Fitur Recall dari Microsoft, yang tadinya direncanakan sebagai mata-mata AI yang mengintip setiap gerakan di layar PC, langsung dicap sebagai “bencana” dan “mimpi buruk privasi” sebelum sempat diluncurkan. Setelah setahun di-tweak dan dipermak demi keamanan—plus sedikit malu—fitur ini kembali hadir, masih dengan aroma yang sama: kerentanan keamanan dan privasi yang menggelitik.
Seorang pakar keamanan siber bernama Alexander Hagenah berhasil menciptakan TotalRecall Reloaded, sebuah alat yang mampu mengekstrak dan menampilkan data dari fitur Recall. Ini adalah pembaruan dari alat TotalRecall sebelumnya yang sudah membuktikan celah keamanan di versi awal Recall, bahkan sebelum Microsoft repot-repot mendesain ulang.
Fokus utama desain ulang Microsoft adalah menciptakan vault yang aman untuk data Recall, dengan otentikasi Windows Hello dan lingkungan aman melalui Virtualization-based Security Enclave. Agar bisa merekam snapshot atau mengakses data, pengguna wajib otentikasi pakai wajah atau sidik jari. Microsoft mengklaim ini “membatasi upaya malware laten yang mencoba ‘menumpang’ otentikasi pengguna untuk mencuri data,” sebagaimana mereka sampaikan di blog mereka September lalu. Lucu sekali, bukan?
“Penelitian saya menunjukkan vault-nya ada, tapi batas keamanannya terlalu pendek,” ujar Hagenah. “TotalRecall Reloaded justru membuat ‘malware laten’ itu bisa menumpang.” Alat ini bisa berjalan senyap di latar belakang, memicu timeline Recall, dan memaksa pengguna melakukan otentikasi via Windows Hello. Begitu otentikasi sukses, TotalRecall Reloaded bisa menguras habis semua data yang pernah ditangkap Windows Recall. “Ini persis skenario yang seharusnya dibatasi arsitektur Microsoft,” tambah Hagenah.
The Vault is Real, But the Door is Unlocked
Data yang disimpan Recall bukan sekadar tangkapan layar. Ada juga riwayat teks yang muncul di layar, pesan, email, dokumen, riwayat penjelajahan, dan seabrek informasi sensitif lainnya. Perubahan keamanan Recall ini datang berbulan-bulan setelah CEO Satya Nadella sendiri mengingatkan karyawannya, “Jika dihadapkan pada pertukaran antara keamanan dan prioritas lain, jawaban Anda jelas: Utamakan keamanan.” Ironisnya, kebijakan itu seolah dilupakan saat merancang fitur yang justru menjadi target empuk.
Hagenah sudah melaporkan temuannya kepada Microsoft bulan lalu, namun responsnya dingin: laporan ditutup, tidak ada celah keamanan yang ditemukan. “Kami menghargai Alexander Hagenah karena telah melaporkan isu ini. Setelah investigasi mendalam, kami menyimpulkan pola akses yang ditunjukkan konsisten dengan perlindungan yang dimaksud dan kontrol yang ada, serta tidak mewakili celah keamanan atau akses data yang tidak sah,” kata David Weston, wakil presiden korporat Microsoft Security. “Periode otorisasi memiliki batas waktu dan perlindungan anti-hammering yang membatasi dampak kueri berbahaya.” Tampaknya, definisi “berbahaya” versi Microsoft dan pakar keamanan berbeda tipis.
Namun, dalam percakapannya dengan The Verge, Hagenah membantah klaim Microsoft soal batas waktu otorisasi. “Saya bisa melakukan kueri ulang data, dan itulah yang saya lakukan di alat saya—untuk melewatinya. Batas waktu itu sudah tidak berlaku,” tegas Hagenah. “Masalah terbesar saya tetaplah pernyataan resmi mereka bahwa enclave mencegah ‘malware laten menumpang’, padahal jelas-jelas tidak.” Agaknya, Microsoft lebih percaya pada kata-kata sendiri daripada bukti empiris.
Bukan hanya itu, TotalRecall Reloaded juga mampu mengekstrak tangkapan layar Recall terbaru tanpa otentikasi Windows Hello, atau bahkan menghapus seluruh riwayat tangkapan data. Tapi jangan lupa, jenis malware yang dibicarakan Hagenah sudah bisa saja diam-diam mengambil tangkapan layar di latar belakang, terlepas dari ada atau tidaknya fitur Windows Recall.
The Windows Way: Flexibility is a Double-Edged Sword
Microsoft bersikukuh tidak melihat adanya kerentanan karena ini adalah perilaku standar Windows. Proses di user-mode memang punya kemampuan menyuntikkan kode ke dirinya sendiri, yang seringkali merupakan perilaku legal dan normal di Windows. Namun, fleksibilitas inilah yang membuka pintu lebar-lebar untuk penyalahgunaan.
Bayangkan infostealer malware sejenis bisa diam-diam mencuri data 1Password atau riwayat penjelajahan Anda, asalkan tidak terdeteksi oleh berbagai alat keamanan Windows lainnya. Yang jadi masalah utama, Recall menyimpan data jauh lebih sensitif daripada sekadar kata sandi atau riwayat penjelajahan. Dan ingat janji awal Microsoft bahwa Recall akan menjadi benteng pertahanan terhadap malware yang berkeliaran di latar belakang?
Meskipun begitu, patut diakui, Microsoft tidak sepenuhnya gagal dalam desain ulang Recall. “VBS enclave-nya kokoh tak tergoyahkan,” puji Hagenah. “Model otentikasinya juga stateless dan bebas race condition (ribuan percobaan, nol bypass).” Namun, Hagenah merasa Microsoft seharusnya dan bisa melangkah lebih jauh demi memenuhi tujuan desain keamanannya. “Masalah fundamentalnya bukan pada enkripsi, enclave, otentikasi, atau PPL,” ia menambahkan. “Ini soal mengirimkan konten yang sudah didekripsi ke proses yang tidak terlindungi untuk dirender. Pintu brankasnya titanium, tapi dinding di sebelahnya cuma gipsum.” Sungguh metafora yang menggugah selera tentang kelemahan yang sepele namun fatal.
