Kondisi Pencatatan Data: Evaluasi Tingkat Ancaman dan Praktik Keamanan
15/5/2018 - 10 menit baca
Diperbarui: 26/9/2021
Psiphon Inc. selama bertahun-tahun telah memimpin upaya untuk membuka akses internet bagi mereka yang hidup di bawah rezim sensor. Meskipun tidak menghadapi pembatasan konten secara online, pengguna dari negara-negara Barat beralih ke VPN seperti Psiphon, untuk melindungi privasi pribadi mereka secara online. Namun pada Maret 2017, Pew Research Center merilis statistik mengejutkan bahwa sekitar 70% pengguna internet Amerika tidak yakin apa fungsi dari VPN.1
Jika jumlah akun Psiphon yang terus meningkat menjadi indikasi bertambahnya jumlah pengguna VPN di seluruh dunia, gelombang besar pengguna independen kini memasuki pasar di mana mereka tidak memiliki tolok ukur untuk mengevaluasi produk secara kritis. Kelompok ini sekarang menanggung beban untuk memahami risiko di bidang keamanan siber yang masih asing. Karena itu, mereka menjadi sangat rentan terhadap misinformasi. Salah satu istilah yang membuat pengguna sangat waspada adalah meluasnya istilah pencatatan data di seluruh situs web dan forum VPN, serta penggambaran keliru mengenai risiko individu dan metode untuk melindungi diri secara efisien.
Menurut Techopedia, “pencatatan data adalah proses pengumpulan dan penyimpanan data selama periode waktu tertentu untuk menganalisis tren tertentu atau mencatat peristiwa/tindakan berbasis data dari suatu sistem, jaringan, atau lingkungan IT. Hal ini memungkinkan pelacakan semua interaksi di mana data, berkas, atau aplikasi disimpan, diakses, atau dimodifikasi pada perangkat penyimpanan atau aplikasi.”2 Banyak VPN memasarkan kebijakan tanpa pencatatan (zero-logging) sebagai fitur produk yang tampak unik, sehingga menyiratkan bahwa lalu lintas internet warga biasa jika tidak demikian akan selalu berisiko dicatat dan mungkin dieksploitasi untuk tujuan komersial dan hukum.
Hal ini telah menjadi isu hangat menyusul pencabutan pada April 2017 terhadap perlindungan FCC tertentu yang mewajibkan Penyedia Layanan Internet (ISP) Amerika untuk mendapatkan izin sebelum membagikan data pengguna (seandainya aturan itu sempat diberlakukan sesuai rencana pada Desember 2017). Gagasan bahwa pemerintah mereka mendukung ISP untuk membuat log riwayat internet pribadi kita dan kemudian menjual atau mengungkapkannya tanpa persetujuan sangat mencemaskan bagi sebagian besar pengguna internet.
Sebagai pendukung kuat kebebasan internet, Psiphon berupaya setiap hari untuk memastikan bahwa pengguna kami menerima akses yang adil dan terbuka ke internet tanpa sensor tanpa adanya konsekuensi negatif. Meluasnya legalitas penggunaan tanpa izin atas data pengguna dan riwayat penelusuran menciptakan narasi meresahkan yang menunjukkan bahwa keuntungan sering kali mengesampingkan etika. Namun Psiphon mendalami lebih jauh lanskap praktik pencatatan data dan lalu lintas.
Analisis Komparatif Singkat tentang Kebijakan Pencatatan Data di US, EU, dan Kanada
Secara umum, negara-negara Barat telah menetapkan perlindungan dan regulasi melalui cakupan keamanan data yang disimpan. Undang-undang ini menetapkan ketentuan mengenai standar keamanan yang harus dipatuhi oleh perusahaan saat mengumpulkan dan menyimpan data pengguna. Undang-undang ini juga menguraikan masalah legalitas terkait pengungkapan informasi. Namun, semua undang-undang yang dirujuk dalam artikel ini menyerahkan keputusan mengenai jenis data dan situasi pengumpulannya, serta durasi data tersebut disimpan, kepada kebijakan organisasi pengumpul. Meskipun dalam banyak kasus organisasi-organisasi ini harus membenarkan logika di balik kebijakan mereka kepada badan pengatur pusat, undang-undang semacam itu menjadi pedang bermata dua, karena secara tidak langsung mendukung retensi data dalam banyak kasus.
Sebagai contoh, saat ini tidak ada regulasi menyeluruh di US mengenai pencatatan data. ISP bebas mengumpulkan dan menyimpan data pengguna, asalkan pengguna diberitahu bahwa mereka tunduk pada praktik tersebut dalam ketentuan layanan atau perjanjian lisensi pengguna. Namun, perusahaan-perusahaan diatur oleh Stored Communications Act, yang melarang pengungkapan data pengguna, termasuk komunikasi elektronik, “kepada siapa pun selain penerima surat atau penerima yang dituju.”3 Meskipun pemerintah Amerika membebankan perlindungan data pengguna kepada semua perusahaan, mereka tidak secara eksplisit membatasi praktik pencatatan atau durasi wajar penyimpanan data.
Pertanyaan yang lebih besar tentang pencatatan log oleh ISP bukanlah hal baru, dan juga bukan masalah yang berdiri sendiri. Faktanya, persoalan pencatatan data berakar pada pertanyaan hukum yang sama dengan debat netralitas internet yang baru-baru ini mencuat kembali di US.
Uni Eropa mengesahkan undang-undang berskala blok yang berjudul General Data Protection Regulation (GDPR) pada April 2016 yang dibangun berdasarkan Data Protection Directive asli tahun 2012 dan menguraikan panduan keamanan data, hak-hak pengguna, serta klasifikasi hukum subjek. Namun, masing-masing negara anggota diwajibkan untuk menentukan durasi retensi data yang sesuai dan tidak tunduk pada jangka waktu yang diwajibkan di seluruh blok.
Perusahaan independen bertanggung jawab untuk menentukan durasi retensi yang sesuai untuk data yang dikumpulkan, sementara periode retensi tambahan dapat ditetapkan untuk “pengarsipan demi kepentingan publik, penggunaan ilmiah, statistik, atau historis.”4 Namun, berdasarkan ketentuan GDPR, seorang warga negara memiliki “hak untuk dilupakan” (right to be forgotten) dan dapat meminta agar data pribadi mereka dihapus dari server.
Terakhir, struktur federalis Kanada telah menciptakan organisasi yurisdiksi bertingkat terkait regulasi pencatatan datanya. Kanada telah memberlakukan Personal Information Protection and Electronic Documents Act (PIPEDA), yang menguraikan arahan dan peraturan berskala nasional mengenai pengumpulan informasi untuk kegiatan komersial, serta menetapkan definisi standar nasional untuk informasi identitas pribadi, yang mencakup:
• usia, nama, nomor ID, pendapatan, asal etnis, dan golongan darah;
• opini, evaluasi, komentar, status sosial, atau tindakan disipliner, dll.
• berkas karyawan, catatan kredit, catatan pinjaman, catatan medis, adanya perselisihan antara konsumen dan pedagang, niat (misalnya, untuk memperoleh barang atau jasa, atau berganti pekerjaan).5
Serupa dengan Arahan EU, ketentuan disertakan untuk memungkinkan pengungkapan informasi kepada Financial Transactions and Reports Analysis Centre of Canada (FINTRAC) mengenai individu yang dicurigai melakukan tindak pidana seperti pendanaan terorisme. Namun, PIPEDA tidak secara eksplisit menguraikan proses untuk mengamankan informasi dan membatasi durasi hukum penyimpanan informasi. Meskipun paragraf 4.5.3 menyatakan bahwa “informasi yang tidak lagi diperlukan untuk memenuhi tujuan yang diidentifikasi harus dimusnahkan,” masing-masing perusahaan bebas menerapkan prosedur mereka sendiri.
Lebih jauh dalam hierarkinya, provinsi yang mampu membuat undang-undang mereka sendiri untuk memastikan perlindungan data dapat menggantikan ketentuan PIPEDA.
Jadi, apakah VPN yang bersikap alarmis itu benar?
VPN berhasil membuat calon pelanggan waspada karena tiga kelemahan mendasar dalam rezim pencatatan data saat ini:
1. Data pribadi Anda yang dapat diidentifikasi mungkin tidak cukup aman
2. ISP dan perusahaan online dapat menggunakan data pribadi Anda demi keuntungan komersial
3. Basis data informasi pribadi yang disimpan oleh ISP dan perusahaan online berada di bawah wewenang lembaga penegak hukum dan instansi pemerintah
Ketiga negara yang dievaluasi telah mengizinkan pengumpulan dan retensi data pengguna yang dapat diidentifikasi secara hukum. Meskipun ISP dan perusahaan online secara hukum berkewajiban untuk mengamankan informasi tersebut, pada dasarnya hal ini telah menciptakan sistem berbasis kepercayaan yang lemah dan tidak memiliki pengawasan jelas di hampir setiap yurisdiksi. Sangat mudah untuk mengatakan bahwa mereka yang tidak menggunakan internet untuk aktivitas yang membahayakan atau ilegal tidak perlu khawatir, tetapi di Psiphon kami percaya bahwa semua pengguna internet memiliki ekspektasi privasi yang wajar, terlepas dari perilaku online mereka.
Dengan demikian, dapat diasumsikan bahwa ISP memiliki hak untuk mencatat data pengguna. Hal ini mungkin meresahkan bagi para pengguna internet perorangan yang mengkhawatirkan penggunaan tanpa izin atas informasi pribadi seperti catatan medis atau informasi perbankan, atau penyusupan berbahaya ke dalam basis data tersebut. Selain itu, jika ISP menerima National Security Letter atau surat perintah yang meminta catatan pengguna, mereka terikat oleh hukum untuk memberikan informasi tersebut kepada penegak hukum.
Dengan undang-undang yang berlaku saat ini, perusahaan online tidak bebas menjual data pribadi yang dapat diidentifikasi untuk tujuan komersial atau mengungkapkan informasi tersebut. Namun, mereka berhak sepenuhnya untuk menyimpan dan menggunakan data ini untuk berbagai proses internal seperti statistik pelanggan. Dengan kemungkinan terkikisnya netralitas internet dalam waktu dekat di Amerika Serikat, penyimpanan data identitas pribadi dapat dieksploitasi atau dibagikan tanpa persetujuan. Kendati demikian, penyebab utama kekhawatiran di kalangan pengguna VPN adalah risiko data tersebut dieksfiltrasi secara jahat, terlepas dari niat baik penyedia layanan.
Pengguna internet akan selalu menanggung beban untuk mencari tahu sendiri praktik dari perusahaan yang layanannya mereka gunakan. Kekhawatiran utamanya adalah bahwa beberapa pengguna akhir mungkin tidak dapat memahami arti atau konsekuensi dari ketentuan penggunaan dan mendasarkan penggunaan mereka pada standar sosial dan teknis yang samar dan sering kali menyesatkan mengenai apakah VPN tersebut tepercaya dan andal. Belum lagi riset pasar yang harus dilakukan untuk memastikan bahwa VPN benar-benar mematuhi kebijakan privasi yang mereka berikan kepada calon pengguna, terutama jika layanan VPN tersebut mewajibkan pembuatan akun pengguna yang dibangun berdasarkan informasi identitas pribadi.
Terlebih lagi, setelah keputusan yang tepat diambil, pengguna di lokasi geografis tertentu dan di situs tertentu mungkin merasa nyaman menggunakan koneksi yang tidak terenkripsi atau koneksi https standar. Namun jika masih ada kebingungan atau kekhawatiran, VPN tanpa pencatatan (no-log) seperti Psiphon dapat digunakan untuk melindungi data identitas pribadi agar tidak dikumpulkan secara online.
Bisakah VPN melindungi saya dari pencatatan data?
Banyak pengguna internet beralih ke VPN untuk menganonimkan diri mereka secara online dan menghindari praktik pencatatan data oleh layanan komersial online. Namun, perlu ditekankan bahwa tidak ada VPN yang dapat menawarkan anonimitas penuh secara online. Akan tetapi, mereka yang berkomitmen pada internet yang bebas diakses, seperti Psiphon, menyertakan langkah-langkah keamanan yang kuat ke dalam layanan mereka untuk melindungi privasi pengguna mereka. Dengan menggunakan proksi VPN, lalu lintas internet tidak dapat dikaitkan dengan pengguna tertentu, tetapi pengguna tetap terhubung dan berpartisipasi dalam penggunaan layanan internet.
Dalam upaya mendapatkan kepercayaan pengguna dan meningkatkan privasi individu, VPN yang tersedia secara komersial sering kali menonjolkan kebijakan tanpa pencatatan log (no-logging). Mereka mengeklaim menghapus semua catatan penggunaan, sehingga mustahil untuk melacaknya. Namun, banyak perjanjian layanan VPN tidak memberikan penjelasan terperinci mengenai kebijakan semacam itu. Untuk membuat akun atau membuka sesi terenkripsi, suatu VPN mungkin memerlukan beberapa informasi terperinci mengenai pengguna. Sekali lagi, beban berada pada pengguna individu untuk membaca ketentuan layanan secara saksama dan menentukan apakah akan memercayai VPN tersebut.
Struktur internet mengharuskan informasi tertentu dipertukarkan agar komunikasi online dapat terjadi. Tidak ada data yang dapat dikirim atau diterima tanpa alamat IP yang berfungsi, termasuk alamat IP yang sah dari pengguna VPN. Namun, karena tidak ada undang-undang yang dinilai dalam artikel ini yang mewajibkan VPN menyimpan data pengguna untuk jangka waktu tertentu, nilai-nilai inti dari Psiphon dan layanan VPN lainnya mendorong mereka untuk menghapus informasi tersebut dari jaringan mereka setelah berakhirnya sesi terenkripsi.
Apa yang membuat Psiphon berbeda dari layanan VPN tradisional? Sederhananya, kami lahir dari dan hadir terutama untuk kebebasan internet. Berdasarkan rancangannya, platform Psiphon tidak menyimpan informasi identitas pribadi apa pun terkait sesi penelusuran pengguna akhir. Karena penggunaan Psiphon tidak memerlukan akun, perangkat lunak ini secara virtual tidak mampu membuat atau menyimpan informasi yang berkaitan dengan setiap pengguna individu. Oleh karena itu, tidak ada catatan penggunaan, yang menenteramkan mereka yang menghindari pengawasan atau takut akan pengungkapan informasi identitas pribadi kepada pihak yang tidak berwenang bahwa penggunaan jaringan Psiphon tidak dapat dikaitkan dengan pengguna atau geolokasi unik mana pun.
Untuk memastikan bahwa jaringan kami tetap efisien dan berkembang seiring perubahan tingkat permintaan, kami melakukan penilaian data internal, yang mencakup volume lalu lintas dan informasi lokasi pengguna yang diagregasikan di tingkat negara.6 Ini adalah informasi paling terperinci yang disimpan oleh layanan. Namun jika, misalnya, ada pelaku luar yang berniat jahat meretas informasi statistik ini, tidak ada informasi identitas pribadi yang akan terancam.
--
Oleh: Jacob Klein
1 http://www.pewinternet.org/2017/03/22/what-the-public-knows-about-cybersecurity/
2 https://www.techopedia.com/definition/596/data-logging
2 https://www.techopedia.com/definition/596/data-logging
3 S.Rep.
No. 99-541, 97th Cong. 2nd Sess. 37, dicetak ulang dalam 1986 U.S.C.C.A.N. 3555, 3591.
4 Ibid. Paragraf 26.
5 http://laws-lois.justice.gc.ca/eng/acts/P-8.6/FullText.html6 Namun, data tingkat kota hanya akan diagregasikan secara otomatis setelah penggunaan di suatu negara melampaui ambang batas di mana secara statistik mustahil bagi pengguna individu untuk diidentifikasi melalui evaluasi jumlah koneksi aktif di dalam kota tersebut.