Sistem operasi on Arpokrat

Cold wallet: panduan lengkap, dari secarik kertas sampai multisig di Qubes OS

Mon, 10 Aug 2026 00:00:00 +0000

Pada 2023, para peneliti Kaspersky membongkar sebuah dompet perangkat keras Trezor yang dibeli di sebuah lokapasar daring yang tampak meyakinkan. Perangkatnya identik secara visual dengan yang asli, termasuk kemasannya, dan bekerja normal. Ia menampilkan deretan kata untuk disalin, persis seperti perangkat sungguhan. Bedanya, deretan itu bukan diundi oleh perangkat: penyerang sudah memilihnya sejak awal, dan ia tinggal menunggu korban menyetorkan dananya ke sana. Analisis lengkapnya diterbitkan di blog Kaspersky.

Kisah itu merangkum seluruh persoalan. Korban sudah membeli produk yang tepat, merek yang tepat, dengan niat yang tepat. Yang gagal bukan perangkat kerasnya, melainkan prosedur di sekelilingnya.

Cold wallet bukanlah benda yang dibeli. Ia adalah prosedur yang dijalankan, dan perangkat keras hanyalah satu bagiannya.

Berikut lima tingkat keamanan, dari yang paling sederhana sampai yang paling menuntut. Masing-masing bisa dipakai apa adanya. Di setiap anak tangga, pertanyaannya sama: apa yang tidak dilindungi oleh tingkat sebelumnya, dan apakah risiko itu benar-benar menyangkut Anda?

Apa itu cold wallet, tanpa jargon

Kripto tidak tersimpan di ponsel Anda maupun di komputer Anda. Ia tercatat dalam sebuah buku besar publik, blockchain, yang digandakan di ribuan mesin. Buku besar itu mengaitkan sejumlah dana dengan sebuah alamat, yaitu deretan panjang karakter yang berperan sebagai nomor rekening publik.

Untuk memindahkan dana itu, Anda harus membuktikan bahwa Anda pemiliknya. Bukti tersebut berasal dari sebuah rahasia yang hanya Anda miliki: kunci privat. Kunci itu tidak pernah dikirim ke mana pun. Ia dipakai untuk membubuhkan tanda tangan kriptografis pada perintah pembayaran, lalu jaringan memverifikasi bahwa tanda tangan itu memang cocok dengan alamat yang bersangkutan.

Jadi seluruh keamanan bertumpu pada satu titik saja: siapa yang pernah melihat kunci privat.

Di sebuah bursa, orang itu bukan Anda. Platform memegang kunci, Anda memegang satu baris dalam basis datanya. Kalau platform bangkrut, kalau diretas, kalau regulator membekukan rekening, baris itu tidak lagi berarti banyak. Itulah makna ungkapan yang beredar sejak sepuluh tahun lalu: bukan kuncimu, bukan dananya.

Pada aplikasi dompet di ponsel, kunci memang ada pada Anda, tetapi ia dibuat di perangkat yang terhubung ke internet dan hidup di perangkat itu. Ponsel modern menjalankan puluhan ribu baris kode yang tak pernah diaudit siapa pun dan tetap terbuka terhadap celah yang bahkan tidak diketahui pabrikannya sendiri. Kunci aman di sana selama tidak ada yang meleset.

Cold wallet, harfiahnya dompet dingin, membalik logikanya. Kunci privat dibuat di perangkat yang tidak terhubung ke internet, dan tidak pernah meninggalkan perangkat itu. Yang beredar hanyalah transaksi yang harus ditandatangani, yang masuk, dan transaksi yang sudah ditandatangani, yang keluar. Penyerang yang sepenuhnya menguasai komputer Anda yang terhubung akan melihat transaksi berlalu-lalang, tetapi tidak pernah melihat kunci yang menandatanganinya.

Itulah satu-satunya pembedaan yang penting. Selebihnya adalah upaya membuat pembedaan itu makin sulit disiasati.

Hot wallet atau cold wallet, apa bedanya

Hot wallet, dompet panas, adalah dompet yang kunci privatnya dibuat atau disimpan di perangkat yang terhubung ke internet, sehingga terus-menerus terbuka terhadap serangan jarak jauh. Cold wallet membuat kunci secara luring dan menandatangani secara luring, sehingga kunci privat tak pernah menyentuh perangkat yang terhubung. Kekeliruan paling umum menyangkut peran sistem operasi: ponsel dengan aplikasi seperti MetaMask tetap merupakan hot wallet, bahkan pada sistem yang sudah dikeraskan dan mutakhir sempurna. Yang penting bukan keamanan umum perangkatnya, melainkan ada tidaknya koneksi jaringan pada saat kunci dipakai untuk menandatangani. Mengeraskan perangkat yang terhubung menurunkan kemungkinan pembobolan, tetapi tidak mengubah kategori dompetnya.

Apa yang diajarkan kasus Coldcard 2026

Satu penjelasan perlu diberikan sebelum masuk ke anak tangga, dan berita terbaru membuatnya tak bisa dilewati.

Akhir Juli 2026, pabrikan Coinkite mengungkapkan bahwa sebuah cacat yang masuk ke firmware Coldcard mereka pada Maret 2021 telah memengaruhi pembuatan sebagian seed. Ini bukan mekanisme cadangan yang disengaja: kesalahan integrasi saat berpindah ke pustaka kriptografi baru membuat sebuah makro yang seharusnya menonaktifkan generator perangkat lunak cadangan tidak memberi efek yang diharapkan, sehingga generator perangkat keras yang direncanakan sebenarnya dilewati dan digantikan generator perangkat lunak generik milik platform, yang dapat diprediksi. Frasa yang dihasilkan tampak acak sempurna, tetapi entropi sesungguhnya turun, menurut perkiraan awal yang diterbitkan Coinkite, menjadi sekitar 40 bit pada model Mk2 dan Mk3 dan sekitar 72 bit pada Mk4, Mk5, dan Q, alih-alih 128 bit yang seharusnya. Berkas teknis yang diterbitkan Coinkite menjelaskan mekanismenya secara rinci.

Sejak 30 Juli 2026, dalam empat gelombang, para penyerang menguras sekitar 1.816 bitcoin yang tersebar di lebih dari 5.200 alamat, menurut analisis TRM Labs. Sama sekali tidak ada momen ketika mereka perlu mengakses perangkat korban, baik secara fisik maupun jarak jauh. Mereka hanya menghitung ulang kunci privat yang sudah menjadi cukup lemah untuk ditemukan dengan gaya paksa.

Di situlah poinnya. Para korban itu tidak melakukan kesalahan apa pun. Seed tak pernah dibagikan, perangkat tak pernah terhubung, cadangan fisik tanpa cela. Semua itu tidak menolong, sebab celahnya ada pada saat kunci dibuat, bahkan sebelum ada sesuatu yang perlu dilindungi.

Kasus ini tidak mendiskualifikasi perangkat Coldcard maupun dompet perangkat keras sebagai kategori. Ini adalah bug yang spesifik, diperbaiki lewat firmware yang terbit sehari setelah gelombang pertama, dan pindah ke seed baru tetap diperlukan karena pembaruan tidak memperbaiki kunci yang sudah terlanjur dibuat. Namun kasus ini menyorot satu batas yang berlaku untuk semua yang menyusul: lima anak tangga dalam artikel ini menjelaskan cara melindungi kunci setelah kunci itu ada, dan tak satu pun dengan sendirinya menjamin bahwa kunci itu dibuat dengan benar sejak awal. Di situlah letak nilai solusi terbuka seperti SeedSigner, yang dibahas di bawah, yang kode pembuatannya publik dan bisa diperiksa siapa saja, sementara firmware tertutup bisa menyembunyikan cacat selama lima tahun.

Anak tangga 1: seed phrase di atas kertas

Menghafal kunci privat mustahil bagi manusia. Standar BIP39, yang diadopsi hampir semua dompet, menyiasati masalah itu.

Dompet mengundi sebuah bilangan acak yang sangat besar, lalu menerjemahkannya menjadi daftar kata-kata biasa yang diambil dari kamus tetap berisi 2048 kata: itulah seed phrase, atau frasa pemulihan. Dua belas kata setara dengan 128 bit keacakan, dua puluh empat kata setara 256 bit. Dari frasa itu, dompet menurunkan kembali secara matematis semua kunci privat dan semua alamat Anda.

Konsekuensi utamanya: frasa itulah dompetnya. Kalau perangkat Anda terbakar, Anda ketikkan kata-katanya di dompet lain yang kompatibel dan dana Anda kembali persis seperti semula. Kalau ada yang membaca kata-kata itu, ia tidak butuh apa-apa lagi. Tidak perangkat Anda, tidak kode PIN Anda.

Yang membuat frasa itu mustahil ditebak adalah jumlah keacakan yang dikandungnya, bukan panjangnya yang tampak. Penalarannya sama seperti untuk kata sandi, kami uraikan dalam artikel tentang entropi dan ilmu di balik keamanan Anda.

Dalam praktiknya, Anda menuliskan kata-katanya dengan tangan, berurutan dan bernomor, pada media yang tidak melewati perangkat apa pun. Jangan pernah foto, tangkapan layar, berkas teks, pengelola kata sandi yang tersinkronisasi, atau surel kepada diri sendiri. Segala hal yang menyentuh layanan daring mengeluarkan frasa itu dari ranah luring, dan cold wallet pun tidak ada lagi.

Apa yang tidak dilindungi anak tangga ini. Kertas terbakar, tidak tahan terhadap rembesan air, memudar, hilang. Ia bisa dibaca dalam hitungan detik oleh siapa pun yang membuka laci yang salah. Terutama, ia merupakan titik kegagalan tunggal, ungkapan yang akan berulang sepanjang artikel ini: satu unsur tunggal yang kehilangan atau pembobolannya sudah cukup untuk membawa pergi segalanya.

Perbaikan langsungnya murah: mengukir frasa itu pada cadangan logam, pelat baja tahan karat dengan huruf ketok atau keping sisip, yang contoh paling terkenalnya adalah Cryptosteel dan Billfodl. Baja bertahan menghadapi kebakaran rumah dan banjir. Ini mengatasi kerusakan tak sengaja, bukan pencurian.

Anak tangga 2: dompet perangkat keras yang dijual di pasaran

Anak tangga 1 mengandaikan Anda sudah membuat seed phrase di suatu tempat. Kalau Anda membuatnya di aplikasi ponsel sebelum menyalinnya, frasa Anda pernah ada di perangkat yang terhubung, dan kertas itu hanya mencadangkan rahasia yang sudah telanjur terpapar.

Dompet perangkat keras mengatasi masalah itu di akarnya. Ia adalah perangkat kecil khusus, tanpa peramban dan tanpa aplikasi pihak ketiga, yang tugasnya semata membuat seed phrase, menyimpannya dalam cip aman, dan menandatangani transaksi. Ia dicolokkan ke komputer Anda, tetapi kunci tak pernah keluar dari cip. Komputer mengirim transaksi untuk ditandatangani, perangkat menampilkan jumlah dan alamat tujuan di layarnya sendiri, Anda menyetujui dengan sebuah tombol, dan ia mengembalikan tanda tangan.

Layar itulah intinya, dan sering disalahpahami. Kalau perangkat lunak jahat di PC Anda menukar alamat tujuan pada saat pengiriman, layar perangkat akan menampilkan tujuan yang sebenarnya, yakni milik penyerang. Itulah titik verifikasi independen terakhir Anda. Harus dibaca, setiap kali.

Rujukannya adalah Ledger, Trezor, dan Coldcard, yang terakhir khusus untuk Bitcoin.

Kewaspadaan soal asal-usul

Di sini kita kembali ke dompet palsu dari awal artikel ini.

Belilah hanya langsung dari situs pabrikan, atau dari penjual yang secara resmi mereka daftarkan. Jangan pernah dari lokapasar umum, jangan pernah bekas, jangan pernah perangkat pemberian. Antara keluar pabrik dan sampai di tangan Anda, seorang perantara bisa membuka perangkat, mengganti isinya, dan menutupnya kembali dengan rapi. Saat menerima, periksa segel dan ketiadaan bekas pembukaan, dengan mengikuti prosedur otentikasi yang diterbitkan pabrikan.

Yang terpenting, ingat aturan yang dengan sendirinya menetralkan serangan paling umum: dompet perangkat keras baru harus membuat Anda membuat seed phrase sendiri, dan tidak boleh sekali pun memberi Anda frasa jadi. Perangkat yang datang dengan frasa yang sudah tertulis di dalam kotak, atau yang meminta Anda memasukkan frasa yang disediakan, sudah dibobol. Tanpa kecuali.

Apa yang tidak dilindungi anak tangga ini. Kini Anda memercayai seorang pabrikan soal kualitas generator keacakannya dan soal keutuhan firmware-nya, yaitu perangkat lunak yang tertanam di dalam perangkat. Firmware itu umumnya berpemilik, setidaknya sebagian, sehingga tidak bisa Anda verifikasi. Kepercayaan yang masuk akal, dapat dibenarkan bagi sebagian besar orang, tetapi tetap saja kepercayaan. Dan seed phrase tetap menjadi titik kegagalan tunggal.

Anak tangga 3: komputer khusus air-gapped

Kalau Anda tidak ingin memercayai pabrikan mana pun, masih ada kemungkinan mengerjakan semuanya sendiri di perangkat keras umum, dengan perangkat lunak terbuka dan teraudit. Itulah prinsip mesin air-gapped, harfiahnya dipisahkan oleh lapisan udara: komputer yang tidak pernah dan tidak akan pernah terhubung ke jaringan.

Ambil satu mesin khusus untuk keperluan ini saja. Laptop tua sudah memadai, dan model tanpa cip nirkabel bawaan adalah yang ideal.
Pasang ulang sistem yang bersih, misalnya distribusi Linux yang lazim, dari sebuah imej yang sudah Anda verifikasi sidik jari kriptografisnya.
Lumpuhkan jaringan pada lapisan serendah mungkin. Mencabut kartu Wi-Fi secara fisik, yang sering berupa kartu kecil terpasang di bawah tutup, lebih baik daripada menonaktifkannya lewat pengaturan. Jangan pernah mencolokkan kabel Ethernet. Penonaktifan lewat perangkat lunak bisa dibatalkan oleh perangkat lunak, sedangkan komponen yang tidak ada tidak bisa membatalkan apa pun.
Pasang dompet perangkat lunak rujukan, Sparrow atau Electrum, dengan memindahkan pemasangnya lewat flashdisk dan memverifikasi tanda tangannya.
Buat seed phrase di mesin itu, secara luring, dan cadangkan sesuai anak tangga 1.

Untuk membelanjakan, alurnya melewati format standar, PSBT (Partially Signed Bitcoin Transaction), transaksi yang ditandatangani sebagian. Ini berkas yang memuat seluruh rincian transaksi, kecuali tanda tangannya. Di komputer yang terhubung, Anda menyiapkan transaksi dan mengekspor berkas itu. Anda membawanya ke mesin luring lewat flashdisk atau lewat kode QR yang ditampilkan di layar dan dibaca kamera. Mesin luring menandatanganinya, Anda membawa kembali berkas yang sudah ditandatangani lewat jalur yang sama, lalu komputer yang terhubung menyiarkannya ke jaringan.

Satu-satunya saluran antara dua dunia itu adalah sebuah berkas yang Anda bawa dengan tangan. Lambat, dan justru di situ nilainya.

Apa yang tidak dilindungi anak tangga ini. Flashdisk menjadi titik lemah Anda: ia media aktif, mampu menyusupkan kode. Selain itu, sistem luring tetap merupakan sistem operasi serbaguna, luas dan sulit diaudit. Disiplin juga penting: godaan untuk mencolokkan kabel jaringan sekali saja demi pembaruan meniadakan seluruh susunan itu dalam sekejap.

Anak tangga 4: penanda tangan rakitan sendiri sumber terbuka, SeedSigner

SeedSigner mendorong logika anak tangga 3 sampai kesimpulannya: perangkat minimal, dirakit oleh Anda, yang perilakunya bisa diverifikasi, dan yang tidak menyimpan apa pun.

Komponen utamanya adalah Raspberry Pi Zero versi 1.3. Perincian ini bukan hal sepele, ia jantung susunannya. Pi Zero 1.3 tidak memiliki Wi-Fi maupun Bluetooth di tataran perangkat keras: cip radionya tidak ada di papan. Ini bukan Raspberry Pi 5, bukan Pi Zero W, bukan pula Pi Zero 2, yang semuanya membawa konektivitas nirkabel. Dokumentasi resminya tegas, versi 1.3-lah yang memberi jaminan isolasi jaringan terbaik.

Bedanya dengan penonaktifan lewat perangkat lunak bersifat mendasar. Wi-Fi yang dimatikan lewat pengaturan bertumpu pada janji sebuah perangkat lunak yang bisa dikhianati perangkat lunak lain. Cip yang tidak pernah disolder ke papan tidak bisa diaktifkan kembali oleh kode apa pun, celah apa pun, pembaruan bersisipan apa pun. Anda tidak lagi memercayai sebuah konfigurasi, Anda menyaksikan ketiadaan fisik.

Sisanya cukup tiga bagian: layar WaveShare 1,3 inci beresolusi 240 kali 240 piksel beserta tombolnya, modul kamera yang cocok dengan Pi Zero, dan kartu microSD. Komponen kurang dari 50 dolar, tanpa penyolderan sama sekali.

Seluruh komunikasi melewati kode QR, di kedua arah. Dompet yang terhubung, Sparrow misalnya, menampilkan PSBT sebagai kode QR, beranimasi jika transaksinya besar. Kamera SeedSigner membacanya. Perangkat menampilkan rincian transaksi di layarnya, Anda menyetujui, ia menandatangani, lalu giliran ia menampilkan transaksi yang sudah ditandatangani sebagai kode QR, yang Anda rekam dengan webcam komputer yang terhubung. Tanpa kabel data, tanpa flashdisk, tanpa jaringan. Cahaya adalah satu-satunya saluran.

Perangkat ini juga stateless, tanpa keadaan. Ia tidak pernah menyimpan kunci secara permanen: seed phrase dimasukkan di awal setiap sesi, hidup hanya di memori kerja selama dipakai, dan lenyap saat dimatikan. Kartu microSD hanya berisi perangkat lunaknya. Penyerang yang mencuri SeedSigner Anda dalam keadaan mati hanya mencuri sebuah Raspberry Pi seharga lima belas euro.

Harga dari keterbukaan. Tidak ada lagi pabrikan yang harus dipercaya, tetapi juga tidak ada lagi yang menjamin apa pun. Sebelum menuliskan perangkat lunak ke kartu microSD, Anda harus memverifikasi sendiri keasliannya. Proyek ini menerbitkan di halaman rilis GitHub-nya berkas imej beserta sebuah manifes dan tanda tangan manifes tersebut. Verifikasinya menggabungkan tanda tangan GPG, yang membuktikan bahwa rilis itu memang berasal dari para pengembang, dengan pemeriksaan sidik jari SHA256, yang membuktikan bahwa berkasnya tidak diubah sejak itu. Verifikasi harus dilakukan bahkan sebelum imej dipasang, karena sebagian sistem mengubahnya saat dibuka sehingga pemeriksaannya gagal. Kalau gagal, jangan diflash.

Batas fungsional yang perlu dicatat: SeedSigner adalah proyek Bitcoin, ia tidak mencakup rantai lain.

Anak tangga 5: mesin virtual Vault di Qubes OS

Anak tangga 3 memisahkan dua dunia dengan kabel yang dicabut. Itu jaminan yang Anda pertahankan secara manual, hari demi hari, dan yang bertumpu pada disiplin Anda.

Qubes OS menawarkan hal lain: pemisahan yang dipaksakan oleh arsitektur sistemnya. Qubes menyekat aktivitas Anda ke dalam mesin-mesin virtual terpisah, yang disebut qubes, yang diisolasi oleh sebuah hypervisor. Kami menempatkannya berhadapan dengan sistem lain dalam perbandingan sistem operasi berorientasi keamanan.

Mesin virtual Vault dibuat tanpa antarmuka jaringan sama sekali. Ini bukan pengaturan kosmetik: mesin virtual itu sama sekali tidak punya kartu jaringan virtual, tidak punya penggerak, tidak punya tumpukan protokol, tidak ada yang bisa diaktifkan. Secara fisik ia tidak punya cara untuk mengirim satu paket pun, apa pun kode yang berjalan di dalamnya. Mesin inilah yang memegang seed phrase dan menjalankan Sparrow secara luring.

Mesin virtual kedua, yang kali ini terhubung, menjalankan Sparrow dalam mode pantau saja, hanya dengan kunci publik. Ia melihat saldo dan riwayat, bisa menyusun transaksi, tetapi tidak mampu menandatanganinya.

Pemindahan dilakukan semata lewat berkas, dengan perkakas internal qvm-copy. PSBT tanpa tanda tangan berangkat dari mesin yang terhubung menuju Vault, Vault menandatanganinya, berkas bertanda tangan kembali lewat mekanisme yang sama. Tanpa jaringan bersama, tanpa folder bersama, tanpa papan klip otomatis.

Dua hal membuatnya lebih unggul daripada PC terisolasi biasa. Pertama, isolasinya tidak lagi bergantung pada Anda: pada mesin air-gapped klasik, air gap adalah sifat dari perilaku Anda, ia bertahan selama tidak ada yang mencolokkan kabel. Di bawah Qubes, isolasi diberlakukan oleh hypervisor, di bawah mesin virtual, di luar jangkauan apa pun yang berjalan di dalamnya. Perangkat lunak jahat yang memperoleh kuasa penuh di dalam Vault tetap tidak punya perangkat keras jaringan untuk dikendalikan. Kedua, keterbalikannya: qubes bertumpu pada templat, dan kalau Anda mencurigai adanya pembobolan, Anda hancurkan mesin virtualnya lalu buat ulang yang bersih dalam beberapa menit. Pada komputer khusus, keraguan yang sama memaksa pemasangan ulang menyeluruh.

Apa yang tidak dilindungi anak tangga ini. Ini susunan paling kokoh dalam daftar ini, dan ia mempertahankan persis kelemahan yang pertama: seed phrase-nya tetap cuma satu. Kebakaran yang menghanguskan cadangan Anda, paksaan fisik terhadap Anda, kesalahan penanganan, dan semuanya hilang atau semuanya diambil. Isolasi perangkat lunak, sesempurna apa pun, tidak mengubah hal itu.

Multisig: mengubah hakikat masalahnya

Kelima anak tangga sebelumnya sama-sama memperbaiki hal yang sama, yakni perlindungan satu rahasia tunggal. Multisig, atau tanda tangan jamak, mengajukan pertanyaan yang berbeda: bagaimana kalau kita berhenti memiliki satu rahasia tunggal?

Prinsipnya tertulis dalam aturan jaringannya. Alih-alih mengaitkan dana pada satu kunci, dana dikaitkan pada sekelompok kunci, dengan sebuah ambang. Pada 2 dari 3, ada tiga kunci dan dibutuhkan dua untuk membelanjakan. Pada 3 dari 5, ada lima kunci, dibutuhkan tiga. Setiap kunci dibuat secara terpisah, di perangkat yang berbeda, idealnya berbeda jenisnya, dan disimpan di tempat yang berbeda: sebuah Coldcard di rumah Anda, sebuah SeedSigner di rumah orang terdekat yang tepercaya, sebuah kunci di brankas bank.

Perubahannya jelas. Pencuri yang menemukan satu cadangan tidak mendapat apa-apa. Kebakaran yang menghanguskan satu tempat tidak menghanguskan dana Anda, Anda menyusunnya kembali dengan kunci-kunci yang tersisa. Cacat yang ditemukan pada satu pabrikan tidak cukup, sebab kunci Anda yang lain berasal dari tempat lain. Orang yang mengancam Anda secara fisik berbenturan dengan kenyataan bahwa Anda tidak bisa, sendirian dan saat itu juga, menghasilkan apa yang ia minta.

Titik kegagalan tunggal lenyap sekaligus di dua arah, terhadap kehilangan dan terhadap pencurian. Tak satu pun anak tangga sebelumnya mencapai hasil itu, termasuk susunan Qubes.

Imbalannya adalah kerumitan operasional. Yang harus dicadangkan bukan hanya seed-nya, melainkan juga deskriptor dompet, yaitu berkas yang menjabarkan struktur susunan itu dan kunci-kunci publik penyusunnya. Tanpa itu, mengambil kembali dana Anda menjadi sangat sulit bahkan dengan jumlah seed yang disyaratkan. Multisig yang buruk pendokumentasiannya lebih berbahaya daripada dompet perangkat keras sederhana yang dikuasai dengan baik.

Aturan yang berlaku di semua anak tangga

Perangkat keras memenuhi hampir seluruh perbincangan, padahal kerugian yang nyata paling sering datang dari tempat lain.

Sebarkan cadangan Anda secara geografis. Dua salinan seed yang sama di dua laci rumah yang sama hanyalah satu salinan di hadapan kebakaran atau rembesan air. Risikonya bukan hanya pencurian. Pisahkan tempatnya, sambil mengingat bahwa setiap salinan tambahan memperbaiki ketahanan Anda terhadap kehilangan dan memperburuk ketahanan Anda terhadap pencurian. Ini soal timbang-menimbang, bukan soal pengaturan yang optimal.

Uji dengan jumlah kecil. Kirim setara beberapa euro, pastikan diterima, lalu hapus dompetnya dan pulihkan seluruhnya dari cadangan Anda. Penerimaan yang berhasil tidak membuktikan apa pun soal pemulihan, dan pemulihanlah yang suatu hari akan menyelamatkan Anda. Satu kata yang salah disalin, urutan yang terbalik, cadangan yang tidak lengkap: semuanya baru ketahuan pada saat itu, dan lebih baik ketahuan ketika yang dipertaruhkan sepuluh euro.

Tetaplah tutup mulut. Keamanan teknis tidak berpengaruh apa pun terhadap rekayasa sosial maupun pencurian fisik yang tertarget. Jangan menyebut di depan umum bahwa Anda memegang kripto, tidak di media sosial, tidak di restoran, tidak pula kepada kenalan jauh. Susunan terbaik sedunia tidak melindungi orang yang sudah diketahui punya sesuatu untuk diambil.

Siapkan pewarisan. Ini titik yang paling terabaikan, dan tak bisa diperbaiki belakangan. Cold wallet yang aman dirancang supaya tak seorang pun selain Anda bisa masuk. Kalau terjadi kematian atau ketidakcakapan, sifat itu berbalik melawan ahli waris Anda dan dananya hilang untuk selamanya. Ada beberapa jalan: dokumentasi terenkripsi yang dititipkan kepada pihak ketiga tepercaya atau disimpan di notaris, susunan multisig yang menyertakan satu kunci di tangan ahli waris, atau perangkat semacam dead man switch yang melepas informasi ketika tak ada tanda kehidupan. Masing-masing membawa implikasi hukum dan pajak yang berbeda-beda menurut negara. Dokumentasikan niat teknisnya, dan minta seorang profesional hukum membingkai pelaksanaannya.

Apa yang dikatakan ini tentang pendekatan Arpokrat

Benang merah kelima anak tangga ini bukanlah kecanggihan yang meningkat. Melainkan berkurangnya secara bertahap jumlah pihak yang harus Anda percayai tanpa bisa Anda verifikasi. Bursa menuntut kepercayaan penuh. Dompet perangkat keras menciutkannya menjadi satu pabrikan. SeedSigner menggantinya dengan verifikasi yang Anda lakukan sendiri. Susunan Qubes memindahkan jaminannya dari perilaku ke arsitektur. Multisig mencabutnya dari setiap unsur yang dilihat sendiri-sendiri.

Itulah logika yang mengatur perancangan produk kami. Jaminan yang bertumpu pada janji bukanlah jaminan, melainkan komitmen. Jaminan struktural tetap berlaku bahkan ketika yang membangunnya berubah pikiran atau menerima perintah pengadilan. Layanan yang tidak memegang kunci Anda tidak bisa menyerahkannya, sebesar apa pun tekanannya: itulah prinsip yang menopang Arpokrat Swap. Pertanyaannya pun jadi lebih konkret seiring berkembangnya kerangka regulasi, seperti ditunjukkan analisis kami tentang pembatasan Eropa atas Monero dan Zcash yang direncanakan untuk 2027.

Penutup

Tidak ada tingkat keamanan yang baik secara umum. Yang ada adalah tingkat yang sepadan dengan apa yang Anda pegang dan dengan siapa yang masuk akal menyasar Anda.

Beberapa ratus euro pada dompet perangkat keras yang dibeli dari pabrikannya, dengan seed yang terukir di logam dan disimpan di luar rumah Anda, sudah merupakan konfigurasi yang sepenuhnya serius. Itu sudah menempatkan Anda di atas mayoritas besar pemegang kripto dan melindungi Anda dari skenario yang benar-benar menimbulkan kerugian. Tak seorang pun butuh multisig di atas Qubes untuk itu. Susunan yang rumit baru berdasar ketika jumlahnya membuat serangan tertarget menjadi menguntungkan, atau ketika keadaan Anda menarik perhatian khusus.

Jadi pertanyaan yang tepat bukanlah sampai setinggi apa harus naik, melainkan asumsi Anda yang mana yang paling rapuh saat ini. Bagi kebanyakan orang itu bukan perangkat kerasnya: melainkan satu cadangan tunggal yang disimpan di satu tempat, pemulihan yang tak pernah diuji, atau pewarisan yang tak pernah dipikirkan. Memperbaiki ketiga hal itu tidak memakan biaya apa pun, dan bobotnya lebih besar daripada beranjak dari satu anak tangga ke anak tangga berikutnya.

Sistem operasi mana yang terbaik untuk keamanan dan privasi Anda? Windows, macOS, Linux, Tails, Whonix, dan Qubes OS dibandingkan

Mon, 22 Jun 2026 00:00:00 +0000

Memilih sistem operasi bukan sekadar soal preferensi antarmuka atau kompatibilitas perangkat lunak. Ini juga, dan semakin hari semakin penting, merupakan keputusan terkait keamanan dan privasi. Setiap OS mengumpulkan data secara berbeda, menghadirkan permukaan serangan yang berbeda, dan menawarkan tingkat kendali yang sangat bervariasi kepada pengguna. Perbandingan ini menganalisis sistem-sistem utama di pasaran secara eksklusif dari sudut pandang tersebut, mulai dari yang paling umum hingga yang paling terspesialisasi.

Kriteria utama: siapa yang mengendalikan sistem Anda?

Sebelum masuk ke detail setiap OS, ada satu prinsip struktural yang perlu dipahami: keamanan sebuah sistem operasi bergantung secara mendasar pada siapa yang memegang kodenya dan keputusan arsitektural apa yang diambil saat perancangan. OS proprietary dengan kode tertutup (Windows, macOS) mendelegasikan kepercayaan ini kepada pengembangnya. OS open source mendelegasikan kepercayaan ini kepada komunitas yang mengaudit kodenya. OS yang dirancang untuk keamanan terkompartementalisasi (Qubes OS) berpijak pada asumsi bahwa tidak ada komponen sistem yang sepenuhnya dapat dipercaya.

Windows 11

Pengumpulan data dan telemetri

Windows 11 adalah OS desktop yang paling banyak digunakan di dunia, dan juga salah satu yang paling banyak mengumpulkan data secara default. Microsoft membagi telemetrinya menjadi dua kategori resmi:

Data yang diperlukan (tidak dapat dinonaktifkan pada edisi Home dan Pro): konfigurasi perangkat keras, pengidentifikasi perangkat, laporan kesalahan dan stabilitas, data pembaruan dan driver. Data ini dikirimkan ke Microsoft terlepas dari preferensi pengguna.

Data opsional: perilaku penggunaan, interaksi dengan aplikasi, data personalisasi. Dapat dinonaktifkan di pengaturan, tetapi diaktifkan kembali secara otomatis selama pembaruan besar tertentu.

Windows 11 24H2 memperkenalkan beberapa lapisan pengumpulan baru yang terkait dengan AI:

Windows Recall: mengambil tangkapan layar setiap lima detik untuk membuat linimasa yang dapat dicari dari semua yang telah Anda lakukan di mesin Anda. Dapat dinonaktifkan, tetapi diaktifkan secara default dan terkait dengan hak akses yang dapat diperluas oleh aplikasi lain
Copilot: setiap permintaan dikirimkan ke server Microsoft, termasuk tangkapan layar, teks yang dipilih, dan konteks aplikasi yang sedang terbuka
Defender Cloud Protection: mengirimkan hash file yang mencurigakan dan data perilaku ke cloud Microsoft untuk dianalisis

Kesimpulan yang didokumentasikan oleh banyak sumber teknis independen tidak terbantahkan: tidak mungkin untuk menonaktifkan sepenuhnya telemetri Windows 11 pada edisi Home dan Pro. Satu-satunya cara untuk melakukannya adalah menggunakan edisi Enterprise atau Education, menerapkan kebijakan grup tertentu, atau menggunakan alat pihak ketiga seperti O&O ShutUp10++ atau WPD, dengan risiko ketidakstabilan yang mungkin ditimbulkan.

Permukaan serangan dan keamanan

Windows 11 adalah target dari sebagian besar malware, ransomware, dan eksploit yang tersedia di dunia, sebanding dengan pangsa pasarnya. Microsoft telah memperkenalkan mekanisme keamanan yang signifikan (TPM 2.0 wajib, Secure Boot, VBS, Credential Guard), tetapi mekanisme ini beroperasi dalam model monolitik: kompromi pada kernel atau layanan sistem yang memiliki hak istimewa akan memengaruhi seluruh lingkungan.

Verdict keamanan/privasi: sistem yang paling terekspos dalam perbandingan ini, telemetri yang tidak dapat sepenuhnya dinonaktifkan, model kepercayaan yang sepenuhnya didelegasikan kepada Microsoft dan yurisdiksi Amerika Serikat.

macOS

Pengumpulan data dan telemetri

Apple telah membangun sebagian citra pemasarannya di atas privasi. Kenyataan teknisnya lebih bernuansa.

macOS mengumpulkan jauh lebih sedikit data daripada Windows secara default, tetapi pengumpulan tetap nyata dan sebagian tidak dapat dinonaktifkan:

Gatekeeper dan verifikasi OCSP: setiap kali membuka aplikasi, macOS melakukan verifikasi online ke server Apple untuk memastikan aplikasi tersebut tidak dicabut. Permintaan ini mengirimkan informasi tentang aplikasi yang dibuka dan alamat IP perangkat. Tidak ada pengaturan bawaan yang memungkinkan penonaktifan verifikasi ini tanpa merusak rantai keamanan
Analitik macOS: pengumpulan data penggunaan sistem, dapat dinonaktifkan di Preferensi Sistem > Privasi > Analitik
Telemetri aplikasi Apple: Maps, Siri, App Store, dan aplikasi Apple bawaan lainnya masing-masing mempertahankan pengumpulan datanya sendiri, dengan pengidentifikasi yang berputar, terlepas dari pengaturan analitik sistem

Untuk pendalaman lebih lanjut, para ahli keamanan merekomendasikan penggunaan firewall aplikasi (Little Snitch atau LuLu, open source dan gratis) untuk memantau dan memblokir koneksi keluar per aplikasi.

Permukaan serangan dan keamanan

macOS mendapat manfaat dari beberapa mekanisme keamanan yang kuat: System Integrity Protection (SIP) yang melindungi file sistem sebagai read-only, Kernel Integrity Protection di tingkat perangkat keras pada chip Apple Silicon, sandboxing aplikasi App Store, dan Secure Enclave pada mesin terbaru. Hubungan dengan Apple ID adalah vektor utama pengumpulan data pribadi.

Verdict keamanan/privasi: lebih baik dari Windows dalam hal telemetri default, tetapi tetap tunduk pada verifikasi OCSP yang tidak dapat dinonaktifkan, yurisdiksi Amerika Serikat, dan model tertutup Apple. Sulit diaudit secara independen.

Linux (distribusi umum)

Linux bukan satu sistem operasi tunggal melainkan sebuah kernel yang di atasnya dibangun distribusi yang sangat berbeda-beda. Dari sudut pandang keamanan dan privasi, distribusi-distribusi ini berbagi fondasi yang sama tetapi berbeda pada beberapa poin.

Ubuntu adalah distribusi yang paling populer bagi pemula. Pada tahun 2012, ia memicu kontroversi dengan mengirimkan pencarian lokal ke server Amazon, perilaku yang sejak saat itu telah dihapus. Ubuntu mempertahankan pengumpulan data penggunaan sendiri (whoopsie, ubuntu-report), yang dapat dinonaktifkan, dan mengintegrasikan repositori Snap yang dikendalikan oleh Canonical Ltd secara erat.

Debian adalah basis yang di atasnya Ubuntu dibangun, tanpa lapisan tambahan dari Canonical. Dikelola oleh proyek komunitas nirlaba, dengan komitmen ketat terhadap perangkat lunak bebas, ia tidak mengumpulkan telemetri apa pun secara default. Kebijakan pembaruan konservatifnya umumnya lebih disukai dari sisi permukaan serangan.

Fedora, yang disponsori oleh Red Hat (anak perusahaan IBM), secara teknis modern dengan siklus pembaruan yang cepat. Tidak ada telemetri secara default, tetapi hubungan dengan Red Hat/IBM memperkenalkan ketergantungan korporat yang perlu dicatat.

Linux Mint, turunan dari Ubuntu, dirancang untuk pengguna yang beralih dari Windows. Ia telah menghapus komponen Ubuntu yang paling kontroversial (Snap tidak ada secara default) dan tidak memperkenalkan telemetri sendiri.

Arch Linux menargetkan pengguna tingkat lanjut dengan filosofi minimalis: pengguna hanya menginstal apa yang mereka butuhkan. Tidak ada telemetri, pembaruan berkelanjutan (rolling release), kebebasan kustomisasi total.

Apa yang Linux tawarkan secara fundamental

Kode sumber terbuka dan dapat diaudit: setiap peneliti keamanan dapat memeriksa kode kernel dan komponen utama
Tidak ada telemetri yang dipaksakan: tidak ada distribusi besar yang memaksa pengumpulan data yang tidak dapat dinonaktifkan
Model izin yang lebih ketat secara default: penggunaan akun root yang terpisah dari aktivitas sehari-hari
Permukaan serangan yang lebih kecil: Linux kurang menjadi target malware massal

Verdict keamanan/privasi: jauh lebih baik dari Windows dan macOS dalam hal pengumpulan data. Tidak ada distribusi umum yang melindungi terhadap kompromi aplikasi yang menyebar ke seluruh sistem.

Tails OS

Filosofi: amnesia sebagai perlindungan

Tails, singkatan dari The Amnesic Incognito Live System, adalah sistem operasi berbasis Debian yang bergabung dengan Tor Project pada tahun 2024. Filosofinya secara radikal berbeda dari semua OS lain: alih-alih mencoba mengamankan lingkungan yang persisten, ia menghilangkan semua persistensi secara default. Tails hanya ada selama satu sesi.

Arsitektur teknis

Tails berjalan sepenuhnya dari USB drive (minimal 8 GB) dan beroperasi sepenuhnya di RAM. Ketika Anda mematikannya, tidak ada jejak yang tersisa di mesin host: tidak ada file sementara, tidak ada riwayat, tidak ada kredensial, tidak ada artefak forensik pada hard disk PC yang digunakan. Tidak masalah apakah PC tersebut telah disusupi di tingkat perangkat lunak: Tails tidak pernah menulis ke disknya.

Tor secara default dan tanpa pengecualian

Semua lalu lintas jaringan Tails secara sistematis dirutekan melalui jaringan Tor. Jika sebuah aplikasi mencoba membuat koneksi langsung yang melewati Tor, Tails memblokirnya. Tidak mungkin menggunakan Tails untuk menjelajah tanpa Tor, bahkan secara tidak sengaja.

Penyimpanan persisten terenkripsi (opsional)

Secara default, Tails melupakan segalanya setiap kali dimatikan. Untuk pengguna yang perlu menyimpan data tertentu antar sesi, Tails menawarkan Persistent Storage: volume terenkripsi (LUKS) yang dibuat di USB drive itu sendiri, dilindungi oleh frasa sandi. Pengguna memilih dengan tepat apa yang disimpan di sana: file tertentu, konfigurasi aplikasi, kunci PGP, dll. Penyimpanan persisten ini tidak mengubah sifat amnesik Tails terhadap mesin host, ia hanya memengaruhi apa yang disimpan di USB drive antara dua sesi.

Alat yang telah terinstal

Tails dilengkapi dengan serangkaian alat yang telah dikonfigurasi sebelumnya: Tor Browser, klien pesan terenkripsi, alat enkripsi file (Kleopatra/GnuPG), klien pesan aman, dan LibreOffice untuk produktivitas. Tidak perlu menginstal perangkat lunak tambahan untuk penggunaan keamanan tinggi sehari-hari.

Catatan teknis 2026: Tails 7.7 menambahkan notifikasi untuk sertifikat Secure Boot yang kedaluwarsa, karena kunci Microsoft dari tahun 2011 mulai berakhir masa berlakunya pada Juni 2026. Pengguna yang firmware UEFI-nya tidak diperbarui berisiko tidak dapat lagi mem-boot Tails pada mesin tertentu.

Apa yang Tails lindungi dan apa yang tidak

Ancaman	Perlindungan Tails
Forensik disk host setelah penyitaan	Penuh: disk host tidak pernah disentuh
Pengawasan jaringan (IP, situs yang dikunjungi)	Kuat melalui Tor, tetapi bergantung pada ketangguhan Tor
Malware persisten di mesin host	Dihindari: Tails tidak menggunakan sistem yang terinstal
Malware BIOS/UEFI (firmware yang disusupi)	Tidak ada: Tails tidak dapat melindungi terhadap firmware mesin yang digunakan
Kesalahan manusia (masuk ke akun pribadi)	Tidak ada: jika Anda masuk ke Gmail di Tails, Anda de-anonimisasi sesi
Kompromi perangkat lunak dalam sesi	Terbatas pada sesi saat ini, dihancurkan saat dimatikan

Keterbatasan yang jujur

Tails tidak cocok untuk penggunaan sehari-hari: ketiadaan persistensi berarti mengonfigurasi ulang lingkungan setiap kali boot
Malware jenis BIOS atau firmware (seperti implan di tingkat UEFI) berpotensi mengkompromikan sesi Tails, karena Tails tidak mengendalikan lapisan firmware mesin tempat ia berjalan
Masuk ke akun pribadi (email, media sosial) membatalkan anonimitas sesi, terlepas dari Tor

Untuk siapa?

Jurnalis yang bekerja dengan sumber melalui SecureDrop, aktivis di bawah pengawasan dalam rezim represif, siapa pun yang membutuhkan sesi sensitif tinggi yang sesekali pada perangkat keras yang tidak dikuasai. Digunakan oleh Glenn Greenwald dan Laura Poitras untuk memproses dokumen Snowden, direkomendasikan oleh EFF, Freedom of the Press Foundation, dan Tor Project.

Verdict: alat pilihan utama untuk sesi sesekali dengan sensitivitas tinggi. Bukan OS utama untuk penggunaan sehari-hari.

Whonix

Filosofi: anonimitas struktural melalui isolasi jaringan

Whonix menjawab pertanyaan yang berbeda dari Tails: alih-alih menghapus semua jejak setelah sesi, ia memastikan bahwa malware yang berjalan di lingkungan kerja secara struktural tidak dapat mengetahui alamat IP asli pengguna, bahkan jika ia memiliki hak root pada mesin virtual kerja.

Whonix berbasis Debian (melalui KickSecure, versi Debian yang dikeraskan yang dikembangkan oleh tim yang sama) dan berjalan di dalam hypervisor tipe 2 (VirtualBox, KVM) pada OS host apa pun, atau secara native di Qubes OS sebagai tipe 1.

Arsitektur dua VM

Prinsip utama Whonix adalah pemisahan ketat antara lapisan jaringan dan lapisan aplikasi, diimplementasikan melalui dua mesin virtual yang berbeda:

Whonix-Gateway adalah VM pertama. Ia menjalankan daemon Tor dan berfungsi secara eksklusif sebagai gateway jaringan. Ia adalah satu-satunya VM yang memiliki akses ke Internet. Ia tidak mengandung aplikasi pengguna apa pun. Satu-satunya perannya adalah mencegat semua lalu lintas jaringan masuk dan keluar serta memaksanya melewati Tor.

Whonix-Workstation adalah VM kedua. Ini adalah lingkungan kerja: browser, pesan, pemrosesan file, pengembangan. Ia terhubung ke Internet hanya melalui jaringan virtual internal yang mengarah ke Whonix-Gateway. Ia tidak memiliki akses langsung ke Internet, tidak ada kemampuan koneksi yang akan melewati Gateway.

Inilah yang terjadi selama permintaan jaringan dari Workstation:

Aplikasi mengeluarkan permintaan jaringan
Workstation mengirimkannya melalui antarmuka jaringan internalnya ke Gateway
Gateway mencegat permintaan dan merute ulang melalui Tor (tiga relay berturut-turut)
Respons kembali melalui jalur yang sama secara terbalik
Workstation menerima respons tanpa pernah mengetahui alamat IP keluar yang sebenarnya

Jaminan fundamental: bahkan jika malware mengkompromikan Workstation dengan hak root, ia tidak dapat mengetahui alamat IP asli pengguna, karena Workstation sendiri tidak pernah memiliki aksesnya. Workstation hanya melihat alamat IP internal Gateway.

Mekanisme keamanan tambahan

Stream isolation: Whonix menggunakan sirkuit Tor yang berbeda untuk aplikasi yang berbeda (browser tidak menggunakan sirkuit yang sama dengan klien email, dll.), yang mencegah korelasi lalu lintas antara berbagai aktivitas.

Boot clock randomization: jam sistem Workstation sedikit digeser secara acak setiap kali boot untuk mencegah serangan timing berdasarkan waktu sistem yang tepat.

sdwdate: Whonix menggunakan daemon sinkronisasi waktu sendiri (sdwdate) yang mengambil waktu melalui Tor dari server onion, alih-alih NTP klasik yang dapat membocorkan alamat IP.

AppArmor: profil AppArmor memperkeraskan sandboxing aplikasi kritis seperti Tor Browser di tingkat sistem.

VM yang dapat dibuang: Whonix mendukung Workstation yang dapat dibuang (Whonix-Workstation DispVM di Qubes-Whonix) untuk tugas-tugas sesekali tanpa persistensi, mirip dengan pendekatan Tails tetapi dalam lingkungan yang persisten.

Tiga mode penerapan

Whonix di VirtualBox atau KVM (Tipe 2): mode yang paling mudah diakses. Kedua VM berjalan pada OS host yang sudah ada (Windows, Linux, macOS). Praktis, tetapi memperkenalkan lapisan kepercayaan tambahan pada OS host: jika host disusupi, perlindungan Whonix dapat dilewati.

Qubes-Whonix (Tipe 1, direkomendasikan): Whonix diintegrasikan secara native ke dalam Qubes OS sebagai template. Gateway menjadi ProxyVM (sys-whonix) dan Workstation menjadi AppQube (anon-whonix). Ini adalah konfigurasi yang paling kuat karena isolasi bergantung pada hypervisor Xen bare-metal daripada hypervisor tipe 2 yang berjalan di atas OS host yang berpotensi rentan. Ini adalah kombinasi yang direkomendasikan oleh kedua proyek.

Isolasi fisik (mode lanjutan): Gateway dan Workstation berjalan pada dua mesin fisik yang berbeda, dihubungkan oleh kabel Ethernet. Workstation tidak memiliki kartu jaringan kecuali yang terhubung ke Gateway. Mode ini secara drastis mengurangi basis kepercayaan tetapi membutuhkan dua mesin khusus.

Apa yang Whonix lindungi dan apa yang tidak

Ancaman	Perlindungan Whonix
Kebocoran alamat IP dari Workstation	Secara struktural tidak mungkin berdasarkan arsitektur
DNS leaks	Tidak mungkin: semua DNS melewati Tor melalui Gateway
Malware root di Workstation yang mencari IP asli	Tidak ada: ia tidak akan menemukannya
Kompromi Gateway itu sendiri	Sebagian: jika Gateway disusupi, IP dapat bocor
Kompromi OS host (dalam mode Tipe 2)	Tidak ada: host yang disusupi dapat mengamati kedua VM
De-anonimisasi oleh perilaku pengguna	Tidak ada: Whonix tidak melindungi terhadap kesalahan manusia
Forensik disk setelah penyitaan	Sebagian: Whonix persisten secara default, kecuali VM yang dapat dibuang

Keterbatasan yang jujur

Whonix tidak menghapus jejak di disk: ia persisten secara default (berbeda dengan Tails). Jika mesin Anda disita dan enkripsi disk host tidak ada atau lemah, data VM dapat dipulihkan
Dalam mode Tipe 2 (VirtualBox/KVM pada OS host), keamanan Whonix dibatasi oleh keamanan OS host. Host yang disusupi berpotensi mengamati lalu lintas antara kedua VM
Kinerja dipengaruhi oleh virtualisasi ganda dan perutean melalui Tor: koneksi lambat, unduhan besar sulit dilakukan sehari-hari

Untuk siapa?

Siapa pun yang membutuhkan lingkungan kerja persisten dengan anonimitas jaringan struktural: pengembangan perangkat lunak sensitif, penelitian di bawah pseudonim jangka panjang, pengelolaan beberapa identitas digital yang berbeda, server onion. Kombinasi Qubes-Whonix dianggap oleh banyak pakar keamanan sebagai lingkungan kerja anonim yang paling kuat yang saat ini tersedia untuk penggunaan sehari-hari.

Verdict: OS referensi untuk anonimitas jaringan struktural dalam lingkungan persisten. Melengkapi Tails (yang menangani sesi sesekali), bukan bersaing.

Qubes OS

Filosofi: keamanan melalui kompartementalisasi

Qubes OS mewakili pendekatan yang secara fundamental berbeda dari semua sistem sebelumnya. Di mana OS lain berusaha mencegah kompromi, Qubes bertolak dari postulat yang secara radikal berbeda: kompromi pada komponen tertentu tidak dapat dihindari. Tujuannya adalah memastikan bahwa hal itu tidak dapat menyebar.

Dibuat pada tahun 2012 oleh peneliti keamanan Joanna Rutkowska, Qubes OS direkomendasikan secara publik oleh Edward Snowden, di antara para profesional keamanan lainnya.

Arsitektur teknis

Hypervisor Xen sebagai lapisan dasar

Qubes bukan distribusi Linux dalam arti klasik. Ia menggunakan hypervisor Xen, perangkat lunak virtualisasi bare-metal yang berjalan langsung di atas perangkat keras, tanpa OS host perantara, untuk membuat mesin virtual ringan yang disebut qubes. Isolasi antar qubes ditegakkan di tingkat perangkat keras, melalui teknologi Intel VT-x/VT-d dan AMD-Vi (IOMMU), yang mencegah VM mengakses memori atau perangkat VM lain tanpa izin eksplisit.

dom0: domain kepercayaan maksimal

Di puncak hierarki terdapat dom0, domain istimewa dari mana manajer desktop dijalankan. dom0 mengelola tampilan semua jendela dari qubes lain. Demi keamanan, dom0 tidak memiliki koneksi jaringan dan tidak menjalankan aplikasi pengguna apa pun. Ia hanya berfungsi untuk mengatur tampilan dan pengelolaan domain.

Qubes: kompartemen yang kedap

Pengguna mendefinisikan sebanyak qubes yang diperlukan, masing-masing sesuai dengan konteks kepercayaan:

Qube “kerja” untuk aplikasi profesional
Qube “pribadi” untuk email dan media sosial
Qube “perbankan” yang didedikasikan khusus untuk transaksi keuangan
Qube “tidak tepercaya” untuk membuka lampiran yang mencurigakan
Qubes yang dapat dibuang yang menghilang sepenuhnya saat ditutup

Setiap qube memiliki tumpukan jaringannya sendiri, ruang memorinya sendiri, dan prosesnya sendiri. Malware yang mengkompromikan qube “tidak tepercaya” terbatas pada qube tersebut. Ia tidak dapat mengakses file qube “kerja”, atau melintasi ke domain lain.

Kode warna visual

Setiap jendela menampilkan batas berwarna yang sesuai dengan tingkat kepercayaan qube-nya: merah untuk domain yang tidak tepercaya, hijau untuk domain terisolasi dengan keamanan tinggi, kuning untuk domain semi-tepercaya. Sistem visual sederhana ini memungkinkan Anda mengetahui setiap saat dalam konteks apa setiap tindakan berlangsung.

Template dan manajemen terpusat

Qubes tidak mengandung instalasi OS lengkapnya sendiri: mereka berbagi template (Fedora, Debian, dan Whonix secara default). Pembaruan keamanan diterapkan pada template, dan semua qubes yang didasarkan pada template tersebut mendapat manfaatnya secara otomatis.

PCI passthrough dan isolasi perangkat keras

Di mana OS klasik menjalankan driver perangkat keras di ruang yang sama dengan aplikasi pengguna, Qubes menetapkan setiap perangkat fisik (kartu jaringan, pengontrol USB) ke qube khusus melalui PCI passthrough. Driver jaringan yang disusupi tidak dapat mengakses data qubes lain.

Integrasi Whonix

Qubes mengintegrasikan Whonix secara native sebagai template, memungkinkan perutean lalu lintas qube mana pun melalui Tor secara transparan. Ini adalah konfigurasi Qubes-Whonix yang dijelaskan di bagian sebelumnya.

Apa yang sebenarnya dilindungi Qubes

Skenario serangan	OS klasik	Qubes OS
Malware dalam lampiran PDF	Potensi akses ke seluruh sistem	Terbatas pada qube “tidak tepercaya”, dihancurkan saat ditutup
Eksploitasi browser web	Akses ke profil pengguna, file	Terbatas pada qube browser
Kompromi driver jaringan	Akses ke memori sistem	Terbatas pada qube jaringan melalui PCI passthrough
Kunci PGP dicuri	Jika perangkat lunak penandatanganan disusupi, ya	Tidak, jika kunci ada di qube khusus tanpa jaringan
Kebocoran antar aplikasi	Mungkin melalui IPC, memori bersama	Tidak mungkin antar qubes yang berbeda

Keterbatasan yang jujur

Qubes tidak melindungi terhadap kompromi dom0: jika hypervisor Xen itu sendiri disusupi, isolasi dapat dirusak (buletin QSB-115 tanggal 9 Juni 2026, mengenai kerentanan XSA-491)
Tidak ada isolasi di dalam qube yang sama: dua aplikasi dalam qube yang sama tidak terisolasi satu sama lain
Persyaratan perangkat keras yang signifikan: prosesor yang mendukung VT-x/VT-d, minimal 16 GB RAM (32 GB direkomendasikan), 32 GB penyimpanan. Mesin Apple Silicon tidak didukung
Kurva pembelajaran yang nyata: salin-tempel antar qubes memerlukan tindakan yang disengaja, instalasi perangkat lunak melalui template

Untuk siapa?

Qubes OS dirancang untuk profil yang model ancamannya mencakup musuh yang serius: jurnalis yang bekerja dengan sumber sensitif, pengacara yang mengelola kasus rahasia, peneliti keamanan, profesional yang menangani rahasia industri atau diplomatik.

Verdict: standar referensi untuk keamanan workstation pribadi menghadapi musuh yang mampu. Kombinasi Qubes + Whonix dianggap sebagai lingkungan yang paling kuat yang saat ini tersedia.

Bagaimana sistem-sistem ini dikombinasikan

Penting untuk dipahami bahwa OS-OS ini tidak bersifat eksklusif satu sama lain: mereka menjawab kebutuhan yang berbeda dan sering dikombinasikan.

Qubes + Whonix: kombinasi paling kuat untuk penggunaan harian keamanan tinggi. Qubes menangani kompartementalisasi, Whonix menangani anonimitas jaringan dalam qubes tertentu
Qubes + Tails: beberapa pengguna tingkat lanjut menggun

Bom Waktu: Kumpulkan Sekarang, Dekripsi Nanti, dan Keharusan Zero-Knowledge

Tue, 26 May 2026 00:00:00 +0000

Ketergantungan pemerintah Eropa pada infrastruktur cloud Amerika menimbulkan lebih dari sekadar masalah penyadapan langsung. Ancaman paling menghancurkan untuk beberapa dekade mendatang adalah strategi HNDL: “Harvest Now, Decrypt Later”.

Ini bukan intrusi frontal, melainkan pencurian diam-diam. Badan intelijen menyimpan sejumlah besar data terenkripsi hari ini hanya karena biaya penyimpanannya menjadi sangat murah.

Mereka dengan sabar menunggu momen ketika lompatan teknologi membuat kunci kriptografi saat ini menjadi usang. Rahasia negara yang dilindungi pada tahun 2026 bisa menjadi buku terbuka dalam lima belas tahun.

Kewajiban Retroaktif dan Risiko Temporal

Model HNDL memperkenalkan konsep baru: bahaya hukum yang tertunda. Dengan pengumpulan data besar-besaran untuk dekripsi di masa depan, kerahasiaan menjadi variabel yang bergantung pada waktu.

Model ilmiah HNDL mendefinisikan bahwa kerahasiaan pasti gagal ketika umur rahasia yang dibutuhkan melebihi cakrawala dekripsi musuh.

Jika suatu negara tidak menjamin kedaulatan mutlak infrastruktur perangkat kerasnya, pada praktiknya negara tersebut menandatangani pengabaian kerahasiaan jangka panjang bagi warganya.

Penyadapan hari ini adalah kompromi besok. Mengubah ketergantungan cloud menjadi utang keamanan nasional adalah pertaruhan yang mustahil untuk dibayar.

Antitesis Arpokrat: Kemustahilan Hukum melalui Kode

Menghadapi kerentanan ini, industri merespons dengan menciptakan ekosistem kedaulatan digital radikal. Model Arpokrat beroperasi pada jaringan terdesentralisasi, dilindungi oleh Undang-Undang Federal Perlindungan Data (FADP) Swiss yang ketat.

Logika intinya adalah Privacy by Design mutlak. Dengan menghapus kebutuhan nomor telepon, pengguna menjadi kunci kriptografi sederhana.

Secara hukum, jika arsitekturnya pada dasarnya Zero-Knowledge, perusahaan menghadapi kemustahilan teknis untuk mematuhi surat perintah asing.

Ini adalah pengamanan matematis dan hukum yang tak terhentikan: apa yang tidak Anda miliki tidak dapat diungkapkan.

Melampaui Enkripsi: Mendevaluasi Data Target

Respons sejati dalam aplikasi perpesanan Arpokrat bukanlah bertaruh pada matematika abadi, melainkan mendevaluasi data itu sendiri.

Tanpa metadata pusat untuk menautkan pesan ke individu fisik, konten terenkripsi kehilangan nilai strategisnya karena menjadi tidak dapat dikaitkan.

Namun, perangkat lunak saja tidak dapat berbuat apa-apa jika perangkat kerasnya mengkhianatinya.

Keamanan di abad ke-21 menuntut kemerdekaan mesin itu sendiri. Menerapkan OS berdaulat tanpa Google telah menjadi persyaratan kelangsungan hidup mutlak bagi siapa pun yang menangani rahasia negara.