Bye-bye Bug Lawas! Celah Keamanan Internet 23 Tahun Akhirnya Ditambal

Table of Contents

Ada kabar baik buat kamu yang peduli sama privasi pas lagi browsing di internet. Salah satu “bug” atau celah keamanan lawas yang sudah eksis selama 23 tahun akhirnya resmi ditutup. Celah ini lumayan bikin risih karena memungkinkan situs web tertentu buat ngintip riwayat browsing kita.

Siapa yang nutup celah ini? Ternyata Google, lewat browser andalannya, Chrome. Kerentanan ini, yang dikenal sebagai browser history sniffing, memanfaatkan fitur simpel banget: perubahan warna tautan atau link yang sudah pernah dikunjungi.

Gimana Sih Caranya Bug Ini Bekerja?¶

Begini lho, secara default, kalau kamu klik sebuah link di suatu halaman web, warnanya kan biasanya berubah? Misalnya, dari biru jadi ungu atau warna lain yang udah diatur sama si pemilik situs. Nah, fitur visual sederhana ini ternyata punya celah serius.

Situs-situs nakal atau yang punya niat kurang baik bisa memanfaatkan perubahan warna itu. Mereka bisa ngecek apakah sebuah link ke situs lain (yang sebenarnya nggak ada hubungannya sama situs yang lagi kamu buka) udah berubah warna atau belum. Kalau warnanya udah berubah, itu artinya kamu pernah mengunjungi link atau situs tujuan tersebut. Simpel tapi licik, kan?

Bayangin, kamu lagi buka situs A, terus ada link ke situs B. Orang yang bikin situs A bisa aja pasang kode khusus buat ngecek warna link ke situs B itu. Kalau warnanya udah beda dari warna link yang belum dikunjungi, mereka tahu kamu pernah mampir ke situs B.

Teknik ini sebenernya udah ada sejak lama banget, bahkan sebelum sebagian besar dari kita mungkin kenal internet. Di awal tahun 2000-an, peneliti keamanan udah nemuin dan ngasih tahu soal potensi penyalahgunaan ini. Salah satunya Andrew Clover dan timnya dari Princeton University yang nulis makalah tentang “Timing Attacks on Web Privacy” di tahun 2002.

Disebut timing attack karena dulu, selain dari warna, situs nakal juga bisa ngira-ngira kamu pernah mengunjungi sebuah link atau nggak dengan cara ngukur waktu rendering-nya. Browser kadang butuh sedikit lebih banyak waktu buat menggambar ulang elemen halaman, termasuk link yang udah dikunjungi, terutama kalau dikombinasikan sama pengaturan style tertentu di CSS (Cascading Style Sheets) yang mengatur tampilan halaman web. Bedanya waktu ini tipis banget, cuma milidetik, tapi cukup buat dideteksi sama kode jahat.

Potensi Ancaman terhadap Privasi¶

Sekilas kedengarannya sepele ya, cuma ngecek warna link doang. Tapi dampaknya buat privasi itu lumayan loh. Coba pikirin, kalau kamu sering mengunjungi situs-situs yang berkaitan sama topik sensitif, misalnya:

• Situs kesehatan (penyakit tertentu, mental health)
• Situs keuangan (investasi, pinjaman online)
• Situs berita tentang topik kontroversial
• Situs hobi atau minat pribadi yang mungkin nggak mau kamu bagi-bagi

Situs nakal itu bisa aja punya daftar ribuan atau bahkan jutaan link ke situs-situs lain yang sensitif. Dengan teknik history sniffing ini, mereka bisa ngecek satu per satu link di daftar mereka itu. Kalau banyak link yang warnanya berubah, mereka bisa bikin semacam “profil” tentang kamu.

Mereka bisa nebak minat kamu, masalah yang lagi kamu hadapi, atau bahkan kondisi kesehatan kamu. Dan ini semua dilakukan tanpa izin atau sepengetahuan kamu secara langsung. Data ini bisa aja dijual ke pihak ketiga buat kepentingan iklan bertarget yang super spesifik (dan creepy), atau bahkan disalahgunakan buat hal lain.

Meskipun beberapa langkah pencegahan udah dicoba sejak tahun 2010, teknik buat ngintip warna link ini tetep aja bisa dikembangin lagi sama pihak nggak bertanggung jawab. Ini kayak kucing-kucingan antara pengembang browser dan para penyerang.

Solusi dari Google: Chrome 136¶

Nah, setelah bertahun-tahun, akhirnya Google ambil langkah serius. Celah privasi browser history sniffing ini ditambal lewat pembaruan Chrome versi 136. Ini langkah yang lumayan besar karena menurut Google, ini menjadikan Chrome sebagai browser utama pertama yang benar-benar efektif menonaktifkan teknik history sniffing ini.

Update Chrome 136 ini sendiri saat artikel ini ditulis (Senin, 21 April 2025), masih tersedia di jalur Beta. Tapi Google kabarnya berencana merilis versi stabilnya mulai tanggal 23 April 2025. Jadi, buat kamu pengguna Chrome, siap-siap aja browser kamu bakal update otomatis dalam waktu dekat dan kamu akan dapetin perlindungan ekstra dari bug lawas ini.

Apa yang Baru di Chrome 136? Konsep “Partitioned” History¶

Jadi, apa sih yang bikin Chrome 136 bisa nutup celah ini? Menurut penjelasan Kyra Seevers, salah satu software engineer Google di blog resmi Chrome, akar masalahnya ada di cara browser menyimpan status “sudah dikunjungi” buat setiap link. Status ini disimpan secara “unpartitioned”, artinya nggak dipisah-pisah berdasarkan asal situsnya.

Gampangnya gini: bayangin kamu punya satu buku catatan besar yang nyatet semua link yang pernah kamu klik di seluruh internet. Situs A bisa ngintip buku catatan itu, situs B juga bisa ngintip buku catatan yang sama. Jadi, kalau kamu ngeklik link ke situs C dari situs A, situs B bisa ngecek buku catatan itu dan tahu kamu pernah mengunjungi situs C, meskipun situs B nggak ada hubungannya sama sekali sama situs A atau situs C.

Di Chrome 136, Google ngenalin pendekatan baru yang namanya “partitioned visited link history”. Ganti buku catatan besar tadi, sekarang browser bikin “buku catatan” terpisah atau tersegmentasi. Status link “sudah dikunjungi” nggak lagi disimpan secara global.

Bagaimana cara pemisahannya? Status itu sekarang “diikat” atau dikaitkan sama tiga hal:

1. URL Tautan: Alamat lengkap link yang dikunjungi.
2. Domain Situs Utama (Top-Level Domain): Alamat situs yang sedang kamu buka saat ngeklik link itu.
3. Asal Bingkai (Frame Origin): Kalau link-nya ada di dalam frame (elemen halaman web yang bisa menampilkan konten dari sumber lain), asal frame-nya juga dicatat.

Dengan sistem ini, informasi apakah suatu link pernah dikunjungi hanya bisa diakses dalam konteks situs atau frame yang sama. Jadi, kalau kamu klik link ke Situs B dari Situs A, status “sudah dikunjungi” buat link itu cuma relevan dan cuma bisa dilihat kalau kamu lagi ada di Situs A lagi, atau kalau link itu muncul lagi dalam konteks Situs A.

Situs C (yang nggak ada hubungannya sama Situs A atau Situs B) nggak akan bisa lagi ngecek status link ke Situs B di “buku catatan” mereka, karena status itu terpartition atau terpisah di buku catatan khusus Situs A.

Visualisasi Perbedaannya¶

Mungkin gampangnya bisa digambar gini:

Dulu (Sebelum Chrome 136): Global History

mermaid graph LR A[Situs A] -- Klik Link ke B --> B[Situs B] B -- Dicatat di --> C(Global Visited History Database) D[Situs D] -- Cek status Link B dari C --> E{Tahu B Pernah Dikunjungi}

Sekarang (Mulai Chrome 136): Partitioned History

mermaid graph LR A[Situs A] -- Klik Link ke B --> B[Situs B] A -- Dicatat di --> C(Visited History Database - Konteks Situs A) D[Situs D] -- Cek status Link B --> F{Tidak Tahu, Karena Status Ada di Konteks Situs A}

Jadi, bisa dilihat kan bedanya? Dulu satu database buat semua, sekarang database-nya dipisah-pisah berdasarkan konteks situs. Ini bikin situs nakal nggak bisa sembarangan ngintip riwayat browsing kamu di situs-situs lain yang nggak berhubungan.

Kenapa Butuh Waktu Sampai 23 Tahun?¶

Mungkin kamu bertanya-tanya, kenapa bug sesimpel (kelihatan) ini butuh waktu puluhan tahun buat ditambal? Ada beberapa alasan kompleks yang terlibat:

1. Keseimbangan antara Fitur dan Privasi: Perubahan warna link adalah fitur yang bermanfaat buat pengguna. Ini ngasih tahu kita link mana aja yang udah pernah kita buka. Menghilangkan fitur ini sepenuhnya akan mengganggu user experience. Jadi, solusinya harus bisa melindungi privasi tanpa menghilangkan fitur visualnya sama sekali atau setidaknya meminimalkan dampaknya.
2. Standar Web: CSS dan cara browser merender halaman web diatur oleh standar web internasional. Mengubah cara kerja elemen dasar seperti :visited pseudo-class membutuhkan diskusi panjang dan persetujuan di antara para pengembang browser dan badan standar web. Ini bukan keputusan sepihak yang bisa diambil Google begitu saja (meskipun Chrome punya pengaruh besar).
3. Kompatibilitas: Setiap browser punya implementasi rendering yang sedikit berbeda. Menemukan solusi yang efektif di Chrome, Firefox, Safari, Edge, dan browser lainnya butuh koordinasi. Meskipun Chrome yang pertama kali menerapkan solusi partitioned ini secara menyeluruh, browser lain juga mungkin punya mitigasi sendiri atau akan mengadopsi pendekatan serupa.
4. Evolusi Teknik Serangan: Seperti yang dibilang tadi, teknik history sniffing ini terus berevolusi. Awalnya mungkin cuma cek warna standar, lalu berkembang ke timing attack atau kombinasi dengan trik CSS lainnya. Para pengembang browser harus terus mengikuti dan menemukan solusi yang tahan banting terhadap berbagai variasi serangan.
5. Prioritas: Ada banyak celah keamanan dan masalah privasi lain di web yang juga perlu ditangani. Mungkin celah ini, meskipun sudah lama diketahui, dianggap punya prioritas yang lebih rendah dibandingkan kerentanan yang bisa langsung dieksploitasi untuk mencuri kata sandi atau menyebarkan malware.

Menemukan dan mengimplementasikan solusi seperti “partitioned visited link history” adalah upaya teknis yang kompleks dan membutuhkan pengujian mendalam buat memastikan nggak ada efek samping yang nggak diinginkan pada website yang sah.

Apa Artinya Buat Kamu?¶

Dengan ditambalnya celah ini di Chrome 136, riwayat browsing kamu jadi lebih terlindungi dari teknik history sniffing via warna link. Situs web nggak bisa lagi seenaknya ngintip ke mana aja kamu pergi di internet cuma dengan modal ngecek warna tautan. Ini adalah kemenangan kecil (tapi penting) dalam pertempuran menjaga privasi online.

Meskipun satu celah ditutup, perlu diingat bahwa upaya pelacakan online itu sangat canggih. Ada banyak metode lain yang digunakan situs web dan pengiklan buat ngumpulin data tentang kamu, seperti cookies, fingerprinting browser, atau ngumpulin data dari interaksi kamu di media sosial dan platform lain.

Tapi, setiap langkah buat menutup celah privasi, sekecil apapun kelihatannya, itu penting. Ini ngasih kita kontrol yang lebih besar atas informasi pribadi kita saat browsing.

Kalau kamu pakai Google Chrome, pastikan browser kamu selalu update ke versi terbaru. Update ke Chrome 136 bakal datang otomatis kok dalam beberapa hari ke depan buat versi stabilnya, jadi kamu nggak perlu ngapa-ngapain lagi buat dapetin perlindungan ini.

Ini bukti bahwa menjaga keamanan dan privasi di internet itu adalah proses yang berkelanjutan. Pengembang browser terus bekerja keras buat nutup celah-celah yang ada, dan kita sebagai pengguna juga perlu terus waspada dan ngikutin perkembangan terbaru soal keamanan digital.

Gimana pendapat kamu soal bug 23 tahun ini yang baru ditambal? Pernah kepikiran nggak kalau fitur simpel kayak warna link bisa dimanfaatkan buat ngintip privasi? Yuk, share di kolom komentar!