Anda mengunduh aplikasi untuk memeriksa jadwal penerapan atau tarif perumahan dasar. Anda percaya ini aman karena dipasarkan khusus untuk Anda, komunitas militer. Kepercayaan itu salah tempat.
Sebuah studi baru mengungkap kenyataan suram. Lebih dari 12% aplikasi yang dijual kepada tentara AS berisi perangkat lunak yang dibuat di Tiongkok, Rusia, atau negara musuh lainnya. Ini bukan hanya gangguan privasi. Ini adalah kebocoran keamanan.
Kodenya tersembunyi. Itu dapat mengumpulkan data tentang tempat tinggal anggota layanan. Tempat mereka bekerja. Saat mereka menyebar.
Skala Masalah
Para peneliti dari Universitas Purdue, West Point, dan Universitas Internasional Florida menggali 220 aplikasi bertema militer. Mereka menariknya dari Google Play Store dan subreddit militer swasta.
Hasilnya sangat mencolok. Hampir dua pertiganya berisi Perangkat Pengembangan Perangkat Lunak (SDK) pihak ketiga. Ini adalah komponen kode bawaan. Mereka menangani analitik dan periklanan. Namun mereka juga melacak lokasi dan perilaku pengguna.
Kami berharap penelitian ini membantu personel yang berafiliasi dengan militer… membuat keputusan privasi yang lebih tepat.
— Joshua Shinkle, penulis utama
Lebih dari satu dari delapan aplikasi memiliki kode yang ditautkan ke perusahaan di Tiongkok atau Rusia.
Salah satu aplikasi populer untuk menilai kondisi kehidupan termasuk perangkat lunak dari Huawei. Regulator AS menandai Huawei sebagai ancaman keamanan nasional pada tahun 2020. Aplikasi lain berisi kode dari perusahaan Rusia. Aplikasi ini mengintegrasikan Yandex, layanan iklan Rusia.
Empat puluh persen dari aplikasi ini mengumpulkan atau membagikan lebih banyak data daripada yang diakui oleh listingan toko mereka. Kesenjangan antara pengungkapan dan praktik nyata merupakan sumber bahayanya.
Bagaimana SDK Asing Mengancam Keamanan Pasukan
Ini bukan teori. Taruhannya nyata dan langsung terjadi.
Broker data komersial melacak orang Amerika secara online. Mereka tidak selalu membedakan antara warga sipil dan personel militer kecuali jika ditentukan oleh keuntungan. Tapi paparannya bisa mematikan.
Data dari aplikasi biasa dapat melacak anggota layanan ke:
- Rumah pribadi mereka
- Sekolah anak-anak mereka
- Tempat-tempat di luar pangkalan yang dilarang untuk dikunjungi
Para ahli memperingatkan bahwa data ini membantu mata-mata asing mengidentifikasi personel yang memiliki akses ke wilayah sensitif. Ini memetakan kapan suatu fasilitas paling tidak dijaga. Ini memunculkan detail-detail yang membahayakan yang dapat digunakan untuk perekrutan, pemerasan, atau sabotase.
Pada bulan April, Komando Pusat AS mengkonfirmasi dugaan Pentagon selama bertahun-tahun. Musuh sudah menggunakan data lokasi komersial ini untuk mengawasi personel AS di Timur Tengah. Ini termasuk pasukan yang ditempatkan di dekat militer Iran di Selat Hormuz.
Masalah Inti Huawei HMS
Studi ini menemukan HMS Core, perangkat lunak Huawei, di dua belas aplikasi berbeda. Beberapa di antaranya dibangun untuk organisasi Garda Nasional negara bagian.
HMS Core mengiklankan kemampuan untuk:
- Memetakan lokasi pengguna
- Tayangkan iklan bertarget
- Simpan gambar dan video
Tidak ada bukti yang menunjukkan bahwa data saat ini mengalir ke server Huawei dalam kumpulan aplikasi tertentu. Namun SDK dapat diperbarui dari jarak jauh. Kode yang tidak aktif saat ini dapat berubah menjadi spyware besok.
Dalam satu kasus, kode Huawei memasuki aplikasi tanpa sepengetahuan pengembangnya. Itu diselundupkan sebagai ketergantungan dalam alat notifikasi komersial. Bagaimana cara sampai ke sana? Mungkin karena pengembang mempercayai perpustakaan pihak ketiga tanpa mengaudit sumbernya.
Tujuh puluh enam sumber kode pihak ketiga yang berbeda ditemukan. Hal ini dapat ditelusuri hingga ke Israel, India, Jerman, dan negara-negara lain. Sekitar 7% aplikasi membawa kode dari negara-negara yang secara eksplisit diberi label oleh Pentagon sebagai musuh.
Mengapa Pengguna Tidak Dapat Melindungi Diri Sendiri
Para peneliti mensurvei 103 individu yang berafiliasi dengan militer. Ini termasuk tugas aktif, cadangan, veteran, warga sipil Departemen Pertahanan, dan keluarga mereka.
Hasilnya menunjukkan kegagalan transparansi yang sistemik.
- 83% menggunakan setidaknya satu aplikasi dengan praktik data yang tidak nyaman.
- Peserta menggunakan rata-rata tiga aplikasi tersebut.
- Antara 76% dan 83% merasa sangat tidak nyaman dengan aplikasi yang berisi kode dari Rusia, Tiongkok, Iran, atau Korea Utara.
Namun, tidak ada pengguna yang memiliki cara sederhana untuk mengetahui apakah aplikasi mereka membawa kode ini.
Baik bagian Keamanan Data Google Play Store maupun Label Privasi Apple App Store tidak mengungkapkan negara asal perangkat lunak yang berjalan di dalam suatu aplikasi. Anda dapat melihat data apa yang dikumpulkan, tetapi Anda tidak dapat melihat siapa yang membuat alat yang mengumpulkannya.
Pengguna melaporkan merasa lebih nyaman dengan pengumpulan data jika aplikasi tersebut diberi merek untuk penggunaan militer. Branding menciptakan kepercayaan. Kepercayaan itu dieksploitasi.
Panduan Kelembagaan Tidak Ada
Hampir dua pertiga peserta mengatakan mereka menerima sedikit atau bahkan tidak menerima sama sekali panduan mengenai penggunaan aplikasi pribadi dari militer. Dari mereka yang menerima panduan, hampir tiga perempatnya menyatakan bahwa panduan tersebut tidak memadai.
Pentagon menolak mengomentari temuan tersebut.
Jadi apa yang bisa dilakukan? Peserta diminta untuk mempertimbangkan potensi mitigasi.
Mereka menilai peringatan di telepon sebagai solusi paling efektif. Bayangkan sebuah sistem peringatan yang memberi tahu Anda ketika aplikasi yang diinstal berisi kode pihak ketiga yang asing atau tidak dikenal. Pengguna mengatakan mereka mungkin akan mendukung hal ini.
Langkah-langkah lain yang disarankan termasuk:
- Undang-undang federal membatasi perantara data untuk menjual data personel militer
- Audit independen atas pengungkapan privasi aplikasi
- Larangan lebih ketat terhadap kode asing di aplikasi pemasaran militer
Langkah-langkah ini mendapat dukungan yang hampir sama dari kelompok yang disurvei.
Industri periklanan memperlakukan pengguna militer dan warga sipil dengan cara yang sama. Keuntungan adalah satu-satunya pembeda. Hingga platform dan pengembang dipaksa untuk mengungkapkan asal kode yang mereka kirimkan, anggota layanan akan tetap terekspos.
Kodenya ada di sana. Tinggal menunggu update jarak jauh.
