Artikel ini ditulis beberapa tahun yang lalu, ketika pemblokiran messenger Telegram sedang aktif dibahas di komunitas dan memuat pemikiran saya tentang hal ini. Dan meskipun saat ini topik ini hampir dilupakan, saya berharap topik ini mungkin masih menarik bagi seseorang
Teks ini muncul sebagai hasil pemikiran saya tentang topik keamanan digital, dan saya sudah lama ragu apakah teks ini layak diterbitkan. Untungnya, ada banyak sekali spesialis yang memahami semua masalahnya dengan benar, dan saya tidak dapat memberi tahu mereka hal baru. Namun selain mereka, banyak juga humas dan blogger lain yang tidak hanya melakukan kesalahan sendiri, tetapi juga banyak menimbulkan mitos pada artikelnya.
Bukan rahasia lagi bahwa beberapa gairah serius sedang berkobar di teater perang digital akhir-akhir ini. Tentu saja yang kami maksud adalah salah satu topik yang paling banyak dibicarakan di zaman modern Rusia, yaitu pemblokiran messenger Telegram.
Penentang pemblokiran menggambarkan hal ini sebagai konfrontasi antara manusia dan negara, kebebasan berbicara dan kontrol total atas individu. Sebaliknya, para pendukungnya berpedoman pada pertimbangan keselamatan publik dan perang melawan struktur kriminal dan teroris.
Pertama, mari kita bayangkan bagaimana sebenarnya cara kerja messenger Telegram. Kita dapat mengunjungi halaman beranda mereka dan membaca tentang bagaimana mereka memposisikan diri. Salah satu keuntungan utama menggunakan solusi khusus ini adalah penekanan tanpa kompromi pada keamanan pengguna akhir. Tapi apa sebenarnya yang dimaksud dengan ini?
Seperti di banyak layanan publik lainnya, data Anda dikirimkan dalam bentuk terenkripsi, tetapi hanya ke server pusat, di mana mereka berada dalam bentuk yang sepenuhnya terbuka dan admin mana pun, jika dia benar-benar menginginkannya, dapat dengan mudah melihat semua korespondensi Anda. Apakah Anda ragu? Kemudian pikirkan bagaimana fungsi sinkronisasi antar perangkat diterapkan. Jika datanya rahasia, bagaimana caranya sampai ke perangkat ketiga? Lagi pula, Anda tidak memberikan kunci klien khusus untuk dekripsi.
Misalnya, seperti yang dilakukan di layanan email ProtonMail, di mana untuk bekerja dengan layanan tersebut Anda perlu menyediakan kunci yang disimpan di mesin lokal Anda dan yang digunakan oleh browser untuk mendekripsi pesan di kotak surat Anda.
Tapi itu tidak sesederhana itu. Selain obrolan biasa, ada juga obrolan rahasia. Di sini korespondensi sebenarnya hanya dilakukan antara dua perangkat dan tidak ada pembicaraan tentang sinkronisasi apa pun. Fitur ini hanya tersedia pada klien seluler, dengan tangkapan layar obrolan dikunci di tingkat aplikasi dan obrolan dimusnahkan setelah jangka waktu tertentu. Secara teknis, data masih mengalir melalui server pusat, namun tidak disimpan di sana. Selain itu, penyimpanan itu sendiri tidak ada artinya, karena hanya klien yang memiliki kunci dekripsi, dan lalu lintas terenkripsi tidak memiliki nilai tertentu.
Skema ini akan berhasil selama klien dan server menerapkannya dengan jujur ββdan selama tidak ada berbagai jenis program di perangkat yang mengirimkan cuplikan layar Anda ke pihak ketiga tanpa sepengetahuan Anda. Jadi mungkin alasan ketidaksukaan terhadap Telegram di pihak lembaga penegak hukum harus dicari dalam obrolan rahasia? Menurut saya, inilah akar dari kesalahpahaman sebagian besar orang. Dan kami tidak akan dapat sepenuhnya memahami alasan kesalahpahaman ini sampai kami memahami apa itu enkripsi secara umum dan dari siapa enkripsi dimaksudkan untuk melindungi data Anda.
Bayangkan seorang penyerang ingin mengirim pesan rahasia ke teman-temannya. Sangat penting sehingga layak untuk diganggu dan dimainkan dengan aman. Apakah Telegram merupakan pilihan yang baik dari sudut pandang spesialis keamanan informasi? Tidak, bukan. Saya berpendapat bahwa menggunakan salah satu pesan instan populer untuk ini adalah pilihan terburuk yang dapat Anda pilih.
Masalah utamanya adalah penggunaan sistem pesan, di mana korespondensi Anda akan dicari terlebih dahulu. Dan bahkan jika ia dilindungi dengan cukup baik, fakta keberadaannya dapat membahayakan Anda. Perlu kami ingatkan bahwa koneksi antar klien masih terjadi melalui server pusat dan minimal pengiriman pesan antara dua pengguna masih dapat dibuktikan. Oleh karena itu, tidak masuk akal menggunakan email, jejaring sosial, dan layanan publik lainnya.
Lalu bagaimana Anda bisa mengatur korespondensi yang memenuhi semua persyaratan keamanan? Sebagai bagian dari tinjauan kami, kami akan dengan sengaja membuang semua metode ilegal atau kontroversial untuk menunjukkan bahwa masalah tersebut dapat diselesaikan hanya dalam kerangka hukum. Anda tidak memerlukan spyware, peretas, atau perangkat lunak apa pun yang sulit ditemukan.
Hampir semua alat tersebut termasuk dalam rangkaian utilitas standar yang disertakan dengan sistem operasi GNU/Linux, dan melarangnya berarti melarang komputer.
World Wide Web menyerupai jaringan server yang sangat besar, biasanya menjalankan sistem operasi GNU/Linux di dalamnya dan aturan untuk merutekan paket antar server ini. Sebagian besar server ini tidak tersedia untuk koneksi langsung, namun selain itu, ada jutaan server lainnya dengan alamat yang cukup mudah diakses yang melayani kita semua, melewati lalu lintas dalam jumlah besar. Dan tidak seorang pun akan mencari korespondensi Anda di tengah semua kekacauan ini, terutama jika korespondensi Anda tidak menonjol dengan latar belakang umum.
Mereka yang ingin mengatur saluran komunikasi rahasia cukup membeli VPS (mesin virtual di cloud) dari salah satu dari ratusan pemain yang ada di pasar. Harga dari penerbitan ini, seperti yang mudah dilihat, adalah beberapa dolar per bulan. Tentu saja, hal ini tidak dapat dilakukan secara anonim, dan bagaimanapun juga, mesin virtual ini akan terikat dengan alat pembayaran Anda, dan oleh karena itu, pada identitas Anda. Namun, sebagian besar hoster tidak peduli apa yang Anda jalankan di perangkat keras mereka selama Anda tidak melebihi batas dasarnya, seperti jumlah lalu lintas yang dikirim atau koneksi ke port 23.
Meskipun kemungkinan ini ada, tidaklah menguntungkan baginya untuk menghabiskan beberapa dolar yang ia peroleh dari Anda untuk memantau Anda juga.
Dan bahkan jika dia ingin atau terpaksa melakukan ini, dia harus terlebih dahulu memahami jenis perangkat lunak apa yang Anda gunakan secara spesifik dan, berdasarkan pengetahuan ini, membuat infrastruktur pelacakan. Ini tidak akan sulit dilakukan secara manual, namun mengotomatisasi proses ini akan menjadi tugas yang sangat sulit. Untuk alasan yang sama, menyimpan semua lalu lintas yang melewati server Anda tidak akan menguntungkan secara ekonomi kecuali Anda terlebih dahulu mendapat perhatian dari struktur terkait yang ingin melakukan hal ini.
Langkah selanjutnya adalah membuat saluran aman menggunakan salah satu dari banyak metode yang ada.
- Cara termudah adalah dengan membuat koneksi SSH yang aman ke server. Beberapa klien terhubung melalui OpenSSH dan berkomunikasi, misalnya menggunakan perintah wall. Murah dan ceria.
- Menaikkan server VPN dan menghubungkan beberapa klien melalui server pusat. Alternatifnya, cari program obrolan apa pun untuk jaringan lokal dan lanjutkan.
- FreeBSD NetCat yang sederhana tiba-tiba memiliki fungsionalitas bawaan untuk obrolan anonim primitif. Mendukung enkripsi menggunakan sertifikat dan banyak lagi.
Tidak perlu disebutkan bahwa dengan cara yang sama, selain pesan teks sederhana, Anda dapat mentransfer file apa pun. Salah satu metode ini dapat diterapkan dalam 5-10 menit dan secara teknis tidak sulit. Pesan-pesannya akan terlihat seperti lalu lintas terenkripsi sederhana, yang merupakan mayoritas lalu lintas di Internet.
Pendekatan ini disebut steganografi - menyembunyikan pesan di tempat yang tidak terpikirkan oleh siapa pun untuk mencarinya. Hal ini sendiri tidak menjamin keamanan korespondensi, namun mengurangi kemungkinan pendeteksiannya menjadi nol. Selain itu, jika server Anda juga berlokasi di negara lain, proses pengambilan data mungkin tidak dapat dilakukan karena alasan lain. Dan bahkan jika seseorang mendapatkan akses ke sana, korespondensi Anda hingga saat itu kemungkinan besar tidak akan dikompromikan, karena, tidak seperti layanan publik, korespondensi Anda tidak disimpan secara lokal di mana pun (ini, tentu saja, tergantung pada pilihan metode yang Anda pilih. komunikasi).
Namun, mereka mungkin keberatan dengan saya karena saya mencari di tempat yang salah, badan intelijen dunia telah lama memikirkan segalanya, dan semua protokol enkripsi telah lama memiliki lubang untuk penggunaan internal. Pernyataan yang sepenuhnya masuk akal, mengingat sejarah masalahnya. Apa yang harus dilakukan dalam kasus ini?
Semua sistem enkripsi yang mendasari kriptografi modern memiliki sifat tertentu - kekuatan kriptografi. Diasumsikan bahwa sandi apa pun dapat dipecahkan - ini hanya masalah waktu dan sumber daya. Idealnya, penting untuk memastikan bahwa proses ini tidak menguntungkan penyerang, tidak peduli betapa pentingnya data tersebut. Atau butuh waktu lama sehingga pada saat diretas data-data tersebut menjadi tidak penting lagi.
Pernyataan ini tidak sepenuhnya benar. Memang benar jika berbicara tentang protokol enkripsi yang paling umum digunakan saat ini. Namun, di antara semua jenis sandi, ada satu yang benar-benar tahan terhadap retak dan sekaligus sangat mudah dipahami. Secara teoritis tidak mungkin untuk meretas jika semua kondisi terpenuhi.
Ide di balik Vernam Cipher sangat sederhana - rangkaian kunci acak dibuat terlebih dahulu untuk mengenkripsi pesan. Selain itu, setiap kunci hanya digunakan satu kali untuk mengenkripsi dan mendekripsi satu pesan. Dalam kasus paling sederhana, kami membuat string panjang byte acak dan mengubah setiap byte pesan melalui operasi XOR dengan byte yang sesuai di kunci dan mengirimkannya lebih jauh melalui saluran yang tidak terenkripsi. Sangat mudah untuk melihat bahwa sandinya simetris dan kunci enkripsi dan dekripsinya sama.
Cara ini memiliki kekurangan dan jarang digunakan, namun kelebihan yang didapat adalah jika kedua pihak menyepakati suatu kunci terlebih dahulu dan kunci tersebut tidak dikompromikan, maka dapat dipastikan data tersebut tidak akan terbaca.
Bagaimana cara kerjanya? Kuncinya dibuat terlebih dahulu dan dikirimkan ke semua peserta melalui saluran alternatif. Itu dapat ditransfer selama pertemuan pribadi di wilayah netral, jika memungkinkan, untuk sepenuhnya menghilangkan kemungkinan pemeriksaan, atau cukup dikirim melalui surat dengan USB flash drive. Kita masih hidup di dunia di mana tidak ada kemampuan teknis untuk memeriksa semua media yang melintasi batas negara, semua hard drive dan telepon.
Setelah semua peserta korespondensi menerima kuncinya, mungkin diperlukan waktu yang cukup lama sebelum sesi komunikasi yang sebenarnya terjadi, yang membuatnya semakin sulit untuk melawan sistem ini.
Satu byte dalam kunci hanya digunakan satu kali untuk mengenkripsi satu karakter pesan rahasia dan mendekripsinya oleh peserta lain. Kunci yang digunakan dapat dimusnahkan secara otomatis oleh semua peserta korespondensi setelah transfer data. Setelah bertukar kunci rahasia satu kali, Anda dapat mengirimkan pesan dengan volume total yang sama dengan panjangnya. Fakta ini biasanya disebut sebagai kelemahan sandi ini, akan lebih menyenangkan jika kuncinya memiliki panjang yang terbatas dan tidak bergantung pada ukuran pesan. Namun, orang-orang ini melupakan kemajuan, dan meskipun hal ini merupakan masalah selama Perang Dingin, hal tersebut tidak lagi menjadi masalah saat ini. Jika kita berasumsi bahwa kemampuan media modern secara praktis tidak terbatas dan dalam kasus yang paling sederhana kita berbicara tentang gigabyte, maka saluran komunikasi yang aman dapat beroperasi tanpa batas.
Secara historis, Vernam Cipher, atau enkripsi one-time pad, banyak digunakan selama Perang Dingin untuk mengirimkan pesan rahasia. Meskipun ada kasus di mana, karena kecerobohan, pesan yang berbeda dienkripsi dengan kunci yang sama, prosedur enkripsi rusak dan ini memungkinkan pesan tersebut untuk didekripsi.
Apakah sulit menggunakan metode ini dalam praktiknya? Ini agak sepele, dan mengotomatiskan proses ini dengan bantuan komputer modern berada dalam kemampuan seorang amatir pemula.
Jadi mungkinkah tujuan pemblokiran adalah untuk merusak messenger Telegram tertentu? Kalau iya, lewati lagi. Klien Telegram mendukung server proxy dan protokol SOCKS5, yang memberikan pengguna kesempatan untuk bekerja melalui server eksternal dengan alamat IP yang tidak diblokir. Menemukan server SOCKS5 publik untuk sesi singkat tidaklah sulit, tetapi menyiapkan server seperti itu sendiri di VPS Anda bahkan lebih mudah.
Meskipun masih akan ada pukulan terhadap ekosistem messenger, karena bagi sebagian besar pengguna, pembatasan ini masih akan menciptakan hambatan yang tidak dapat diatasi dan popularitasnya di kalangan masyarakat akan menurun.
Jadi, mari kita rangkum. Semua hype seputar Telegram hanyalah hype dan tidak lebih. Memblokirnya karena alasan keselamatan publik secara teknis merupakan tindakan yang buta huruf dan tidak ada gunanya. Setiap struktur yang sangat tertarik dengan korespondensi aman dapat mengatur salurannya sendiri dengan menggunakan beberapa teknik yang saling melengkapi, dan, yang paling menarik, hal ini dilakukan dengan sangat sederhana, selama setidaknya ada beberapa akses ke jaringan.
Keamanan informasi saat ini tidak mencakup pengirim pesan, melainkan pengguna jaringan biasa, bahkan jika mereka tidak menyadarinya. Internet modern adalah kenyataan yang harus diperhitungkan dan di mana undang-undang yang hingga saat ini tampaknya tak tergoyahkan tidak lagi berlaku. Pemblokiran Telegram adalah contoh lain perang di pasar informasi. Bukan yang pertama dan tentunya bukan yang terakhir.
Beberapa dekade yang lalu, sebelum Internet berkembang pesat, masalah utama yang dihadapi semua jenis jaringan agen adalah membangun saluran komunikasi yang aman baik di antara mereka sendiri maupun mengoordinasikan pekerjaan mereka dengan pusat. Kontrol ketat atas stasiun radio swasta selama Perang Dunia Kedua di semua negara peserta (pendaftaran masih diperlukan sampai sekarang), stasiun radio bernomor Perang Dingin (beberapa masih berlaku sampai sekarang), film mini di sol sepatu - semua ini terlihat konyol pada tahap baru perkembangan peradaban. Serta kelembaman kesadaran, yang memaksa mesin negara untuk secara kaku memblokir fenomena apa pun yang tidak berada di bawah kendalinya. Inilah sebabnya pemblokiran alamat IP tidak boleh dianggap sebagai solusi yang dapat diterima, dan hanya menunjukkan kurangnya kompetensi orang-orang yang membuat keputusan tersebut.
Masalah utama di zaman kita bukanlah penyimpanan atau analisis data korespondensi pribadi oleh pihak ketiga (ini adalah kenyataan obyektif yang kita jalani saat ini), tetapi fakta bahwa masyarakat sendiri siap memberikan data ini. Setiap kali Anda mengakses Internet dari browser favorit Anda, selusin skrip menatap Anda, mencatat bagaimana dan di mana Anda mengklik dan halaman apa yang Anda buka. Saat memasang aplikasi lain untuk ponsel cerdas, kebanyakan orang melihat jendela permintaan untuk memberikan hak istimewa pada program sebagai penghalang yang mengganggu sebelum mulai menggunakannya. Tanpa menyadari fakta bahwa program yang tidak berbahaya masuk ke buku alamat Anda dan ingin membaca semua pesan Anda. Keamanan dan privasi siap diperdagangkan demi kemudahan penggunaan. Dan seseorang sendiri sering kali secara sukarela berpisah dengan informasi pribadinya, dan oleh karena itu, dengan kebebasannya, sehingga mengisi database organisasi swasta dan pemerintah dunia dengan informasi paling berharga tentang hidupnya. Dan mereka pasti akan menggunakan informasi ini untuk tujuan mereka sendiri. Dan juga, dalam perebutan keuntungan, mereka akan menjualnya kembali kepada semua orang, mengabaikan standar moral dan etika apa pun.
Saya berharap informasi yang disajikan dalam artikel ini akan memungkinkan Anda untuk melihat kembali masalah keamanan informasi dan, mungkin, mengubah beberapa kebiasaan Anda saat bekerja online. Dan para ahli akan tersenyum tegas dan melanjutkan.
Damai ke rumah Anda.
Sumber: www.habr.com