Pengawasan on Arpokrat

SignalTrace: Eropa mengekspor pengawasan yang tak diizinkannya bagi diri sendiri

Tue, 01 Sep 2026 00:00:00 +0000

Sebuah sedan abu-abu melintas di bawah gantri jalan tol dengan kecepatan 110 km/jam. Kamera yang terpasang pada tiang membaca pelat nomor, memberi cap waktu, lalu menyimpannya. Tidak ada yang baru: perangkat ini sudah ada sejak dua puluh tahun lalu, terpasang dalam puluhan ribu unit baik di Amerika Utara maupun di Eropa.

Namun jika gantri itu telah dilengkapi modul yang dipasarkan kelompok Italia Leonardo sejak Juni 2026, ia baru saja merekam sesuatu yang lain. iPhone si pengemudi. Earbud nirkabel penumpangnya. Jam tangan pintar di dasbor. Radio mobil. Gantungan kunci terhubung di laci dasbor. Sensor tekanan keempat ban. Kartu akses yang tertinggal di jaket. Dan, jika seekor anjing tidur di kursi belakang, cip identifikasinya juga.

Belasan pengenal, satu pelat nomor, satu posisi, satu waktu. Ulangi di setiap gantri dalam jaringan dan Anda tidak lagi melacak sebuah mobil: Anda melacak orang, dan Anda tahu dengan siapa mereka bepergian.

Apa yang sebenarnya dilakukan perangkat ini

Produk ini bernama SignalTrace. Dijual oleh Leonardo US Cyber and Security Solutions, ia melengkapi lini ELSAG, salah satu jajaran pembaca pelat nomor otomatis paling tersebar di pasar Amerika. Keberadaannya diungkap pada 8 Juni 2026 oleh Joseph Cox di 404 Media, berdasarkan lembar produk dari pabrikannya.

Titik penentunya muat dalam satu kalimat: ini bukan soal kamera baru. SignalTrace adalah sensor radio yang ditambahkan pada pembaca pelat nomor yang sudah terpasang. Tiangnya tidak berubah, lokasinya tidak berubah, siluet perangkat di tepi jalan tidak berubah. Yang berubah adalah apa yang didengarkan perangkat itu.

Sensor merekam pengenal yang dipancarkan secara terbuka oleh protokol Bluetooth, Wi-Fi, dan RFID dari perangkat yang ada di dalam kendaraan. Satu poin teknis yang kerap disalahpahami: tidak ada perangkat yang diretas dan tidak ada celah yang dieksploitasi. Perangkat Bluetooth atau Wi-Fi terus-menerus memancarkan bingkai penemuan, karena protokol-protokol itu memang dirancang demikian. Earbud Anda mengumumkan kehadirannya agar ditemukan ponsel Anda, dan ponsel itu sendiri menyapa udara sekitarnya mencari jaringan yang dikenalnya. Pancaran ini bersifat publik secara bawaan, dan penerima mana pun dalam jangkauan akan mendengarnya.

Leonardo bahkan menjelaskan bahwa sistem ini bekerja dengan atau tanpa pembaca pelat nomor, termasuk di dalam ruangan, dan mengenali kendaraan yang pelatnya ditutupi atau dilepas.

Pemasangan tambahan pada perangkat lama itulah isu politik yang sesungguhnya. Memasang jaringan kamera baru memicu pemungutan suara, pembahasan, kadang sengketa hukum. Menambahkan satu papan elektronik ke dalam wadah yang sudah disetujui tidak memicu apa pun. Kapasitas pengawasan berubah sifatnya tanpa perdebatan publik, karena secara material tidak ada yang baru untuk dilihat.

Dari kendaraan ke orang, dan dari orang ke kelompok

Pembaca pelat nomor menjawab satu pertanyaan: di mana kendaraan ini berada. SignalTrace menambahkan dua: siapa yang ada di dalamnya, dan bersama siapa.

Leonardo tidak menyembunyikannya, justru itulah argumen penjualannya. Sistem membentuk apa yang oleh dokumentasinya disebut sidik elektronik, yaitu himpunan pengenal yang “sering dipancarkan bersama-sama”. Contoh dari pabrikannya gamblang: di seluruh kota, hanya satu kendaraan yang akan memadukan iPhone 13rev2, radio mobil Audi, headset Bose, jam Garmin, pelacak kunci, dan pelat ABC-1234.

Produk ini tidak sekadar melacak kendaraan. Ia secara otomatis menghasilkan grafik hubungan antarorang, tanpa siapa pun perlu merumuskan kecurigaan sekecil apa pun.

Di sinilah lompatan kualitatifnya terjadi. Dengan mengorelasikan perangkat yang rutin bepergian bersama, sistem secara mekanis membangun sebuah grafik sosial. Dua ponsel yang setiap pagi berada di mobil yang sama adalah nebeng bersama, atau sebuah hubungan yang tak ingin dipublikasikan oleh keduanya. Lima puluh perangkat yang tertangkap di tempat dan jam yang sama adalah sebuah perkumpulan: unjuk rasa, ibadah, rapat serikat pekerja, atau antrean di depan klinik.

Tak satu pun kesimpulan itu memerlukan akses ke isi sebuah komunikasi. Semuanya disimpulkan dari tabel kedekatan, secara bawaan, atas seluruh populasi yang bergerak dan bukan atas target yang ditunjuk. Ini adalah bersalah karena pergaulan, diproduksi secara industrial, mendahului penyelidikan apa pun. Tom Bowman, ahli hukum di Center for Democracy & Technology, merangkum masalahnya di TechNewsWorld: hal yang membuat alat ini berguna untuk melacak tersangka sungguhan membuatnya sama mampunya melacak semua pengendara lain, yang tak satu pun menyetujui perangkatnya direkam.

Leonardo mengajukan dua bantahan: sistem tidak mendekripsi maupun membaca isi komunikasi, dan ia sendiri tidak mengidentifikasi orang. Kedua pernyataan itu benar, dan keduanya meleset dari pokok soal. Intelijen yang dicari sejak awal bukanlah isi, melainkan metadata posisi, yang lebih mengungkap daripada sebuah pesan. Soal identifikasi, pabrikannya sendiri mengakui bahwa penyidik dapat menghubungkan tanda tangan elektronik dengan pelat nomor, lalu menelusurinya ke pemilik lewat arsip registrasi kendaraan.

Hukum Amerika yang ditulis untuk hal lain

Di Amerika Serikat, undang-undang negara bagian yang mengatur pembaca pelat nomor memang ada, dan sebagian ketat soal masa penyimpanan dan tujuan akses. Namun semuanya disusun di seputar satu objek yang jelas: citra sebuah pelat nomor. Tak satu pun mengantisipasi penangkapan pengenal perangkat pribadi oleh peralatan yang sama.

Ketimpangan ini tidak menciptakan ketidaksahan melainkan zona abu-abu, yang lebih menguntungkan penjual. Sebuah kesatuan kepolisian dapat berdalih, tanpa berbohong, bahwa program pembaca pelat nomornya sah dan patuh, sementara kini mengumpulkan data yang sama sekali berbeda sifatnya di bawah rezim yang sama. Leonardo pun memiliki kontrak federal dengan Special Operations Command dan General Services Administration, yakni jalur pembelian yang sebagian besar melewati persetujuan lokal.

Adapun perdebatan konstitusional baru saja bergerak, dan di sini perlu cermat karena keadaan hukum berubah musim panas ini. Pada Januari 2026, sebuah pengadilan federal di Virginia memutus, dalam perkara Schmidt v. City of Norfolk, bahwa jaringan kamera Flock milik kota tidak merupakan penggeledahan menurut amandemen keempat, karena tidak mencakup seluruh pergerakan warganya. Putusan itu sedang dalam banding di Circuit Keempat, tempat ACLU turut campur.

Kemudian, pada 29 Juni 2026, Mahkamah Agung menjatuhkan Chatrie v. United States. Dengan lima suara berbanding empat, melalui pena Hakim Kagan, mahkamah memutus bahwa perolehan data lokasi sebuah ponsel oleh polisi merupakan penggeledahan, karena seseorang tetap memiliki ekspektasi privasi yang wajar atas data itu meski dipegang pihak ketiga dan meski hanya untuk jangka pendek. Putusan ini melanjutkan Carpenter v. United States tahun 2018 dan melemahkan doktrin pihak ketiga, sebagaimana dicatat CDT.

Jangkauan persis Chatrie terhadap SignalTrace belum tuntas, dan menyatakan sebaliknya akan gegabah: putusan itu menyangkut data yang diminta dari Google, bukan penangkapan langsung oleh sensor polisi di ruang publik. Namun ia menegakkan penalaran yang penting, yaitu bahwa kepekaan sebuah data lokasi tidak bergantung pada siapa yang memegangnya.

Pertanyaan Eropa, yang merupakan pertanyaan sesungguhnya

Di sinilah berkas ini menjadi tidak nyaman bagi Eropa. Leonardo bukan pemasok Amerika, melainkan kelompok Italia yang tercatat di bursa Milan dan pemegang saham utamanya adalah Kementerian Ekonomi dan Keuangan Italia, sekitar 30 % modal, dengan kewenangan menunjuk mayoritas dewan direksi. Negara Italia bukan pemegang saham pasif dalam produk ini.

Poin teknisnya dulu

Dalam hukum Eropa, pengenal perangkat adalah data pribadi. Ini bukan pendapat doktrinal melainkan posisi tetap otoritas. CNIL secara eksplisit memperlakukan alamat MAC demikian dalam doktrinnya tentang perangkat pengukur arus pengunjung, dan hanya membolehkan pengumpulannya di ruang publik dengan syarat sempit: anonimisasi dalam hitungan menit dengan tingkat tabrakan yang tinggi antarindividu, atau pseudonimisasi andal yang diikuti pemusnahan dalam dua puluh empat jam, jika tidak maka persetujuan menjadi wajib. Doktrin yang sama menegaskan bahwa mengimbau orang mematikan Wi-Fi bukanlah cara menyatakan keberatan yang dapat diterima.

Mahkamah Peradilan Uni Eropa pada 4 September 2025, dalam perkara EDPS lawan SRB (C-413/23 P), menjelaskan bahwa sifat pribadi sebuah data yang dipseudonimkan dinilai berdasarkan sarana identifikasi ulang yang secara wajar dapat dikerahkan. Padahal di sini pemegangnya adalah otoritas kepolisian, yang memiliki arsip registrasi kendaraan. Sarana identifikasi ulang bukan hipotetis, melainkan ada di ruangan sebelah.

Nuansa yang mengubah segalanya

Menulis bahwa SignalTrace “akan ilegal di Eropa” adalah keliru, dan pembaca berlatar hukum akan langsung menangkapnya. Pemrosesan yang dilakukan otoritas berwenang untuk tujuan pencegahan dan penindakan pidana tidak tunduk pada GDPR. Ia tunduk pada Direktif (UE) 2016/680, yang disebut Direktif Kepolisian, yang ditransposisikan secara terpisah oleh tiap negara anggota, di Prancis pada Bab III Undang-Undang Informatika dan Kebebasan. CNIL mengingatkan bahwa rezim ini otonom, dengan dasar keabsahannya sendiri dan hak-haknya sendiri.

Maka pertanyaan yang tepat bukanlah soal legalitas abstrak, melainkan soal syarat. Di bawah rezim ini, perangkat semacam itu mensyaratkan dasar hukum nasional yang tegas, tujuan yang ditentukan, kebutuhan yang dibuktikan, masa penyimpanan yang dibatasi, kajian dampak, dan pengawasan independen. Di Prancis, pembaca pelat nomor diatur demikian: pasal L233-1 dan L233-1-1 kitab keamanan dalam negeri menetapkan daftar terbatas pelanggaran yang membuka hak penggunaannya, dan masa penyimpanan tetap termasuk yang terpendek di Uni, pada prinsipnya lima belas hari, meski sebuah usulan undang-undang Senat berupaya memperpanjangnya.

Itulah perbedaan mendasar dengan situasi Amerika. Di Amerika Serikat, undang-undang mengatur sebuah objek, yakni pelat, dan diamnya hukum soal pengenal perangkat berarti izin. Di Eropa, undang-undang mengatur tujuan dan kategori data, dan diam itu justru berarti larangan, karena tiadanya dasar hukum yang tegas. Kekosongan yang terlihat di seberang Atlantik tidak ada di sini dalam bentuk yang sama. Bukan karena Eropa lebih bajik: teknik hukumnya justru terbalik.

Lalu apa nilai perlindungan itu

Tersisa pertanyaan yang menjadi inti tulisan ini. Apa nilai sebuah perlindungan regulasi Eropa ketika sebuah perusahaan Eropa, dikendalikan negara anggota, menjual ke luar Eropa suatu kapasitas yang tak bisa ia gelar di negerinya sendiri tanpa undang-undang baru?

Keberatan-keberatannya layak ditanggapi serius. Sebuah industriawan tidak bertanggung jawab atas kerangka hukum pelanggannya: otoritas Amerika yang memutuskan apa yang mereka izinkan di negerinya. Produk ini tidak dijual kepada kediktatoran melainkan kepada negara hukum dengan mahkamah agung yang aktif, sebagaimana baru diingatkan Chatrie. Dan argumen kedaulatan industri itu sah: jika kelompok-kelompok Eropa mengharamkan pasar ini bagi diri mereka, pasar itu akan diambil pemasok Israel, Amerika, atau Tiongkok, tanpa pengawasan mundur satu meter pun, dan Eropa kehilangan basis teknologinya.

Argumen-argumen ini dapat diterima. Tetapi tidak menjawab masalahnya.

Pertama, karena Uni sudah mengakui bahwa ekspor sarana pengawasan bukan perdagangan biasa. Regulasi (UE) 2021/821 tentang barang penggunaan ganda memperkenalkan pada pasal 5 sebuah klausul menyeluruh yang menyasar barang pengawasan siber, karena pembuat undang-undang mengakui bahwa alat yang sah dibuat bisa jadi tak sah di tempat tujuan. Batasnya instruktif: klausul itu aktif pada risiko represi internal atau pelanggaran berat hak asasi manusia, kategori yang dirancang untuk rezim otoriter. Penjualan kepada kepolisian kota di Amerika tidak masuk ke dalamnya. Kisi-kisi Eropa memeriksa moralitas pelanggan, tidak pernah sifat kapasitas yang dijual.

Kedua, karena produk semacam ini bukan stok yang dihabiskan, melainkan kapasitas yang dipelihara: ia membiayai riset, melatih insinyur, menghimpun keahlian, dan menciptakan basis terpasang. Pada hari ketika sebuah serangan besar mendorong negara anggota menuntut kapasitas itu, perdebatan tak lagi soal layak tidaknya membangunnya. Ia sudah ada, ia akan Eropa, ia akan matang, dan pemasoknya sebagian milik publik. Argumen “kami hanya mengikuti pasar” lalu menjadi melingkar, sebab pasar dalam negeri justru disiapkan oleh ekspor.

Itulah nilai sebuah perlindungan regulasi dalam skenario ini: ia melindungi orang Eropa dari penggunaan, bukan dari keberadaan sarananya. Ia menuntaskan soal siapa yang berhak menekan tombol, dan menyerahkan kepada industri untuk membangunnya, menjualnya, menyempurnakannya, lalu menunggu.

Apa yang bisa dilakukan, tanpa membohongi diri

Jawaban pertama yang selalu disebut adalah pengacakan alamat MAC. Ia layak ditelaah jujur, tanpa promosi maupun cemoohan. Ia nyata dan ia bekerja.

Android sejak versi 10 dan iOS sejak versi 14 secara bawaan mengacak alamat MAC yang dipakai di Wi-Fi, dengan alamat berbeda untuk tiap jaringan. Pada Bluetooth Low Energy, perangkat modern memancarkan alamat privat yang dapat diresolusi, yang berubah berkala dan hanya bisa dikaitkan ke perangkat sebenarnya oleh lawan bicara yang memegang kunci resolusi.

Batasnya sama nyatanya.

Pemasangan pasangan membuka pintu lagi. Kunci resolusi dikirim saat proses pemasangan. Perangkat yang sudah dipasangkan, atau disetujui secara eksplisit, menemukan kembali identitas tetap di balik alamat yang berputar. Mekanismenya memang dirancang untuk itu.
Banyak benda tidak mengacak apa pun. Sensor tekanan ban, kartu RFID, cip identifikasi hewan, radio mobil, dan periferal murah memancarkan pengenal tetap. Lembar produk Leonardo menyebut persis kategori-kategori ini, dan itu bukan kebetulan.
Pengacakan bisa dimatikan. Ia dinonaktifkan per jaringan, dan sering memang mati demi kepraktisan, untuk penyaringan MAC pada router rumah atau karena kebijakan perusahaan.
Kelompok bertahan melewati rotasi pengenal. Ini poin yang paling tidak intuitif dan paling penting. SignalTrace tidak mencari satu pengenal, ia mencari himpunan perangkat yang bepergian bersama. Jika satu saja anggota kelompok memancarkan pengenal tetap, keseluruhan himpunan tetap dapat dikaitkan, sedisiplin apa pun anggota lainnya.

Langkah paling efektif tetap yang paling membosankan: tidak memancar. Itu berarti mematikan Bluetooth dan Wi-Fi di tingkat sistem, di pengaturan, bukan dari panel pintasan. Perbedaannya bukan kosmetik, kami sudah merincinya dalam artikel kami tentang pelacakan lokasi ponsel yang terus-menerus: pada kebanyakan sistem konsumen, tombol panel cepat memutus pemasangan yang terlihat tetapi membiarkan tumpukan perangkat lunak tetap hidup, dan analisis kedekatan terus berjalan. Artikel itu menggambarkan pemindaian Bluetooth sebagai vektor teoretis. SignalTrace adalah produk komersialnya, terkatalog dan siap dikirim.

Kita harus jujur soal hasilnya: langkah-langkah ini mengurangi permukaan paparan, tidak meniadakannya. Kendaraan tetaplah sebuah pelat, dan pelat tetap terbaca. Satu-satunya cara untuk tidak memancarkan apa pun adalah tidak membawa apa pun, dan itu bukan sebuah kebijakan publik.

Apa artinya ini bagi pilihan rancangan kami

Di Arpokrat, penalaran inilah yang membawa kami menangani Bluetooth di tingkat Core ArpokratOS alih-alih di tingkat pengaturan. Sebuah sakelar di antarmuka adalah preferensi pengguna: sebuah pembaruan, aplikasi sistem, atau layanan lokasi bisa melewatinya atau mengaktifkannya lagi, tanpa sepengetahuan pengguna. Tumpukan yang tidak ada tidak bisa diaktifkan lagi.

Menghadapi penangkapan seperti SignalTrace, ini jelas tidak membuat sebuah perangkat tak terdeteksi, dan kami tidak mengklaim demikian: ponsel tetap berada di jaringan seluler, dan benda-benda lain dalam kendaraan memancar atas namanya sendiri. Yang dijaminnya adalah bahwa satu vektor pancaran tertentu tidak ada karena rancangannya, bukan dimatikan atas dasar kepercayaan. Itulah tesis yang kami bela mengenai 5G dan salah sasaran hukum: perlindungan hukum berfokus pada akses ke data padahal seharusnya menyasar keberadaan infrastruktur yang menghasilkannya. SignalTrace adalah ilustrasinya, hanya saja infrastruktur ini dibangun di Eropa.

Kesimpulan

Yang paling mencolok dalam berkas ini bukanlah kemampuan teknisnya, yang sudah dijelaskan para peneliti bertahun-tahun. Melainkan metode penggelarannya.

Tak akan ada jaringan kamera baru untuk diresmikan, tak ada keputusan kota untuk digugat, tak ada pengadaan publik yang bisa dikenali sebagai perubahan sifat. Yang ada hanyalah modul yang ditambahkan pada tiang yang sudah berdiri, di bawah kontrak yang sudah ada, dalam program yang sudah disetujui. Pada hari perdebatan publik terbuka, infrastrukturnya sudah terpasang, sudah disusutkan, dan sudah menyatu dalam prosedur penyidikan. Perdebatan lalu berkisar pada syarat akses ke basis data yang sudah ada, tidak pernah pada layak tidaknya membentuknya.

Begitulah urutan lazim segala hal dalam soal pengawasan, dan itu bukan kebetulan. Yang tersisa adalah apakah Eropa merasa punya sesuatu untuk dikatakan ketika industriawannya sendiri, ditopang negara-negaranya sendiri, membangun infrastruktur ini untuk pihak lain. Hukum Eropa telah menata dengan cermat jawaban atas pertanyaan siapa yang boleh mengakses data ini di negerinya. Ia tak pernah mengajukan pertanyaan siapa yang berhak membuat mesinnya.

5G, data lokasi, dan salah sasaran hukum

Tue, 18 Aug 2026 00:00:00 +0000

Pada 2011, polisi Detroit meminta riwayat sambungan menara seluler dari telepon Timothy Carpenter kepada sebuah operator. Mereka memperoleh 12.898 titik lokasi yang tersebar selama 127 hari, sekitar seratus per hari. Tujuh tahun kemudian, Mahkamah Agung Amerika Serikat memutuskan bahwa permintaan itu merupakan penggeledahan dan mensyaratkan surat perintah.

Ke-12.898 titik itu berasal dari menara generasi keempat, yang masing-masing mencakup radius beberapa kilometer. Permintaan yang sama, bila diajukan hari ini kepada jaringan 5G perkotaan, tidak akan mengembalikan seratus titik per hari dengan ketelitian beberapa kilometer. Ia akan mengembalikan volume yang jauh lebih besar, dengan ketelitian beberapa puluh meter.

Teknologi telah berganti skala. Penalaran hukum tetap berada di titik yang sama pada rantai itu.

Kepentingan hukum yang diakui hakim di kedua sisi Atlantik

Ada satu kepentingan yang diakui hampir semua orang dan hampir tak satu pun aturan melindunginya secara efektif: hak untuk berada di suatu tempat tanpa fakta itu dicatat.

Yurisprudensi Eropa menetapkannya tanpa keraguan. Dalam Digital Rights Ireland (perkara gabungan C-293/12 dan C-594/12, 8 April 2014), lalu dalam Tele2 Sverige dan Watson (perkara gabungan C-203/15 dan C-698/15, Kamar Besar, 21 Desember 2016), Mahkamah Uni Eropa memutuskan bahwa data tersebut, jika diambil secara keseluruhan, memungkinkan penarikan kesimpulan yang sangat rinci tentang kehidupan pribadi seseorang: kebiasaan sehari-hari, tempat tinggal, pergerakan, kegiatan yang dijalani, dan hubungan sosial.

Mahkamah Agung Amerika Serikat sampai pada kesimpulan serupa dalam Carpenter v. United States, 585 U.S. 296 (2018). Ia menekankan satu hal yang banyak dibahas doktrin Amerika: sifat tak terhindarkan dan otomatis dari pengumpulan tersebut. Tidak ada yang menyetujui untuk tersambung ke sebuah menara; seseorang tersambung karena ia memiliki telepon yang menyala.

Jadi kepentingan hukum itu ada, dan diakui oleh dua pengadilan yang berbobot dalam bidang ini. Persoalannya terletak di tempat lain.

Apa yang sebenarnya diubah 5G

Kekeliruan yang lazim adalah memperlakukan lokasi sebagai data yang dikirim telepon, sama seperti pesan atau foto. Bukan begitu. Lokasi adalah konsekuensi fisik dari cara jaringan bekerja. Operator tahu perangkat tersambung ke menara mana karena ia harus tahu untuk mengarahkan panggilan. Tidak ada kunci yang bisa mengenkripsi informasi itu, sebab ia bukan konten melainkan properti dari sambungan itu sendiri.

Justru itulah yang membuat 5G bermakna pada tataran hukum, bukan tataran teknis.

Arsitektur terdahulu bertumpu pada sel yang lebar. Sebuah menara 4G lazimnya melayani radius beberapa kilometer, dan posisi yang disimpulkan hanya dari sambungan terhitung dalam ratusan meter di kota, kadang puluhan kilometer di pedesaan. 5G bertumpu pada pemadatan besar-besaran: sel perkotaan biasanya mencakup beberapa ratus meter, dan literatur teknik memperhitungkan kerapatan di kisaran empat puluh hingga lima puluh stasiun basis per kilometer persegi, dibanding empat atau lima pada era 3G.

Akibatnya mekanis. Menurut buku putih Ericsson tentang penentuan posisi 5G, infrastruktur yang digelar semata untuk konektivitas mencapai ketelitian dua puluh hingga lima puluh meter di luar ruangan dan satu hingga tiga meter di dalam ruangan, serta turun di bawah satu meter pada kondisi perkotaan yang menguntungkan. Ini bukan fungsi lokasi yang dinyalakan di suatu tempat, melainkan apa yang diketahui jaringan berdasarkan rancangannya, tanpa satu pun aplikasi terpasang dan tanpa satu pun izin diberikan. Kami merinci semua mekanisme ini, berikut penangkal yang benar-benar bekerja, dalam artikel kami tentang pelacakan lokasi telepon yang terus-menerus.

Dengan demikian, tingkat gangguan meningkat beberapa orde besaran. Kerangka hukum yang berlaku tetap kerangka yang dirancang untuk 2G dan 3G. Tidak ada penyesuaian normatif yang menyertai perubahan skala itu.

Hukum melindungi akses, bukan penciptaan

Hukum Eropa mengatur dengan cermat siapa yang boleh mengakses data lokasi, dengan syarat apa, dan di bawah pengawasan siapa. Direktif 2002/58/EC menetapkan asas kerahasiaan komunikasi, dan Mahkamah memutuskan dalam La Quadrature du Net (perkara gabungan C-511/18, C-512/18 dan C-520/18, Kamar Besar, 6 Oktober 2020) bahwa Pasal 15(1) direktif tersebut, dibaca dalam terang Pasal 7, 8, 11 dan 52(1) Piagam, menghalangi penyimpanan yang umum dan tanpa pembedaan atas data lalu lintas dan data lokasi untuk tujuan pencegahan. Meski begitu Mahkamah mengakui pengecualian yang berpagar ketika sebuah negara anggota menghadapi ancaman serius terhadap keamanan nasional yang terbukti nyata dan aktual atau dapat diperkirakan, dengan syarat adanya pengawasan yang efektif.

Ini perlindungan yang nyata, dan tidak masuk akal untuk meremehkannya. Namun semuanya bekerja setelah kejadian. Semuanya mengandaikan bahwa data itu ada, bahwa data itu disimpan, lalu mengatur syarat pemanfaatannya.

Padahal jika lokasi adalah produk sampingan yang tak terhindarkan dari cara jaringan bekerja, titik intervensi yang tepat bukanlah kerahasiaan. Melainkan keawetan penyimpanan.

Posisi sesaat, yang diperlukan untuk mengarahkan sebuah komunikasi dan dihapus segera sesudahnya, bukan alat pengawasan. Riwayat posisi yang disimpan berbulan-bulan adalah alat pengawasan, apa pun jaminan akses yang mengelilinginya.

Perbedaan keduanya bukan hukum, melainkan arsitektur. Dan kalender Eropa membuat pertanyaan ini mendesak, bukan teoretis. Komisi menarik usulan Regulasi ePrivacy pada 2025 karena tidak tercapainya kesepakatan antarpembuat undang-undang. Sejak itu ia menggarap instrumen tersendiri tentang penyimpanan data untuk keperluan pidana, yang diumumkan untuk 2026 dan dimaksudkan menyelaraskan rezim-rezim nasional yang menjadi berbeda-beda sejak direktif 2006 dibatalkan. Dengan kata lain, teks yang akan menetapkan rezim metadata lokasi untuk satu dekade sedang ditulis saat ini, di atas penalaran yang dirancang pada era sel berukuran kilometer.

Preseden yang diciptakan 5G sendiri

Segi paling menarik dari perkara ini adalah bahwa jawaban yang tepat sudah tercantum dalam standar teknis, tetapi diterapkan pada objek yang lain.

Sampai 4G, pengenal tetap pelanggan, IMSI, mengalir tanpa enkripsi di antarmuka radio saat perangkat mendaftar. Itulah yang memungkinkan munculnya IMSI catcher, stasiun basis palsu yang, menurut uraian rujukan Electronic Frontier Foundation, memancar lebih kuat daripada menara sah demi menarik perangkat dan menangkap pengenalnya.

Sejak Release 15 spesifikasi 3GPP, yang terbit pada 2019, 5G menghadirkan jawaban yang elegan. Pengenal tetap, yang kini disebut SUPI, dapat diganti di antarmuka radio dengan SUCI, yaitu pengenal tersamar yang diperoleh dengan mengenkripsi bagian khas pelanggan memakai kriptografi kurva eliptik dengan kunci publik operator asal. Hanya jaringan asal, yang memegang kunci privat pasangannya, dapat mendekripsinya. Hasilnya unik pada setiap perhitungan, sehingga korelasi antar sesi terhalang.

Logika yang dipilih patut digarisbawahi, sebab persis logika inilah yang seharusnya menuntun pembuat undang-undang: yang dienkripsi bukan posisi, yang secara teknis mustahil, melainkan identitas. Posisi tanpa identitas yang dapat dilekatkan bernilai sangat terbatas untuk pengawasan terhadap perorangan.

Celahnya: perlindungan yang bersifat opsional

Namun ada satu catatan besar, dan menurut kami inilah titik intervensi paling konkret dari seluruh perkara ini.

Buku putih NIST CSWP 36A, yang diterbitkan pada Maret 2026 oleh National Institute of Standards and Technology, menyatakannya tanpa basa-basi. Perangkat dan fungsi jaringan yang sesuai Release 15 atau sesudahnya wajib mendukung SUCI, tetapi pengaktifannya tetap opsional bagi operator. Tiga syarat harus terpenuhi: pabrikan perangkat harus mendukungnya, operator harus mengaktifkannya di jaringannya, dan kartu SIM harus memuat unsur yang diperlukan untuk perhitungan.

Ditambah lagi ada jebakan konfigurasi. Standar itu menyediakan skema perlindungan nol, di mana format SUCI dipakai secara formal tetapi tanpa enkripsi sungguhan, sehingga pengenal tetap mengalir terbuka. NIST menulis bahwa operator perlu mengonfigurasi jaringannya dengan skema perlindungan bukan-nol, dan mengingatkan bahwa laporan CSRIC, badan penasihat Federal Communications Commission, sudah pada 2021 menganjurkan agar skema nol disediakan hanya untuk panggilan darurat dari perangkat yang tidak dikenali jaringan.

Rumusan ini layak dibiarkan apa adanya. Perlindungan terbaik yang tersedia terhadap pelacakan perangkat bergerak sudah ada dalam standar teknis sejak 2019. Ia bergantung pada pilihan konfigurasi yang diserahkan pada kebijakan operator. Sebuah lembaga federal Amerika merasa perlu menerbitkan dokumen pada 2026 untuk mengingatkan bahwa perlindungan itu semestinya dinyalakan. Dan tidak ada instrumen hukum Eropa yang mewajibkannya.

Perlu ditambahkan bahwa SUCI tidak menutup persoalan. Karya yang dipresentasikan dengan judul 5G SUCI-catchers: still catching them all? mendokumentasikan serangan keterhubungan yang memungkinkan sesi dikorelasikan kembali meski ada enkripsi, dan perlindungan itu runtuh sepenuhnya bila penyerang memaksa perangkat turun ke generasi sebelumnya. Jadi kewajiban hukum tidak akan menyelesaikan segalanya. Meski begitu ia akan menghapus satu jurang yang tak punya pembenaran yang bisa dipertahankan: jurang antara apa yang diizinkan standar dan apa yang dilakukan jaringan komersial.

Tiga intervensi yang saling terkait

Bila gagasan bahwa lokasi harus diminimalkan sejak perancangan, alih-alih dilindungi belakangan, diterima dengan serius, tiga langkah muncul secara logis.

Mewajibkan penyamaran pengenal yang efektif. Mewajibkan pengaktifan SUCI dan melarang skema perlindungan nol pada jaringan komersial, kecuali kasus sisa berupa panggilan darurat. Ini bukan soal mengharuskan teknologi baru atau membiayai penggelaran, melainkan menuntut pengaktifan fungsi yang sudah distandarkan tujuh tahun lalu dan sudah ada di dalam perangkat.
Memperlakukan penyimpanan sebagai pengecualian, bukan bawaan. Posisi yang diperlukan untuk mengarahkan sebuah komunikasi seharusnya dihapus begitu fungsi itu selesai. Pembentukan riwayat seharusnya menuntut pembenaran tersendiri. Itulah beda antara jaringan yang tahu di mana Anda berada dan jaringan yang ingat di mana Anda pernah berada.
Menjadikan penguasaan kunci sebagai faktor penghubung yang relevan. Letak server di dalam Uni tidak banyak berarti bila kunci yang membuat data terbaca berada di tempat lain. Kriteria yang bermakna secara hukum seharusnya penguasaan efektif atas sarana dekripsi, persoalan yang kami telaah secara rinci sehubungan dengan benturan antara Data Act dan CLOUD Act.

Sudut pandang yang dianut Arpokrat

Penalaran ini bukan khas hukum telekomunikasi. Inilah penalaran yang kami terapkan pada pilihan arsitektur kami sendiri, dan ia muat dalam satu kalimat: apa yang tidak dihasilkan tidak perlu dilindungi.

Itulah sebabnya ArpokratOS menghapus GPS, Bluetooth, dan NFC pada tingkat kernel alih-alih menonaktifkannya lewat menu. Sebuah sakelar adalah kebijakan: ia bisa dilewati komponen berhak istimewa, dinyalakan lagi oleh pembaruan, diabaikan oleh sistem yang sudah disusupi. Menghapus jalur kodenya meniadakan pertanyaannya. Ini adalah pemindahan, pada skala satu perangkat, dari pergeseran yang sama yang kami serukan pada skala hukum: bertindak pada penciptaan, bukan pada akses.

Harus segera dikatakan pula apa yang tidak dilakukannya. Tidak ada sistem operasi yang mengeluarkan perangkat dari geometri jaringan. Selama kartu SIM aktif, operator tahu sel tempat perangkat tersambung, dan menyalurkan seluruh lalu lintas melalui Tor tidak mengubah apa pun, sebab Tor melindungi isi dan tujuan, bukan lapisan radio. Justru karena itulah persoalan ini bersifat hukum. Ada kategori risiko yang tidak dikurangi oleh konfigurasi individual mana pun, dan satu-satunya variabel yang tersedia adalah aturan yang berlaku bagi operator.

Kepedulian yang sama mengatur sisa pekerjaan kami. Data yang tidak ada tidak dapat disita, dijual kembali, dibocorkan, ataupun didekripsi sepuluh tahun lagi oleh mesin yang hari ini belum dimiliki siapa pun, persoalan yang kami bahas dari sudut enkripsi yang dipanen sekarang dan dipecahkan nanti.

Kesimpulan

Perdebatan publik tentang pengawasan seluler nyaris sepenuhnya berpusat pada akses: siapa yang boleh melihat data, atas dasar apa, dengan izin siapa. Perdebatan itu sah, dan putusan-putusan Mahkamah sejak 2014 telah membuahkan akibat nyata. Tetapi ia masuk terlalu belakangan dalam rantai.

Pertanyaan yang mendahuluinya, dan lebih menentukan, adalah apakah riwayat itu memang harus ada. Basis data yang dibangun hari ini untuk alasan yang sah tetap tersedia besok untuk alasan lain, dan jaminan yang mengelilinginya bergantung pada keputusan politik di kemudian hari yang tidak dikuasai siapa pun pada saat pengumpulan. Ini taruhan atas kestabilan lembaga-lembaga, yang dibuat untuk jangka waktu yang tidak ditetapkan siapa pun.

5G melipatgandakan resolusi informasi ini tanpa satu pun penyesuaian normatif. Pada saat yang sama, lewat mekanisme SUCI, ia menunjukkan bahwa jalan yang bisa ditempuh adalah memisahkan posisi dari identitas, bukan mencoba mengenkripsi properti fisik jaringan. Standar teknis menyediakan jawabannya tujuh tahun sebelum hukum mengajukan pertanyaannya.

Teks Eropa tentang penyimpanan data sedang ditulis sekarang. Ia akan menyangkut metadata, jadi lokasi, jadi apa yang kini dihasilkan 5G dengan kehalusan yang tidak dikenal para penyusunnya. Apakah ia akan puas mengatur akses ke sebuah riwayat yang dianggap sudah semestinya ada, atau berani mempertanyakan perlunya riwayat itu, kemungkinan besar adalah pertanyaan privasi terpenting di Eropa untuk tahun-tahun mendatang. Dan itu pertanyaan yang, untuk sekali ini, sudah diputuskan sektor teknis ke arah yang benar.

Sumber

Mahkamah Uni Eropa, Digital Rights Ireland, perkara gabungan C-293/12 dan C-594/12, 8 April 2014
Mahkamah Uni Eropa, Tele2 Sverige dan Watson, perkara gabungan C-203/15 dan C-698/15, Kamar Besar, 21 Desember 2016
Mahkamah Uni Eropa, La Quadrature du Net dkk., perkara gabungan C-511/18, C-512/18 dan C-520/18, Kamar Besar, 6 Oktober 2020
Mahkamah Agung Amerika Serikat, Carpenter v. United States, 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, Maret 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta dkk., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

Pelacakan lokasi permanen: bagaimana ponsel tetap mengikuti Anda meski Anda yakin sudah mencegahnya

Sun, 02 Aug 2026 00:00:00 +0000

Pada 2024, dua peneliti dari Universitas Maryland berulang kali menanyai layanan penentuan posisi berbasis Wi-Fi milik Apple, tanpa hak istimewa apa pun dan tanpa perangkat keras khusus, lalu dalam setahun berhasil merekonstruksi posisi persis lebih dari dua miliar titik akses Wi-Fi di seluruh dunia. Makalah mereka, Surveilling the Masses with Wi-Fi-Based Positioning Systems, memperlihatkan apa yang dimungkinkan peta itu: melacak perangkat yang masuk dan keluar Ukraina, mengamati perpindahan penduduk setelah kebakaran Maui, membuntuti seseorang lewat router internet di rumahnya.

Tidak satu pun perangkat itu mengaktifkan GPS. Posisinya datang dari tempat lain.

Inilah titik buta yang paling meluas dalam soal privasi ponsel: keyakinan bahwa ada satu sakelar lokasi, dan begitu dimatikan, ponsel berhenti tahu di mana ia berada. Keyakinan itu keliru pada tujuh tingkat yang berbeda.

Lokasi bukan fitur yang diaktifkan ponsel Anda. Ia adalah sifat dari apa ponsel itu sendiri.

GPS, alias jalur yang paling tidak merepotkan

Satu-satunya mekanisme yang bisa disebut semua orang justru yang paling tidak perlu Anda khawatirkan.

GNSS, istilah umum yang mencakup GPS Amerika, Galileo, GLONASS, dan BeiDou, bekerja dengan cara mendengarkan. Satelit terus memancarkan sinyal bertanda waktu, penerima menangkap beberapa di antaranya lalu menghitung posisinya dari selisih waktu tempuh. Ketelitian lazim di ruang terbuka: tiga sampai lima meter, sering kali beberapa puluh meter di kota, tempat dinding gedung memantulkan sinyal.

Poin yang menentukan adalah bahwa perhitungan ini pasif. Ponsel tidak memancarkan apa pun ke arah satelit, dan tidak ada operator satelit yang tahu Anda ada. Andai hanya GNSS yang berperan, mematikan GPS sudah cukup.

Namun ada satu nuansa. Untuk mempercepat penentuan posisi pertama, ponsel memakai A-GPS: mereka mengunduh efemeris satelit dari sebuah server, lewat protokol SUPL. Agar mendapat data yang tepat, ponsel mengirimkan ke server itu pengenal sel jaringan tempat ia tersambung. GNSS murni tidak mengkhianati Anda, tetapi akselerator yang dicangkokkan padanya melakukannya.

Jaringan seluler: yang diketahui operator karena rancangannya

Agar sebuah panggilan bisa mencapai Anda, jaringan harus tahu Anda berada di wilayah mana. Ini bukan opsi yang bisa diaktifkan, melainkan syarat keberadaan layanan itu sendiri. Ponsel Anda terus-menerus melaporkan diri ke menara terdekat, dan pendaftaran itu meninggalkan jejak di sisi operator. Tanpa aplikasi terpasang, tanpa izin diberikan: satu kartu SIM aktif sudah cukup.

Ketelitiannya bergantung pada metode:

Pengenal sel saja: dari 200 meter di kawasan perkotaan padat hingga lebih dari 30 kilometer di pedesaan, tempat satu menara mencakup radius yang sangat luas.
Cell ID yang diperkaya, yang menambahkan sektor antena (kebanyakan situs terbagi menjadi tiga sektor 120 derajat) dan kekuatan sinyal: dari 100 meter hingga beberapa kilometer.
Timing advance, yang mengukur jeda pulang pergi antara ponsel dan menara: sekitar 550 meter pada GSM, sekitar 78 meter pada LTE.
Multilaterasi atas tiga menara atau lebih: 50 sampai 300 meter pada LTE perkotaan.

5G mengubah skalanya karena dua alasan yang saling menumpuk. Pertama kepadatan: sel 5G mencakup radius yang jauh lebih pendek, sehingga sekadar tersambung pun sudah merupakan informasi yang halus. Kedua standardisasi: sejak Release 16, 3GPP menyertakan sinyal penentuan posisi bawaan. Sasaran komersialnya di bawah 3 meter di dalam ruangan dan di bawah 10 meter di luar ruangan untuk 80 % perangkat, dan Release 18 turun sampai sentimeter untuk sejumlah penggunaan industri.

Dengan demikian infrastruktur yang menyambungkan Anda berubah menjadi sistem penentuan posisi dengan mutu setara GPS, tanpa Anda mengaktifkan apa pun. Data ini disimpan menurut aturan masing-masing negara dan dapat diakses pihak berwenang lewat prosedur yang beragam. Ini perdebatan mendasar yang sama seperti pada yurisdiksi yang berlaku atas data yang dihosting: perlindungan teknis dan perlindungan hukum tidak saling menutupi.

Wi-Fi: peta dunia yang tersusun dari alamat perangkat keras

Setiap titik akses Wi-Fi terus-menerus menyiarkan pengenal perangkat keras yang unik, yaitu BSSID. Pengenal ini tetap dan stabil secara geografis: sebuah router rumah bertahan bertahun-tahun di tempat yang sama.

Apple, Google, dan sejumlah pemain khusus memelihara basis data yang mengaitkan setiap BSSID dengan koordinat, dibangun oleh ponsel pengguna mereka sendiri, yang melaporkan daftar titik akses yang terlihat bersama sebuah posisi GNSS. Operasinya lalu dibalik: ponsel yang melihat empat titik akses yang sudah dikenal tidak lagi membutuhkan satu satelit pun. Di kawasan perkotaan padat, ketelitiannya lazim mencapai beberapa puluh meter, dan turun di bawah itu di dalam ruangan.

Dua sifat membuat mekanisme ini sulit dinetralkan. Pertama, ponsel tetap memindai bahkan ketika Wi-Fi tampak dimatikan: sejak Android 4.3, sistem mempertahankan pemindaian berkala untuk memperbaiki penentuan lokasi, terlepas dari sakelar di panel cepat. Perilaku ini bergantung pada pengaturan terpisah, terkubur di dalam layanan lokasi, yang nyaris tidak pernah dibuka oleh pengguna mana pun.

Kedua, basis data itu bisa ditanyai dari luar. Itulah celah yang dimanfaatkan Rye dan Levin: antarmuka penentuan posisi mengembalikan bukan hanya posisi yang diminta, melainkan juga posisi titik akses di sekitarnya, sehingga peta bisa dipanen tanpa pernah sekali pun mendekati tempat-tempat itu secara fisik.

Bluetooth dan BLE: dilacak oleh ponsel orang lain

Bluetooth Low Energy menambahkan lapisan kedekatan, dengan jangkauan beberapa meter sampai beberapa puluh meter, jadi jauh lebih halus butirannya daripada jaringan seluler. Ada dua penggunaan yang berdampingan. Beacon komersial, yang dipasang di toko, bandara, atau pusat perbelanjaan, memancarkan pengenal yang dikenali aplikasi di ponsel, sehingga terungkap di depan rak mana Anda berhenti dan berapa lama. Lalu jaringan pelacakan kolaboratif, yang modelnya adalah Find My milik Apple, kemudian ditiru Google dan Samsung.

Mekanisme kedua ini membalik sebuah asumsi tersirat. Analisis rujukan Who Can Find My Devices?, yang terbit dalam prosiding PETS 2021 oleh para peneliti Universitas Teknik Darmstadt, merekonstruksi protokol Apple lewat rekayasa balik. Sebuah perangkat luring memancarkan sinyal BLE, perangkat Apple mana pun di dekatnya menangkapnya, menambahkan posisinya sendiri, lalu mengirimkannya terenkripsi ke server Apple, tanpa sepengetahuan pemiliknya maupun pemilik perangkat yang dilacak.

Akibatnya bersifat struktural: perangkat tanpa kartu SIM, tanpa Wi-Fi, tanpa sambungan jaringan jenis apa pun tetap bisa dilacak, asalkan ada orang asing lewat di dekatnya dengan ponsel di saku. Keterasingan Anda tidak lagi bergantung pada pengaturan Anda, melainkan pada pengaturan orang-orang yang lewat.

Sensor inersia: melacak tanpa izin lokasi

Sebuah ponsel memuat akselerometer, giroskop, magnetometer, dan sering kali barometer. Sensor-sensor ini masuk kategori izin yang terpisah dari lokasi: sebuah aplikasi bisa membacanya tanpa pernah menanyakan Anda ada di mana.

Peneliti Princeton membuktikannya lewat PinMe. Aplikasi mereka berangkat dari alamat IP dan zona waktu untuk posisi kasar, lalu membaca sensor: akselerometer memberi pola akselerasi dan pengereman, giroskop urutan belokan, magnetometer arah hadap, barometer perubahan ketinggian. Sebuah jaringan saraf tiruan mengenali moda transportasi, berjalan kaki, mobil, kereta, atau pesawat, lalu rutenya dicocokkan dengan data publik peta, ketinggian, dan cuaca. Hasilnya: lintasan dengan ketelitian setara GPS, tanpa izin lokasi. Metode ini punya batas, yang didokumentasikan penulisnya, sebab gagal di kawasan tanpa jalan dan memburuk pada tata kota berpetak seragam, tempat banyak rute menghasilkan tanda tangan yang sama. Ia tetap menjadi bukti bahwa izin yang ditolak bukanlah pintu yang tertutup.

Barometer selain itu menyumbang dimensi yang ditangani buruk oleh GNSS, yaitu vertikal. Ketentuan Amerika untuk panggilan darurat mensyaratkan ketelitian lantai plus minus 3 meter untuk 80 % panggilan dari dalam ruangan. Mengetahui seseorang berada di lantai berapa berbeda sifatnya dengan mengetahui ia berada di blok bangunan mana.

Pasar data: jalur yang paling biasa

Mekanisme-mekanisme sebelumnya menjelaskan bagaimana sebuah posisi dihitung. Yang tersisa adalah ke mana posisi itu pergi, dan di situlah sebagian besar risiko sehari-hari dipertaruhkan.

Ribuan aplikasi menyertakan SDK periklanan, komponen perangkat lunak dari pihak ketiga yang ditambahkan pengembang untuk memonetisasi karyanya atau mengukur jumlah penggunanya. Komponen ini mewarisi izin aplikasi induknya: aplikasi cuaca yang memang sah membutuhkan posisi Anda meneruskannya ke pihak-pihak yang namanya tak pernah Anda baca. Ditambah lagi aliran lelang iklan, tempat posisi kasar Anda disiarkan ke puluhan calon pembeli setiap kali sebuah spanduk ditampilkan, termasuk kepada mereka yang tidak membeli apa pun dan cukup menyimak.

Bahan baku ini menghidupi sebuah industri. Electronic Frontier Foundation mendokumentasikan kasus Fog Data Science, yang mengklaim miliaran titik data atas lebih dari 250 juta perangkat, dan menjualnya kepada kepolisian lokal di Amerika Serikat. Brian Krebs menggambarkan Locate X, sebuah produk yang memungkinkan penggunanya menggambar poligon di peta lalu melihat riwayat perangkat yang masuk dan keluar dari kawasan itu.

Jalur ini tidak menuntut kepiawaian teknis apa pun, hanya seseorang yang bersedia membayar. Harganya pun sederhana.

IMSI catcher: pelacakan aktif

Mekanisme yang dibahas sejauh ini memanfaatkan cara kerja yang normal. Ada pula pelacakan aktif, yang dijalankan pihak ketiga yang campur tangan pada jaringan.

IMSI catcher, atau simulator sel, adalah perangkat yang menyamar sebagai menara yang sah. Ponsel dalam jangkauan tersambung kepadanya, sekaligus membuka pengenal pelanggannya dan keberadaannya dalam radius yang sempit.

5G semestinya menutup pintu itu dengan mengganti pengenal permanen yang dikirim terbuka menjadi pengenal terenkripsi, yaitu SUCI. Penutupan itu hanya sebagian. Karya yang dipresentasikan dengan judul 5G SUCI-catchers: still catching them all? mendokumentasikan serangan penautan yang memungkinkan sesi dikorelasikan ulang meski ada enkripsi. Yang lebih penting, perlindungan itu runtuh sepenuhnya jika penyerang memaksa perangkat turun ke generasi sebelumnya, khususnya 2G, yang autentikasinya searah. Ponsel 5G tetap rentan terhadap serangan yang dirancang untuk jaringan era 1990-an, karena ia masih bersedia turun ke sana.

Langkah-langkah penangkal dan keampuhannya yang sebenarnya

Setiap langkah di bawah ini melakukan sesuatu. Tidak ada yang melakukan segalanya, dan jarak antara apa yang benar-benar mereka lakukan dan apa yang diharapkan darinya melahirkan keputusan yang keliru.

Mode pesawat

Mode pesawat memutus pancaran modem seluler, Wi-Fi, dan Bluetooth. Itu nyata, dan itu hasil terbaik untuk usaha sekecil itu.

Yang tidak dilakukannya: ia tidak menghentikan sensor inersia, tidak menghapus posisi yang sudah tersimpan di singgahan, yang akan terkirim saat tersambung kembali, dan pada kebanyakan perangkat ia membolehkan Wi-Fi atau Bluetooth dinyalakan lagi secara terpisah tanpa keluar dari mode itu. Terakhir, ia adalah keadaan perangkat lunak, bukan pemutusan daya: keandalannya bergantung pada keutuhan sistem yang menerapkannya.

Satu detail yang diremehkan: melepas diri dari jaringan lalu tersambung kembali itu sendiri merupakan peristiwa bertanda waktu di sisi operator. Ponsel yang lenyap pukul 21 di satu sel dan muncul lagi pukul 23 di sel lain telah menghasilkan informasi, bukan keheningan.

Pengacakan alamat MAC

Sistem seluler dewasa ini memancarkan alamat MAC acak saat memindai, untuk mencegah pelacakan dari satu tempat ke tempat lain. Niatnya baik, hasilnya belum utuh. Karya rujukan, termasuk Why MAC Address Randomization is not Enough, menunjukkan bahwa isi bingkai penemuan sering sudah cukup untuk mengenali kembali perangkatnya: jumlah elemen informasi, nilainya, dan urutannya membentuk sebuah sidik. Ditambah nomor urut yang bertambah dan karenanya bisa dirangkai, serta tanda waktu khas tiap model. Sejumlah studi melaporkan pelacakan yang benar atas separuh perangkat selama sekurang-kurangnya dua puluh menit.

Terakhir, batas konseptual: pengacakan hanya menyangkut tahap penemuan. Begitu Anda tersambung ke sebuah jaringan, alamat yang dipakai bersifat tetap untuk jaringan itu, memang demikian rancangannya, supaya sambungannya bekerja. Kedai kopi yang Anda datangi setiap pagi mengenali Anda.

Benar-benar mematikan pemindaian

Inilah pengaturan yang paling menguntungkan dan paling diabaikan. Di Android, pencarian Wi-Fi dan pencarian Bluetooth adalah dua opsi terpisah, terletak di layanan lokasi, dan tidak bergantung pada sakelar panel cepat. Selama keduanya aktif, mematikan Wi-Fi dari panel tidak cukup: pemindaian tetap berjalan.

Menonaktifkannya menghapus satu lapisan pengumpulan secara utuh, tanpa biaya lain selain penentuan posisi pertama yang sedikit lebih lambat. Bagi kebanyakan pembaca, inilah perbandingan terbaik antara usaha yang dikeluarkan dan hasil yang diperoleh.

Izin aplikasi

Mencabut izin lokasi dari aplikasi yang jelas-jelas tidak membutuhkannya tetap berguna, dan sistem mutakhir menawarkan tiga tingkatan: izin sekali pakai, izin yang terbatas pada saat aplikasi digunakan, dan lokasi perkiraan, yang hanya meneruskan wilayah seluas kira-kira satu kilometer.

Namun itu tidak melindungi dari SDK yang menumpang di dalam aplikasi yang punya alasan sah untuk mengakses posisi Anda, tidak pula dari sensor inersia, maupun dari lapisan jaringan, yang sama sekali tidak melewati izin apa pun.

Yang tidak dilindungi VPN

Satu hal perlu diluruskan, sebab keyakinan sebaliknya sangat tersebar: VPN tidak menyembunyikan lokasi Anda. Ia menyembunyikan alamat IP publik Anda, jadi ia mengacaukan penentuan lokasi berbasis IP, yang lagi pula merupakan mekanisme paling kasar dalam daftar ini.

VPN tidak menyentuh penerima GNSS, tidak pula pemindaian Wi-Fi, Bluetooth, ataupun sensor. Ia tidak mengubah apa pun dari yang diketahui operator Anda, karena terowongan terenkripsinya justru melewati menara-menara operator itu dan sambungan ke sel tetap terlihat olehnya. Ia juga tidak mencegah aplikasi yang memegang izin lokasi mengirim koordinat persis di dalam terowongan. VPN melindungi isi dan tujuan komunikasi Anda di jaringan yang tidak tepercaya, dan itu sudah banyak. Lokasi tidak termasuk dalam cakupannya.

Batas-batas fisik

Kantong Faraday bekerja dalam arti harfiah: ia menghalangi pancaran dan penerimaan. Melepas baterai juga, di perangkat yang masih memungkinkan. Memakai perangkat khusus, atau sekadar meninggalkan ponsel di tempat lain, tetap merupakan langkah yang paling kokoh.

Solusi-solusi ini berbagi satu cacat yang harus dihadapi terus terang: mereka menciptakan sebuah kejanggalan. Ponsel yang bungkam dua jam setiap Selasa malam sedang mengatakan sesuatu. Menghadapi lawan yang menganalisis pola alih-alih posisi sesaat, ketidakhadiran itu sendiri adalah data.

Tiga lawan, tiga strategi

Inilah pembedaan terpenting dalam tulisan ini, dan yang paling jarang dibaca.

Menghadapi pengiklan atau pialang data, pertarungan ini bisa dimenangkan. Disiplin izin, mematikan pemindaian, sistem tanpa layanan lokasi berpemilik, menyetel ulang pengenal iklan: semuanya bersama-sama menekan volume yang terkumpul dengan sangat kuat. Lawan ini mengincar volume murah, bukan kasus Anda secara khusus.

Menghadapi operator Anda, tidak ada konfigurasi yang memadai. Pelacakan seluler adalah syarat layanan itu sendiri. Satu-satunya variabel nyata bersifat hukum, yaitu apa yang boleh disimpan dan diserahkan menurut undang-undang, dan bersifat material: perangkat yang mana, kartu SIM yang mana, atas nama siapa, dinyalakan di mana.

Menghadapi lawan negara yang menyasar Anda secara khusus, penalarannya berubah lagi, sebab ia memadukan akses hukum ke data operator, pelacakan aktif dengan simulator sel, permintaan data ke platform, dan bila perlu penyusupan ke perangkat itu sendiri. Penangkal di sisi perangkat lunak memperkecil permukaan, tetapi tujuan yang realistis bukanlah lenyap: melainkan tahu persis apa yang masih terbuka.

Pendekatan ArpokratOS

ArpokratOS menjawab lanskap ini dengan pilihan yang mengalir dari pembedaan di atas: apa yang harus dinetralkan, dinetralkan di tingkat sistem, bukan di sebuah menu.

Pada GNSS, penggerak perangkat kerasnya dicopot. Perangkat berperilaku seolah cip itu tidak ada, baik bagi aplikasi maupun bagi sistem itu sendiri. Bedanya dengan sebuah sakelar di pengaturan bukan sekadar kosmetik. Sakelar adalah kebijakan: ia dijalankan oleh sebuah lapisan yang bisa dilewati komponen dengan hak istimewa yang cukup, diaktifkan kembali oleh pembaruan, atau diabaikan sistem yang sudah disusupi. Mencopot jalur kodenya melenyapkan pertanyaannya, sebab tidak ada lagi yang bisa diaktifkan.

Bluetooth ditangani di tingkat Core, dengan logika yang sama. Bluetooth yang dimatikan lewat pengaturan pada praktiknya tetap membiarkan tumpukan perangkat lunaknya hidup di banyak perangkat, untuk menyuapi layanan kedekatan dan jaringan pelacakan kolaboratif. Bila absen di tingkat sistem, ia tidak bisa berdialog dengan beacon toko, tidak bisa ikut serta dalam jaringan sejenis Find My, dan tidak bisa menjadi permukaan serangan tanpa interaksi.

Perlu dikatakan terang-terangan apa yang tidak dilakukannya. ArpokratOS tidak membuat ponsel menjadi tak terdeteksi. Selama kartu SIM aktif, operator tahu sel tempat Anda tersambung, dan tidak ada sistem operasi yang mengubah itu, sekalipun seluruh lalu lintas dialirkan lewat Tor. Perutean melindungi isi dan tujuan, bukan geometri radio. Siapa pun yang menjanjikan ketidaktampakan sedang menjual dongeng.

Yang diberikan arsitektur semacam itu lebih bersahaja: menghapus lapisan aplikasi dan kedekatan, yang dilalui sebagian besar pengumpulan data yang sesungguhnya, serta model ancaman yang eksplisit atas apa yang tersisa. Ini penalaran yang sama seperti saat memilih sistem untuk komputer meja, yang kami uraikan dalam perbandingan sistem operasi kami: pertanyaan yang berguna bukan apakah sebuah alat melindungi, melainkan dari apa ia melindungi dan dengan harga berapa.

Kesimpulan

Tulisan ini tidak menyediakan metode untuk menghilang. Metode itu tidak ada, dan teks yang mengaku sebaliknya terutama menghasilkan rasa aman palsu, yang lebih berbahaya daripada tanpa perlindungan sama sekali karena ia membuat orang mengambil risiko.

Tujuannya adalah mengganti pertanyaan biner, apakah saya bisa dilacak atau tidak, dengan pertanyaan yang berguna: oleh siapa, dengan ketelitian berapa, dengan biaya berapa bagi mereka, dan apakah itu penting bagi saya. Jawabannya berbeda bagi jurnalis yang melindungi sumber, eksekutif yang bepergian ke yurisdiksi yang sensitif, pengacara yang jadwal pertemuannya membocorkan strategi, atau orang biasa yang sekadar jengkel karena pengiklan mengetahui kebiasaannya.

Yang sebenarnya layak diperhatikan bukanlah kinerja masing-masing mekanisme itu secara terpisah, melainkan kenyataan bahwa mereka saling bertumpang tindih. Posisi dengan ketelitian lima puluh meter tidak terlalu menarik. Tetapi posisi dengan ketelitian lima puluh meter, setiap seperempat jam, selama dua tahun, menggambar sebuah tempat tinggal, sebuah tempat kerja, sebuah keyakinan, sebuah kondisi kesehatan, sebuah hubungan, sebuah sumber berita. Data lokasi adalah metadata yang membuat semua metadata lain terbaca, dan justru karena itulah ia mahal.

Sumber

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems, IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System, PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World, IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms, AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police, 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data, 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking, Surveillance Self-Defense

Filipina Melarang Monero dan Zcash di Platform Teregulasi: Sinyal Tren Global

Wed, 17 Jun 2026 00:00:00 +0000

Bank sentral Filipina baru saja memberikan pukulan keras terhadap mata uang kripto privasi. Dengan dalih kepatuhan terhadap standar internasional anti-pencucian uang, keputusan ini mencerminkan dinamika regulasi yang jauh melampaui satu negara saja — dan seharusnya menjadi peringatan bagi siapa pun yang memegang atau menggunakan aset seperti Monero atau Zcash.

Isi Memorandum

Bangko Sentral ng Pilipinas (BSP), bank sentral negara tersebut, telah menyetujui Memorandum M-2026-023, yang ditandatangani oleh Deputi Gubernur Lyn Javier. Dokumen ini memerintahkan seluruh penyedia layanan aset virtual (VASP) yang memiliki lisensi untuk berhenti mencatatkan dan mendukung “aset virtual yang bersifat anonimisasi”. Memorandum tersebut tidak menyebut token apa pun secara spesifik, namun kategori yang dimaksud secara jelas mencakup Monero, Zcash, dan Dash — mata uang kripto yang dirancang untuk membuat pelacakan transaksi menjadi sulit atau tidak mungkin dilakukan.

Kebijakan ini berlaku segera, tanpa masa transisi. Di luar sekadar menghapus aset-aset ini dari platform, para VASP kini diwajibkan untuk mengevaluasi setiap token yang terdaftar berdasarkan enam pilar kepatuhan: kredibilitas penerbit, kematangan pasar, kasus penggunaan, transparansi dan keamanan, likuiditas dan cadangan, serta kepatuhan hukum. Mereka juga harus menetapkan ambang batas internal yang secara otomatis memicu penghapusan pencatatan ketika suatu aset tidak lagi memenuhi kriteria tersebut.

Apa yang Berubah Secara Konkret

Memorandum ini tidak mengkriminalisasi kepemilikan pribadi atas Monero atau Zcash, maupun transfer peer-to-peer yang dilakukan di luar platform teregulasi. Yang hilang adalah akses institusional: jalur masuk dan keluar yang teregulasi (pembelian, penjualan, setoran, penarikan di platform berlisensi) tidak lagi dapat memproses aset-aset tersebut.

Secara praktis, jika Anda menyimpan privacy coins di platform Filipina yang berlisensi BSP — termasuk Coins.ph/Betur, Maya Philippines, PDAX, GoTyme Bank, atau UnionBank — Anda harus memindahkannya ke dompet pribadi atau mengkonversinya sebelum platform tersebut terpaksa menghapusnya.

Dengan lebih dari 16 juta pengguna mata uang kripto di negara ini, dampaknya akan terasa secara luas di pasar domestik, meskipun pengaruhnya terhadap harga global XMR atau ZEC diperkirakan akan tetap terbatas — mengingat Filipina hanya mewakili sebagian kecil dari likuiditas global aset-aset tersebut.

Keselarasan dengan FATF, Justifikasi Universal

BSP membenarkan keputusannya dengan mengacu secara eksplisit pada standar FATF (Financial Action Task Force), lembaga internasional yang menetapkan aturan pemberantasan pencucian uang dan pendanaan terorisme. Menjaga hubungan baik dengan FATF bukanlah pilihan bagi sebagian besar bank sentral — peringkat yang buruk dapat memengaruhi akses seluruh negara ke jaringan keuangan internasional.

Justifikasi yang sama inilah yang telah mendorong Uni Eropa, Jepang, dan Korea Selatan untuk secara bertahap mengeluarkan privacy coins dari platform teregulasi mereka dalam beberapa tahun terakhir. Keputusan Filipina bukanlah kasus terisolasi: ini adalah konfirmasi atas standar de facto yang semakin meluas — jika suatu yurisdiksi ingin mengoperasikan pasar kripto yang diakui secara internasional, aset dengan privasi yang diperkuat tidak lagi memiliki tempat di sana.

Sebuah Ketegangan yang Belum Benar-Benar Terselesaikan

Sangat mengungkapkan bahwa bahkan pihak-pihak yang mendukung keputusan ini pun mengakui legitimasi penggunaan yang ingin mereka batasi. Kepala divisi kripto GCash, salah satu fintech terbesar di negara ini, secara eksplisit mengakui bahwa Monero dan Zcash “ada karena alasan yang sah” dan bahwa privasi merupakan “nilai pendiri kripto: kemampuan bertransaksi tanpa pengawasan”. Meski demikian, ia mendukung kebijakan ini, dengan alasan bahwa Filipina — negara yang sangat bergantung pada aliran remitansi — tidak dapat memposisikan dirinya sebagai infrastruktur keuangan tepercaya sambil mengizinkan aset anonimisasi beredar bebas.

Ketegangan ini tidak terselesaikan, melainkan hanya diputuskan demi kepentingan perspektif regulasi: volume remitansi dan kredibilitas internasional selalu lebih berat daripada argumen privasi yang sah, setiap kali pilihan tersebut harus dibuat.

Konsekuensi Logis: Migrasi Menuju Self-Custody

Pola yang berulang dari satu yurisdiksi ke yurisdiksi lain kini semakin mudah dibaca. Polanya hampir selalu sama: privasi keuangan tetap legal di tingkat individu, namun secara bertahap menjadi mustahil untuk dilaksanakan melalui jalur institusional. Self-custody belum menjadi sasaran — tetapi setiap yurisdiksi baru yang mengikuti model ini semakin mempersempit ruang di mana aset-aset ini dapat beredar tanpa pembatasan regulasi.

Kami telah membahas secara mendalam cara kerja teknis blockchain ini dan alasan mengapa mereka menjadi target utama para regulator dalam panduan lengkap kami tentang blockchain anonim — ring signatures, zk-SNARKs, dan keterbatasan nyata dari teknologi-teknologi tersebut.

Bertransaksi di Luar Jalur yang Semakin Tertutup

Seiring semakin banyaknya platform teregulasi yang menarik diri dari pasar privacy coins satu per satu, peran infrastruktur non-kustodial dan tanpa pengumpulan data menjadi semakin sentral bagi siapa pun yang ingin terus menggunakan aset-aset ini tanpa bergantung pada VASP yang tunduk pada yurisdiksi yang sewaktu-waktu dapat mengubah kebijakannya.

Arpokrat Swap memungkinkan Anda menukar Monero, Zcash, dan seluruh mata uang kripto privasi tanpa pendaftaran, tanpa pengumpulan log IP, dan tanpa cookie — baik Anda mengakses platform melalui clearnet maupun melalui alamat .onion kami. Tidak ada yurisdiksi yang dapat menghapus apa yang tidak pernah kami kumpulkan.

Keputusan Filipina ini kemungkinan bukan yang terakhir dalam tahun ini. Pertanyaannya bukan lagi apakah negara-negara lain akan mengikuti jalan yang sama — rekam jejak terkini menunjukkan bahwa jawabannya adalah ya — melainkan berapa lama waktu yang tersisa sebelum akses institusional ke privacy coins menjadi pengecualian daripada norma.

Akhir dari Privasi? Backdoor, Online Safety Act, dan Respons Ekosistem Berdaulat

Wed, 10 Jun 2026 00:00:00 +0000

London telah menjadi episentrum pertempuran global untuk masa depan privasi digital. Dengan diadopsinya Online Safety Act 2023 (OSA) dan usulan revisi baru-baru ini pada Investigatory Powers Act (IPA) — yang dijuluki “Snoopers’ Charter” atau “Piagam Pengintai” oleh para pengkritiknya —, pemerintah Inggris mengklaim hak untuk memberlakukan kewajiban pengawasan tepat di jantung komunikasi pribadi. Titik puncaknya adalah kekuasaan yang diberikan kepada regulator OFCOM untuk mengharuskan platform menyebarkan “teknologi terakreditasi” untuk mendeteksi materi eksploitasi dan pelecehan seksual anak (CSEA) atau terorisme, termasuk di dalam komunikasi terenkripsi end-to-end.

Bagi platform digital besar, pesan Westminster tidak ambigu: entah mereka memfasilitasi akses negara ke infrastruktur mereka, atau mereka menghadapi denda hingga 10% dari pendapatan global mereka. Tanggapannya langsung: layanan seperti Signal dan WhatsApp secara terbuka mengancam akan menarik diri dari pasar Inggris, menolak untuk mengkompromikan keamanan pengguna mereka untuk memuaskan satu yurisdiksi. Argumen teknis sulit dibantah: tidak ada kunci utama (master key) yang disediakan semata-mata untuk aktor yang sah. Pintu terbuka untuk penegakan hukum, berdasarkan desain, merupakan pintu terbuka bagi penjahat dunia maya dan layanan intelijen asing.

Model bisnis platform besar: hambatan struktural terhadap Zero-Knowledge

Penolakan platform besar untuk mengadopsi enkripsi jenis Zero-Knowledge tidak dijelaskan oleh ketidakmampuan teknis, tetapi oleh ketidakcocokan ekonomi mendasar. Perusahaan seperti Alphabet dan Meta mengandalkan model monetisasi berdasarkan pengumpulan data perilaku secara sistematis. Model ini, kebetulan, secara implisit diakui oleh Digital Markets Act (DMA) Uni Eropa, yang mengklasifikasikan “penjaga gerbang” (gatekeepers) ini sebagai entitas yang posisi dominannya justru didorong oleh akumulasi data pada skala yang tak tertandingi. Bagi aktor-aktor ini, mengadopsi arsitektur Zero-Knowledge berarti merampas sistem periklanan mereka dari identifikasi pengguna berkelanjutan yang merupakan bahan bakarnya. Oleh karena itu, ini bukan pilihan teknis, melainkan tarik-ulur antara privasi pengguna dan kelangsungan model bisnis mereka.

Risiko strategis: Ancaman “Harvest Now, Decrypt Later”

Di luar perdebatan tentang privasi, melemahnya enkripsi menimbulkan masalah keamanan nasional dengan ruang lingkup yang sama sekali berbeda. Strategi yang dikenal sebagai Harvest Now, Decrypt Later (HNDL) melibatkan musuh negara yang mencegat dan menyimpan volume besar komunikasi terenkripsi saat ini, untuk mengantisipasi kemampuan dekripsi kuantum di masa depan. Dengan melemahkan standar enkripsi saat ini, kerangka legislatif Inggris secara objektif memfasilitasi jenis operasi ini terhadap komunikasi pemerintah, diplomatik, atau industri.

Justru dalam konteks defisit kepercayaan inilah ekosistem seperti Arpokrat memperoleh relevansi operasional. Dengan beroperasi di bawah rezim Undang-Undang Perlindungan Data Federal Swiss (FADP), dengan arsitektur yang tidak mengumpulkan pengidentifikasi sipil, Arpokrat menawarkan terobosan teknis dari infrastruktur yang tunduk pada yurisdiksi Inggris — menjamin bahwa sistem tetap kebal (tuli) terhadap perintah yang diramalkan oleh OSA.

Konflik norma: OSA dan IPA melawan hukum Eropa

Analisis hukum atas hak prerogatif negara Inggris yang baru mengungkapkan benturan langsung dengan fondasi hukum Eropa mengenai perlindungan data dan kerahasiaan komunikasi.

OSA melawan larangan pengawasan yang digeneralisasi

Pasal 121 OSA memperkenalkan kemungkinan bagi OFCOM untuk mengeluarkan perintah yang memaksa platform untuk menerapkan pemindaian sisi klien (client-side scanning). Langkah ini secara langsung bertentangan dengan prinsip, yang berasal dari hukum Eropa dan termasuk dalam yurisprudensi CJEU, yang melarang kewajiban pengawasan umum. Dengan memaksakan “kerentanan berdasarkan desain” (vulnerability by design), hal itu juga menempatkan perusahaan dalam situasi serba salah: dengan melemahkan keamanan mereka untuk mematuhi mandat negara, mereka gagal dalam kewajiban mereka untuk menjamin tingkat keamanan yang sesuai dengan pemrosesan, sebagaimana diabadikan dalam Pasal 32 GDPR.

Arahan ePrivacy dan kerahasiaan komunikasi

Pemindaian pesan pribadi bertentangan langsung dengan Pasal 5, paragraf 1, dari Arahan 2002/58/EC (ePrivacy), yang mewajibkan Negara Anggota untuk menjamin kerahasiaan komunikasi elektronik dan melarang segala bentuk intersepsi atau pengawasan tanpa persetujuan eksplisit dari pengguna yang bersangkutan.

Technical Capability Notices dan memblokir pembaruan keamanan

Di bawah rezim IPA 2016, pemerintah Inggris kini bermaksud menggunakan Technical Capability Notices (TCN) untuk memblokir pembaruan keamanan sebelum disebarkan. Mekanisme ini menciptakan konflik yang tidak dapat diselesaikan dengan kewajiban, yang ditetapkan oleh Pasal 32 GDPR, untuk memastikan keamanan berkelanjutan dari sistem pemrosesan — sebuah kewajiban yang justru membutuhkan kemampuan untuk menerapkan tambalan (patches) tanpa penundaan atau campur tangan eksternal.

Risiko kepatuhan bagi perusahaan yang beroperasi di Eropa

Revisi pada IPA bertujuan untuk memaksa perusahaan agar memberi tahu pemerintah Inggris tentang modifikasi teknis apa pun yang memengaruhi keamanan, sebelum implementasinya, sehingga memberikannya hak veto atas pengembangan produk. Campur tangan ini menciptakan ketidakamanan hukum yang cukup besar bagi pemasok yang beroperasi di pasar Eropa: kecukupan Inggris terhadap hukum Eropa — yang sudah rapuh — dapat dipertanyakan jika Inggris tidak lagi menjamin perlindungan yang secara substansial setara dengan GDPR. Transfer data ke Inggris berdasarkan kerangka kerja baru ini karenanya kemungkinan akan membuat perusahaan terkena sanksi berdasarkan GDPR.

Pertahanan melalui kemustahilan teknis: prinsip Zero-Knowledge sebagai perisai hukum

Yurisprudensi internasional, dikonsolidasikan oleh putusan Schrems I dan Schrems II dari CJEU, telah menetapkan prinsip yang menentukan: satu-satunya pengamanan yang kuat terhadap pengawasan yang tidak proporsional adalah kemustahilan teknis untuk mengaksesnya. Arsitektur Zero-Knowledge menerapkan prinsip ini dalam tiga lapisan perlindungan:

Tidak adanya hak asuh (Absence of custody): karena platform tidak memegang kunci dekripsi, setiap perintah untuk memindai pesan secara teknis tidak dapat dijalankan;
Kedaulatan sistem operasi: kontrol ArpokratOS menghilangkan telemetri yang memberi makan pengumpulan intelijen di tingkat perangkat;
Jangkar yurisdiksi Swiss: dengan menghosting infrastrukturnya di Swiss, Arpokrat beroperasi di bawah rezim hukum yang mensyaratkan permintaan bantuan hukum timbal balik yang diindividualisasikan dan beralasan, menetralkan eksekusi otomatis pemindaian massal yang diramalkan oleh OSA.

Kesimpulan

Ketentuan OSA dan revisi IPA tidak hanya menjadi ancaman bagi privasi individu: mereka mewakili pelanggaran kepastian hukum untuk semua data Eropa yang melewati infrastruktur yang tunduk pada yurisdiksi Inggris. Dengan melegitimasi pelemahan enkripsi atas nama keselamatan publik, London secara paradoks memaparkan sekutu dan mitra dagangnya pada risiko spionase industri dan negara yang arsitektur Zero-Knowledge dirancang secara tepat untuk dicegah.

Integritas komunikasi profesional dan kelembagaan kini menuntut tanggapan struktural: migrasi menuju ekosistem terdesentralisasi yang menjamin kedaulatan digital, dari tingkat kode hingga jangkar yurisdiksi.

Keheningan yang Berteriak: Apa itu Warrant Canary dan mengapa kehilangannya harus membuat Anda khawatir?

Mon, 01 Jun 2026 00:00:00 +0000

Jauh di dalam tambang batu bara pada abad ke-19, para penambang membawa serta burung kenari di dalam sangkar. Burung-burung kecil ini, yang sangat peka terhadap gas beracun seperti karbon monoksida, mati jauh sebelum para penambang menyadari bahayanya. Mereka dengan demikian berfungsi sebagai sistem peringatan dini yang sunyi, namun sangat efektif.

Di dunia digital modern kita, burung ini telah hidup kembali dalam bentuk « Warrant Canary ».

Apa itu Warrant Canary?

Ini adalah pernyataan publik, yang diterbitkan dan diperbarui secara berkala oleh penyedia layanan (perpesanan, VPN, hosting), yang menyatakan bahwa, hingga tanggal yang tepat tersebut, ia belum menerima permintaan hukum rahasia apa pun yang memaksanya untuk mengkompromikan data penggunanya — seperti National Security Letter (NSL) Amerika atau perintah yang dikeluarkan oleh pengadilan FISA.

Seluruh seluk-beluk — dan gravitasi — burung kenari terletak pada apa yang terjadi ketika ia menghilang.

Jika sebuah layanan yang setiap bulan menampilkan pernyataan “Kami tidak menerima surat perintah rahasia” tiba-tiba berhenti memperbaruinya, pengguna yang terinformasi akan menyimpulkan hal yang jelas: kenari itu telah mati.

Perusahaan tersebut telah menjadi sasaran tindakan pengawasan yang disertai dengan perintah pembungkaman (gag order), yang secara hukum melarangnya mengungkapkan keberadaan permintaan ini. Karena tidak dapat mengatakan bahwa mereka telah dikompromikan, mereka berhenti mengatakan bahwa mereka tidak dikompromikan.

Era Pengawasan Tak Terlihat dan Melewati Keheningan

Pada saat undang-undang ekstrateritorial seperti CLOUD Act dan FISA memungkinkan pemerintah AS mengakses data yang di-hosting oleh perusahaan tanpa pernah memberi tahu targetnya, Warrant Canary merupakan salah satu dari sedikit mekanisme untuk melewati keheningan yang dipaksakan ini.

Dengan CLOUD Act, batasan geografis tidak ada lagi: jika data berada di bawah “kendali” sebuah perusahaan Amerika, pemerintah Amerika Serikat mengklaim hak untuk mengaksesnya, bahkan jika server-server ini secara fisik berlokasi di Eropa. Kenari kemudian menjadi sinyal peringatan terakhir sebelum kedaulatan digital pengguna dikorbankan secara diam-diam.

Inilah sebabnya mengapa para pemain utama dalam ranah Privacy telah mengadopsi alat ini sebagai standar transparansi:

Proton: Layanan perpesanan dan email Swiss menerbitkan laporan transparansi yang menyertakan Warrant Canary yang ketat.
Riseup: Kolektif komunikasi aman untuk para aktivis memelihara salah satu burung kenari paling terkenal di web.
Arpokrat: Ekosistem kami sendiri memelihara Warrant Canary publik, yang diperbarui secara kriptografis, untuk menjamin transparansi absolut bagi komunitas kami.

Analisis Hukum: Hak untuk Tidak Berbohong

Keberadaan Warrant Canary bertumpu pada salah satu pilar hukum tata negara yang paling menarik: doktrin compelled speech (ucapan yang dipaksakan) dan benturannya dengan kerahasiaan yudisial.

Dasar hukumnya bertumpu pada prinsip sederhana: jika Negara memiliki kekuasaan untuk memaksakan keheningan pada Anda (melalui perintah pembungkaman), Negara tidak memiliki kekuasaan konstitusional untuk memaksa Anda berbohong.

Berdasarkan Amandemen Pertama Konstitusi Amerika Serikat (dan prinsip serupa di Eropa), pemerintah tidak dapat memaksa sebuah perusahaan untuk membuat pernyataan yang salah secara faktual. Jadi, ketika sebuah perusahaan menghapus kenarinya, ia tidak melanggar perintah pembungkaman — karena ia tidak secara eksplisit mengumumkan bahwa ia telah menerima surat perintah. Ia hanya menggunakan hak dasarnya untuk berhenti membuat pernyataan yang tidak lagi benar.

Konflik dengan Hukum Eropa

Relevansi kenari saat ini diperkuat oleh Pasal 32 Data Act (Peraturan UE 2023/2854). Ketentuan ini mengharuskan penyedia untuk menerapkan langkah-langkah teknis dan hukum guna mencegah akses data oleh otoritas negara ketiga ketika hal ini bertentangan dengan hukum Eropa. Matinya seekor kenari segera menandakan konflik hukum ini: penyedia tersebut kemungkinan besar dipaksa untuk mengabaikan jaminan Eropa demi memenuhi mandat asing.

Pendekatan Arpokrat: Kedaulatan Berdasarkan Desain

Dalam ekosistem Arpokrat, yang beroperasi di bawah yurisdiksi FADP Swiss (Undang-Undang Federal tentang Perlindungan Data), kenari mengambil dimensi yang lebih kuat. Ini adalah bagian dari pendekatan holistik terhadap kedaulatan digital: Zero-Knowledge.

Arsitektur ini dirancang sedemikian rupa sehingga perusahaan menciptakan ketidakmungkinan teknis dan matematis untuk mematuhi mandat. Negara atau badan intelijen dapat mengeluarkan semua perintah yang diinginkannya, jawabannya akan tetap sama: tidak ada kunci privat, tidak ada identitas (Zero-ID), dan tidak ada metadata terpusat untuk diserahkan.

Dalam konteks ini, kenari bukan lagi sekadar peringatan adanya kompromi; ini adalah bukti publik yang berkelanjutan bahwa infrastruktur tetap tidak dapat ditembus secara teknis dan setia pada prinsip-prinsipnya.

Kesimpulan

Pada akhirnya, Warrant Canary adalah bagian dari kelincahan hukum yang melengkapi kelincahan kriptografis yang diperlukan untuk menghadapi cakrawala ancaman modern (seperti komputasi pasca-kuantum). Dalam infrastruktur di mana data berdaulat berdasarkan desain, kenari bukan sekadar burung biasa di tambang: ia adalah penjaga sunyi benteng digital Anda.

Utiq: 'Super-Cookie' telekomunikasi baru yang mengancam privasi Anda

Mon, 01 Jun 2026 00:00:00 +0000

Akhir terprogram dari cookie pihak ketiga di peramban web telah memicu perlombaan senjata sesungguhnya dalam industri periklanan bertarget. Sementara Google mencoba memaksakan standarnya sendiri (seperti Privacy Sandbox), pemain tak terduga lainnya telah memutuskan untuk mengambil bagian: Penyedia Layanan Internet (ISP) Anda.

Demikianlah Utiq (sebelumnya dikenal sebagai proyek TrustPid) lahir, sebuah usaha patungan yang didirikan oleh raksasa telekomunikasi Eropa. Dijual ke masyarakat umum sebagai solusi yang “transparan dan penuh rasa hormat”, Utiq sebenarnya adalah hal yang paling ditakuti oleh pakar keamanan siber: sebuah “supercookie” yang beroperasi di tingkat jaringan.

Apa itu Utiq dan bagaimana cara kerjanya?

Secara tradisional, pelacakan iklan (cookie) dikelola oleh peramban web Anda (Chrome, Firefox, Safari). Anda bisa memblokirnya menggunakan ekstensi (seperti uBlock Origin) atau peramban yang berorientasi privasi (seperti Brave).

Utiq menggeser masalah selangkah ke belakang: ke tingkat koneksi jaringan Anda.

Beginilah cara perangkap itu bekerja:

Pencegatan jaringan: Saat Anda menjelajahi internet melalui koneksi seluler (4G/5G) atau fiber, Utiq menggunakan alamat IP dan data langganan telekomunikasi Anda untuk mengidentifikasi Anda.
Persetujuan (pilihan palsu): Saat tiba di situs mitra, jendela sembul (popup) meminta Anda untuk menerima Utiq. Dengan kelelahan yang terkait dengan spanduk cookie (Consent Fatigue), jutaan pengguna mengklik “Terima” tanpa membaca.
“Network Signal”: Setelah persetujuan diberikan, Utiq langsung menghubungi operator telekomunikasi Anda. Operator tersebut kemudian menghasilkan token identifikasi yang unik dan disamarkan (sinyal jaringan) yang dikirimkannya ke pengiklan.

Anda kini dapat dilacak dari situs ke situs, bukan oleh file yang disimpan di komputer Anda, melainkan oleh infrastruktur itu sendiri yang memberi Anda internet.

Mengapa Utiq adalah mimpi buruk privasi (OPSEC)

Inisiatif ini menimbulkan masalah serius bagi kedaulatan digital dan kerahasiaan data Anda:

Pelacakan di sumbernya: Tidak seperti cookie klasik, Anda tidak bisa sekadar “menghapus riwayat” atau “mengosongkan cache” untuk menyingkirkan Utiq. Token identifikasi dibuat oleh ISP Anda.
Sentralisasi profil: Operator telekomunikasi sudah mengetahui nama, alamat fisik, detail perbankan, dan lokasi Anda secara real-time. Dengan menautkan riwayat penelusuran web Anda melalui Utiq, mereka membuat profil perilaku dengan presisi yang menakutkan.
Kelemahan pseudonimisasi: Utiq membela diri dengan tidak membagikan nama Anda dalam teks biasa, mengklaim menggunakan token yang “dienkripsi”. Namun, dalam dunia keamanan siber, terbukti bahwa pseudonimisasi dapat dibalik. Membandingkan token ini dengan basis data lain memungkinkan individu untuk diidentifikasi ulang dengan mudah.

Operator mana yang menggunakan Utiq?

Utiq didirikan oleh aliansi dari empat operator terbesar Eropa. Jika Anda adalah pelanggan salah satu dari mereka, koneksi Anda berpotensi sudah “kompatibel” dengan pelacakan ini.

Kiat OPSEC: Meskipun Utiq menawarkan portal manajemen persetujuan terpusat (consenthub.utiq.com) untuk mencabut akses, pertahanan terbaik tetaplah teknologi.

Pendekatan Zero-Trust untuk melawan Utiq

Filosofi kedaulatan digital, yang didorong oleh ekosistem seperti Arpokrat, bersandar pada prinsip sederhana: jangan pernah percaya pada infrastruktur jaringan.

Untuk menetralkan sistem seperti Utiq secara teknis, solusinya adalah menyembunyikan lalu lintas Anda dari penyedia layanan internet Anda sendiri:

Menggunakan VPN berdaulat: Dengan mengenkripsi lalu lintas segera setelah meninggalkan perangkat Anda, ISP Anda hanya melihat aliran data yang tidak dapat dibaca menuju server VPN. Mereka tidak dapat lagi menyuntikkan atau membaca token Utiq.
Jaringan Tor (Orbot): Perutean bawang mencegah identifikasi ujung-ke-ujung.
Enkripsi DNS (DoH/DoT): Mencegah operator mengetahui situs web apa yang Anda minta untuk dikunjungi.

Singkatnya, Utiq adalah bukti bahwa penyedia layanan internet tidak lagi puas menjadi sekadar “pipa”; mereka ingin menjadi pialang data. Enkripsi lalu lintas Anda bukan lagi sekadar opsi keamanan, tetapi kebutuhan mutlak untuk mempertahankan keheningan digital Anda.

Ilusi Kedaulatan: Kasus Olvid dan Perangkap CLOUD Act

Thu, 21 May 2026 00:00:00 +0000

Pengumuman itu bergema seperti “teriakan kemerdekaan” sejati di koridor Paris: Perdana Menteri memerintahkan pemerintah untuk meninggalkan WhatsApp dan Signal demi Olvid, aplikasi perpesanan yang disajikan sebagai “asli”. Tujuannya jelas: melindungi rahasia negara dari jangkauan panjang badan intelijen asing.

Namun, ironi pahit dengan cepat muncul: inti dari Olvid — infrastruktur servernya — berdetak di dalam Amazon Web Services (AWS), raksasa Amerika.

Bagi masyarakat umum, ini tampak seperti masalah hosting teknis yang sederhana. Tetapi bagi arsitek keamanan siber berdaulat, ini adalah kerentanan politik tingkat pertama.

Ekstrateritorialitas dan Konflik Kedaulatan

Dengan mengandalkan infrastruktur Amazon, Olvid secara otomatis memasuki orbit CLOUD Act AS.

Analisis hukum dari kasus ini mengungkap skenario ketidakamanan yurisdiksi yang tidak dapat diselesaikan hanya dengan mengadopsi “aplikasi” nasional. Titik kritisnya terletak pada konsep “kontrol” versus “lokalisasi”.

CLOUD Act secara radikal mengubah paradigma hukum dengan menetapkan bahwa lokasi fisik server tidak masalah. Kewajiban penyedia layanan untuk bekerja sama semata-mata berasal dari ikatan yurisdiksinya dengan AS.

Secara hukum, ini menciptakan konflik frontal dengan GDPR. Pengadilan Kehakiman Uni Eropa telah menetapkan bahwa undang-undang pengawasan AS tidak menawarkan tingkat perlindungan yang setara dengan Eropa.

Kedaulatan digital bukanlah atribut perangkat lunak, melainkan properti integritas rantai pengawasan.

Bayang-bayang FISA dan Janji Palsu Enkripsi

Lebih buruk lagi, ketergantungan pada infrastruktur Amerika ini menempatkan data ini di bawah bayang-bayang Foreign Intelligence Surveillance Act (FISA).

Menghadapi ancaman ini, Olvid menegaskan bahwa enkripsi ujung-ke-ujungnya merupakan perisai yang memadai. Dari perspektif rekayasa privasi, pembelaan ini sangat parsial.

Bahkan jika konten pesan dienkripsi, infrastruktur terpusat AWS mengekspos metadata. Mengetahui siapa berbicara dengan siapa, kapan, seberapa sering, dan dari mana seringkali jauh lebih berharga bagi intelijen asing daripada konten pesan itu sendiri.

Enkripsi melindungi teks, tetapi server terpusat mengkhianati jaringan kontak.

Bahaya Sebenarnya Belum Datang

Selama infrastruktur Eropa bergantung pada entitas yang tunduk pada undang-undang ekstrateritorial, keamanan hukum komunikasi kita akan tetap murni sementara dan ilusif.

Keamanan nasional di abad ke-21 menuntut kemerdekaan infrastruktur dan perangkat keras total. Mengadang metadata ini memberi makan ancaman paling menghancurkan di dekade berikutnya: strategi “Kumpulkan sekarang, dekripsi nanti”.

Rahasia negara yang dicegat hari ini tidak lain adalah bom waktu matematika.

(Baca sisa analisis kami di Bagian 2: Bom Waktu dan Imperatif Zero-Knowledge)