Telset.id – Senator Ron Wyden (D-Ore.) mendesak CISA dan OMB mewajibkan Encrypted Client Hello (ECH) di seluruh situs web federal Amerika Serikat. Dalam surat kepada CISA acting director Nick Andersen dan deputy federal chief information officer Thomas Flagg, Wyden meminta ECH dijadikan syarat bagi vendor cloud dan jaringan yang ingin mendapatkan kontrak federal. Permintaan ini muncul karena 350 alamat web cabang eksekutif yang menggunakan content delivery network (CDN) belum mengaktifkan ECH, sehingga nama situs yang dikunjungi masih terbaca oleh siapa pun yang memantau jaringan.
Surat tersebut menyertakan daftar 350 alamat web cabang eksekutif yang memakai CDN tetapi tidak menggunakan ECH. Wyden meminta respons tidak terklasifikasi beserta rencana aksi pada 20 November 2026. Daftar itu mencakup portal tip FBI di tips.fbi.gov, layanan pencegahan bunuh diri Departemen Urusan Veteran (VA) di veteranscrisisline.net, serta hotline bagi pelapor pelanggaran dan pengaduan hak sipil.
Hampir semua situs federal kini mengenkripsi halaman dan formulir yang diakses publik. Namun HTTPS standar tidak menyembunyikan hostname. Saat browser membuka koneksi aman, browser mengumumkan situs yang dituju melalui field bernama Server Name Indication dalam teks polos sebelum enkripsi dimulai. Penyedia internet, jaringan Wi-Fi yang berbahaya, atau operator telekomunikasi yang disusupi dapat mencatat bahwa sebuah koneksi menuju tips.fbi.gov tanpa membaca isi tip itu sendiri.
ECH mengenkripsi bagian handshake tersebut. Protokol ini bekerja paling baik di belakang CDN besar, tempat ribuan situs tak terkait berbagi pintu depan yang sama. Implementasi Cloudflare, misalnya, menampilkan setiap situs yang dilindungi ECH kepada jaringan dengan satu nama bersama. Pengamat bisa mengetahui bahwa pengunjung sedang mengakses situs yang dihosting Cloudflare, tetapi tidak tahu situs mana yang dimaksud.
Dua Layanan yang Disorot
Surat Wyden menyoroti dua layanan. Layanan pencegahan bunuh diri online Departemen Urusan Veteran di veteranscrisisline.net dihosting di Amazon Web Services, yang menurut surat tersebut saat ini tidak mendukung ECH. Portal tip FBI di tips.fbi.gov berjalan di Cloudflare yang mendukung ECH, tetapi biro tersebut belum mengaktifkannya. Wyden menyatakan, “Untuk domain federal yang menggunakan penyedia CDN dengan dukungan ECH, seperti Cloudflare, mengaktifkan perlindungan domain hanya memerlukan pembaruan konfigurasi.”
Dokumentasi Cloudflare menyebut ECH aktif secara default pada zona Free, sementara pelanggan di paket lain harus mengaktifkannya sendiri. Hal itu sesuai temuan juru bicara: pelanggan pemerintah yang membayar harus memilih untuk mengaktifkannya. Bagi FBI, perbaikannya memang hanya soal pengaturan. Bagi VA, tidak demikian. Jika CDN Amazon tidak menawarkan ECH, agensi tersebut perlu mengganti penyedia atau menunggu.
Di sinilah permintaan kedua Wyden, menjadikan dukungan ECH sebagai syarat kontrak federal, menjadi rumit. Aturan pengadaan yang ditulis hari ini dalam praktiknya akan menguntungkan sekelompok kecil penyedia sampai yang lain menyusul. Itu mungkin memang tujuannya, karena memberi tekanan pada Amazon dan pesaingnya, tetapi dalam jangka pendek langkah ini bisa jadi sama-sama tuas pasar seperti halnya perbaikan keamanan.
Keterbatasan ECH dan Hambatan Internasional
ECH memiliki keterbatasan. Spesifikasi protokolnya sendiri memperingatkan bahwa tujuan koneksi masih bisa bocor melalui lookup DNS plaintext atau alamat IP server. Google menyampaikan hal serupa ketika Android 17 menambahkan ECH secara system-wide pada Agustus, dengan menyebut fitur itu bekerja “bersamaan dengan private DNS untuk menyamarkan nama domain yang Anda kunjungi.” Agensi dapat mengaktifkan ECH di sisi mereka, tetapi tidak bisa memaksa seorang veteran di jaringan rumah menggunakan DNS terenkripsi, sehingga celah penyadapan jaringan tetap terbuka.
Masalah yang lebih besar adalah cakupan internasional. Banyak URL yang disorot adalah kedutaan seperti ru.usembassy.gov, by.usembassy.gov, cn.usembassy.gov, dan ir.usembassy.gov, yang penggunanya terhubung dari jaringan yang relatif bermusuhan. Rusia telah memblokir ECH Cloudflare sejak November 2024, dengan regulator Roskomnadzor menyatakan saat itu bahwa penggunaannya melanggar hukum Rusia. Penyedia Rusia memblokir koneksi yang membawa ekstensi ECH sekaligus nama luar bersama Cloudflare, sehingga pelanggan Cloudflare di sana harus memilih antara menonaktifkan ECH atau pindah ke CDN domestik. Bagi halaman kedutaan, mengaktifkan ECH bisa berarti menukar hostname yang terlihat dengan situs yang tidak dapat diakses di negara tempat hostname itu paling penting, sebuah tradeoff sulit yang hanya punya satu solusi nyata: melewati ECH untuk saat ini.
Ini bukan wilayah baru bagi Wyden. Pada Oktober 2018, ia menulis kepada Chris Krebs dari DHS untuk mendesak agensi mengadopsi encrypted DNS dan Encrypted SNI, pendahulu ECH, serta meminta DHS bekerja sama dengan GSA agar ESNI menjadi syarat bagi vendor CDN yang menjual ke pemerintah. Ia menyebutnya “langkah logis berikutnya” setelah direktif HTTPS DHS 2017, BOD 18-01. Surat 2026 mengutip direktif yang sama dan menyebut permintaannya sebagai “langkah logis berikutnya.” Rekam jejak surat-suratnya beragam, bukan tanpa harapan. Surat HTTPS 2018 kepada Pentagon diikuti rencana Departemen Pertahanan untuk mengamankan situs webnya.
Sisi klien sudah siap. Menurut surat tersebut, sebagian besar browser utama telah mendukung ECH sejak Oktober 2023, dan Android 17 kini menerapkannya secara system-wide. Perbaikan di FBI murah dan sudah terlambat. Namun ECH mempersempit apa yang dipelajari penyadap pasif, bukan membuat kunjungan menjadi tak terlihat. Apakah permintaan ini bertahan lebih lama dari permintaan sebelumnya mungkin tidak bergantung pada CISA dan OMB, melainkan pada apakah Amazon dan penyedia lain bergabung dengan Cloudflare.
Bagi pengguna di Indonesia, perkembangan ini menjadi cermin bagaimana perlindungan privasi di tingkat jaringan masih bergantung pada dukungan penyedia infrastruktur. Insiden kebocoran metadata semacam ini sejalan dengan ancaman lain di ranah digital, seperti yang diungkap dalam laporan Spyware Zero-Click yang menyerang jurnalis melalui iklan online. Di sisi lain, peran AI dalam melawan penipuan online juga terus berkembang, seperti pada AI Apate yang dirancang mendeteksi penipu.
[ META_DESCRIPTION]
Senator Ron Wyden desak CISA dan OMB wajibkan ECH di situs federal AS. 350 alamat web, termasuk portal tip FBI, belum aktifkan ECH dan bocorkan hostname.
Komentar
Belum ada komentar.