Kesalahan OPSEC

OPSEC (Keamanan Operasional) adalah praktik melindungi informasi dan perilaku yang dapat mengidentifikasi Anda. Alat yang paling kuat pun gagal ketika kebiasaan manusia membocorkan kenyataan.

Sejarah dipenuhi operator terampil yang tertangkap bukan karena kriptografi yang berhasil ditembus, melainkan karena satu kesalahan ceroboh. Pelajaran ini membahas kesalahan tersebut agar Anda dapat menghindarinya dalam pekerjaan yang berwenang.

Kesalahan klasik adalah menghubungkan persona anonim Anda dengan identitas asli Anda. Contohnya:

• Masuk ke email pribadi atau akun media sosial saat menggunakan Tor.
• Menggunakan kembali nama pengguna pada akun anonim dan akun asli.
• Mengakses situs pribadi dan situs terselubung dari sesi yang sama.

Satu kesamaan saja dapat membuat penyelidik menghubungkan semua petunjuk secara permanen.

File menyimpan metadata tersembunyi. Foto menyimpan koordinat GPS dan nomor seri kamera (EXIF). Dokumen menyimpan nama penulis, versi perangkat lunak, dan cap waktu.

Selalu hapus metadata sebelum membagikan apa pun dari identitas anonim.

Stilometri menganalisis gaya penulisan: kosakata, tanda baca, kesalahan ketik yang umum, dan pilihan frasa. Tulisan Anda dapat menjadi sidik jari yang menghubungkan Anda di berbagai akun, meskipun tidak ada hal lain yang mengaitkannya.

Para operator telah berhasil dianonimkan karena kiriman anonim mereka cocok dengan gaya khas tulisan publik mereka.

Waktu Anda aktif mengungkapkan banyak hal. Jika sebuah akun anonim hanya aktif secara daring pukul 09.00–17.00 di zona waktu tertentu, lokasi dan jadwal Anda menjadi lebih mudah dipersempit.

Mengorelasikan waktu aktivitas dengan individu yang telah diketahui merupakan teknik nyata untuk mengungkap anonimitas. Variasikan pola dan hindari menyelaraskan aktivitas anonim dengan rutinitas harian Anda.

Menggunakan kembali email, nomor telepon, server, kunci SSH, atau dompet Bitcoin yang sama dalam berbagai operasi akan menciptakan keterkaitan. Satu pengenal yang digunakan kembali dapat menghubungkan aktivitas yang dianggap terpisah.

Buat kompartemen: setiap identitas mendapatkan infrastrukturnya sendiri yang terisolasi dan tidak pernah bersentuhan dengan identitas lain.

Menganggap sebuah alat memiliki kemampuan yang melebihi kenyataannya merupakan hal yang berbahaya:

• Mengira VPN membuat Anda anonim (kepercayaan hanya dialihkan kepada penyedia).
• Menggunakan HTTP melalui simpul keluar Tor dan membocorkan kredensial.
• Menganggap mode 'penyamaran' atau 'penjelajahan pribadi' menyembunyikan Anda dari jaringan.

Pahami jaminan dan batasan setiap alat secara tepat.

Prinsip pertahanan intinya adalah pembuatan kompartemen: pisahkan identitas, perangkat, dan infrastruktur secara ketat agar pelanggaran pada satu bagian tidak merambat ke bagian lain.

Sistem operasi seperti Tails (tanpa penyimpanan riwayat, merutekan seluruh lalu lintas melalui Tor) dan Qubes OS (keamanan melalui VM yang terisolasi) dibuat khusus untuk menegakkan pemisahan ini.

Banyak operator tertangkap karena mereka berbicara: membual dalam obrolan, mencurahkan rahasia kepada teman yang kemudian menjadi informan, atau menyelipkan detail dunia nyata (landmark setempat, nama hewan peliharaan, atau sekolah).

Semakin banyak yang Anda katakan, semakin banyak data korelasi yang Anda ciptakan. Diam merupakan OPSEC yang kuat.

OPSEC yang baik dilakukan dengan sengaja, bukan secara spontan. Prosesnya:

• Identifikasi hal-hal yang harus Anda lindungi (identitas, lokasi, dan niat Anda).
• Analisis ancaman: siapa yang berusaha menemukan Anda dan seberapa mampu mereka?
• Nilai kerentanan dalam perilaku Anda saat ini.
• Terapkan tindakan pencegahan dan tinjau secara berkala.

Kedisiplinan mengalahkan alat apa pun jika berdiri sendiri.

Pengungkapan kasus terkenal menggemakan pelajaran-pelajaran ini. Para operator tertangkap karena mereka:

• Menggunakan kembali nama pengguna forum lama yang dapat dilacak hingga ke email pribadi.
• Mengunggah foto yang GPS EXIF-nya mengungkapkan rumah mereka.
• Masuk ke infrastruktur sekali tanpa lapisan anonimitas mereka.

Penyiapan teknisnya sering kali sangat baik; satu kesalahan manusia mengakhirinya. Pelajarilah kasus-kasus ini agar Anda memahami bagaimana kesalahan kecil dapat terakumulasi.

Anda telah mempelajari kesalahan OPSEC yang membongkar identitas seseorang:

• Mencampur identitas, serta menggunakan kembali nama pengguna atau infrastruktur.
• Membocorkan metadata, sehingga gaya penulisan dan pola waktu dapat dikenali.
• Memercayai alat melebihi jaminannya, serta melakukan kesalahan sosial atau membual.
• Pertahanan dilakukan melalui pembuatan kompartemen (Tails, Qubes) dan rencana OPSEC yang disusun dengan sengaja.

Bagian Anonimitas dan OPSEC ini telah selesai. Modul berikutnya: Penguasaan Kerangka Kerja Metasploit.