Cek Fakta
Suara.com - Selum lama ini para pejabat militer Amerika Serikat dikejutkan oleh pengungkapan bahwa pelacak kebugaran digital personel militer menyimpan lokasi-lokasi latihan fisik mereka—termasuk di dalam atau di dekat pangkalan militer dan situs rahasia di seluruh dunia. Ancaman ini tidak hanya terbatas pada Fitbit dan peranti-peranti serupa. Penelitian mutakhir yang dilakukan kelompok saya menunjukkan bahwa telepon seluler juga bisa melacak pengggunanya di pusat perbelanjaan dan kota-kota besar di seluruh dunia—bahkan ketika pengguna mematikan layanan pelacakan lokasi telepon seluler.
Kerentanan berasal dari banyak ragam sensor yang dipasang di ponsel—bukan cuma GPS dan antarmuka komunikasi, melainkan juga giroskop dan akselerometer. Akselerometer bisa mengetahui apakah sebuah ponsel sedang dipegang tegak atau horizontal, selain bisa juga mengukur gerakan-gerakan lainnya. Berbagai aplikasi ponsel bisa menggunakan sensor-sensor tersebut untuk melakukan tugas-tugas yang tidak disangka pengguna—seperti mengikuti pergerakan pengguna belokan demi belokan di sepanjang jalanan kota.
Banyak orang yang mengira bahwa mematikan layakan lokasi ponsel mereka berarti juga mematikan jenis pengawasan bergerak ini. Tetapi penelitian yang saya lakukan bersama kolega-kolega saya Sashank Narain, Triet Vo-Huu, Ken Block, dan Amirali Sanatinia di Universitas Northeastern, dalam bidang yang disebut “serangan side-channel,” mengungkapkan bagaimana aplikasi bisa menghindari atau lolos dari pembatasan-pembatasan tersebut. Kami mengungkapkan bagaimana sebuah ponsel bisa menyadap ketukan jari pengguna untuk mendapatkan kata sandi. Bahkan, cukup dengan ponsel yang Anda kantongi di saku perusahaan-perusahaan data bisa tahu di mana Anda berada dan mau ke mana Anda.
Asumsi-asumsi serangan
Ketika merancang perlindungan bagi sebuah peranti atau sebuah sistem, orang membuat asumsi-asumsi tentang ancaman-ancaman apa yang akan muncul. Mobil, misalnya, dirancang untuk melindungi penggunanya dari tabrakan dengan mobil lain, menabrak gedung, pagar pembatas jalan, tiang telepon dan benda-benda lain yang lazim ditemukan di dekat jalan. Mobil tidak dirancang untuk melindungi keselamatan pengguna dalam mobil yang terjun ke jurang atau dihantam batu besar yang menjatuhi mobil. Tidak ekonomis jika para insinyur merancang perlindungan dari bahaya yang diasumsikan sangat tidak lazim.
Begitu pula halnya dengan perangkat lunak dan perangkat keras, orang membuat asumsi tentang apa yang mungkin dilakukan para peretas. Tapi tidak lantas perangkat-perangkat itu aman. Salah satu serangan side-channel diidentifikasi pada tahun 1996 oleh ahli kriptografi Paul Kocher. Dia menunjukkan bahwa sistem kripto yang populer dan mestinya aman bisa dia jebol dengan menghitung secara cermat waktu yang diperlukan sebuah komputer untuk mendekripsi sebuah pesan terenkripsi. Para perancang sistem kripto tidak membayangkan akan ada penyerang yang melakukan pendekatan itu, sehingga sistem yang mereka bangun rentan terhadap serangan tersebut.
Selama bertahun-tahun, ada banyak serangan lain yang menggunakan segala macam pendekatan berbeda. Kerentanan Meltdown and Spectre mutakhir, yang mengeksploitasi cacat desain dalam prosesor komputer, juga merupakan serangan side-channel. Serangan yang memanfaatkan kebocoran informasi karena aktivitas program ini memungkinkan aplikasi-aplikasi berbahaya mengintai data aplikasi-aplikasi lain dalam memori komputer.
Pemantauan yang sangat aktif
Perangkat seluler adalah sasaran empuk bagi serangan dari arah tak terduga jenis ini. Perangkat tersebut dilengkapi berbagai sensor, biasanya meliputi, sekurang-kurangnya, satu akselerometer, sebuah giroskop, sebuah magnetometer, sebuah barometer, sampai empat mikrofon, satu atau dua kamera, sebuah termometer, sebuah pedometer, sebuah sensor cahaya dan sebuah sensor kelembapan.
Aplikasi bisa mengakses sebagian besar sensor-sensor tersebut tanpa meminta izin pengguna. Dengan memadukan pembacaan dari dua atau lebih perangkat, sering kali dimungkinkan melakukan hal-hal di luar dugaan para pengguna, perancang telepon, dan pencipta aplikasi.
