Privacy

Bagaimana Apple Dapat Membaca Pesan Terenkripsi Anda

October 9, 2021 by Søren

Pesan di iMessage dienkripsi ujung-ke-ujung, seperti yang Anda harapkan—itulah sebabnya tidak ada cara untuk mengakses pesan Anda di web, seperti dengan masuk ke icloud.com. Namun, ada satu masalah besar: Cadangan iCloud Anda tidak dienkripsi ujung-ke-ujung—dan Apple menyimpan kunci untuk membuka kunci pesan terenkripsi Anda di dalam cadangan itu.

Apple melakukan ini untuk menyediakan cadangan ke cadangan Anda—jika Anda lupa kata sandi ID Apple atau kode sandi buka kunci perangkat, Apple tidak ingin Anda kehilangan data selamanya, dan itulah yang akan terjadi jika iCloud mencadangkan, dan data di dalamnya, dienkripsi ujung-ke-ujung. Layanan Pemulihan Data iCloud Apple dapat mengambil data apa pun yang dicadangkan ke iCloud yang tidak dienkripsi, yang merupakan sebagian besar data Anda. Banyak orang mungkin merasa lega ketika Apple “menyimpan” pesan mereka dalam situasi ini. Namun, kita yang sadar akan privasi lebih cenderung tidak tenang.

Ini bukan hanya pesan Anda; selain data Keychain, Screen Time, dan Health, Apple memiliki kunci untuk mendekripsi semua data iCloud Anda. Sekarang, tidak ada bukti bahwa Apple pernah atau pernah mendekripsi pesan dan data pengguna menggunakan kunci yang mereka simpan di iCloud, tapi bukan itu intinya. Intinya adalah perusahaan dapat melakukannya jika ingin, atau, lebih mungkin, jika dipaksa membagikan kunci itu dan data terkait dengan penegak hukum.

Jika pernah ada pelanggaran data iCloud yang signifikan, peretas juga bisa mendapatkan akses ke data Anda dengan cara ini. Ini bukan solusi yang benar-benar aman untuk masalah pencadangan, tetapi mudah untuk membingungkan orang untuk berpikir itu (sebelum meneliti bagian ini, saya pasti mengira itu).

Selengkapnya: lifehacker

Akademisi menemukan lapisan tersembunyi di Great Firewall China

October 5, 2021 by Winnie the Pooh

Sebuah tim akademisi dari University of Maryland telah menemukan lapisan tersembunyi sebelumnya dalam sistem sensor Great Firewall China.

Diperkenalkan pada akhir 90-an, Great Firewall (GFW) adalah sistem kotak tengah yang dipasang di titik pertukaran internet China dan penyedia layanan internet yang memungkinkan pemerintah untuk mencegat lalu lintas internet, mengendus kontennya, dan memblokir koneksi ke situs web dan server yang dianggap tidak dapat diterima oleh negara.

Meskipun ada mekanisme sensor yang berbeda di dalam Great Firewall China yang melayani protokol yang berbeda, sistemnya yang paling kuat dan canggih secara teknis adalah yang dimaksudkan untuk menangani lalu lintas web terenkripsi HTTPS.

Saat ini, mekanisme sensor HTTPS ini mencakup dua sistem terpisah.

Yang pertama, dan yang tertua, adalah yang bekerja dengan mencegat koneksi HTTPS pada tahap awal dan kemudian melihat bidang data koneksi yang disebut SNI, yang memperlihatkan domain yang coba diakses pengguna.

Yang kedua, diperkenalkan tahun lalu, mirip dengan yang pertama tetapi melayani koneksi HTTPS yang menggunakan protokol modern yang mengenkripsi bidang SNI (sebagai eSNI).

Karena sistem ini tidak dapat melihat apa yang pengguna domain coba akses, mekanisme sensor ini jauh lebih tumpul karena GFW hanya memblokir semua koneksi di mana bidang eSNI terdeteksi.

Namun dalam makalah penelitian [PDF], akademisi dari University of Maryland mengungkapkan bahwa mereka menemukan sistem penyaringan HTTPS SNI sekunder bekerja secara paralel dengan yang pertama.

“Ini sebenarnya adalah penemuan yang tidak disengaja, dan sesuatu yang kami temukan di tahun 2019,” Kevin Bock, Ph.D. kandidat di departemen ilmu komputer di University of Maryland, mengatakan kepada The Record dalam email.

“Kami mulai menemukan strategi aneh di mana Geneva [sistem penghindaran sensor] dapat menghindari sensor di bagian pertama handshake TLS (di mana penyensoran dipahami terjadi), tetapi masih gagal lebih dalam di jabat tangan.”

Bock dan rekan-rekannya mengatakan sistem ini sama efektifnya dengan lapisan pertama dalam menyensor lalu lintas HTTPS, bahkan jika itu mengintervensi pada tahap terakhir koneksi.

“Penemuan ini berarti bahwa GFW sekarang menjalankan setidaknya tiga middlebox berbeda secara paralel dengan menyensor HTTPS: dua untuk koneksi berbasis SNI dan keluarga middlebox lainnya sepenuhnya untuk menyensor koneksi berbasis ESNI,” tambah peneliti.

Sumber: The Record

Edward Snowden mendesak pengguna untuk berhenti menggunakan ExpressVPN

September 21, 2021 by Winnie the Pooh

Pekan lalu, Hackread.com melaporkan kesepakatan miliaran dolar di mana ExpressVPN dibeli oleh Kape, sebuah perusahaan keamanan siber Israel yang meningkatkan masalah privasi di antara penggunanya. Kemudian, dalam tweet baru-baru ini, mantan whistleblower NSA Edward Snowden telah memperingatkan pengguna untuk berhenti menggunakan ExpressVPN.

Peringatan ini tampaknya sebagai reaksi terhadap berita bahwa CIP ExpressVPN, Daniel Gericke, adalah salah satu dari tiga mantan agen intelijen AS yang mengaku secara ilegal membantu pemerintah UEA melakukan peretasan terhadap orang-orang yang menjadi sasaran mereka.

Agak lucu bahwa ExpressVPN, salah satu penyedia layanan VPN terkemuka di dunia, tidak menyangkal klaim bahwa CIO-nya telah terlibat dalam Project Raven. Perusahaan merilis pernyataan yang menjelaskan bahwa fakta yang diceritakan dalam laporan itu sebelum perusahaan mempekerjakan Daniel, dan mereka telah mengetahui hal ini sejak awal.

Meskipun perusahaan menganggap Project Raven dan pengawasan secara umum sebagai antitesis, perusahaan ingin mempertahankan Gericke sebagai karyawannya karena Daniel memiliki pengalaman 20 tahun di industri keamanan siber dan telah bekerja di militer AS.

Sekadar informasi, Daniel Gericke dipekerjakan oleh ExpressVPN pada tahun 2019 dan sebelum bekerja, Daniel menghentikan kontraknya dengan UEA. Selain itu, ExpressVPN menyatakan bahwa perusahaan telah menerapkan beberapa langkah keamanan untuk menjaga privasi penggunanya.

Selengkapnya: Hackread

Atasan beralih ke ‘tattleware’ untuk mengawasi karyawan yang bekerja dari rumah

September 20, 2021 by Winnie the Pooh

David, 23 tahun, mengakui bahwa dia merasa sedikit lega ketika gelombang pertama Covid-19 menutup kantornya di Arlington, Virginia. Seorang lulusan perguruan tinggi baru-baru ini, dia baru dalam pekerjaan itu dan berjuang untuk bekerja sama dengan rekan satu timnya. Mungkin, pikirnya, ini akan menjadi jeda yang menyenangkan dari “hal-hal tatap muka”: politik kantor dan obrolan ringan. (Nama telah disamarkan)

Itu karena, dalam minggu pertama kerja jarak jauh mereka, David dan timnya diperkenalkan ke platform pengawasan digital yang disebut Sneek.

Setiap menit atau lebih, program akan mengambil foto langsung David dan rekan kerjanya melalui webcam laptop perusahaan mereka. Gambar kepala yang selalu berubah dipajang di dinding ruang tunggu konferensi digital yang bisa dilihat semua orang di tim. Mengeklik wajah rekan kerja akan secara sepihak menarik mereka ke dalam panggilan video. Jika Anda cukup beruntung untuk menangkap seseorang bermain-main atau mengupil, Anda dapat meneruskan gambar yang menyinggung ke obrolan tim melalui integrasi Sneek dengan platform perpesanan Slack.

Menurut salah satu pendiri Sneek Del Currie, perangkat lunak ini dimaksudkan untuk mereplikasi kantor. “Kami tahu banyak orang akan menganggapnya sebagai pelanggaran privasi, kami 100% mengerti, dan itu bukan solusi untuk orang-orang tersebut,” kata Currie. “Tetapi ada juga banyak tim di luar sana yang berteman baik dan ingin tetap terhubung saat mereka bekerja sama.”

Namun, bagi David, Sneek adalah pelanggar kesepakatan. Dia berhenti setelah kurang dari tiga minggu bekerja. “Saya mendaftar untuk mengelola pemasaran digital mereka, bukan untuk menyiarkan langsung ruang tamu saya.”

Dia tidak menyadari bahwa pengalamannya adalah bagian dari ledakan skala besar dalam pengawasan pekerja– dan yang siap menjadi fitur standar kehidupan di tempat kerja.

Perangkat lunak pengawasan jarak jauh seperti Sneek, juga dikenal sebagai “tattleware” atau “bossware”. Pada bulan April tahun lalu, kueri Google untuk “pemantauan jarak jauh” naik 212% dari tahun-ke-tahun; pada bulan April tahun ini, mereka terus melonjak 243%.

Selengkapnya: The Guardian

Praktik Privasi WhatsApp Diragukan

September 17, 2021 by Winnie the Pooh

WhatsApp adalah aplikasi messenger paling populer di seluruh dunia dengan sekitar dua miliar pengguna aktif bulanan, mendominasi Facebook Messenger dengan 1,3 miliar dan WeChat dengan 1,2 miliar pengguna.

Salah satu fitur yang menarik banyak orang ke WhatsApp dibandingkan dengan pesan instan lainnya adalah enkripsi end-to-end, yang aktif bahkan saat menggunakan multi-perangkat. Akibatnya, kita dapat melihat lebih banyak orang memiliki keraguan tentang privasi di Facebook Messenger.

Namun, laporan baru oleh ProPublica mengklaim bahwa pesan WhatsApp tidak dienkripsi secara end-to-end, menambahkan bahwa Facebook memeriksa konten pesan di platform.

Meskipun WhatsApp telah menampilkan enkripsi end-to-end sejak 2016, ada beberapa keadaan di mana 1.000 kontraktor yang menggunakan software khusus Facebook dapat membaca pesan yang dikirim dari satu pengguna ke pengguna lain.

Misalnya, ketika seseorang melaporkan pesan, bahkan dalam obrolan pribadi, algoritme AI akan mencari aktivitas mencurigakan yang terkait dengan terorisme, pelecehan anak, dll. Kemudian ia akan meneruskan pesan yang dilaporkan dengan empat pesan sebelumnya kepada manusia yang sebenarnya untuk ditinjau.

Pengguna kemudian dapat diblokir, diberhentikan, atau dimasukkan ke dalam daftar pantauan. Pesan tidak terenkripsi dari pengguna dalam daftar “proaktif” dapat dibaca bersama dengan data pengguna lain seperti:

grup pengguna
nomor telepon
ID unik telepon
pesan status
tingkat baterai
kekuatan sinyal

Laporan tersebut juga mengatakan bahwa semua praktik ini dijelaskan dalam kebijakan privasi pengguna, tetapi Anda harus menggali lebih dalam untuk menemukannya. Facebook mencatat bahwa praktik ini didasarkan pada feedback pengguna dan mereka yakin pengguna memahami apa yang terjadi setelah laporan.

Label privasi WhatsApp sangat buruk. Ini adalah satu-satunya messenger aman terkemuka yang mengumpulkan data yang terkait dengan Anda, termasuk:

ID perangkat— untuk iklan dan pemasaran pengembang
Info kontak, ID pengguna, dan ID perangkat — untuk “tujuan lain”.

Messenger lain mengumpulkan data Anda untuk menyesuaikan fungsionalitas. WhatsApp memanennya karena berbagai alasan. Singkatnya, enkripsi end-to-end WhatsApp mungkin tidak seaman popup konstan di layar yang dapat memengaruhi Anda untuk percaya.

Selengkapnya: Medium Technology Hits

Jika Anda peduli dengan privasi Anda, Anda perlu mengubah pengaturan browser ini sekarang

September 6, 2021 by Winnie the Pooh

Privasi sekarang menjadi prioritas di antara pembuat browser, tetapi mereka mungkin tidak melangkah sejauh yang Anda inginkan dalam memerangi pelacak industri iklan yang menyebar di web. Berikut adalah cara untuk meningkatkan pengaturan privasi Anda untuk mengakali pelacakan online itu.

Pengaturan privasi browser Chrome

Di Toko Web Chrome, klik Extension di sebelah kiri dan ketik nama extension yang Anda cari ke dalam bilah pencarian. Setelah Anda menemukan extension yang benar di hasil pencarian, klik Add to Chrome. Dialog akan muncul menjelaskan izin mana yang akan dimiliki extension untuk browser Anda. Klik Add extension untuk membawa extension ke browser Anda.

Berikut adalah empat extension untuk dilihat saat Anda memulai: Cookie Autodelete, uBlock Origin, Privacy Badger and HTTPS Everywhere.

Jika Anda menggunakan Android, maaf: ekstensi tidak berfungsi. Jadi, Anda harus beralih browser ke sesuatu seperti aplikasi DuckDuckGo.

Pengaturan privasi browser Safari

Safari 14, diumumkan pada bulan Juni dan tiba kemudian pada tahun 2020 dengan MacOS Big Sur baru, akan dapat memberi tahu Anda pelacak iklan mana yang berjalan di situs web yang Anda kunjungi dan memberi Anda laporan 30 hari tentang pelacak yang diketahui yang diidentifikasi saat Anda sedang menjelajah. Ini juga akan memberi tahu Anda dari situs web mana pelacak itu berasal.

Untuk memeriksa apakah pemblokiran aktif, buka Safari dan klik Preferences, lalu Privacy. Kotak di samping Prevent cross-site tracking harus dicentang. Saat berada di sana, Anda juga dapat menghapus cookie secara manual.

Pengaturan privasi browser Edge

Browser Microsoft Edge menyertakan beberapa privasi yang disederhanakan dan opsi pemblokiran pelacak pada layar Tracker prevention nya. Di dalam Edge, pilih ikon menu tiga titik di sudut kanan atas dan pilih Settings. Dari menu yang kemudian muncul di sebelah kiri, pilih Privacy and services. Anda akan ditawari tiga pengaturan untuk dipilih: Basic, Balanced and Strict. Pengaturan Strict Edge dapat mengganggu perilaku beberapa situs, tetapi akan memblokir jumlah pelacak terbanyak.

Pengaturan privasi browser Firefox

Dari dalam menu utama Firefox — atau dari dalam menu tiga baris di sisi kanan toolbar — pilih Preferences. Setelah jendela Preferensi terbuka, klik Privacy & Security. Dari sini, Anda dapat memilih di antara tiga opsi: Standard, Strict and Custom.

Untuk menerapkan setelan pelacakan baru setelah Anda memilih tingkat privasi, klik tombol Reload All Tabs yang muncul.

Pengaturan privasi browser Brave

Untuk masalah alat anti-pelacakan, pembaruan privasi terbaru Safari masih kurang dari sebagian besar yang ditemukan di browser Brave. Secara default, Brave memblokir semua iklan, pelacak, cookie pihak ketiga, dan sidik jari sambil tetap mencapai kecepatan yang luar biasa. Brave juga menawarkan mode penjelajahan pribadi Tor bawaan, opsi pemblokiran pelacak tugas berat, dan menambahkan VPN bawaan untuk pengguna iOS.

Di dalam menu utama Brave, pilih Preferences untuk membuka panel Settings di sebelah kiri. Pilih Shields untuk melihat daftar opsi privasi di sisi kanan layar. Dengan memilih tampilan Advanced, Anda dapat memilih jenis pelacak mana yang akan diblokir.

Dengan menggulir ke bawah, Anda juga dapat memblokir tombol masuk dan konten yang disematkan dari Facebook, Twitter, Google, dan LinkedIn. Untuk perlindungan lebih dan penyesuaian privasi yang lebih baik, jelajahi Additional Settings di sebelah kiri, dan pilih Privacy and security.

Selengkapnya: CNET

Login Google Play Memungkinkan Pelacakan Lokasi Terselubung

September 6, 2021 by Winnie the Pooh

Cacat desain yang melibatkan Google Timeline dapat memungkinkan seseorang melacak perangkat lain tanpa menginstal aplikasi stalkerware.

Seorang peneliti menemukan bahwa seseorang dapat melacak lokasi pengguna seseorang melalui proses masuk Google Play – jalan penguntit potensial yang, sejauh ini, belum ditangani oleh raksasa internet, Google.

“Dengan bantuan Google, saya dapat ‘memata-matai’ keberadaan istri saya tanpa harus menginstal apa pun di ponselnya,” kata peneliti Malwarebytes Labs Pieter Arntz, dalam posting hari Rabu. “Dalam pembelaan saya, seluruh episode ini terjadi pada sistem operasi yang saya jauh dari ahli (Android), dan saya berusaha membantu. Tapi apa yang terjadi di luar dugaan.”

Singkatnya: Arntz masuk ke akun Google Play-nya dari ponsel istrinya, untuk membayar aplikasi yang ingin dia instal. Kemudian dia menyerahkan telepon kembali padanya, lupa untuk log out. Dan saat itulah keanehan dimulai.

Saat melihat timeline, dia mulai memperhatikan bahwa Google menandainya di tempat-tempat yang belum dia kunjungi hari itu. Setelah bertanya-tanya apakah itu kesalahan, satu pembaruan muncul dengan menunjukkan lokasi yang dia tahu pernah dikunjungi istrinya.

“Tiba-tiba, saya sadar: saya sebenarnya menerima pembaruan lokasi dari ponsel istri saya, dan juga ponsel saya,” katanya.

Berpikir bahwa keluar dari Google Play di ponsel istrinya akan menyelesaikan masalah, Arntz terkejut melihat bahwa Google secara otomatis menambahkan akunnya ke ponsel istrinya.

“Ini benar-benar metode yang mudah untuk memata-matai keberadaan seseorang,” singkat Arntz. “Plus, Anda tidak perlu menginstal apa pun dan hanya ada sedikit kemungkinan untuk ditemukan.”

Satu lagi kekhawatiran potensial, peneliti menambahkan, dan itu tidak menyenangkan:

“Sementara posting ini berbicara tentang informasi lokasi Google Maps, saya cukup yakin akan ada aplikasi lain yang ditautkan ke akun Anda daripada ke ponsel Anda,” katanya. “Aplikasi tersebut dapat dimintai informasi oleh orang lain selain pemilik ponsel jika mereka masuk ke Google Play.”

Selengkapnya: Threat Post

Cookie	Duration	Description
_ga	2 years	The _ga cookie, installed by Google Analytics, calculates visitor, session and campaign data and also keeps track of site usage for the site's analytics report. The cookie stores information anonymously and assigns a randomly generated number to recognize unique visitors.
_gat_gtag_UA_172707709_1	1 minute	Set by Google to distinguish users.
_gid	1 day	Installed by Google Analytics, _gid cookie stores information on how visitors use a website, while also creating an analytics report of the website's performance. Some of the data that are collected include the number of visitors, their source, and the pages they visit anonymously.