Jaringan seluler on Arpokrat

2FA lewat SMS tidak lagi melindungi apa pun: apa yang harus dipakai

Tue, 08 Sep 2026 00:00:00 +0000

Pada 9 Januari 2024, akun X resmi Securities and Exchange Commission, regulator pasar keuangan Amerika Serikat, mengumumkan persetujuan ETF Bitcoin, keputusan yang sudah dinanti pasar berbulan-bulan. Dalam hitungan menit, Bitcoin naik lebih dari 1.000 dolar per keping. Lalu SEC membantah: akun itu diretas. Harga kembali turun lebih dari 2.000 dolar.

Yang membuat kasus ini mendidik bukanlah besarnya pergerakan pasar, melainkan betapa biasanya cara yang dipakai. Menurut siaran pers Departemen Kehakiman Amerika Serikat, Eric Council Jr., 26 tahun, mencetak kartu identitas palsu dengan pencetak kartu portabel, mendatangi gerai AT&T, dan meyakinkan seorang karyawan untuk memindahkan nomor telepon yang tertaut ke akun itu ke kartu SIM yang ia kendalikan. Ia lalu menerima kode reset kata sandi lewat SMS dan meneruskannya kepada rekan-rekannya. Pada 16 Mei 2025 ia dijatuhi hukuman 14 bulan penjara.

Satu penjelasan perlu ditambahkan, yang mengubah cara membaca kasus ini tanpa melemahkan pelajarannya. Menurut pernyataan resmi SEC, autentikasi multifaktor pada akun tersebut telah dinonaktifkan pada Juli 2023, atas permintaan tim itu sendiri. Jadi saat kejadian, SMS bukanlah faktor kedua, melainkan jalur pemulihan akun. Dan justru itulah yang membuat contoh ini berguna: entah sebagai faktor kedua atau pintu belakang, nomor telepon tetap menjadi titik tempat rantai itu putus.

Apa yang seharusnya dijamin oleh faktor kedua

Prinsipnya muat dalam satu kalimat. Kata sandi saja adalah sesuatu yang Anda ketahui; padanya ditambahkan sesuatu yang Anda miliki (sebuah ponsel, sebuah kunci fisik) atau sesuatu yang merupakan diri Anda (sebuah sidik jari). Orang yang mencuri kata sandi Anda dari sebuah kebocoran data tidak dengan sendirinya memegang benda fisik milik Anda.

Penalaran ini bertumpu pada satu asumsi yang jarang diucapkan: bahwa faktor kedua benar-benar terikat pada sebuah benda dalam kepemilikan Anda, dan bahwa menunjukkannya membuktikan sesuatu tentang tempat Anda masuk. SMS gagal pada kedua titik itu.

SMS bukan faktor kepemilikan

Menerima kode lewat SMS tidak membuktikan bahwa Anda memiliki sebuah perangkat, melainkan bahwa sebuah nomor telepon, yang diberikan oleh operator dan dapat diubah oleh operator yang sama, menunjuk ke sebuah terminal. Itu bukan hal yang sama. Tiga jalur memanfaatkan jarak ini, dan ketiganya tidak diperbaiki dengan cara yang sama.

SIM swap

Inilah serangan dalam kasus SEC, dan ia tidak bertumpu pada celah teknis apa pun. Penyerang mengumpulkan data pribadi tentang sasarannya, sering kali sudah tersedia dari kebocoran publik, lalu menghubungi operator sambil menyamar sebagai orang itu: ponsel hilang, tolong pindahkan nomornya ke SIM baru. Jika ia meyakinkan, atau jika ada karyawan yang berkomplot, nomor itu berpindah tangan dan semua SMS sampai kepadanya. Laporan tahunan IC3 2024, pusat pengaduan FBI, mencatat pada tahun itu saja 982 laporan SIM swap dan hampir 26 juta dolar kerugian yang dilaporkan, dan hanya menghitung korban yang mengajukan pengaduan. Tidak ada pembaruan perangkat lunak yang memperbaiki jalur ini: sasarannya bukan perangkat lunak, melainkan sebuah proses bisnis yang dijalankan manusia.

Penyadapan lewat SS7

Signaling System 7 adalah protokol yang memungkinkan jaringan telepon di seluruh dunia saling berbicara: merutekan panggilan, menangani roaming, mengantar SMS dari satu operator ke operator lain. Ia dirancang pada 1975, ketika lingkaran operator masih tertutup, sedikit jumlahnya, dan masing-masing menganggap yang lain layak dipercaya secara bawaan. Karena itu ia sama sekali tidak memuat autentikasi bawaan antarjaringan: permintaan yang tampak sah diperlakukan sebagai sah.

Ini bukan kelemahan teoretis. Pada Desember 2014, peneliti Jerman Tobias Engel dan Karsten Nohl mendemonstrasikannya di depan umum pada Chaos Communication Congress: melacak lokasi seorang pelanggan dan menyadap SMS-nya hanya bermodalkan nomor telepon. Pada 2017 pemanfaatan nyatanya terkonfirmasi: operator Jerman O2-Telefónica mengakui bahwa rekening bank sejumlah pelanggan dikuras, setelah para penyerang memperoleh akses ke jaringan sebuah operator asing lalu memasang penerusan SMS untuk menangkap kode konfirmasi perbankan.

Phishing waktu nyata

Jalur ketiga adalah yang terpenting, karena ia tidak bergantung pada celah telekomunikasi mana pun dan bertahan terhadap semua yang bisa diperbaiki pada dua jalur sebelumnya.

Sebuah situs palsu meniru sempurna halaman masuk sebuah layanan. Anda memasukkan nama pengguna dan kata sandi di sana, yang segera diteruskan situs palsu itu ke situs asli, yang lalu mengirim SMS ke ponsel Anda. SMS itu memang sampai kepada Anda, dan asli. Anda mengetik kodenya di situs palsu, yang pada gilirannya meneruskannya dalam hitungan detik. Sesi terbuka, dan yang memegangnya adalah penyerang.

Ini disebut serangan adversary-in-the-middle. Ia sudah terindustrialisasi: perkakas seperti Evilginx, sebuah reverse proxy yang muncul pada 2017, atau kit yang dijual dengan langganan bulanan, membuatnya terjangkau tanpa keahlian khusus. Lagi pula yang dicuri bukan hanya kodenya, melainkan cookie sesi, yang setelah itu memungkinkan tetap masuk tanpa melewati autentikasi apa pun lagi.

Persoalannya arsitektural. Kode yang dikirim lewat SMS tidak memuat informasi apa pun tentang situs yang memintanya. Karena itu ia tidak bisa membedakan yang asli dari yang palsu: ia berlaku di mana pun ia diketikkan.

Ini bukan lagi pendapat, melainkan posisi resmi

Argumen terkuat melawan SMS tidak datang dari vendor solusi, melainkan dari lembaga yang menulis standar.

Pada Juli 2025, NIST Amerika Serikat menerbitkan versi final SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management. Teks itu menciptakan kategori eksplisit autentikator terbatas, yang disediakan bagi mekanisme yang daya tahannya menurun seiring perkembangan ancaman. Bagian 3.1.3.3 menempatkan penggunaan jaringan telepon umum di sana, yaitu kode yang dikirim lewat SMS atau panggilan suara: “Use of the PSTN for out-of-band verification is restricted as described in this section and SHALL satisfy the requirements of Sec. 3.2.9.” Secara konkret, layanan yang masih menggunakannya harus menyediakan alternatif yang tidak terbatas, memberi tahu penggunanya tentang risiko itu, dan memiliki rencana migrasi.

Pada Desember 2024, CISA, badan keamanan siber Amerika Serikat, telah menerbitkan Mobile Communications Best Practice Guidance, menyusul kampanye spionase Salt Typhoon yang di dalamnya aktor-aktor berafiliasi dengan negara Tiongkok menembus beberapa operator telekomunikasi Amerika. Rumusannya tidak menyisakan ruang tafsir: “Do not use SMS as a second factor for authentication. SMS messages are not encrypted”, dan selanjutnya, tanpa berputar-putar: “Only FIDO authentication is phishing-resistant.” Dokumen itu secara tegas merekomendasikan kunci perangkat keras FIDO, dengan menyebut Yubico dan Google Titan, serta menegaskan bahwa setelah FIDO diaktifkan, SMS harus dimatikan, sebab jika tidak ia tetap ada sebagai jalur cadangan yang bisa dieksploitasi.

Aplikasi autentikator: kemajuan nyata, solusi separuh jalan

Aplikasi TOTP, singkatan dari Time-based One-Time Password, menghasilkan kode enam digit yang berubah setiap tiga puluh detik, dihitung secara lokal dari sebuah rahasia yang dibagikan saat aktivasi dan dari waktu saat itu. Tidak ada apa pun yang melintasi jaringan telepon.

Keuntungannya langsung terasa: SIM swap menjadi tidak berdaya karena nomor tidak lagi terlibat, begitu pula penyadapan SS7 karena tidak ada pesan yang diangkut. Berpindah ke aplikasi autentikator layak dilakukan pada setiap akun yang tidak bisa melangkah lebih jauh.

Tetapi jalur ketiga tetap utuh. Kode TOTP yang diketikkan di situs palsu diteruskan ke situs asli persis seperti kode SMS. Aplikasi tidak tahu di mana Anda masuk: ia menampilkan sebuah angka, dan angka itu berlaku bagi siapa pun yang menyajikannya dalam jendela tiga puluh detiknya. CISA mengatakannya dengan kalimat yang sama: kode autentikator lebih baik daripada SMS tetapi tetap rentan terhadap phishing.

TOTP adalah tahap antara yang jujur, bukan tujuan akhir.

Mengapa kunci FIDO2 mengubah sifat masalahnya

Kunci perangkat keras FIDO2/WebAuthn tidak sekadar mempersulit serangan, ia menghapus kemungkinan mekanisnya.

Saat didaftarkan pada sebuah layanan, kunci itu menghasilkan sepasang kunci kriptografis khusus untuk layanan tersebut. Bagian publik menuju layanan, bagian privat tidak pernah meninggalkan cip dan tidak dapat diekspor maupun dibaca. Tidak ada rahasia bersama yang bisa disalin, tidak ada kode enam digit yang bisa disadap.

Lalu datang mekanisme yang menentukan, pengikatan pada origin. Saat masuk, peramban menyampaikan kepada kunci nama domain sesungguhnya dari halaman yang ditampilkan. Informasi itu termasuk dalam data yang ditandatangani, dan peramban memaksakannya: JavaScript halaman tidak dapat mengubah maupun memalsukannya.

Kunci FIDO2 tidak membuat phishing lebih sulit berhasil. Ia membuat hasil phishing tidak dapat dipakai.

Mari tinjau ulang serangan adversary-in-the-middle, kali ini dengan sebuah kunci. Situs palsu itu sempurna, korban tidak merasakan apa pun dan menyentuh kuncinya. Peramban menyampaikan domain sesungguhnya dari halaman itu, yaitu domain situs penipuan. Kunci mendapati tidak ada pasangan untuk domain tersebut, atau menandatangani untuknya sehingga menghasilkan tanda tangan yang akan ditolak layanan asli. Dalam kedua kasus, penyerang tidak memperoleh apa pun yang bisa dipakai.

Di situlah perbedaan sifatnya. Dengan SMS atau TOTP, keamanan pada akhirnya bertumpu pada kewaspadaan pengguna, pada kemampuannya mengenali domain palsu di bilah alamat, pada saat ia sedang terburu-buru dan halaman itu tampak normal. Dengan FIDO2, pemeriksaan itu dilakukan oleh mesin, setiap kali, tanpa bergantung pada perhatian siapa pun. Pengalihan tanggung jawab inilah yang penting, lebih daripada kekuatan kriptografinya.

Efeknya terukur. Google mewajibkan kunci bagi karyawannya sejak awal 2017 dan menyatakan pada 2018 bahwa tidak tercatat satu pun akun yang jebol di antara lebih dari 85.000 orang.

Batas nyata kunci perangkat keras

Menyajikannya sebagai sempurna akan tidak jujur, dan tidak berguna untuk menyiapkan keputusan yang sesungguhnya.

Biayanya ada. Perkirakan 25 hingga 60 euro tergantung modelnya, lebih mahal untuk versi biometrik, dan kalikan dua.

Kehilangan kunci adalah risiko yang sebenarnya. Satu kunci saja pada akun kritis adalah kesalahan rancangan. Perlu dua yang terdaftar pada setiap akun penting, satu di antaranya disimpan di tempat lain, pada orang dekat atau di brankas. Yang kedua bukan kenyamanan, melainkan yang membuat yang pertama bisa dipakai tanpa was-was.

Cakupannya belum lengkap. Banyak layanan, terutama perbankan di Eropa, belum mendukung FIDO2, karena itulah urutan prioritas berikut diperlukan.

Kunci bisa dicuri. Karena itu perlu mengaktifkan PIN pada kunci, atau memilih model bersidik jari: tanpa itu, bendanya saja sudah cukup bagi siapa pun yang memungutnya.

Jalur cadangan tetap menjadi mata rantai terlemah. Mengaktifkan FIDO2 tanpa mematikan SMS tidak melindungi apa pun: penyerang cukup menempuh jalan yang dibiarkan terbuka. Migrasi baru selesai ketika mekanisme lama dihapus dari akun, termasuk opsi pemulihan.

Soal perangkatnya, jajaran YubiKey mencakup rentang protokol terluas, Google Titan lebih murah dan terbatas pada FIDO, Nitrokey dan SoloKeys menawarkan alternatif dengan firmware terbuka dan dapat diaudit, sedangkan Token2 membuat model dengan papan angka terpasang, tempat PIN dimasukkan langsung pada kunci alih-alih pada papan ketik. Tidak ada pilihan buruk di antara kunci bersertifikat FIDO2: protokolnya sama, yang berbeda hanya kegunaan sampingannya.

Mulai dari mana ketika tidak bisa mengubah semuanya

Urutan migrasi bukan soal selera, ia mengalir dari saling ketergantungan antarakun Anda.

Kotak surel utama lebih dulu. Ia menerima tautan reset untuk hampir semua yang lain. Penyerang yang menguasainya mengambil alih akun-akun lain satu per satu, tanpa menyerang satu pun secara langsung. Tidak ada yang layak diamankan sebelum dia.
Pengelola kata sandi. Ia memusatkan faktor pertama dari semua akses Anda, sehingga perlindungannya harus setara dengan akun paling terlindungi yang ia simpan. Ini saatnya memeriksa mutu kata sandi utama, topik yang kami bahas rinci dalam artikel tentang entropi dan ilmu di balik keamanan Anda.
Akun keuangan dan platform kripto. Sasaran bernilai langsung, tempat sebuah pembobolan berubah menjadi kerugian tak terpulihkan dalam hitungan menit.
Akun media sosial dengan audiens. Kasus SEC memperlihatkan berapa nilai ucapan sebuah akun yang diikuti banyak orang, dan kerugiannya tidak selalu menimpa pemiliknya.
Sisanya bisa menunggu, dengan aplikasi TOTP menggantikan SMS. Sebuah forum atau layanan streaming tidak menuntut upaya yang sama.

Untuk akun yang belum mendukung FIDO2: beralihlah ke TOTP di mana pun memungkinkan, dan mintalah operator Anda mengunci portabilitas nomor Anda, sebuah opsi gratis di sebagian besar operator.

Apa yang ini katakan tentang pendekatan Arpokrat

Tulisan ini menggambarkan masalah yang hanya ada karena sebuah pengidentifikasi ditempatkan di pusat sistem. Nomor telepon tidak pernah dirancang sebagai bukti identitas: ia menjadi tulang punggung autentikasi daring karena kebiasaan, dan ketiga serangan yang dijelaskan di atas semuanya memanfaatkan penyimpangan fungsi itu.

Itulah penalaran yang memandu perancangan protokol Arpokrat Messenger: tanpa nomor telepon, tanpa alamat surel, tanpa akun. Pengguna hadir sebagai sehimpunan kunci kriptografis yang tersimpan di perangkatnya sendiri, dan perkenalan berlangsung melalui tautan undangan sekali pakai. Logikanya sama dengan FIDO2, satu tingkat lebih tinggi: apa yang tidak dipegang pihak ketiga tidak dapat diambil darinya, baik lewat rekayasa sosial terhadap operator maupun lewat perintah hukum. Keselarasan dengan arsitektur Zero-Knowledge ini kami kembangkan dalam artikel tentang kumpulkan sekarang, dekripsi nanti.

Kunci perangkat keras yang menandatangani tanpa pernah membuka rahasianya, sebetulnya juga cara kerja dompet kripto luring, yang kami uraikan dalam panduan lengkap cold wallet: simpan bagian rahasianya dalam sebuah benda khusus, dan biarkan hanya sebuah tanda tangan yang keluar.

Penutup

2FA lewat SMS tidak dirancang dengan buruk. Ketika ia meluas pada awal 2010-an, ia merupakan kemajuan besar dibanding kata sandi saja, dan ia memiliki satu-satunya kualitas yang penting dalam skala besar: semua orang sudah punya telepon.

Masalahnya bukan penemuannya, melainkan kelangsungan hidupnya. Demonstrasi SS7 berasal dari 2014, eksploitasi perbankan yang nyata dari 2017, industrialisasi phishing waktu nyata dari akhir dasawarsa itu. CISA menulis agar ia tidak lagi dipakai pada 2024, NIST meresmikan pembatasannya pada 2025. Sekitar sepuluh tahun memisahkan saat celah-celah itu menjadi dapat dieksploitasi dalam skala besar dari saat lembaga-lembaga menuliskannya hitam di atas putih. Dan SMS tetap menjadi faktor kedua bawaan pada sebagian besar layanan untuk khalayak umum.

Jarak itulah informasi sesungguhnya dari tulisan ini. Mekanisme keamanan tidak lenyap ketika ia berhenti bekerja, melainkan ketika sesuatu yang sama sederhananya datang menggantikannya, dan itu memakan waktu jauh lebih lama. Karena itu pertanyaannya bukan apakah Anda sebaiknya meninggalkan SMS, hal itu sudah lama tuntas. Pertanyaannya adalah perlindungan lain mana yang Anda anggap sudah pasti, yang sebenarnya sudah berada dalam situasi serupa, hanya saja belum ada yang menuliskannya.

Sumber

Departemen Kehakiman Amerika Serikat, Alabama Man Sentenced to 14 Months in Connection with Securities and Exchange Commission X Hack that Spiked Bitcoin Prices, 16 Mei 2025
Securities and Exchange Commission, SECGov X Account, pernyataan resmi 22 Januari 2024
NIST, SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management, versi final Juli 2025
CISA, Mobile Communications Best Practice Guidance, 18 Desember 2024
FBI Internet Crime Complaint Center, 2024 Internet Crime Report
Threatpost, Cellular Privacy, SS7 Security Shattered at 31C3, demonstrasi Tobias Engel dan Karsten Nohl, Desember 2014
Help Net Security, Attackers exploited SS7 flaws to empty Germans’ bank accounts, Mei 2017
Krebs on Security, Google: Security Keys Neutralized Employee Phishing, Juli 2018
W3C, Web Authentication: An API for accessing Public Key Credentials, spesifikasi WebAuthn

5G, data lokasi, dan salah sasaran hukum

Tue, 18 Aug 2026 00:00:00 +0000

Pada 2011, polisi Detroit meminta riwayat sambungan menara seluler dari telepon Timothy Carpenter kepada sebuah operator. Mereka memperoleh 12.898 titik lokasi yang tersebar selama 127 hari, sekitar seratus per hari. Tujuh tahun kemudian, Mahkamah Agung Amerika Serikat memutuskan bahwa permintaan itu merupakan penggeledahan dan mensyaratkan surat perintah.

Ke-12.898 titik itu berasal dari menara generasi keempat, yang masing-masing mencakup radius beberapa kilometer. Permintaan yang sama, bila diajukan hari ini kepada jaringan 5G perkotaan, tidak akan mengembalikan seratus titik per hari dengan ketelitian beberapa kilometer. Ia akan mengembalikan volume yang jauh lebih besar, dengan ketelitian beberapa puluh meter.

Teknologi telah berganti skala. Penalaran hukum tetap berada di titik yang sama pada rantai itu.

Kepentingan hukum yang diakui hakim di kedua sisi Atlantik

Ada satu kepentingan yang diakui hampir semua orang dan hampir tak satu pun aturan melindunginya secara efektif: hak untuk berada di suatu tempat tanpa fakta itu dicatat.

Yurisprudensi Eropa menetapkannya tanpa keraguan. Dalam Digital Rights Ireland (perkara gabungan C-293/12 dan C-594/12, 8 April 2014), lalu dalam Tele2 Sverige dan Watson (perkara gabungan C-203/15 dan C-698/15, Kamar Besar, 21 Desember 2016), Mahkamah Uni Eropa memutuskan bahwa data tersebut, jika diambil secara keseluruhan, memungkinkan penarikan kesimpulan yang sangat rinci tentang kehidupan pribadi seseorang: kebiasaan sehari-hari, tempat tinggal, pergerakan, kegiatan yang dijalani, dan hubungan sosial.

Mahkamah Agung Amerika Serikat sampai pada kesimpulan serupa dalam Carpenter v. United States, 585 U.S. 296 (2018). Ia menekankan satu hal yang banyak dibahas doktrin Amerika: sifat tak terhindarkan dan otomatis dari pengumpulan tersebut. Tidak ada yang menyetujui untuk tersambung ke sebuah menara; seseorang tersambung karena ia memiliki telepon yang menyala.

Jadi kepentingan hukum itu ada, dan diakui oleh dua pengadilan yang berbobot dalam bidang ini. Persoalannya terletak di tempat lain.

Apa yang sebenarnya diubah 5G

Kekeliruan yang lazim adalah memperlakukan lokasi sebagai data yang dikirim telepon, sama seperti pesan atau foto. Bukan begitu. Lokasi adalah konsekuensi fisik dari cara jaringan bekerja. Operator tahu perangkat tersambung ke menara mana karena ia harus tahu untuk mengarahkan panggilan. Tidak ada kunci yang bisa mengenkripsi informasi itu, sebab ia bukan konten melainkan properti dari sambungan itu sendiri.

Justru itulah yang membuat 5G bermakna pada tataran hukum, bukan tataran teknis.

Arsitektur terdahulu bertumpu pada sel yang lebar. Sebuah menara 4G lazimnya melayani radius beberapa kilometer, dan posisi yang disimpulkan hanya dari sambungan terhitung dalam ratusan meter di kota, kadang puluhan kilometer di pedesaan. 5G bertumpu pada pemadatan besar-besaran: sel perkotaan biasanya mencakup beberapa ratus meter, dan literatur teknik memperhitungkan kerapatan di kisaran empat puluh hingga lima puluh stasiun basis per kilometer persegi, dibanding empat atau lima pada era 3G.

Akibatnya mekanis. Menurut buku putih Ericsson tentang penentuan posisi 5G, infrastruktur yang digelar semata untuk konektivitas mencapai ketelitian dua puluh hingga lima puluh meter di luar ruangan dan satu hingga tiga meter di dalam ruangan, serta turun di bawah satu meter pada kondisi perkotaan yang menguntungkan. Ini bukan fungsi lokasi yang dinyalakan di suatu tempat, melainkan apa yang diketahui jaringan berdasarkan rancangannya, tanpa satu pun aplikasi terpasang dan tanpa satu pun izin diberikan. Kami merinci semua mekanisme ini, berikut penangkal yang benar-benar bekerja, dalam artikel kami tentang pelacakan lokasi telepon yang terus-menerus.

Dengan demikian, tingkat gangguan meningkat beberapa orde besaran. Kerangka hukum yang berlaku tetap kerangka yang dirancang untuk 2G dan 3G. Tidak ada penyesuaian normatif yang menyertai perubahan skala itu.

Hukum melindungi akses, bukan penciptaan

Hukum Eropa mengatur dengan cermat siapa yang boleh mengakses data lokasi, dengan syarat apa, dan di bawah pengawasan siapa. Direktif 2002/58/EC menetapkan asas kerahasiaan komunikasi, dan Mahkamah memutuskan dalam La Quadrature du Net (perkara gabungan C-511/18, C-512/18 dan C-520/18, Kamar Besar, 6 Oktober 2020) bahwa Pasal 15(1) direktif tersebut, dibaca dalam terang Pasal 7, 8, 11 dan 52(1) Piagam, menghalangi penyimpanan yang umum dan tanpa pembedaan atas data lalu lintas dan data lokasi untuk tujuan pencegahan. Meski begitu Mahkamah mengakui pengecualian yang berpagar ketika sebuah negara anggota menghadapi ancaman serius terhadap keamanan nasional yang terbukti nyata dan aktual atau dapat diperkirakan, dengan syarat adanya pengawasan yang efektif.

Ini perlindungan yang nyata, dan tidak masuk akal untuk meremehkannya. Namun semuanya bekerja setelah kejadian. Semuanya mengandaikan bahwa data itu ada, bahwa data itu disimpan, lalu mengatur syarat pemanfaatannya.

Padahal jika lokasi adalah produk sampingan yang tak terhindarkan dari cara jaringan bekerja, titik intervensi yang tepat bukanlah kerahasiaan. Melainkan keawetan penyimpanan.

Posisi sesaat, yang diperlukan untuk mengarahkan sebuah komunikasi dan dihapus segera sesudahnya, bukan alat pengawasan. Riwayat posisi yang disimpan berbulan-bulan adalah alat pengawasan, apa pun jaminan akses yang mengelilinginya.

Perbedaan keduanya bukan hukum, melainkan arsitektur. Dan kalender Eropa membuat pertanyaan ini mendesak, bukan teoretis. Komisi menarik usulan Regulasi ePrivacy pada 2025 karena tidak tercapainya kesepakatan antarpembuat undang-undang. Sejak itu ia menggarap instrumen tersendiri tentang penyimpanan data untuk keperluan pidana, yang diumumkan untuk 2026 dan dimaksudkan menyelaraskan rezim-rezim nasional yang menjadi berbeda-beda sejak direktif 2006 dibatalkan. Dengan kata lain, teks yang akan menetapkan rezim metadata lokasi untuk satu dekade sedang ditulis saat ini, di atas penalaran yang dirancang pada era sel berukuran kilometer.

Preseden yang diciptakan 5G sendiri

Segi paling menarik dari perkara ini adalah bahwa jawaban yang tepat sudah tercantum dalam standar teknis, tetapi diterapkan pada objek yang lain.

Sampai 4G, pengenal tetap pelanggan, IMSI, mengalir tanpa enkripsi di antarmuka radio saat perangkat mendaftar. Itulah yang memungkinkan munculnya IMSI catcher, stasiun basis palsu yang, menurut uraian rujukan Electronic Frontier Foundation, memancar lebih kuat daripada menara sah demi menarik perangkat dan menangkap pengenalnya.

Sejak Release 15 spesifikasi 3GPP, yang terbit pada 2019, 5G menghadirkan jawaban yang elegan. Pengenal tetap, yang kini disebut SUPI, dapat diganti di antarmuka radio dengan SUCI, yaitu pengenal tersamar yang diperoleh dengan mengenkripsi bagian khas pelanggan memakai kriptografi kurva eliptik dengan kunci publik operator asal. Hanya jaringan asal, yang memegang kunci privat pasangannya, dapat mendekripsinya. Hasilnya unik pada setiap perhitungan, sehingga korelasi antar sesi terhalang.

Logika yang dipilih patut digarisbawahi, sebab persis logika inilah yang seharusnya menuntun pembuat undang-undang: yang dienkripsi bukan posisi, yang secara teknis mustahil, melainkan identitas. Posisi tanpa identitas yang dapat dilekatkan bernilai sangat terbatas untuk pengawasan terhadap perorangan.

Celahnya: perlindungan yang bersifat opsional

Namun ada satu catatan besar, dan menurut kami inilah titik intervensi paling konkret dari seluruh perkara ini.

Buku putih NIST CSWP 36A, yang diterbitkan pada Maret 2026 oleh National Institute of Standards and Technology, menyatakannya tanpa basa-basi. Perangkat dan fungsi jaringan yang sesuai Release 15 atau sesudahnya wajib mendukung SUCI, tetapi pengaktifannya tetap opsional bagi operator. Tiga syarat harus terpenuhi: pabrikan perangkat harus mendukungnya, operator harus mengaktifkannya di jaringannya, dan kartu SIM harus memuat unsur yang diperlukan untuk perhitungan.

Ditambah lagi ada jebakan konfigurasi. Standar itu menyediakan skema perlindungan nol, di mana format SUCI dipakai secara formal tetapi tanpa enkripsi sungguhan, sehingga pengenal tetap mengalir terbuka. NIST menulis bahwa operator perlu mengonfigurasi jaringannya dengan skema perlindungan bukan-nol, dan mengingatkan bahwa laporan CSRIC, badan penasihat Federal Communications Commission, sudah pada 2021 menganjurkan agar skema nol disediakan hanya untuk panggilan darurat dari perangkat yang tidak dikenali jaringan.

Rumusan ini layak dibiarkan apa adanya. Perlindungan terbaik yang tersedia terhadap pelacakan perangkat bergerak sudah ada dalam standar teknis sejak 2019. Ia bergantung pada pilihan konfigurasi yang diserahkan pada kebijakan operator. Sebuah lembaga federal Amerika merasa perlu menerbitkan dokumen pada 2026 untuk mengingatkan bahwa perlindungan itu semestinya dinyalakan. Dan tidak ada instrumen hukum Eropa yang mewajibkannya.

Perlu ditambahkan bahwa SUCI tidak menutup persoalan. Karya yang dipresentasikan dengan judul 5G SUCI-catchers: still catching them all? mendokumentasikan serangan keterhubungan yang memungkinkan sesi dikorelasikan kembali meski ada enkripsi, dan perlindungan itu runtuh sepenuhnya bila penyerang memaksa perangkat turun ke generasi sebelumnya. Jadi kewajiban hukum tidak akan menyelesaikan segalanya. Meski begitu ia akan menghapus satu jurang yang tak punya pembenaran yang bisa dipertahankan: jurang antara apa yang diizinkan standar dan apa yang dilakukan jaringan komersial.

Tiga intervensi yang saling terkait

Bila gagasan bahwa lokasi harus diminimalkan sejak perancangan, alih-alih dilindungi belakangan, diterima dengan serius, tiga langkah muncul secara logis.

Mewajibkan penyamaran pengenal yang efektif. Mewajibkan pengaktifan SUCI dan melarang skema perlindungan nol pada jaringan komersial, kecuali kasus sisa berupa panggilan darurat. Ini bukan soal mengharuskan teknologi baru atau membiayai penggelaran, melainkan menuntut pengaktifan fungsi yang sudah distandarkan tujuh tahun lalu dan sudah ada di dalam perangkat.
Memperlakukan penyimpanan sebagai pengecualian, bukan bawaan. Posisi yang diperlukan untuk mengarahkan sebuah komunikasi seharusnya dihapus begitu fungsi itu selesai. Pembentukan riwayat seharusnya menuntut pembenaran tersendiri. Itulah beda antara jaringan yang tahu di mana Anda berada dan jaringan yang ingat di mana Anda pernah berada.
Menjadikan penguasaan kunci sebagai faktor penghubung yang relevan. Letak server di dalam Uni tidak banyak berarti bila kunci yang membuat data terbaca berada di tempat lain. Kriteria yang bermakna secara hukum seharusnya penguasaan efektif atas sarana dekripsi, persoalan yang kami telaah secara rinci sehubungan dengan benturan antara Data Act dan CLOUD Act.

Sudut pandang yang dianut Arpokrat

Penalaran ini bukan khas hukum telekomunikasi. Inilah penalaran yang kami terapkan pada pilihan arsitektur kami sendiri, dan ia muat dalam satu kalimat: apa yang tidak dihasilkan tidak perlu dilindungi.

Itulah sebabnya ArpokratOS menghapus GPS, Bluetooth, dan NFC pada tingkat kernel alih-alih menonaktifkannya lewat menu. Sebuah sakelar adalah kebijakan: ia bisa dilewati komponen berhak istimewa, dinyalakan lagi oleh pembaruan, diabaikan oleh sistem yang sudah disusupi. Menghapus jalur kodenya meniadakan pertanyaannya. Ini adalah pemindahan, pada skala satu perangkat, dari pergeseran yang sama yang kami serukan pada skala hukum: bertindak pada penciptaan, bukan pada akses.

Harus segera dikatakan pula apa yang tidak dilakukannya. Tidak ada sistem operasi yang mengeluarkan perangkat dari geometri jaringan. Selama kartu SIM aktif, operator tahu sel tempat perangkat tersambung, dan menyalurkan seluruh lalu lintas melalui Tor tidak mengubah apa pun, sebab Tor melindungi isi dan tujuan, bukan lapisan radio. Justru karena itulah persoalan ini bersifat hukum. Ada kategori risiko yang tidak dikurangi oleh konfigurasi individual mana pun, dan satu-satunya variabel yang tersedia adalah aturan yang berlaku bagi operator.

Kepedulian yang sama mengatur sisa pekerjaan kami. Data yang tidak ada tidak dapat disita, dijual kembali, dibocorkan, ataupun didekripsi sepuluh tahun lagi oleh mesin yang hari ini belum dimiliki siapa pun, persoalan yang kami bahas dari sudut enkripsi yang dipanen sekarang dan dipecahkan nanti.

Kesimpulan

Perdebatan publik tentang pengawasan seluler nyaris sepenuhnya berpusat pada akses: siapa yang boleh melihat data, atas dasar apa, dengan izin siapa. Perdebatan itu sah, dan putusan-putusan Mahkamah sejak 2014 telah membuahkan akibat nyata. Tetapi ia masuk terlalu belakangan dalam rantai.

Pertanyaan yang mendahuluinya, dan lebih menentukan, adalah apakah riwayat itu memang harus ada. Basis data yang dibangun hari ini untuk alasan yang sah tetap tersedia besok untuk alasan lain, dan jaminan yang mengelilinginya bergantung pada keputusan politik di kemudian hari yang tidak dikuasai siapa pun pada saat pengumpulan. Ini taruhan atas kestabilan lembaga-lembaga, yang dibuat untuk jangka waktu yang tidak ditetapkan siapa pun.

5G melipatgandakan resolusi informasi ini tanpa satu pun penyesuaian normatif. Pada saat yang sama, lewat mekanisme SUCI, ia menunjukkan bahwa jalan yang bisa ditempuh adalah memisahkan posisi dari identitas, bukan mencoba mengenkripsi properti fisik jaringan. Standar teknis menyediakan jawabannya tujuh tahun sebelum hukum mengajukan pertanyaannya.

Teks Eropa tentang penyimpanan data sedang ditulis sekarang. Ia akan menyangkut metadata, jadi lokasi, jadi apa yang kini dihasilkan 5G dengan kehalusan yang tidak dikenal para penyusunnya. Apakah ia akan puas mengatur akses ke sebuah riwayat yang dianggap sudah semestinya ada, atau berani mempertanyakan perlunya riwayat itu, kemungkinan besar adalah pertanyaan privasi terpenting di Eropa untuk tahun-tahun mendatang. Dan itu pertanyaan yang, untuk sekali ini, sudah diputuskan sektor teknis ke arah yang benar.

Sumber

Mahkamah Uni Eropa, Digital Rights Ireland, perkara gabungan C-293/12 dan C-594/12, 8 April 2014
Mahkamah Uni Eropa, Tele2 Sverige dan Watson, perkara gabungan C-203/15 dan C-698/15, Kamar Besar, 21 Desember 2016
Mahkamah Uni Eropa, La Quadrature du Net dkk., perkara gabungan C-511/18, C-512/18 dan C-520/18, Kamar Besar, 6 Oktober 2020
Mahkamah Agung Amerika Serikat, Carpenter v. United States, 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, Maret 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta dkk., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

Pelacakan lokasi permanen: bagaimana ponsel tetap mengikuti Anda meski Anda yakin sudah mencegahnya

Sun, 02 Aug 2026 00:00:00 +0000

Pada 2024, dua peneliti dari Universitas Maryland berulang kali menanyai layanan penentuan posisi berbasis Wi-Fi milik Apple, tanpa hak istimewa apa pun dan tanpa perangkat keras khusus, lalu dalam setahun berhasil merekonstruksi posisi persis lebih dari dua miliar titik akses Wi-Fi di seluruh dunia. Makalah mereka, Surveilling the Masses with Wi-Fi-Based Positioning Systems, memperlihatkan apa yang dimungkinkan peta itu: melacak perangkat yang masuk dan keluar Ukraina, mengamati perpindahan penduduk setelah kebakaran Maui, membuntuti seseorang lewat router internet di rumahnya.

Tidak satu pun perangkat itu mengaktifkan GPS. Posisinya datang dari tempat lain.

Inilah titik buta yang paling meluas dalam soal privasi ponsel: keyakinan bahwa ada satu sakelar lokasi, dan begitu dimatikan, ponsel berhenti tahu di mana ia berada. Keyakinan itu keliru pada tujuh tingkat yang berbeda.

Lokasi bukan fitur yang diaktifkan ponsel Anda. Ia adalah sifat dari apa ponsel itu sendiri.

GPS, alias jalur yang paling tidak merepotkan

Satu-satunya mekanisme yang bisa disebut semua orang justru yang paling tidak perlu Anda khawatirkan.

GNSS, istilah umum yang mencakup GPS Amerika, Galileo, GLONASS, dan BeiDou, bekerja dengan cara mendengarkan. Satelit terus memancarkan sinyal bertanda waktu, penerima menangkap beberapa di antaranya lalu menghitung posisinya dari selisih waktu tempuh. Ketelitian lazim di ruang terbuka: tiga sampai lima meter, sering kali beberapa puluh meter di kota, tempat dinding gedung memantulkan sinyal.

Poin yang menentukan adalah bahwa perhitungan ini pasif. Ponsel tidak memancarkan apa pun ke arah satelit, dan tidak ada operator satelit yang tahu Anda ada. Andai hanya GNSS yang berperan, mematikan GPS sudah cukup.

Namun ada satu nuansa. Untuk mempercepat penentuan posisi pertama, ponsel memakai A-GPS: mereka mengunduh efemeris satelit dari sebuah server, lewat protokol SUPL. Agar mendapat data yang tepat, ponsel mengirimkan ke server itu pengenal sel jaringan tempat ia tersambung. GNSS murni tidak mengkhianati Anda, tetapi akselerator yang dicangkokkan padanya melakukannya.

Jaringan seluler: yang diketahui operator karena rancangannya

Agar sebuah panggilan bisa mencapai Anda, jaringan harus tahu Anda berada di wilayah mana. Ini bukan opsi yang bisa diaktifkan, melainkan syarat keberadaan layanan itu sendiri. Ponsel Anda terus-menerus melaporkan diri ke menara terdekat, dan pendaftaran itu meninggalkan jejak di sisi operator. Tanpa aplikasi terpasang, tanpa izin diberikan: satu kartu SIM aktif sudah cukup.

Ketelitiannya bergantung pada metode:

Pengenal sel saja: dari 200 meter di kawasan perkotaan padat hingga lebih dari 30 kilometer di pedesaan, tempat satu menara mencakup radius yang sangat luas.
Cell ID yang diperkaya, yang menambahkan sektor antena (kebanyakan situs terbagi menjadi tiga sektor 120 derajat) dan kekuatan sinyal: dari 100 meter hingga beberapa kilometer.
Timing advance, yang mengukur jeda pulang pergi antara ponsel dan menara: sekitar 550 meter pada GSM, sekitar 78 meter pada LTE.
Multilaterasi atas tiga menara atau lebih: 50 sampai 300 meter pada LTE perkotaan.

5G mengubah skalanya karena dua alasan yang saling menumpuk. Pertama kepadatan: sel 5G mencakup radius yang jauh lebih pendek, sehingga sekadar tersambung pun sudah merupakan informasi yang halus. Kedua standardisasi: sejak Release 16, 3GPP menyertakan sinyal penentuan posisi bawaan. Sasaran komersialnya di bawah 3 meter di dalam ruangan dan di bawah 10 meter di luar ruangan untuk 80 % perangkat, dan Release 18 turun sampai sentimeter untuk sejumlah penggunaan industri.

Dengan demikian infrastruktur yang menyambungkan Anda berubah menjadi sistem penentuan posisi dengan mutu setara GPS, tanpa Anda mengaktifkan apa pun. Data ini disimpan menurut aturan masing-masing negara dan dapat diakses pihak berwenang lewat prosedur yang beragam. Ini perdebatan mendasar yang sama seperti pada yurisdiksi yang berlaku atas data yang dihosting: perlindungan teknis dan perlindungan hukum tidak saling menutupi.

Wi-Fi: peta dunia yang tersusun dari alamat perangkat keras

Setiap titik akses Wi-Fi terus-menerus menyiarkan pengenal perangkat keras yang unik, yaitu BSSID. Pengenal ini tetap dan stabil secara geografis: sebuah router rumah bertahan bertahun-tahun di tempat yang sama.

Apple, Google, dan sejumlah pemain khusus memelihara basis data yang mengaitkan setiap BSSID dengan koordinat, dibangun oleh ponsel pengguna mereka sendiri, yang melaporkan daftar titik akses yang terlihat bersama sebuah posisi GNSS. Operasinya lalu dibalik: ponsel yang melihat empat titik akses yang sudah dikenal tidak lagi membutuhkan satu satelit pun. Di kawasan perkotaan padat, ketelitiannya lazim mencapai beberapa puluh meter, dan turun di bawah itu di dalam ruangan.

Dua sifat membuat mekanisme ini sulit dinetralkan. Pertama, ponsel tetap memindai bahkan ketika Wi-Fi tampak dimatikan: sejak Android 4.3, sistem mempertahankan pemindaian berkala untuk memperbaiki penentuan lokasi, terlepas dari sakelar di panel cepat. Perilaku ini bergantung pada pengaturan terpisah, terkubur di dalam layanan lokasi, yang nyaris tidak pernah dibuka oleh pengguna mana pun.

Kedua, basis data itu bisa ditanyai dari luar. Itulah celah yang dimanfaatkan Rye dan Levin: antarmuka penentuan posisi mengembalikan bukan hanya posisi yang diminta, melainkan juga posisi titik akses di sekitarnya, sehingga peta bisa dipanen tanpa pernah sekali pun mendekati tempat-tempat itu secara fisik.

Bluetooth dan BLE: dilacak oleh ponsel orang lain

Bluetooth Low Energy menambahkan lapisan kedekatan, dengan jangkauan beberapa meter sampai beberapa puluh meter, jadi jauh lebih halus butirannya daripada jaringan seluler. Ada dua penggunaan yang berdampingan. Beacon komersial, yang dipasang di toko, bandara, atau pusat perbelanjaan, memancarkan pengenal yang dikenali aplikasi di ponsel, sehingga terungkap di depan rak mana Anda berhenti dan berapa lama. Lalu jaringan pelacakan kolaboratif, yang modelnya adalah Find My milik Apple, kemudian ditiru Google dan Samsung.

Mekanisme kedua ini membalik sebuah asumsi tersirat. Analisis rujukan Who Can Find My Devices?, yang terbit dalam prosiding PETS 2021 oleh para peneliti Universitas Teknik Darmstadt, merekonstruksi protokol Apple lewat rekayasa balik. Sebuah perangkat luring memancarkan sinyal BLE, perangkat Apple mana pun di dekatnya menangkapnya, menambahkan posisinya sendiri, lalu mengirimkannya terenkripsi ke server Apple, tanpa sepengetahuan pemiliknya maupun pemilik perangkat yang dilacak.

Akibatnya bersifat struktural: perangkat tanpa kartu SIM, tanpa Wi-Fi, tanpa sambungan jaringan jenis apa pun tetap bisa dilacak, asalkan ada orang asing lewat di dekatnya dengan ponsel di saku. Keterasingan Anda tidak lagi bergantung pada pengaturan Anda, melainkan pada pengaturan orang-orang yang lewat.

Sensor inersia: melacak tanpa izin lokasi

Sebuah ponsel memuat akselerometer, giroskop, magnetometer, dan sering kali barometer. Sensor-sensor ini masuk kategori izin yang terpisah dari lokasi: sebuah aplikasi bisa membacanya tanpa pernah menanyakan Anda ada di mana.

Peneliti Princeton membuktikannya lewat PinMe. Aplikasi mereka berangkat dari alamat IP dan zona waktu untuk posisi kasar, lalu membaca sensor: akselerometer memberi pola akselerasi dan pengereman, giroskop urutan belokan, magnetometer arah hadap, barometer perubahan ketinggian. Sebuah jaringan saraf tiruan mengenali moda transportasi, berjalan kaki, mobil, kereta, atau pesawat, lalu rutenya dicocokkan dengan data publik peta, ketinggian, dan cuaca. Hasilnya: lintasan dengan ketelitian setara GPS, tanpa izin lokasi. Metode ini punya batas, yang didokumentasikan penulisnya, sebab gagal di kawasan tanpa jalan dan memburuk pada tata kota berpetak seragam, tempat banyak rute menghasilkan tanda tangan yang sama. Ia tetap menjadi bukti bahwa izin yang ditolak bukanlah pintu yang tertutup.

Barometer selain itu menyumbang dimensi yang ditangani buruk oleh GNSS, yaitu vertikal. Ketentuan Amerika untuk panggilan darurat mensyaratkan ketelitian lantai plus minus 3 meter untuk 80 % panggilan dari dalam ruangan. Mengetahui seseorang berada di lantai berapa berbeda sifatnya dengan mengetahui ia berada di blok bangunan mana.

Pasar data: jalur yang paling biasa

Mekanisme-mekanisme sebelumnya menjelaskan bagaimana sebuah posisi dihitung. Yang tersisa adalah ke mana posisi itu pergi, dan di situlah sebagian besar risiko sehari-hari dipertaruhkan.

Ribuan aplikasi menyertakan SDK periklanan, komponen perangkat lunak dari pihak ketiga yang ditambahkan pengembang untuk memonetisasi karyanya atau mengukur jumlah penggunanya. Komponen ini mewarisi izin aplikasi induknya: aplikasi cuaca yang memang sah membutuhkan posisi Anda meneruskannya ke pihak-pihak yang namanya tak pernah Anda baca. Ditambah lagi aliran lelang iklan, tempat posisi kasar Anda disiarkan ke puluhan calon pembeli setiap kali sebuah spanduk ditampilkan, termasuk kepada mereka yang tidak membeli apa pun dan cukup menyimak.

Bahan baku ini menghidupi sebuah industri. Electronic Frontier Foundation mendokumentasikan kasus Fog Data Science, yang mengklaim miliaran titik data atas lebih dari 250 juta perangkat, dan menjualnya kepada kepolisian lokal di Amerika Serikat. Brian Krebs menggambarkan Locate X, sebuah produk yang memungkinkan penggunanya menggambar poligon di peta lalu melihat riwayat perangkat yang masuk dan keluar dari kawasan itu.

Jalur ini tidak menuntut kepiawaian teknis apa pun, hanya seseorang yang bersedia membayar. Harganya pun sederhana.

IMSI catcher: pelacakan aktif

Mekanisme yang dibahas sejauh ini memanfaatkan cara kerja yang normal. Ada pula pelacakan aktif, yang dijalankan pihak ketiga yang campur tangan pada jaringan.

IMSI catcher, atau simulator sel, adalah perangkat yang menyamar sebagai menara yang sah. Ponsel dalam jangkauan tersambung kepadanya, sekaligus membuka pengenal pelanggannya dan keberadaannya dalam radius yang sempit.

5G semestinya menutup pintu itu dengan mengganti pengenal permanen yang dikirim terbuka menjadi pengenal terenkripsi, yaitu SUCI. Penutupan itu hanya sebagian. Karya yang dipresentasikan dengan judul 5G SUCI-catchers: still catching them all? mendokumentasikan serangan penautan yang memungkinkan sesi dikorelasikan ulang meski ada enkripsi. Yang lebih penting, perlindungan itu runtuh sepenuhnya jika penyerang memaksa perangkat turun ke generasi sebelumnya, khususnya 2G, yang autentikasinya searah. Ponsel 5G tetap rentan terhadap serangan yang dirancang untuk jaringan era 1990-an, karena ia masih bersedia turun ke sana.

Langkah-langkah penangkal dan keampuhannya yang sebenarnya

Setiap langkah di bawah ini melakukan sesuatu. Tidak ada yang melakukan segalanya, dan jarak antara apa yang benar-benar mereka lakukan dan apa yang diharapkan darinya melahirkan keputusan yang keliru.

Mode pesawat

Mode pesawat memutus pancaran modem seluler, Wi-Fi, dan Bluetooth. Itu nyata, dan itu hasil terbaik untuk usaha sekecil itu.

Yang tidak dilakukannya: ia tidak menghentikan sensor inersia, tidak menghapus posisi yang sudah tersimpan di singgahan, yang akan terkirim saat tersambung kembali, dan pada kebanyakan perangkat ia membolehkan Wi-Fi atau Bluetooth dinyalakan lagi secara terpisah tanpa keluar dari mode itu. Terakhir, ia adalah keadaan perangkat lunak, bukan pemutusan daya: keandalannya bergantung pada keutuhan sistem yang menerapkannya.

Satu detail yang diremehkan: melepas diri dari jaringan lalu tersambung kembali itu sendiri merupakan peristiwa bertanda waktu di sisi operator. Ponsel yang lenyap pukul 21 di satu sel dan muncul lagi pukul 23 di sel lain telah menghasilkan informasi, bukan keheningan.

Pengacakan alamat MAC

Sistem seluler dewasa ini memancarkan alamat MAC acak saat memindai, untuk mencegah pelacakan dari satu tempat ke tempat lain. Niatnya baik, hasilnya belum utuh. Karya rujukan, termasuk Why MAC Address Randomization is not Enough, menunjukkan bahwa isi bingkai penemuan sering sudah cukup untuk mengenali kembali perangkatnya: jumlah elemen informasi, nilainya, dan urutannya membentuk sebuah sidik. Ditambah nomor urut yang bertambah dan karenanya bisa dirangkai, serta tanda waktu khas tiap model. Sejumlah studi melaporkan pelacakan yang benar atas separuh perangkat selama sekurang-kurangnya dua puluh menit.

Terakhir, batas konseptual: pengacakan hanya menyangkut tahap penemuan. Begitu Anda tersambung ke sebuah jaringan, alamat yang dipakai bersifat tetap untuk jaringan itu, memang demikian rancangannya, supaya sambungannya bekerja. Kedai kopi yang Anda datangi setiap pagi mengenali Anda.

Benar-benar mematikan pemindaian

Inilah pengaturan yang paling menguntungkan dan paling diabaikan. Di Android, pencarian Wi-Fi dan pencarian Bluetooth adalah dua opsi terpisah, terletak di layanan lokasi, dan tidak bergantung pada sakelar panel cepat. Selama keduanya aktif, mematikan Wi-Fi dari panel tidak cukup: pemindaian tetap berjalan.

Menonaktifkannya menghapus satu lapisan pengumpulan secara utuh, tanpa biaya lain selain penentuan posisi pertama yang sedikit lebih lambat. Bagi kebanyakan pembaca, inilah perbandingan terbaik antara usaha yang dikeluarkan dan hasil yang diperoleh.

Izin aplikasi

Mencabut izin lokasi dari aplikasi yang jelas-jelas tidak membutuhkannya tetap berguna, dan sistem mutakhir menawarkan tiga tingkatan: izin sekali pakai, izin yang terbatas pada saat aplikasi digunakan, dan lokasi perkiraan, yang hanya meneruskan wilayah seluas kira-kira satu kilometer.

Namun itu tidak melindungi dari SDK yang menumpang di dalam aplikasi yang punya alasan sah untuk mengakses posisi Anda, tidak pula dari sensor inersia, maupun dari lapisan jaringan, yang sama sekali tidak melewati izin apa pun.

Yang tidak dilindungi VPN

Satu hal perlu diluruskan, sebab keyakinan sebaliknya sangat tersebar: VPN tidak menyembunyikan lokasi Anda. Ia menyembunyikan alamat IP publik Anda, jadi ia mengacaukan penentuan lokasi berbasis IP, yang lagi pula merupakan mekanisme paling kasar dalam daftar ini.

VPN tidak menyentuh penerima GNSS, tidak pula pemindaian Wi-Fi, Bluetooth, ataupun sensor. Ia tidak mengubah apa pun dari yang diketahui operator Anda, karena terowongan terenkripsinya justru melewati menara-menara operator itu dan sambungan ke sel tetap terlihat olehnya. Ia juga tidak mencegah aplikasi yang memegang izin lokasi mengirim koordinat persis di dalam terowongan. VPN melindungi isi dan tujuan komunikasi Anda di jaringan yang tidak tepercaya, dan itu sudah banyak. Lokasi tidak termasuk dalam cakupannya.

Batas-batas fisik

Kantong Faraday bekerja dalam arti harfiah: ia menghalangi pancaran dan penerimaan. Melepas baterai juga, di perangkat yang masih memungkinkan. Memakai perangkat khusus, atau sekadar meninggalkan ponsel di tempat lain, tetap merupakan langkah yang paling kokoh.

Solusi-solusi ini berbagi satu cacat yang harus dihadapi terus terang: mereka menciptakan sebuah kejanggalan. Ponsel yang bungkam dua jam setiap Selasa malam sedang mengatakan sesuatu. Menghadapi lawan yang menganalisis pola alih-alih posisi sesaat, ketidakhadiran itu sendiri adalah data.

Tiga lawan, tiga strategi

Inilah pembedaan terpenting dalam tulisan ini, dan yang paling jarang dibaca.

Menghadapi pengiklan atau pialang data, pertarungan ini bisa dimenangkan. Disiplin izin, mematikan pemindaian, sistem tanpa layanan lokasi berpemilik, menyetel ulang pengenal iklan: semuanya bersama-sama menekan volume yang terkumpul dengan sangat kuat. Lawan ini mengincar volume murah, bukan kasus Anda secara khusus.

Menghadapi operator Anda, tidak ada konfigurasi yang memadai. Pelacakan seluler adalah syarat layanan itu sendiri. Satu-satunya variabel nyata bersifat hukum, yaitu apa yang boleh disimpan dan diserahkan menurut undang-undang, dan bersifat material: perangkat yang mana, kartu SIM yang mana, atas nama siapa, dinyalakan di mana.

Menghadapi lawan negara yang menyasar Anda secara khusus, penalarannya berubah lagi, sebab ia memadukan akses hukum ke data operator, pelacakan aktif dengan simulator sel, permintaan data ke platform, dan bila perlu penyusupan ke perangkat itu sendiri. Penangkal di sisi perangkat lunak memperkecil permukaan, tetapi tujuan yang realistis bukanlah lenyap: melainkan tahu persis apa yang masih terbuka.

Pendekatan ArpokratOS

ArpokratOS menjawab lanskap ini dengan pilihan yang mengalir dari pembedaan di atas: apa yang harus dinetralkan, dinetralkan di tingkat sistem, bukan di sebuah menu.

Pada GNSS, penggerak perangkat kerasnya dicopot. Perangkat berperilaku seolah cip itu tidak ada, baik bagi aplikasi maupun bagi sistem itu sendiri. Bedanya dengan sebuah sakelar di pengaturan bukan sekadar kosmetik. Sakelar adalah kebijakan: ia dijalankan oleh sebuah lapisan yang bisa dilewati komponen dengan hak istimewa yang cukup, diaktifkan kembali oleh pembaruan, atau diabaikan sistem yang sudah disusupi. Mencopot jalur kodenya melenyapkan pertanyaannya, sebab tidak ada lagi yang bisa diaktifkan.

Bluetooth ditangani di tingkat Core, dengan logika yang sama. Bluetooth yang dimatikan lewat pengaturan pada praktiknya tetap membiarkan tumpukan perangkat lunaknya hidup di banyak perangkat, untuk menyuapi layanan kedekatan dan jaringan pelacakan kolaboratif. Bila absen di tingkat sistem, ia tidak bisa berdialog dengan beacon toko, tidak bisa ikut serta dalam jaringan sejenis Find My, dan tidak bisa menjadi permukaan serangan tanpa interaksi.

Perlu dikatakan terang-terangan apa yang tidak dilakukannya. ArpokratOS tidak membuat ponsel menjadi tak terdeteksi. Selama kartu SIM aktif, operator tahu sel tempat Anda tersambung, dan tidak ada sistem operasi yang mengubah itu, sekalipun seluruh lalu lintas dialirkan lewat Tor. Perutean melindungi isi dan tujuan, bukan geometri radio. Siapa pun yang menjanjikan ketidaktampakan sedang menjual dongeng.

Yang diberikan arsitektur semacam itu lebih bersahaja: menghapus lapisan aplikasi dan kedekatan, yang dilalui sebagian besar pengumpulan data yang sesungguhnya, serta model ancaman yang eksplisit atas apa yang tersisa. Ini penalaran yang sama seperti saat memilih sistem untuk komputer meja, yang kami uraikan dalam perbandingan sistem operasi kami: pertanyaan yang berguna bukan apakah sebuah alat melindungi, melainkan dari apa ia melindungi dan dengan harga berapa.

Kesimpulan

Tulisan ini tidak menyediakan metode untuk menghilang. Metode itu tidak ada, dan teks yang mengaku sebaliknya terutama menghasilkan rasa aman palsu, yang lebih berbahaya daripada tanpa perlindungan sama sekali karena ia membuat orang mengambil risiko.

Tujuannya adalah mengganti pertanyaan biner, apakah saya bisa dilacak atau tidak, dengan pertanyaan yang berguna: oleh siapa, dengan ketelitian berapa, dengan biaya berapa bagi mereka, dan apakah itu penting bagi saya. Jawabannya berbeda bagi jurnalis yang melindungi sumber, eksekutif yang bepergian ke yurisdiksi yang sensitif, pengacara yang jadwal pertemuannya membocorkan strategi, atau orang biasa yang sekadar jengkel karena pengiklan mengetahui kebiasaannya.

Yang sebenarnya layak diperhatikan bukanlah kinerja masing-masing mekanisme itu secara terpisah, melainkan kenyataan bahwa mereka saling bertumpang tindih. Posisi dengan ketelitian lima puluh meter tidak terlalu menarik. Tetapi posisi dengan ketelitian lima puluh meter, setiap seperempat jam, selama dua tahun, menggambar sebuah tempat tinggal, sebuah tempat kerja, sebuah keyakinan, sebuah kondisi kesehatan, sebuah hubungan, sebuah sumber berita. Data lokasi adalah metadata yang membuat semua metadata lain terbaca, dan justru karena itulah ia mahal.

Sumber

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems, IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System, PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World, IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms, AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police, 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data, 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking, Surveillance Self-Defense

Utiq: 'Super-Cookie' telekomunikasi baru yang mengancam privasi Anda

Mon, 01 Jun 2026 00:00:00 +0000

Akhir terprogram dari cookie pihak ketiga di peramban web telah memicu perlombaan senjata sesungguhnya dalam industri periklanan bertarget. Sementara Google mencoba memaksakan standarnya sendiri (seperti Privacy Sandbox), pemain tak terduga lainnya telah memutuskan untuk mengambil bagian: Penyedia Layanan Internet (ISP) Anda.

Demikianlah Utiq (sebelumnya dikenal sebagai proyek TrustPid) lahir, sebuah usaha patungan yang didirikan oleh raksasa telekomunikasi Eropa. Dijual ke masyarakat umum sebagai solusi yang “transparan dan penuh rasa hormat”, Utiq sebenarnya adalah hal yang paling ditakuti oleh pakar keamanan siber: sebuah “supercookie” yang beroperasi di tingkat jaringan.

Apa itu Utiq dan bagaimana cara kerjanya?

Secara tradisional, pelacakan iklan (cookie) dikelola oleh peramban web Anda (Chrome, Firefox, Safari). Anda bisa memblokirnya menggunakan ekstensi (seperti uBlock Origin) atau peramban yang berorientasi privasi (seperti Brave).

Utiq menggeser masalah selangkah ke belakang: ke tingkat koneksi jaringan Anda.

Beginilah cara perangkap itu bekerja:

Pencegatan jaringan: Saat Anda menjelajahi internet melalui koneksi seluler (4G/5G) atau fiber, Utiq menggunakan alamat IP dan data langganan telekomunikasi Anda untuk mengidentifikasi Anda.
Persetujuan (pilihan palsu): Saat tiba di situs mitra, jendela sembul (popup) meminta Anda untuk menerima Utiq. Dengan kelelahan yang terkait dengan spanduk cookie (Consent Fatigue), jutaan pengguna mengklik “Terima” tanpa membaca.
“Network Signal”: Setelah persetujuan diberikan, Utiq langsung menghubungi operator telekomunikasi Anda. Operator tersebut kemudian menghasilkan token identifikasi yang unik dan disamarkan (sinyal jaringan) yang dikirimkannya ke pengiklan.

Anda kini dapat dilacak dari situs ke situs, bukan oleh file yang disimpan di komputer Anda, melainkan oleh infrastruktur itu sendiri yang memberi Anda internet.

Mengapa Utiq adalah mimpi buruk privasi (OPSEC)

Inisiatif ini menimbulkan masalah serius bagi kedaulatan digital dan kerahasiaan data Anda:

Pelacakan di sumbernya: Tidak seperti cookie klasik, Anda tidak bisa sekadar “menghapus riwayat” atau “mengosongkan cache” untuk menyingkirkan Utiq. Token identifikasi dibuat oleh ISP Anda.
Sentralisasi profil: Operator telekomunikasi sudah mengetahui nama, alamat fisik, detail perbankan, dan lokasi Anda secara real-time. Dengan menautkan riwayat penelusuran web Anda melalui Utiq, mereka membuat profil perilaku dengan presisi yang menakutkan.
Kelemahan pseudonimisasi: Utiq membela diri dengan tidak membagikan nama Anda dalam teks biasa, mengklaim menggunakan token yang “dienkripsi”. Namun, dalam dunia keamanan siber, terbukti bahwa pseudonimisasi dapat dibalik. Membandingkan token ini dengan basis data lain memungkinkan individu untuk diidentifikasi ulang dengan mudah.

Operator mana yang menggunakan Utiq?

Utiq didirikan oleh aliansi dari empat operator terbesar Eropa. Jika Anda adalah pelanggan salah satu dari mereka, koneksi Anda berpotensi sudah “kompatibel” dengan pelacakan ini.

Kiat OPSEC: Meskipun Utiq menawarkan portal manajemen persetujuan terpusat (consenthub.utiq.com) untuk mencabut akses, pertahanan terbaik tetaplah teknologi.

Pendekatan Zero-Trust untuk melawan Utiq

Filosofi kedaulatan digital, yang didorong oleh ekosistem seperti Arpokrat, bersandar pada prinsip sederhana: jangan pernah percaya pada infrastruktur jaringan.

Untuk menetralkan sistem seperti Utiq secara teknis, solusinya adalah menyembunyikan lalu lintas Anda dari penyedia layanan internet Anda sendiri:

Menggunakan VPN berdaulat: Dengan mengenkripsi lalu lintas segera setelah meninggalkan perangkat Anda, ISP Anda hanya melihat aliran data yang tidak dapat dibaca menuju server VPN. Mereka tidak dapat lagi menyuntikkan atau membaca token Utiq.
Jaringan Tor (Orbot): Perutean bawang mencegah identifikasi ujung-ke-ujung.
Enkripsi DNS (DoH/DoT): Mencegah operator mengetahui situs web apa yang Anda minta untuk dikunjungi.

Singkatnya, Utiq adalah bukti bahwa penyedia layanan internet tidak lagi puas menjadi sekadar “pipa”; mereka ingin menjadi pialang data. Enkripsi lalu lintas Anda bukan lagi sekadar opsi keamanan, tetapi kebutuhan mutlak untuk mempertahankan keheningan digital Anda.