Paul, Ron Wyden

• Kasus serupa dan kemungkinan penyelesaian

  • Pete Batard mengungkapkan bahwa proyek Rufus pernah mengalami kesalahan Microsoft Partner Center yang sama
    • Dalam kasusnya, verifikasi otomatis berhenti karena kegagalan verifikasi WHOIS oleh registrar domain, dan masalah terselesaikan setelah kontak langsung dengan tim dukungan Microsoft
    • Ia menjelaskan bahwa frasa “banding tidak dimungkinkan” pada pesan kesalahan kemungkinan besar hanyalah teks otomatis yang terpisah dari prosedur verifikasi bisnis yang sebenarnya
    • Masalah terselesaikan setelah menyerahkan dokumen bukti pendaftaran domain, dan ia menyebut kasus Idrassi mungkin memiliki penyebab serupa

• Upaya mencari koneksi internal di Microsoft

  • Rafael Rivera mengatakan ia dapat meneruskan masalah ini melalui koneksi internal di Microsoft dan meminta agar email dibagikan
  • Sejumlah pengguna lain di komunitas menyatakan empati dan dukungan terhadap situasi Idrassi, serta mengusulkan berbagai langkah dukungan teknis dan sosial untuk membantu keberlanjutan proyek

[GN⁺]

Komentar Hacker News

• Saat ini saya juga mengalami masalah yang sama terkait WireGuard
  Akun saya diblokir tanpa peringatan atau notifikasi apa pun, dan sekarang saya sedang menjalani proses banding selama 60 hari
  Jika benar-benar terjadi kerentanan RCE dan saya harus segera merilis patch, Microsoft akan membuat saya benar-benar tidak bisa berbuat apa-apa
  Jika ada seseorang di Microsoft yang bisa membantu, mohon hubungi saya (jason at zx2c4 dot com)

  • Melihat situasi seperti ini, saya pikir perusahaan seperti Microsoft, Google, Apple, Visa, Mastercard, dan sebentar lagi OpenAI serta Anthropic harus diatur seperti utilitas publik
    Harus ilegal bagi perusahaan-perusahaan seperti ini untuk menolak layanan kepada pengguna yang sah
    Di AS ini mungkin sulit karena alasan politik, tetapi di UE ada kemungkinan
    Orang di luar UE pun mungkin bisa mendapat perlindungan regulasi UE lewat e-Residency Estonia
  • Fakta bahwa akun Microsoft pendiri WireGuard diblokir benar-benar mengejutkan
    Seolah-olah Microsoft ingin menghalangi enkripsi jaringan atau enkripsi drive milik pengguna
  • Sulit dipercaya bahwa pengembang WireGuard bisa mengalami situasi seperti ini
    Padahal Microsoft juga mendukung WireGuard di Azure Kubernetes Service
  • /tinfoil time
    Jangka waktu 60 hari ini terasa aneh, panjang sekaligus pendek
    Cukup lama bagi pemerintah AS untuk memanfaatkan celah keamanan, lalu setelahnya Microsoft bisa memulihkan akun sambil berkata “itu hanya kesalahan”
    Pada akhirnya ini terlihat seperti strategi membekukan software keamanan untuk sementara
  • Berkat thread ini, saya juga membagikan hal terkait lewat tweet

• Perlu melihat tweet pembaruan dari wakil presiden Microsoft

• Awalnya saya terkejut para pengembang Veracrypt mengalami situasi seperti ini, dan sekarang ternyata pengembang WireGuard juga
  Apakah Microsoft sedang menjalankan kebijakan baru untuk menekan proyek open source dan mendorong solusi mereka sendiri?

  • Kemungkinan besar ini akibat sistem pemblokiran otomatis karena lonjakan unduhan yang mendadak
    Belakangan ini perusahaan memperketat langkah seperti ini untuk mencegah penyebaran aplikasi penipuan yang menyasar pengguna nonteknis
    Konteksnya mirip dengan alasan Google menghambat sideloading
  • Betul

• Masalah seperti ini baru terselesaikan kalau ada liputan media
  Seperti saat neocities dulu tidak bisa menghubungi Bing, media seperti Ars Technica harus mengangkatnya

  • Microsoft tampaknya menyalahgunakan posisi nyaris monopolinya di pasar OS konsumen
    Sudah waktunya ada tindakan regulasi
  • Terselesaikan lewat liputan media hanyalah solusi sementara
    Struktur distribusi aplikasi saat ini sudah berubah dari model “pengguna memilih” menjadi sistem whitelist yang dikelola perusahaan
    Pengembang individu dan pengembang open source harus menghadapi prosedur ala Kafka, biaya yang tidak masuk akal, dan standar yang tidak transparan
    Saya sendiri sudah 6 bulan terhambat dalam perpanjangan code signing Digicert untuk aplikasi saya, Payload
    Ini bukan sekadar masalah teknis, tetapi masalah sistem verifikasi monopolistik
    Lebih mahal, lebih rumit, dan lebih samar daripada era sertifikat SSL sebelum Let’s Encrypt
  • Hari ini saya juga mempublikasikan hal terkait di X

• Ini terasa seperti pengulangan kasus LibreOffice
  Menurut artikel terkait, Microsoft pernah memblokir versi pengembangan LibreOffice

  • Mereka memaksa pengguna membuat akun Microsoft, lalu ketika akun itu diblokir pengguna bahkan kehilangan hak akses ke datanya sendiri
    Struktur seperti ini berbahaya, dan menjadi satu alasan lagi untuk meninggalkan Windows
  • Mungkin ini tidak terkait langsung dengan kasus LibreOffice
    Sistem deteksi penyalahgunaan otomatis Microsoft memang kacau, jadi akun sering terkunci tanpa alasan
    Sebisa mungkin jangan pakai akun MS untuk hal penting, dan untuk penandatanganan lebih baik gunakan CA pihak ketiga

• Masih menjadi misteri mengapa pengembang TrueCrypt tiba-tiba menghentikan proyek dan merekomendasikan BitLocker sebagai pengganti

  • Yang umumnya diketahui adalah pengembangnya dipenjara atas tuduhan perdagangan senjata
    Lihat halaman wiki Paul Le Roux
  • Saya juga penasaran kenapa TrueCrypt dikecualikan dari Archive.org
    Tautan arsip
  • Kemungkinan besar mereka menutup diri secara sukarela agar tidak tunduk pada tuntutan pemerintah, seperti Lavabit
  • Saya juga merasa kasus itu mencurigakan, jadi saya masih menggunakan TrueCrypt

• Dari situasi sekarang, rasanya Linux adalah satu-satunya harapan
  Windows dan macOS terlalu berisiko dan tidak efisien untuk dipakai dalam bisnis

  • Di beberapa negara bagian AS ada gerakan untuk menyulitkan penggunaan Linux dengan memasukkan persyaratan verifikasi usia di level OS
  • Saya berharap Valve suatu saat bukan hanya fokus pada game, tetapi juga memperluas ekosistem Linux
  • Tapi bagi mayoritas pengguna umum, usability-nya masih rendah

• Prediksi saya, Microsoft sedang menguji reaksi publik
  Kalau penolakannya besar, mereka akan memulihkan akun sambil berkata “itu kesalahan”; kalau reaksinya lemah, mereka akan makin memblokir kunci tanda tangan untuk software seperti VPN, torrent, ad blocker

  • Pada akhirnya ini menandakan strategi ‘enshittification’ Microsoft mulai dijalankan penuh
    Keterlibatan mereka di open source bukan karena niat murni, melainkan perhitungan bisnis
    Sekarang mereka ingin mengunci Windows sepenuhnya, dan GitHub serta VSCode kemungkinan akan mengikuti arah yang sama

• Beberapa fitur Veracrypt hanya bisa dilakukan di Windows
  Misalnya enkripsi partisi sistem penuh atau instalasi Hidden OS hanya bekerja di Windows berbasis MBR
  Saya berharap teknologi plausible deniability seperti ini berkembang lebih jauh di level OS, tetapi sekarang hampir menghilang
  Materi presentasi BlackHat juga menunjukkan upaya serupa

  • Tapi kalau meninggalkan Windows, sejak awal Veracrypt pun tidak lagi diperlukan

• Microsoft menonaktifkan sertifikat penandatanganan milik pengembang sehingga rilis untuk Windows tidak bisa didistribusikan

  • Tetap masih bisa diinstal, hanya saja akan muncul pesan peringatan
  • Sebagai orang yang sedang menyiapkan software bertanda tangan untuk Windows, contoh seperti ini sangat mengkhawatirkan
    Apa alasan untuk mencabut sertifikat pengembang yang identitasnya sudah diverifikasi?
    Saya juga penasaran apakah ada cara untuk menempuh jalur hukum atas keputusan seperti ini