Komputer membocorkan rahasia. Bukan hanya melalui pelacakan iklan invasif, malware pencuri datadan milikmu berbagi berlebihan secara keliru di media sosialtetapi melalui fisika. Pergerakan komponen hard drive, penekanan tombol pada keyboard, bahkan muatan listrik pada kabel semikonduktor menghasilkan gelombang radio, suara, dan getaran yang menyebar ke segala arah dan dapat—jika ditangkap oleh seseorang dengan peralatan yang cukup sensitif dan cukup pengintai untuk menguraikan sinyal-sinyal tersebut—mengungkapkan data dan aktivitas pribadi Anda.
Kategori teknik mata-mata ini, awalnya diberi nama sandi TEMPEST oleh Badan Keamanan Nasional namun kini mencakup istilah yang lebih umum “serangan saluran samping,” sudah menjadi masalah umum dalam keamanan komputer selama hampir delapan dekade, dan ini adalah salah satu masalah yang dipertimbangkan dengan cermat oleh pemerintah Amerika Serikat dalam mengamankan informasi rahasianya. Kini sepasang anggota parlemen AS meluncurkan penyelidikan mengenai seberapa rentan kita semua terhadap pengawasan gaya TEMPEST—dan apakah pemerintah AS perlu mendorong produsen perangkat untuk berbuat lebih banyak guna melindungi warga Amerika.
Pada hari Rabu, Senator Ron Wyden dan Perwakilan Shontel Brown merilis a surat mereka mengirim ke Kantor Akuntabilitas Pemerintah (GAO) menuntut penyelidikan terhadap kerentanan komputer modern terhadap serangan saluran samping gaya TEMPEST, pemantauan dan penguraian pancaran yang tidak disengaja dari PC, telepon, dan perangkat komputasi lainnya untuk mengawasi operasi mereka. Dalam surat tersebut, Wyden dan Brown menulis bahwa bentuk-bentuk mata-mata ini “tidak hanya menimbulkan ancaman kontra-intelijen terhadap pemerintah AS, namun metode ini juga dapat dieksploitasi oleh musuh terhadap masyarakat Amerika, termasuk untuk mencuri teknologi penting yang strategis dari perusahaan-perusahaan AS.”
Bersamaan dengan surat tersebut, Wyden dan Brown juga menugaskan yang baru dirilis Laporan Layanan Penelitian Kongres tentang sejarah TEMPEST dan ancaman kontemporer yang ditimbulkan oleh serangan saluran sampingan serupa. Ini menggambarkan upaya pemerintah AS untuk melindungi perangkatnya dari teknik mata-mata tersebut, termasuk penggunaan ruang terisolasi dan terlindung dari radio untuk mengakses informasi rahasia dengan aman yang dikenal sebagai Fasilitas Informasi Kompartemen Sensitif, atau SCIF. Sementara itu, pemerintah “tidak memperingatkan masyarakat tentang ancaman ini, atau memberlakukan persyaratan pada produsen barang elektronik konsumen, seperti telepon pintar, komputer, dan aksesori komputer, untuk melakukan tindakan penanggulangan teknis pada produk mereka,” Wyden dan Brown menyatakan dalam surat tersebut. “Oleh karena itu, pemerintah telah membuat rakyat Amerika rentan dan tidak tahu apa-apa.”
Surat Wyden dan Brown diakhiri dengan mendesak GAO untuk meninjau daftar masalah terkait TEMPEST: skala ancaman privasi modern dari serangan saluran samping, “biaya dan kelayakan” penerapan perlindungan terhadap serangan tersebut di perangkat modern, dan “potensi pilihan kebijakan untuk memitigasi ancaman ini terhadap publik, termasuk mewajibkan produsen perangkat menambahkan tindakan pencegahan terhadap produk mereka,” yang menunjukkan bahwa Kongres dapat memberikan tekanan kepada perusahaan teknologi untuk menambahkan lebih banyak pertahanan pada perangkat yang mereka jual.
Seberapa praktis serangan saluran samping seperti TEMPEST terhadap perangkat komputasi modern—dan seberapa sering serangan tersebut digunakan secara liar oleh peretas dan mata-mata—masih belum jelas. Namun kemungkinan serangan semacam itu telah ditanggapi secara serius oleh pemerintah AS sejak awal tahun 1940an, ketika Bell Labs menemukan bahwa mesin yang dijualnya kepada militer AS untuk mengenkripsi pesan menghasilkan sinyal yang dapat dibaca pada osiloskop di sisi lain laboratorium.
Mesin Bell Labs mengirimkan petunjuk tentang cara kerja kriptografi militer dalam gelombang radio yang diciptakan oleh muatan elektromagnetik komponennya. Laporan NSA yang tidak diklasifikasikan pada tahun 1972 kemudian menggambarkan masalah komputer rahasia badan tersebut yang mentransmisikan “frekuensi radio atau energi akustik.” Laporan tersebut menambahkan: “Emisi ini, seperti siaran radio kecil, dapat memancar melalui ruang angkasa untuk jarak yang cukup jauh” sejauh setengah mil atau lebih jika sinyalnya disalurkan melalui benda-benda di dekatnya seperti saluran listrik atau pipa air.
“Jadi, bisa dibayangkan, mesin tersebut dapat memancarkan informasi yang dapat mengarah pada rekonstruksi variabel kunci yang berubah setiap hari—dan dari sudut pandang Comsec, itu adalah hal terburuk yang dapat terjadi pada kita,” tulis laporan tersebut, mengacu pada kunci kriptografi rahasia untuk menguraikan informasi terenkripsi dan menggunakan istilah “comsec” untuk mengartikan keamanan komunikasi. “Masalah gangguan radiasi ini kami beri nama samaran TEMPEST.”
Dalam beberapa tahun terakhir, para peneliti telah menunjukkan serangkaian serangan saluran samping yang sepertinya tak ada habisnya untuk menarik informasi dari mesin pengguna yang tidak menaruh curiga. Pada tahun 2015, misalnya, para peneliti Universitas Tel Aviv mendemonstrasikan perangkat mata-mata radio yang dapat mencuri informasi dari komputer berdasarkan pancaran elektromagnetik prosesornya dari jarak beberapa meter. Perangkat ini berharga kurang dari $300 dan muat di dalam roti pita. Kelompok peneliti yang sama juga menemukan bahwa mereka bisa melakukannya mendengarkan suara bernada tinggi dibuat oleh operasi komputer—bahkan dengan ponsel biasa di dekatnya—untuk mengekstrak kunci kriptografi yang dapat digunakan untuk menguraikan data rahasia. Namun semua serangan ini juga menunjukkan keterbatasan, seperti kebutuhan untuk menempatkan perangkat sensor atau antena dalam jangkauan tertentu dari target dan bahkan biasanya hanya memulihkan perkiraan data target yang tidak lengkap.
Tidak sepenuhnya jelas apakah Wyden dan Brown memiliki alasan yang lebih mendesak untuk menyoroti risiko serangan saluran sampingan saat ini. Wyden khususnya memiliki sejarah dalam menyuarakan keprihatinan publik dengan istilah yang terkadang samar-samar yang didorong oleh pengetahuannya tentang informasi rahasia. Dalam pertukaran email dengan WIRED, senator menolak mengatakan apakah ada informasi rahasia yang menginspirasi suratnya.
Sebaliknya, ia menggambarkan seruannya untuk melakukan penyelidikan terhadap serangan saluran sampingan sebagai upaya untuk mencegah ancaman yang akan menjadi lebih praktis seiring dengan peningkatan metode pengawasan dan menjadi lebih mudah diakses oleh peretas. “Meskipun rata-rata orang Amerika tidak perlu khawatir tentang mata-mata Rusia atau Tiongkok yang parkir di luar rumah atau kantor mereka, perusahaan-perusahaan Amerika yang telah mengembangkan teknologi di bidang-bidang penting yang strategis jelas merupakan target spionase,” tulis Wyden dalam email.
“Teknologi pengawasan pada akhirnya mengalir dari badan-badan intelijen yang paling canggih, ke badan-badan intelijen di negara-negara kurang maju melalui tentara bayaran pengawasan, ke penegak hukum, dan akhirnya ke penyelidik swasta dan penjahat,” lanjut email Wyden. “Karena melindungi masyarakat terhadap metode pengawasan ini kemungkinan besar mengharuskan produsen ponsel dan komputer untuk mengubah desain produk mereka, perbaikannya akan memakan waktu bertahun-tahun. Para peneliti telah menunjukkan bahwa pengawasan ini dapat dilakukan dengan peralatan dan perangkat lunak yang tersedia dengan mudah.”
Namun para peneliti keamanan mengatakan bahwa serangan saluran sampingan sepertinya tidak seharusnya menjadi prioritas utama dalam daftar masalah privasi orang normal. “Yang bisa diambil dari surat ini adalah setiap aktivis tidak perlu membangun SCIF dan mulai mengkhawatirkan serangan saluran sampingan, karena menurut saya bukan itu masalahnya,” kata Cooper Quintin, peneliti keamanan di Lab Ancaman Electronic Frontier Foundation yang berfokus pada ancaman digital terhadap masyarakat sipil. “Serangan-serangan ini mungkin terjadi, namun secara teknis juga sangat sulit. Orang-orang yang perlu mengkhawatirkan hal ini adalah orang-orang yang berada dalam keamanan nasional atau yang bekerja di bidang yang menjadi perhatian spionase industri yang didukung negara internasional.”
Dalam beberapa hal, serangan saluran samping sudah lebih sulit untuk dilakukan dibandingkan tahun-tahun sebelumnya: Dorongan untuk menghemat masa pakai baterai pada ponsel dan laptop, misalnya, telah menghasilkan komponen komputer yang lebih efisien yang menggunakan lebih sedikit listrik dan dengan demikian mengirimkan lebih sedikit radiasi yang tidak disengaja, kata Samy Kamkar, seorang peretas terkenal yang berfokus pada serangan saluran samping dalam penelitian seperti a mikrofon laser yang dia buat untuk mendeteksi penekanan tombol komputer. “Produsen besar, seperti Apple dan Google, umumnya tidak terlalu bocor dalam hal pancaran elektromagnetik atau akustik,” kata Kamkar. Laporan baru dari Congressional Research Service mengenai serangan saluran samping juga menunjukkan bahwa semakin banyak komputasi yang terjadi di cloud, di dalam pusat data di mana calon mata-mata akan lebih sulit mendeteksi dan menguraikan pancaran data.
Namun pada saat yang sama, peningkatan kekuatan dan aksesibilitas alat AI yang dapat menemukan sinyal berarti dalam data yang berisik dapat membantu membuat serangan saluran samping lebih mudah dilakukan, kata Kamkar. Dan bahkan jika ponsel dan laptop tidak terlalu rentan terhadap teknik mata-mata tersebut, perangkat komputasi sistem kontrol industri atau perangkat rumah tangga “pintar” yang jumlahnya terus bertambah mulai dari speaker pintar hingga TV mungkin masih membocorkan rahasia, katanya.
Laporan Layanan Riset Kongres yang ditugaskan oleh Wyden dan Brown diakhiri dengan pertimbangan tentang bagaimana pemerintah AS dapat menekan perusahaan teknologi agar produk mereka tidak terlalu rentan terhadap serangan saluran sampingan. Komisi Komunikasi Federal, misalnya, dapat menggunakan peraturannya mengenai peralatan radio untuk menerapkan persyaratan keamanan. Komisi Perdagangan Federal juga dapat menentukan bahwa perusahaan teknologi yang membuat klaim keamanan tetapi tidak melindungi pengguna dari serangan seperti TEMPEST terlibat dalam “tindakan atau praktik yang tidak adil atau menipu,” catat laporan tersebut.
Pemerintah AS juga bisa dengan mudah membagikan lebih banyak informasi yang mereka ketahui tentang ancaman serangan saluran samping, seperti yang diserukan dalam surat Wyden dan Brown. Sampai saat itu tiba, kita semua mungkin hanya bisa menebak berapa banyak rahasia kita yang disiarkan secara diam-diam dari mesin kita kepada mata-mata mana pun yang memiliki keterampilan dan sumber daya untuk mendengarkan.
