Pengguna GrapheneOS Dilaporkan ke Otoritas karena Menggunakan GrapheneOS

• GrapheneOS adalah OS dengan fitur keamanan dan perlindungan privasi yang diperkuat, dan kontroversi bermula dari tangkapan layar balasan dukungan pelanggan Yoti yang menyebut “secara otomatis menandai perangkat yang menjalankan GrapheneOS dan otomatis melaporkannya ke otoritas serta tim keamanan”
• Kekhawatiran utamanya adalah jika layanan verifikasi usia dan identitas menjadikan penggunaan GrapheneOS itu sendiri sebagai alasan pelaporan, maka OS yang berfokus pada privasi bisa diperlakukan sebagai sinyal berisiko tinggi
• Aplikasi dapat mengidentifikasi OS dan model perangkat melalui API standar, inspeksi memori, Hardware Attestation API, dan Play Integrity, dan tidak ada cara realistis untuk menyembunyikannya dari aplikasi
• Argumen tandingnya adalah sulit memprediksi masa depan distopia hanya dari pernyataan berlebihan seorang petugas dukungan pelanggan, dan lebih mungkin Yoti mendeteksi tidak digunakannya Google Mobile Services daripada secara khusus mendeteksi dan memblokir GrapheneOS
• Respons praktisnya adalah menyiapkan perangkat stock Android murah atau lama tanpa data sensitif khusus untuk verifikasi identitas dan aplikasi pemerintah, serta mempertimbangkan ulang pembelian produk yang mewajibkan verifikasi identitas

---

Munculnya kasus dan reaksi awal

• Tangkapan layar pengalaman dengan dukungan pelanggan terkait Yoti memuat kalimat bahwa “Yoti secara otomatis menandai perangkat yang menjalankan GrapheneOS, dan secara otomatis melaporkan kasus tersebut ke otoritas dan tim keamanan”
• Thread Reddit yang dibagikan bersama menghubungkan hal ini dengan pengalaman bahwa penggunaan GrapheneOS diperlakukan sebagai masalah dalam proses verifikasi usia Yoti
• Fokus persoalannya adalah kekhawatiran bahwa jika GrapheneOS dapat diidentifikasi dan dibedakan oleh layanan seperti Yoti, dan layanan itu menganggapnya sebagai alasan pelaporan ke penegak hukum, maka di lingkungan verifikasi usia dan identitas yang makin meluas, penggunaan GrapheneOS itu sendiri bisa menjadi “heatscore”
• Sebagian reaksi berharap Sony mengganti mitra verifikasi usianya, tetapi menilai kemungkinan itu sangat kecil
• Ada juga reaksi yang memandang tren verifikasi usia dan identitas di Inggris beserta lingkungan hukumnya sebagai sesuatu yang Orwellian dan distopis

Kemungkinan identifikasi GrapheneOS

• Perangkat GrapheneOS dijelaskan dapat difingerprint karena memiliki fitur mitigasi eksploit yang luas
  • Sebagai contoh, disebutkan bahwa fitur perlindungan seperti secure exec spawning yang tidak ada pada sistem lain bisa menjadi side channel
• Aplikasi dapat meminta Hardware Attestation API dan membandingkan verifiedBootKey dengan boot key GrapheneOS untuk mendeteksi GrapheneOS
• Penjelasan lain menyebut aplikasi dapat dengan mudah mendeteksi OS yang sedang berjalan dengan memakai API standar atau memeriksa memorinya sendiri
  • Deteksi ini bukan semata karena GrapheneOS menambahkan fitur perlindungan privasi dan keamanan, tetapi juga karena perbedaan OS antar Android OEM dan karena model perangkat yang sedang digunakan juga dapat diidentifikasi
• Play Integrity dapat memeriksa apakah perangkat menjalankan hardware bersertifikasi Google dan stock OS bersertifikasi Google, menggunakan Hardware Attestation API secara internal, dan disebut akan mewajibkannya
• Menjalankan semua aplikasi pada OS yang sama di mesin virtual tanpa akselerasi hardware dapat menyembunyikan model perangkat dan OS host bare-metal, tetapi jika hanya GrapheneOS yang memakai pendekatan itu, GrapheneOS sendiri tetap tidak bisa disembunyikan
  • Banyak aplikasi juga berusaha mendeteksi bentuk virtualisasi, emulasi, dan modifikasi lain, dan salah satu tujuan utama Play Integrity API juga dijelaskan sebagai mendeteksi dan melarang hal-hal tersebut

Penilaian dan bantahan seputar respons Yoti

• Salah satu kritik menyebut perusahaan verifikasi usia bisa bersikap memusuhi proyek yang benar-benar meningkatkan keamanan dan privasi, dan balasan dukungan pelanggan itu dinilai mencerminkan sikap tidak paham yang menganggap keamanan dan privasi hanya untuk penjahat
• Kekhawatiran lain adalah pengguna baru mengetahui bahwa dirinya menjadi objek pelaporan setelah mengunggah dokumen sensitif melalui GrapheneOS, dan anonimitas kotak masuk Proton miliknya mungkin sudah hilang
• Bantahan kerasnya adalah bahwa kasus ini merupakan ketakutan yang dibangun dari ucapan petugas dukungan pelanggan yang tidak masuk akal
  • Menggunakan GrapheneOS bukan tindakan ilegal, dan sangat mungkin petugas dukungan pelanggan mengarang cerita untuk menutup tiket
  • Kemungkinan Yoti secara khusus mendeteksi GrapheneOS atau melarang penggunaannya dinilai kecil, dan lebih mungkin yang terdeteksi adalah penggunaan OS tanpa Google Mobile Services yang tidak dimodifikasi
• Ada juga tanggapan bahwa memprediksi masa depan distopia hanya dari ucapan satu petugas dukungan pelanggan adalah lompatan yang terlalu jauh

Saran respons dan pemisahan penggunaan

• Sebagai respons praktis, ada usulan menyiapkan ponsel stock Android murah atau lama yang tidak berisi data sensitif
  • Konfigurasinya adalah perangkat tanpa kontak, email yang berisi percakapan pribadi, aplikasi pesan, dan sejenisnya
  • Perangkat itu hanya digunakan sebagai semacam “paspor” khusus untuk verifikasi identitas atau aplikasi pemerintah yang mungkin diwajibkan
• Perangkat GrapheneOS dipakai untuk semua keperluan umum, tetapi tidak untuk pembuktian identitas
• Ada saran untuk memikirkan kembali apakah verifikasi identitas ke perusahaan tertentu layak dilakukan hanya demi satu konsol game
• Ada pendapat bahwa jika perusahaan meminta tindakan yang tidak diinginkan, maka keputusan yang matang adalah tidak membeli produk tersebut
• Ada usulan untuk mempertanyakan apakah game, streaming video, dan konten dewasa lebih penting daripada privasi dan martabat, dan jika identifikasi diwajibkan maka carilah hobi lain
• Ada juga usulan untuk menghubungi pembuat undang-undang guna membalikkan tren seperti verifikasi usia dan keharusan memakai aplikasi Google

Kecurigaan terhadap verifikasi dan contoh terkait

• Ada reaksi bahwa banyak orang berasumsi keamanan, privasi, dan anonimitas hanya untuk penjahat
  • Contohnya, seorang kenalan yang bekerja di penegakan hukum terkejut melihat penggunaan GrapheneOS karena mengira hanya penjahat yang memakainya, alasannya karena semua pengguna yang pernah ia lihat memang penjahat
  • Ada juga contoh bahwa orang tersebut kemudian dijelaskan apa itu GrapheneOS, mengapa dipakai, dan mengapa dianggap sebagai OS terbaik
• Ada contoh harus meyakinkan tempat kerja dengan keras agar tidak memblokir total Tor exit IP dan domain aliasing email
• Ada kritik terhadap cara berpikir yang mengaitkan privasi dengan kriminalitas melalui analogi “hanya penjahat yang menyembunyikan kamar tidur di balik dinding”
• Ada tanggapan bahwa pekerja penegakan hukum justru bisa mendapat manfaat lebih besar dari GrapheneOS karena profesi dan simbolismenya membuat mereka menjadi target yang lebih besar
• Komentar Hacker News yang ikut dikutip menyoroti kecurigaan bahwa pengunggah asli di Reddit banyak membuat posting tentang verifikasi usia, bypass, dan privasi, lalu menyembunyikan profilnya
  • Komentar yang sama juga menyatakan tangkapan layar email perusahaan bisa dengan mudah diedit sehingga mereka tidak yakin terhadap keseluruhan cerita
  • Menurut penilaian itu, perusahaan verifikasi usia tidak akan membagikan alasan deteksi kepada pengguna yang diblokir, karena itu sama saja seperti memberi tahu resep dari sumber rahasia

[GN⁺]

Komentar Hacker News

• OP dari postingan Reddit ini sering mengunggah tulisan tentang verifikasi usia, bypass, dan privasi, dan sekarang sudah disembunyikan. Setelah hal itu disorot di thread, dia menyembunyikan profilnya, tetapi kalau dicari dengan kata kunci “reddit PaiDuck” di Google, masih bisa dilihat
  Ini bukan berarti perusahaan tersebut benar, tetapi kesannya orang ini diblokir saat menguji seberapa jauh dia bisa mendorong upaya bypass terhadap berbagai perusahaan verifikasi usia. Balasan email dari perusahaan juga mudah diedit sebelum di-screenshot, jadi sulit yakin apakah ceritanya sendiri benar. Jika aku menjalankan perusahaan verifikasi usia, aku juga tidak akan pernah memberi tahu pengguna yang diblokir kenapa mereka tertangkap. Itu sama saja seperti membagikan resep rahasia

  • Perwakilan perusahaan mengatakan mereka melaporkan semua pengguna yang memakai GrapheneOS tanpa syarat tambahan apa pun. Mungkin datanya sudah lebih dulu diunggah, dan justru bagian itulah yang sangat tidak adil
  • Menurutku keputusan untuk membiarkan orang menyembunyikan riwayat mereka benar-benar buruk
    https://arctic-shift.photon-reddit.com/search

• “Hei teman, punya SIM untuk sistem operasi itu?”
  Yang mengejutkan dari cerita ini cuma fakta bahwa pengguna tersebut didatangi polisi dan tidak didakwa sebagai “insiden keamanan siber nonkriminal”. Inggris benar-benar sudah menjadi negara yang kacau

  • Benar. Polisi bisa meminta kata sandi dari siapa saja, dan kalau tidak diberikan, mereka bisa memenjarakanmu
    Aku tidak berniat berkunjung. AS juga punya banyak masalah, tetapi dibanding negara lain, dari sisi hak sipil mereka punya perlindungan yang cukup kuat
  • Inilah benar-benar tujuan akhirnya, dan bagian yang paling kutakuti dalam perang terhadap privasi. Ke depannya, sekadar berusaha menegaskan hak privasi bisa menjadi dasar kecurigaan
  • https://www.openbsd.org/lyrics.html#35
  • Lucu sekali melihat orang Inggris menyangkalnya
  • Tolong jangan mulai dengan yang seperti “Hei teman, punya SIM untuk sistem operasi itu?”

• Kalau pihak berwenang tahu aku punya akun Hacker News, habislah aku

  • Waktu SMA aku membawa The Hacker's Dictionary untuk ditunjukkan ke teman, lalu seorang guru melihatnya
    Beberapa minggu kemudian terjadi insiden peretasan. Spreadsheet bersama berisi nilai siswa yang bisa diakses semua guru diubah, sehingga nilai beberapa siswa naik dan nilai siswa lain turun. Nilai milikku termasuk yang naik, dan anak-anak yang tidak akur denganku termasuk yang turun. Saat penyelidikan aku langsung dipulangkan, tetapi akhirnya tidak terjadi apa-apa
    Beberapa tahun kemudian seorang teman memamerkan teknik canggih yang dipakainya untuk mengetahui kata sandi guru musik: dia melihat tulisan “bassoon” pada Post-it di bawah keyboard
  • Kisah nyata. Pada 2022 rumahku di Australia digeledah polisi. Delapan bulan kemudian mereka bilang aku boleh mengambil kembali peralatan yang disita, dan petugas yang menanganinya memberi tahu item-item yang mereka anggap mencurigakan
    1. Menggunakan MEGA. Katanya dipakai untuk berbagi CSAM
    2. Menggunakan mesin virtual
    3. “Ada Tor di komputer saya”. Kedengarannya tidak masuk akal, tetapi memang itu yang mereka katakan
       Mereka benar-benar tidak paham apa-apa. Jangan meremehkan seberapa sedikit mereka mengerti. Penjelasan bahwa sesuatu itu tidak berbahaya pun bisa terdengar bagi mereka seperti pengakuan bersalah
       Itu pengalaman yang membuka mata, dan setelah kejadian itu aku serta cukup banyak kerabatku jauh lebih tidak menghormati kapabilitas aparat penegak hukum
  • Saat pergi ke hackathon di negara lain, aku sempat khawatir harus menjelaskan nama itu kepada petugas perbatasan. Untungnya topik itu tidak muncul

• Kesampingkan dulu fakta bahwa sumbernya adalah postingan Reddit yang menautkan screenshot teks, bukan situs berita tempat wartawan harus mempertaruhkan reputasinya untuk memverifikasi kebenarannya
  Siapa pun bisa melaporkan siapa pun ke “pihak berwenang” dengan alasan apa pun. Itu tidak berarti pihak berwenang yang tidak disebut namanya benar-benar akan bertindak. Dan kalau ini bukan lelucon, cukup aneh juga bahwa Yoti tidak menyebutkan unit penegakan hukum mana yang menerima laporan seperti ini

  • “Situs berita tempat wartawan mempertaruhkan reputasinya”, ya? Pernah lihat reputasi sebagian besar “wartawan” sekarang? Beberapa surat kabar Inggris sering memuat ulang begitu saja postingan forum seperti Reddit atau Mumsnet

• Balasan itu terlihat seperti dihasilkan dari template boilerplate, dan bagian “dilaporkan ke pihak berwenang” kemungkinan sama nyatanya dengan ketika sudo mengatakan hal yang sama

• https://postimg.cc/3kVXKzhk

  • Soal sudo, lihat https://xkcd.com/838/
  • sudo memang benar melakukan itu secara default. Aku sangat tidak suka menerima laporan email kepada diriku sendiri karena percobaan autentikasi gagal yang kulakukan sendiri di komputerkku

• Jika dilihat lebih dekat, pesan sebenarnya dari Yoti adalah sebagai berikut
  “Because of historic security concerns, Yoti automatically flags both multiple verification attempts and all devices running GrapheneOS. These cases are automatically reported both to authorities and security teams.”
  Lalu dilanjutkan dengan
  “Unfortunately, due to multiple attempts on this specific device, the account was flagged for suspicious activity.”
  Jadi, kata “and” tampak seperti salah ketik. Atau kalau tidak, sistemnya sejak awal tidak akan mengizinkan lebih dari satu percobaan pada perangkat GrapheneOS
  Artinya, jika ada beberapa percobaan verifikasi dari perangkat GrapheneOS, akun akan ditandai

  • Selamat kepada GrapheneOS karena telah diakui sebagai sistem operasi generasi berikutnya. Kalau itu Android lama atau OS X, paling cuma dianggap baby boomer bingung saja

• Selama 15 tahun terakhir media Barat terus meneriakkan “Tiongkok”, jadi mengejutkan melihat hal seperti ini terjadi di Barat sementara di Tiongkok orang bebas memakai sistem operasi apa pun tanpa dirugikan. Kenapa bisa begitu? Apa yang sebenarnya terjadi?

  • Tiongkok melakukan kontrol pada tingkat yang benar-benar berbeda. Mereka bisa membiarkan orang memakai sistem operasi mobile apa pun karena mereka memantau semua koneksi internet, melihat apa yang diunduh, memblokir semua konten yang mereka anggap tidak pantas, dan hampir tidak ada cara untuk mengajukan banding. Mereka juga bisa menangkap orang dan mengirim mereka ke kamp kerja paksa
    Ini bukan berarti saya membela tindakan polisi Inggris, tetapi slogan berulang seperti “sama buruknya dengan Tiongkok” sering terlihat, padahal biasanya tidak tepat
  • Bagian tentang Tiongkok itu tidak benar, tetapi memang benar bahwa negara-negara Barat digambarkan jauh lebih bebas daripada kenyataannya
    Jika Anda tidak bisa mengkritik atau memprotes Xi di Tiongkok, coba kritik atau protes hukum di negara lain. Terutama hal-hal yang dilakukan atas nama privasi, dan saya ingat Inggris pernah memenjarakan orang karena postingan Facebook. Hal seperti itu mestinya hanya terjadi di negara dunia ketiga
    Inggris dari dulu memang tidak banyak yang bisa dibanggakan, dan sekarang AS juga mulai melakukan hal yang sama, yang sangat menakutkan
    Sebelum bepergian ke negara mana pun, hal pertama yang sekarang saya lakukan adalah memeriksa akun sosial saya dan menghapus hal-hal yang mungkin diperiksa di bandara. Dulu orang mengira hal seperti ini tidak akan terjadi di negara maju
    Teman-teman saya masih bilang keadaannya belum seburuk itu, tetapi membaca posting seperti ini di HN sebulan sekali selama beberapa tahun terakhir benar-benar menakutkan
  • Mungkin karena di 50 negara Barat tidak ada yang peduli, dan Inggris sebagai satu-satunya pengecualian melakukan hal aneh dalam kepolisian online. Bahkan di Inggris pun pengadilan tidak menjatuhkan hukuman untuk hal seperti itu, yang terdengar sejauh ini hanya tindakan polisi
    Inggris sedang merosot parah sejak Brexit, dan mungkin mereka takut pada kerusuhan massa
    Di Tiongkok, kalau melakukan aktivitas anti-pemerintah, Anda masuk kamp reedukasi. Atau mungkin kasus-kasus di Tiongkok memang tidak bernilai berita karena terlalu mudah diduga
  • Dari awal pun tidak pernah sesederhana “Barat baik, Tiongkok jahat”
    Narasi propaganda yang didorong pemerintah AS itu berhasil selama hampir satu abad, tetapi sekarang sudah tidak lagi

• Di komentar artikel itu, seseorang menautkan FAQ panjang tentang bagaimana GrapheneOS bisa diidentifikasi oleh aplikasi dan sebagainya [1]. Saya tidak mengerti kenapa mereka tidak mencoba menyamar sebagai Android/Google murni di semua tempat yang memungkinkan
  [1] https://grapheneos.org/faq#:~:text=Apps%20can%20detect%20tha...

  • Tujuannya adalah menormalkan penggunaan sistem operasi alternatif. Begitu Anda mencari jalan memutar dan tidak mempersoalkan masalah utamanya, itu berarti Anda menerima posisi lawan, dan pada akhirnya jalan memutar itu pun akan habis
    Jawaban seperti “itu tidak dihapus karena Anda masih bisa melakukan X lewat Y” sering muncul, kadang bahkan di posisi teratas, dalam tulisan perusahaan yang memperkuat ekosistem tertutup. Itu memberi solusi sesaat, tetapi tidak menyelesaikan masalah inti. Saya harap jangan begitu
  • Itu akan sia-sia. Jika mitigasi kerentanan use-after-free aktif, aplikasi bisa benar-benar mencoba melakukan use-after-free untuk memastikan keberadaannya. Satu-satunya cara agar aplikasi tidak menyadari mitigasi itu adalah dengan menonaktifkannya
  • GrapheneOS berfokus pada peningkatan privasi dan keamanan pengguna, bukan pada menipu 0,01% aplikasi bermasalah
    Itu permainan kucing-dan-tikus yang memerlukan investasi besar, dan malah bisa terlihat lebih mencurigakan. Lebih baik meningkatkan adopsi agar perusahaan lebih sulit membuat keputusan bodoh seperti ini. Saya bahkan pernah melihat aplikasi bank yang setelah disebut oleh pelanggan secara eksplisit menambahkan dukungan GrapheneOS dalam hardware attestation
    Bahkan browser khusus penghindar deteksi pun terus diblokir dan perlu ditambal. Itu bukan area yang saya ingin GrapheneOS fokuskan
  • Penyamaran dangkal itu tidak ada gunanya. Aplikasi yang benar-benar peduli tinggal memakai Play Integrity API, dan GrapheneOS tidak bisa memalsukannya
    0: https://developer.android.com/google/play/integrity/overview
  • Tim GrapheneOS menangani keamanan dengan serius, dan penyamaran justru bisa membenarkan pemblokiran
    Dari https://grapheneos.org/articles/attestation-compatibility-gu...:

    GrapheneOS tidak hanya mempertahankan model keamanan aplikasi, tetapi juga secara substansial memperkuatnya, sehingga pemblokiran tidak dapat dibenarkan dengan alasan keamanan, anti-penipuan, dan sebagainya.

• Karena internet juga bisa dipakai untuk penipuan, mungkin lebih baik semua pengguna internet dilaporkan ke pihak berwenang

  • Benar. Jangan lupa juga bahwa memiliki atau mengendarai mobil pasti berarti Anda kriminal. Mobil kan dipakai sebagai kendaraan pelarian untuk kejahatan berat
  • Tiba-tiba terpikir, apa yang akan terjadi kalau mendadak ada banjir laporan sampai tidak bisa ditangani? Bagaimana kalau semua pengguna GrapheneOS memasang aplikasi itu agar ikut dilaporkan, lalu ditambah bot atau akun palsu?
  • Kebanyakan orang yang memakai sistem operasi tanpa backdoor bukanlah penipu, tetapi mungkin peluangnya sedikit lebih tinggi daripada menganggap seseorang penipu hanya karena memakai internet
  • Maksudnya seperti ini? https://en.wikipedia.org/wiki/Collection_of_Internet_Connect...

• Era baru pembajakan sedang mendekat. Saat mereka menangis soal “kehilangan pendapatan”, hari-hari sekarang akan diingat

  • Tolong jangan sebut itu pembajakan. Itu membuat kita terdengar seperti pencuri
    Ini adalah perlawanan terhadap pengawasan massal dan negara yang membesar seperti kanker. Sebenarnya ini hampir menjadi kewajiban warga negara
  • Maksudnya apa?