Telset.id – Senator Ron Wyden (D-Ore.) mendesak CISA dan OMB mewajibkan Encrypted Client Hello (ECH) di seluruh situs web federal Amerika Serikat. Dalam surat kepada CISA acting director Nick Andersen dan deputy federal chief information officer Thomas Flagg, Wyden meminta ECH dijadikan syarat bagi vendor cloud dan jaringan yang ingin mendapatkan kontrak federal. Ia melampirkan daftar 350 alamat web cabang eksekutif yang memakai content delivery network (CDN) tetapi belum mengaktifkan ECH, dan meminta respons tidak terklasifikasi beserta rencana aksi pada 20 November 2026.
Permintaan ini menyoroti celah yang masih terbuka meski hampir semua situs federal kini mengenkripsi halaman dan formulir yang diakses publik. Standard HTTPS tidak menyembunyikan hostname. Saat browser membuka koneksi aman, browser mengumumkan situs tujuan melalui field bernama Server Name Indication dalam teks polos sebelum enkripsi dimulai. Penyedia internet, jaringan Wi-Fi yang berbahaya, atau operator telekomunikasi yang disusupi dapat mencatat bahwa sebuah koneksi menuju tips.fbi.gov tanpa perlu membaca sepatah kata pun dari isi laporan tersebut.
ECH mengenkripsi bagian handshake itu. Protokol ini bekerja paling optimal di belakang CDN besar, tempat ribuan situs tak berkaitan berbagi pintu depan yang sama. Implementasi Cloudflare, misalnya, menampilkan setiap situs yang dilindungi ECH kepada jaringan dengan satu nama bersama. Pengamat bisa mengetahui bahwa pengunjung sedang mengakses situs yang di-host Cloudflare, tetapi tidak tahu situs mana yang dimaksud.
Surat Wyden secara khusus menyoroti dua layanan. Layanan pencegahan bunuh diri online Department of Veterans Affairs di veteranscrisisline.net di-host di Amazon Web Services, yang menurut surat tersebut saat ini belum mendukung ECH. Portal tip FBI di tips.fbi.gov berjalan di Cloudflare yang sudah mendukung ECH, tetapi biro tersebut belum mengaktifkannya. Wyden menyatakan, “Untuk domain federal yang menggunakan penyedia CDN dengan dukungan ECH, seperti Cloudflare, mengaktifkan perlindungan domain hanya memerlukan pembaruan konfigurasi.”
Dari 350 alamat yang terdaftar, 191 alamat atau 54,6 persen bersifat diplomatik: 174 situs kedutaan, tiga konsulat, dan 14 misi, sebagian besar untuk badan internasional seperti NATO dan PBB. Sebanyak 53 alamat lainnya merupakan subdomain bie.edu, domain Bureau of Indian Education, yang tampaknya merupakan situs sekolah individual. Sebanyak 12 alamat lagi adalah host test, training, atau staging, termasuk beberapa subdomain user acceptance testing untuk layanan utang Department of Education.
Sisanya, 94 alamat di luar kelompok tersebut, memuat entri yang paling mengkhawatirkan. Daftar itu mencakup hotline pengaduan DHS inspector general, portal pelaporan hak sipil Department of Justice, situs lamaran kerja komunitas intelijen, formulir tip USCIS, situs Rewards for Justice Department of State, navigator perawatan alkohol NIH, situs doxy-PEP CDC, sejumlah situs informasi HIV federal, dan ICE detainee locator.
Dokumentasi Cloudflare menyebut ECH aktif secara default pada zona Free, sementara pelanggan di paket lain harus mengaktifkannya sendiri. Hal ini sejalan dengan temuan juru bicara bahwa pelanggan pemerintah yang membayar harus memilih untuk mengaktifkannya. Bagi FBI, perbaikannya memang sekadar pengaturan. Bagi VA, tidak demikian. Jika CDN Amazon tidak menawarkan ECH, agensi tersebut perlu mengganti penyedia atau menunggu.
Di sinilah permintaan kedua Wyden, menjadikan dukungan ECH sebagai syarat kontrak federal, menjadi rumit. Aturan pengadaan yang ditulis hari ini dalam praktiknya akan menguntungkan sekelompok kecil penyedia sampai yang lain menyusul. Hal itu mungkin memang menjadi tujuannya, karena memberi tekanan pada Amazon dan pesaingnya, tetapi dalam jangka pendek bisa jadi sama besar sebagai tuas pasar maupun perbaikan keamanan.
Baca Juga:
ECH tetap memiliki keterbatasan. Spesifikasi protokolnya sendiri memperingatkan bahwa tujuan kunjungan masih bisa bocor melalui lookup DNS plaintext atau alamat IP server. Google menyampaikan hal serupa ketika Android 17 menambahkan ECH system-wide pada Agustus, dengan menyatakan fitur ini bekerja “bersamaan dengan private DNS untuk menyamarkan nama domain yang Anda kunjungi.” Agensi dapat mengaktifkan ECH di sisi mereka, tetapi mereka tidak bisa memaksa seorang veteran di jaringan rumah menggunakan DNS terenkripsi, sehingga celah bagi penyadap jaringan tetap terbuka.
Masalah yang lebih besar adalah cakupan internasional. Banyak URL yang disorot adalah situs kedutaan seperti ru.usembassy.gov, by.usembassy.gov, cn.usembassy.gov, dan ir.usembassy.gov, yang penggunanya justru terhubung dari jaringan yang relatif bermusuhan. Rusia telah memblokir ECH Cloudflare sejak November 2024, dengan regulator Roskomnadzor saat itu menyatakan bahwa penggunaannya melanggar hukum Rusia. Penyedia Rusia memblokir koneksi yang membawa ekstensi ECH sekaligus nama luar bersama Cloudflare, sehingga pelanggan Cloudflare di sana harus memilih antara menonaktifkan ECH atau pindah ke CDN domestik. Bagi halaman kedutaan, mengaktifkan ECH bisa berarti menukar hostname yang terlihat dengan situs yang tidak dapat diakses di negara tempat hostname itu paling penting.
Ini bukan wilayah baru bagi Wyden. Pada Oktober 2018, ia menulis kepada Chris Krebs dari DHS untuk mendesak agensi mengadopsi encrypted DNS dan Encrypted SNI, pendahulu ECH, serta meminta DHS bekerja sama dengan GSA agar ESNI menjadi syarat bagi vendor CDN yang menjual ke pemerintah. Ia menyebutnya “langkah logis berikutnya” setelah direktif HTTPS DHS 2017, BOD 18-01. Surat 2026 mengutip direktif yang sama dan menyebut permintaannya sebagai “langkah logis berikutnya.”
Rekam jejak surat-suratnya beragam, bukan tanpa harapan. Surat HTTPS 2018 kepada Pentagon diikuti oleh rencana Department of Defense untuk mengamankan situs webnya. Sisi klien sudah siap: menurut surat tersebut, sebagian besar browser utama telah mendukung ECH sejak Oktober 2023, dan Android 17 kini menerapkannya secara system-wide. Perbaikan di FBI murah dan sudah terlambat. Namun ECH mempersempit apa yang dipelajari penyadap pasif, bukan membuat kunjungan menjadi tak terlihat. Apakah permintaan ini bertahan lebih lama dari permintaan sebelumnya mungkin bergantung bukan pada CISA dan OMB, melainkan pada apakah Amazon dan penyedia lain menyusul Cloudflare.
Bagi pengguna di Indonesia, isu ini relevan sebagai cermin bagaimana hostname yang terbuka bisa menjadi celah pengawasan jaringan. Kasus spyware yang menyerang jurnalis melalui iklan online menunjukkan bahwa ancaman terhadap privasi komunikasi bukan skenario jauh. Ketika agensi pemerintah sekalipun masih membiarkan nama situs terbaca di jaringan, standar perlindungan data pengguna biasa ikut dipertanyakan.
Perkembangan teknologi keamanan juga bergerak di sisi lain. Pemanfaatan kecerdasan buatan untuk melawan penipu online menjadi salah satu arah yang tengah diuji, sebagaimana terlihat dalam pengembangan AI Apate. Sementara di ranah perangkat, perhatian publik baru-baru ini tersedot ke iPhone Duo yang ludes di pre-order, menunjukkan bahwa isu privasi dan keamanan berjalan beriringan dengan hiruk-pikuk produk konsumen.
Yang jelas, surat Wyden menempatkan ECH sebagai isu pengadaan, bukan sekadar fitur teknis. Daftar 350 alamat itu menjadi bukti bahwa adopsi di lingkungan federal berjalan tidak merata. Portal tip FBI yang seharusnya melindungi pelapor justru masih membuka nama situsnya bagi siapa pun yang memantau jaringan. Sampai konfigurasi itu diubah, perlindungan yang dijanjikan HTTPS tetap menyisakan satu bagian yang terbaca jelas.
[INFO_BOX]
Ringkasan Surat Wyden
- Penerima: CISA acting director Nick Andersen dan deputy federal CIO Thomas Flagg
- Permintaan: Wajibkan ECH di situs federal dan jadikan syarat kontrak vendor cloud/jaringan
- Lampiran: 350 alamat web cabang eksekutif ber-CDN tanpa ECH
- Tenggat respons: 20 November 2026, tidak terklasifikasi
- Contoh layanan terdampak: veteranscrisisline.net (AWS), tips.fbi.gov (Cloudflare, belum diaktifkan)
[/INFO_BOX]
Komentar
Belum ada komentar.