Peneliti keamanan Smukx dari ZeroTrace Lab telah mengidentifikasi mekanisme pelacakan berbasis hardware yang tertanam dalam setiap instalasi Windows. Temuan ini mengungkapkan adanya Global Device Identifier (GDID), sebuah nilai 64-bit unik yang disimpan sebagai plaintext di dalam registry sistem. Berbeda dengan cookie atau identifikator berbasis akun, GDID bersifat persisten dan tetap melekat pada perangkat meskipun pengguna melakukan reinstallasi sistem operasi atau mengganti komponen hardware tertentu.
APA YANG TERJADI?
GDID merupakan pengidentifikasi perangkat yang dihasilkan oleh Microsoft selama proses instalasi Windows dan kemudian disimpan di lokasi registry yang dapat diakses oleh proses dengan hak akses standar. Smukx menemukan bahwa nilai ini tidak dienkripsi, tidak dihash, dan tidak dilindungi oleh mekanisme access control yang signifikan. Akibatnya, setiap aplikasi yang berjalan pada mesin Windows dapat membaca GDID tanpa memerlukan hak akses admin. Karena nilai ini unik secara global dan persisten, GDID memungkinkan vendor perangkat lunak, pengiklan, atau bahkan malware untuk melakukan fingerprinting perangkat dengan akurasi tinggi.
DETAIL TEKNIS
GDID disimpan sebagai nilai REG_QWORD di dalam registry tree sistem, tepatnya di bawah hive yang berkaitan dengan konfigurasi perangkat. Struktur 64-bit ini dihasilkan dari entropi hardware dan metadata instalasi, sehingga kemungkinan collision antar perangkat sangat rendah. Karena disimpan sebagai plaintext, nilai ini dapat dibaca melalui API registry standar seperti RegQueryValueEx tanpa elevated privilege. Lebih mengkhawatirkan, GDID tidak ter-reset selama proses upgrade Windows, reinstallasi bersih, atau bahkan penggantian komponen seperti kartu jaringan. Hanya penggantian motherboard atau intervensi manual pada registry yang dapat mengubah nilai ini, menjadikannya mekanisme pelacakan yang jauh lebih persisten dibandingkan traditional cookies atau device tokens.
DAMPAK TERHADAP INDONESIA
Indonesia memiliki populasi pengguna Windows yang sangat besar, baik di sektor korporasi maupun individu, dengan tingkat literasi keamanan digital yang masih bervariasi. UU PDP yang mulai berlaku secara penuh mengharuskan pengumpul data untuk memperoleh persetujuan pengguna dan melindungi identitas digital mereka. Namun, keberadaan GDID yang tidak transparan menyiratkan bahwa Microsoft telah mengumpulkan dan membagikan identitas perangkat tanpa memperoleh informed consent yang memadai dari pengguna Indonesia. Aplikasi pihak ketiga yang disebarkan melalui platform distribusi lokal maupun internasional dapat memanfaatkan GDID untuk melacak perilaku pengguna lintas aplikasi dan lintas sesi, praktik yang bertentangan dengan prinsip purpose limitation dalam UU PDP. Selain itu, infrastruktur forensik siber nasional yang dikelola oleh BSSN perlu memahami mekanisme ini agar investigasi kasus pelanggaran data tidak salah mengidentifikasi bukti pelacakan sebagai artefak benign.
REKOMENDASI MITIGASI
Pengguna yang prihatin dengan privasi dapat memeriksa keberadaan GDID pada sistem mereka melalui Registry Editor dan mempertimbangkan penghapusan nilai tersebut setiap kali melakukan instalasi ulang. Namun, tindakan ini bersifat reaktif dan tidak dapat mencegah regenerasi GDID selama proses aktivasi Windows. Organisasi perlu menerapkan kebijakan endpoint management yang membatasi akses aplikasi tidak dikenal ke registry sistem, khususnya melalui AppLocker atau Windows Defender Application Control (WDAC). Dari sisi regulasi, Kominfo dan BSSN perlu mengeluarkan arahan teknis mengenai identifikasi pelacakan tingkat perangkat (device-level fingerprinting) sebagai bagian dari audit kepatuhan UU PDP. Selain itu, penggunaan virtualisasi desktop atau containerized browsing dapat meminimalkan eksposur GDID terhadap aplikasi tidak dipercaya.
Analisa Retasan
Mekanisme GDID menggambarkan trade-off fundamental antara kemudahan lisensi perangkat lunak dan pelanggaran privasi pengguna. Dari sudut pandang teknis, penggunaan nilai 64-bit yang disimpan sebagai plaintext di registry merupakan keputusan desain yang dapat dianggap negligent mengingat tingkat sensitivitas identitas perangkat dalam era post-GDPR dan post-UU PDP. Microsoft seharusnya mengimplementasikan mekanisme rotasi nilai, enkripsi berbasis TPM, atau setidaknya pembatasan akses melalui ACL yang memerlukan elevated privilege. Ketiadaan proteksi ini mengindikasikan bahwa GDID dirancang sebagai telemetry identifier bagi ekosistem Microsoft, bukan sebagai artefak yang melindungi pengguna. Implikasinya, setiap aplikasi berbahaya atau potentially unwanted application (PUA) yang berhasil dieksekusi pada mesin target dapat segera memperoleh canonical identifier yang persisten, memudahkan pelaku ancaman untuk melakukan cross-device tracking dan korelasi aktivitas pengguna.
Temuan ini berada dalam konteks yang lebih luas mengenai abuse unique identifiers pada sistem operasi. Pada tahun 2022, peneliti telah mengungkapkan bahwa Android Advertising ID (AAID) dan Apple Identifier for Advertisers (IDFA) dapat disalahgunakan untuk pelacakan lintas platform. GDID berbeda karena tidak terbatas pada ekosistem aplikasi; ia berada di tingkat sistem operasi dan tidak dapat dihapus oleh pengguna biasa tanpa pengetahuan teknis mendalam. Seperti MAC address randomization yang diperkenalkan untuk mengatasi pelacakan jaringan, Microsoft seharusnya mengadopsi prinsip privacy-by-design melalui identifier virtualization atau differential privacy. Sejarah menunjukkan bahwa vendor besar sering kali baru bertindak setelah tekanan regulasi atau publik, seperti yang terjadi pada kasus SuperCookie Verizon dan X-UIDH header beberapa tahun silam.
Untuk Indonesia, eksistensi GDID menimbulkan tantangan tersendiri dalam penegakan UU PDP dan pengawasan ekosistem digital. Banyak perusahaan teknologi asing memperlakukan Indonesia sebagai pasar sekunder di mana standar privasi yang diterapkan lebih longgar dibandingkan dengan Uni Eropa. Keberadaan identifier persisten pada sistem operasi yang dominan di pasar lokal membuka celah bagi eksfiltrasi metadata perangkat tanpa persetujuan eksplisit. BNSS dan Kementerian Kominfo perlu memperkuat kerangka audit keamanan perangkat lunak dengan fokus pada opaque identifiers dan telemetry channels. Dalam jangka panjang, Indonesia perlu mengembangkan kemampuan reverse engineering dan vulnerability research mandiri untuk mengungkap mekanisme serupa pada produk teknologi yang digunakan secara massal, mengurangi ketergantungan pada temuan peneliti internasional dan mempercepat respons mitigasi domestik.
Sumber: Baca selengkapnya
