Android 16 dapat mengekspos alamat IP
- Membaca
- 2 mnt
- Kategori
- Aplikasi
Kerentanan kritis telah diidentifikasi(jendela baru) pada Android 16 yang memungkinkan aplikasi apa pun yang terinstal untuk melewati terowongan VPN perangkat, termasuk yang dikonfigurasi dengan sakelar pemutus bawaan Android. Ini berarti aplikasi dapat membocorkan alamat IP asli kepada pengembangnya.
Ini bukan isu Proton VPN. Isu ini memengaruhi semua aplikasi VPN.
Karena bug berada di dalam sistem operasi dasar Android, hanya Google yang dapat memperbaikinya. Google mengetahui isu tersebut, tetapi sayangnya mereka menganggapnya tidak cukup kritis untuk Buletin Keamanan Android(jendela baru) (perbaikan). Hingga saat ini, mereka telah menutup isu tersebut dengan status (Won’t fix/Infeasible status), tetapi diharapkan sikap mereka terkait hal ini akan berubah.
Menariknya, GrapheneOS(jendela baru), versi Android yang diperkuat dan tanpa Google yang dapat diinstal pada perangkat Pixel dan Motorola mendatang, telah memperbaiki isu QUIC(jendela baru). Hal ini menunjukkan bahwa isu tersebut sebenarnya dapat diselesaikan, dan tanggapan Google benar-benar tidak memadai.
Apa masalahnya?
Saat menggunakan VPN, semua lalu lintas internet harus melewati terowongan terenkripsi. Android bahkan memiliki pengaturan “sakelar pemutus” bawaan yang seharusnya memastikan tidak ada yang dapat melewati terowongan ini.
Bug ini disebabkan oleh cara Android menangani jenis koneksi internet tertentu yang disebut QUIC(jendela baru), yang digunakan oleh semakin banyak aplikasi dan situs web. Saat aplikasi menutup koneksi QUIC, aplikasi tersebut seharusnya mengirimkan pesan keluar ke server.
Namun, alih-alih mengirimkan pesan ini melalui terowongan VPN, Android mengirimkannya secara langsung melalui koneksi internet biasa (yaitu, di luar terowongan VPN), sehingga mengekspos alamat IP asli kepada siapa pun di pihak penerima. Aplikasi apa pun yang menggunakan koneksi QUIC dapat memicu hal ini, termasuk aplikasi terkenal yang sepenuhnya sah.
Risiko praktis terhadap privasi adalah pengembang aplikasi dapat melihat alamat IP asli, alih-alih alamat IP server VPN.
Apa yang dapat dilakukan untuk mengatasinya?
Keputusan Google untuk tidak memperbaiki masalah ini telah menuai kritik luas(jendela baru). Untuk saat ini, isu tersebut dapat dimitigasi dengan cara berikut:
1. Gunakan ADB
Masalah ini dapat diperbaiki menggunakan utilitas Android Debug Bridge(jendela baru) (ADB). Perbaikan ini akan tetap bertahan setelah booting ulang, tetapi mungkin akan diurungkan oleh pembaruan sistem. Jika hal ini terjadi, langkah-langkah tersebut perlu diulangi.
Namun, isu yang lebih besar bagi sebagian besar orang adalah bahwa ini merupakan tugas rumit yang hanya cocok bagi mereka yang memiliki latar belakang teknis yang kuat.
Setelah ADB disiapkan dan dikonfigurasi, jalankan:
adb shell device_config put tethering close_quic_connection -1
adb reboot
2. Bersikaplah selektif tentang aplikasi yang terinstal
Berkat kerentanan kritis ini, aplikasi apa pun dapat membocorkan alamat IP asli kepada pengembangnya. Oleh karena itu, cobalah untuk membatasi aplikasi yang terinstal di perangkat hanya pada aplikasi dengan pengembang tepercaya yang tidak akan menyalahgunakan informasi ini.
Memantau situasi
Google menyadari masalah ini dan diharapkan akan merespons desakan untuk memperbaikinya. Artikel ini akan diperbarui saat solusi telah tersedia.