Telset.id – Sebuah celah keamanan besar terungkap ketika dua peneliti keamanan menemukan bahwa San Francisco Police Department (SFPD) secara tidak sengaja membocorkan feed langsung dari lima drone pengawasnya ke internet publik. Temuan ini menimbulkan kekhawatiran serius tentang privasi warga dan pengawasan oleh aparat penegak hukum.
Peneliti keamanan Sam Curry dan Maik Robert menemukan bahwa SFPD menggunakan drone Skydio yang menyiarkan rekaman video real-time, termasuk gambar termal, data lokasi, serta nama dan alamat email pilot drone. Semua data ini dapat diakses oleh siapa saja yang menemukan alamat web publik tempat video tersebut dihosting.
“Ada kepercayaan tertentu yang diberikan kepada polisi untuk menggunakan alat ini dengan benar,” kata Curry kepada WIRED. “Ketika Anda menonton feed drone secara langsung, Anda bisa melihat puluhan apartemen berbeda, Anda bisa melihat polisi memperbesar gambar orang, Anda bisa melihat penangkapan. Fakta bahwa semua ini terekspos terasa seperti masalah besar dari perspektif privasi.”
Feed yang bocor tersebut menangkap dua kali penahanan paksa, kunjungan polisi ke sebuah apartemen di gedung bertingkat, pencarian di gang yang dihuni tunawisma, serta berbagai momen di mana polisi menggunakan drone untuk mengawasi individu, kendaraan, atau bangunan. Dalam satu video, drone mengikuti dua pria muda yang kemudian bermain basket di lapangan, dan drone pun pergi. Video lain menunjukkan drone mengawasi seorang pemuda yang duduk di atap gedung dengan headphone, lalu terbang menjauh.
Curry dan Robert menemukan celah ini setelah menggunakan alat GetAllURLs yang mengumpulkan semua alamat web yang diarsipkan untuk domain tertentu. Mereka meminta semua tautan Skydio dan segera menemukan feed drone polisi San Francisco. Dalam hitungan detik, mereka menyaksikan adegan seperti seorang pria dengan tangan terbungkus kain putih berdarah berbicara dengan polisi dan penahanan tersangka di pom bensin oleh sekelompok polisi berpakaian preman.
“Seperti, saya tidak berpikir ada alasan mengapa seseorang dari publik harus bisa menonton secara real-time saat seseorang ditangkap oleh polisi berpakaian preman,” ujar Robert.
Kebocoran ini bukan disebabkan oleh kesalahan Skydio, melainkan penyalahgunaan perangkat lunak Skydio oleh SFPD. Skydio memungkinkan pengguna membuat tautan yang dapat dibagikan ke video atau akses ke aliran data drone secara real-time, yang disebut ReadyLinks, dengan kemampuan untuk membatasi akses ke pengguna dengan kode otentikasi atau tanggal kedaluwarsa. Namun, seseorang dengan akses ke instance perangkat lunak Skydio milik SFPD tampaknya telah membuat tautan pada bulan Desember lalu ke feed lima drone tanpa memerlukan otentikasi dan dengan tanggal kedaluwarsa satu tahun penuh. Tautan itu kemudian ditambahkan ke koleksi sumber terbuka URL web yang diarsipkan yang dikenal sebagai AlienVault Open Threat Exchange, tempat Curry dan Robert menemukannya.
Dengan kata lain, tautan tersebut tampaknya telah mengekspos feed drone selama enam bulan pada saat itu, tanpa jaminan bahwa Curry dan Robert adalah satu-satunya yang menonton.
SFPD menanggapi dengan pernyataan yang menyebut alamat web video drone yang terekspos sebagai “tautan internal terbatas yang hanya untuk tujuan penegakan hukum SFPD,” dan bahwa tautan itu telah “diperoleh dan diakses secara tidak sah oleh individu tanpa otorisasi.” Curry dan Robert menunjukkan bahwa mereka tidak melewati keamanan atau otentikasi apa pun untuk mengakses aliran tersebut, yang merupakan definisi hukum umum dari “akses tidak sah.”
“Setelah mengetahui kerentanan tersebut, SFPD telah menerapkan protokol berbagi yang lebih ketat untuk memastikan individu yang tidak berwenang tidak akan dapat mengakses rekaman kami,” lanjut pernyataan itu. “Saat ini, kami tidak memiliki informasi bahwa individu lain mengakses feed drone langsung. Masalah ini masih dalam penyelidikan.”
Jay Stanley, analis kebijakan senior dengan ACLU Speech, Privacy, and Technology Project, mengatakan bahwa fakta bahwa begitu banyak rekaman drone San Francisco berpotensi terekspos secara online adalah “mengejutkan, tetapi tidak mengejutkan.” Video-video tersebut, katanya, menunjukkan mengapa para advokat privasi menganggap data pengawasan penegakan hukum sebagai “aset beracun” yang selalu berisiko mengalami pelanggaran keamanan, dan merekomendasikan untuk meminimalkan data dan video yang direkam dan disimpan dari penerbangan drone.
“Itu berarti tidak merekam saat Anda tidak perlu merekam,” kata Stanley.
Kebijakan drone SFPD menyatakan bahwa operator harus menjaga kamera tetap terarah ke area yang diperlukan untuk misi dan meminimalkan pengumpulan data yang tidak disengaja tentang orang atau tempat yang tidak terlibat. Kebijakan tersebut juga menginstruksikan operator untuk mengambil tindakan pencegahan yang wajar, termasuk memalingkan kamera, untuk menghindari perekaman atau transmisi gambar tempat-tempat di mana orang memiliki ekspektasi privasi yang wajar secara tidak sengaja.
Namun, feed Skydio yang terekspos yang ditinjau oleh WIRED menunjukkan misi penuh dari lepas landas hingga mendarat, tidak hanya menangkap penahanan dan pencarian, tetapi juga jalan-jalan, gedung apartemen, atap, mobil, halaman, dan pengamat yang tidak tampak sebagai subjek operasi polisi mana pun.
“Menonton video-video ini, itu hanya pengingat tentang betapa kuatnya teknologi ini, dan seberapa banyak kehidupan kota yang tersapu dalam video-video ini,” kata Stanley.
Potensi pelanggaran privasi berdasarkan pengumpulan video yang luas itu hanya menjadi lebih besar di era AI, catatnya. “Mungkin tidak ada manusia yang punya waktu untuk meneliti setiap bingkai dari video-video ini, tetapi AI bisa melakukannya, dan itu dapat diskalakan ke sejumlah besar video,” kata Stanley.
Setelah setiap misi, kebijakan SFPD menyatakan, rekaman drone harus ditinjau untuk nilai pembuktian dan diunggah ke database bukti digital departemen; rekaman tanpa nilai pembuktian harus dihapus dalam waktu 30 hari. Karena URL yang ditemukan Robert dan Curry membuat data drone real-time tersedia tetapi bukan data historis, tidak jelas apakah video yang terekspos melanggar kebijakan itu.
Curry dan Robert terkesan oleh fakta bahwa, dalam semua video yang mereka tonton, tidak ada yang pernah melihat ke atas ke arah drone atau berusaha bersembunyi darinya—mungkin bukti bahwa, mengingat ukuran dan ketinggiannya, kamera terbang hampir tidak terlihat oleh target pengawasan mereka.
“Anda hanya menonton dari atas, dan tidak ada yang sadar bahwa drone itu ada di sana,” kata Curry. “Rasanya agak menyeramkan.”
Curry mengatakan menonton video telah mengubah rasa privasinya sendiri saat berjalan di kota Amerika—atau, setidaknya, San Francisco. “Ini adalah pertama kalinya saya melihat drone digunakan di kota seperti ini, dan melihat jalan-jalan ini, itu adalah jalan yang sama yang saya lalui ketika saya berkunjung,” katanya. “Saya kira itu hanya membuat saya merasa lebih teramati.”
Insiden ini menjadi pengingat akan pentingnya keamanan data dan protokol privasi dalam penggunaan teknologi pengawasan oleh aparat penegak hukum. Sementara drone dapat menjadi alat yang efektif untuk misi penyelamatan dan penegakan hukum, kebocoran semacam ini menunjukkan risiko besar terhadap privasi warga jika tidak dikelola dengan benar.
Komentar
Belum ada komentar.