Kini, makin banyak komunikasi paling kritis kami yang dilakukan melalui panggilan video daring. Namun, kemajuan terkini dalam teknologi AI dan penggalian data telah menempatkan panggilan ini pada risiko eksploitasi dan penyalahgunaan yang tinggi.
Banyak layanan konferensi video didorong oleh model periklanan atau persaingan AI untuk merekam, mentranskripsikan, dan menyimpan data rapat sebanyak mungkin. Perusahaan Big Tech ini sekarang dapat dengan murah menerapkan AI generatif untuk menganalisis dan mempelajari semua hal yang dikatakan dan dipresentasikan dalam rapat kami.
Di era AI, konferensi video yang tidak terenkripsi mengancam kebebasan individu dan keamanan organisasi. Itulah sebabnya Proton Meet dibangun: untuk menghadirkan pengalaman kelas enterprise yang sebanding dengan Zoom, Google Meet, dan Microsoft Teams, sekaligus melindungi setiap panggilan dengan enkripsi end-to-end yang selalu aktif. Dengan Proton Meet, tidak ada siapa pun — bahkan kami sekalipun — yang dapat menguping panggilan.
Seperti semua layanan Proton, Proton Meet menawarkan paket gratis yang andal karena kami percaya semua orang berhak atas kebebasan dan privasi, terlepas dari kemampuan mereka untuk membayarnya.
Masalah keamanan pada solusi rapat yang ada
Di sisi konsumen, banyak yang mengandalkan layanan seperti WhatsApp, Facebook Messenger, atau Apple FaceTime untuk terhubung dengan teman dan keluarga. Meskipun aplikasi ini menggunakan enkripsi end-to-end untuk mencegah penyedia layanan mendengarkan, aplikasi tersebut memiliki kelemahan yang signifikan:
- Friksi tinggi & pengumpulan metadata: Setiap peserta harus menginstal aplikasi, membuat akun (sering kali memerlukan nomor telepon atau email), dan ditambahkan ke grup. Proses ini menciptakan friksi yang tinggi dan memungkinkan penyedia layanan memanen metadata grafik sosial yang berharga.
- Paparan alamat IP: Layanan ini sering kali secara bawaan menggunakan koneksi peer-to-peer(jendela baru). Ini berarti peserta dapat melihat alamat IP satu sama lain, yang berpotensi mengungkap lokasi fisik mereka kecuali mereka menggunakan VPN tepercaya(jendela baru).
- Batas skalabilitas: Aplikasi obrolan konsumen kesulitan dengan grup besar karena koneksi peer-to-peer tumbuh secara eksponensial dengan setiap peserta yang ditambahkan. Akibatnya, batas panggilan menjadi ketat — WhatsApp membatasi hingga 32 peserta, dan banyak lainnya membatasi hingga 50.
Untuk rapat profesional, layanan seperti Zoom, Google Meet, and Microsoft Teams banyak digunakan. Layanan ini menggunakan server besar di pusat data untuk meneruskan audio dan video, sehingga dapat diskalakan ke rapat yang lebih besar hingga 1.000 peserta sambil menyembunyikan IP peserta satu sama lain. Layanan ini juga menawarkan aksesibilitas tinggi, memungkinkan pengguna untuk bergabung melalui peramban web apa pun tanpa membuat akun.
Namun, enkripsi end-to-end (E2EE) tidak tersedia atau diimplementasikan dengan buruk. Pada dasarnya, platform ini tidak dirancang dengan memprioritaskan privasi.
Proton Meet memecahkan dilema ini dengan memanfaatkan protokol enkripsi Messaging Layer Security (MLS) yang mutakhir, sambil mempertahankan aksesibilitas dan kendali administratif yang diharapkan dari solusi enterprise.
Desain teknis
WebRTC untuk performa tinggi dan akses mudah
Sama seperti layanan rapat profesional lainnya, fondasi Proton Meet adalah teknologi WebRTC dengan Selective Forwarding Units (SFU), yaitu server besar yang meneruskan audio, video, obrolan, dan data lainnya ke semua peserta.
Kami memanfaatkan jaringan pusat data terdistribusi di seluruh dunia seperti yang kami lakukan untuk Proton VPN untuk menyediakan keandalan tertinggi dan latensi terendah untuk setiap panggilan. Karena tidak ada koneksi peer-to-peer, kami dapat menskalakan ke panggilan grup besar sambil mengaburkan IP peserta satu sama lain.
Karena WebRTC adalah teknologi matang yang diadopsi oleh semua peramban utama, Proton Meet dapat diakses dari komputer atau perangkat seluler apa pun dengan peramban web. Anda dapat mengirim tautan rapat ke siapa saja di dunia dan mereka dapat langsung bergabung ke rapat di peramban web apa pun, bahkan jika mereka tidak memiliki Akun Proton atau aplikasi Proton Meet. Selain aplikasi peramban web, Proton Meet juga memiliki aplikasi desktop dan seluler bagi mereka yang lebih memilih untuk menggunakan aplikasi daripada peramban.
Autentikasi rapat dengan SRP sehingga Proton tidak akan pernah bisa mengakses panggilan Anda
Sama seperti layanan rapat profesional lainnya, kami menyediakan kendali admin bagi penyelenggara untuk mengelola rapat mereka. Penyelenggara adalah pengguna yang membuat tautan rapat dan mengirimkannya ke peserta lain. Sangat penting bagi penyelenggara untuk hanya membagikan tautan rapat kepada orang-orang tepercaya, karena siapa pun yang memiliki tautan rapat lengkap dapat bergabung ke rapat jika rapat tidak dikunci. Kami merancang Proton Meet untuk secara otomatis menghasilkan kata sandi unik untuk setiap rapat, tetapi kata sandi ini tidak pernah diketahui oleh server Proton, sehingga mencegah kami mengakses rapat.
Tautan rapat terlihat seperti:
Ini mencakup ID rapat (S0NDHQ48NR) and kata sandi (LaggoOcjlq6L). Simbol hash (#) dalam tautan berarti bagian setelahnya (dalam hal ini adalah kata sandi) tidak dikirim ke server oleh peramban. Hal ini mencegah kata sandi dicatat dalam log atau diakses di sisi server. Kata sandi dibuat di perangkat penyelenggara dan kemudian dibagikan dengan perangkat penyelenggara lainnya dengan enkripsi end-to-end sehingga penyelenggara dapat mengakses tautan rapat mereka dengan aman dari semua aplikasi dan perangkat mereka yang sudah masuk.
Saat tautan rapat dibuat, klien penyelenggara menyimpan pemverifikasi kata sandi di server sehingga Proton Meet dapat menggunakan protokol Secure Remote Password (SRP)(jendela baru) untuk memastikan semua peserta rapat memiliki kata sandi yang tepat, tanpa server mengetahui kata sandi tersebut. SRP telah mengamankan masuknya Proton selama 10 tahun terakhir dan memastikan server Proton dapat melayani pengguna yang tepat tanpa Proton memiliki akses ke kata sandi yang dapat membuka kunci pribadi.
Enkripsi end-to-end dengan Messaging Layer Security (MLS)
Tujuan dari enkripsi end-to-end (E2EE) adalah untuk memastikan hanya peserta yang dapat mendekripsi komunikasi. Pihak ketiga lainnya, termasuk penyedia layanan, tidak boleh dapat menguping.
Sebagian besar protokol E2EE dibangun untuk komunikasi 1-ke-1. Misalnya, di Proton Mail, yang menggunakan OpenPGP untuk E2EE, jika Anda mengirim email ke beberapa pengguna Proton Mail, OpenPGP harus mengenkripsi secara asimetris untuk setiap penerima menggunakan kunci publik masing-masing penerima. Komputasi dan bandwidth meningkat secara linier dengan jumlah peserta dan menjadi sangat mahal untuk obrolan dan panggilan grup besar.
Pada tahun 2023, protokol bernama Messaging Layer Security (MLS), yang sedang dikerjakan oleh beberapa anggota tim Proton, menjadi standar IETF. Protokol ini menyediakan cara yang jauh lebih berkinerja untuk menggunakan E2EE untuk grup besar. Konsepnya adalah saat anggota ditambahkan atau dihapus, mereka berkontribusi pada materi pembuatan kunci untuk siklus protokol tersebut, yang disebut Epoch. Anggota diatur dalam pohon biner yang memungkinkan mereka memperbarui anggota secara efisien dengan rahasia baru saat memasuki Epoch baru. Setiap anggota secara kriptografis menyetujui siapa saja yang ada di dalam grup setiap saat.
Di Proton Meet, kunci Epoch digunakan untuk menurunkan kunci yang digunakan untuk mengenkripsi audio, video, and pesan yang dikirim ke grup. Ketika peserta baru bergabung atau ketika peserta keluar, hal ini memicu rotasi kunci dan semua orang mulai menggunakan kunci baru. Ini berarti bahwa peserta hanya memiliki kunci kriptografis untuk mendekripsi komunikasi yang dikirim setelah bergabung dan sebelum meninggalkan grup, memastikan kerahasiaan ke depan dan keamanan pasca-kompromi.
Di Proton Meet, semua audio, video, berbagi layar, dan data obrolan selalu dienkripsi di sisi klien menggunakan kunci yang disediakan oleh MLS sebelum dikirim ke server SFU, yang hanya meneruskan data terenkripsi tersebut ke peserta lain.
Proton Meet menggunakan kata sandi rapat sebagai kunci pra-bagi (pre-shared key/PSK) di MLS untuk memastikan hanya peserta dengan kata sandi rapat yang tepat yang dapat menurunkan kunci MLS yang tepat. Karena server Proton Meet tidak memiliki kata sandi rapat dan karenanya tidak dapat menurunkan kunci MLS, Proton tidak dapat mendekripsi dan merekam audio, video, berbagi layar, atau pesan obrolan apa pun. Perhatikan bahwa peserta masih dapat merekam rapat secara lokal di perangkat mereka.
Model ancaman
Tanpa log
Meskipun E2EE dapat mengamankan aliran audio dan video rapat, hal itu tidak melindungi metadata seperti grafik sosial yang dapat bertahan secara daring dan membahayakan privasi kami. Banyak pengguna Proton adalah jurnalis, aktivis, dan eksekutif terkemuka yang perlu memastikan identitas dan hubungan mereka tetap rahasia. Proton Meet bertujuan untuk minimalisasi data dan tidak menyimpan log metadata seperti siapa bertemu dengan siapa setelah panggilan berakhir. Peserta juga dapat bergabung ke rapat secara anonim tanpa masuk ke akun Proton.
Identitas anonim
Proton Meet tidak mengungkap identitas peserta rapat satu sama lain. Setiap kali Anda bergabung dengan rapat, Anda dapat memilih nama apa saja untuk digunakan dalam rapat tersebut. Jika Anda sudah masuk, kolom nama akan terisi otomatis dengan nama utama akun demi kenyamanan. Nama peserta ini dienkripsi secara end-to-end dengan kunci yang diturunkan dari kata sandi rapat dan kemudian dibagikan dengan peserta lain. Tidak ada Informasi Identitas Pribadi (PII) seperti alamat email atau IP yang terlihat oleh peserta lain. Perhatikan bahwa jika Anda mengirim undangan kalender, email tersebut akan mengungkap alamat email yang tertaut ke kalender tersebut.
Kompromi server
Kami merancang Proton Meet untuk meminimalkan jumlah kepercayaan yang dibutuhkan pada server Proton dan tingkat risiko jika server kami dikompromikan. Di bawah ini, kami akan membahas berbagai skenario dan bagaimana pengguna dapat tetap waspada serta mendeteksi penyusupan rapat.
- Pertama, jika hanya server WebRTC SFU yang dikompromikan, penyerang dapat menyensor dan memblokir penerusan data audio, video, atau obrolan, tetapi tidak dapat membaca atau mengubah data tersebut karena kunci-kuncinya hanya dibagikan melalui enkripsi end-to-end MLS. Server SFU juga tidak dapat mengidentifikasi ruang SFU mana yang sesuai dengan ID rapat mana, karena pemetaan tersebut hanya terlihat di database dan server API backend kami.
- Kedua, jika database server Proton Meet dikompromikan, risiko kebocoran data sangat kecil karena database hanya memiliki ID rapat dan tidak pernah memiliki kata sandi atau data audio, video, maupun obrolan apa pun. Jadi penyerang tidak akan dapat bergabung ke rapat mana pun, mempelajari peserta rapat sebelumnya, atau mengakses data sensitif apa pun.
- Terakhir, jika server API backend Proton Meet, termasuk server MLS, dikompromikan, penyerang dapat mencoba bergabung dengan grup MLS, dengan berpura-pura sebagai peserta baru. Namun tanpa kata sandi rapat untuk kunci pra-bagi, penyerang tidak akan dapat menurunkan kunci MLS yang tepat dan karenanya tidak akan dapat mendengar atau melihat peserta lain. Untuk pengguna dengan persyaratan keamanan yang sangat tinggi, tab info rapat menampilkan status MLS seperti Epoch, ukuran grup, dan kode keamanan yang diturunkan dari rahasia Epoch. Oleh karena itu, Anda dapat memverifikasi bahwa ukuran grup MLS cocok dengan jumlah peserta tepercaya dalam rapat dan kode keamanan sama di semua peserta.
Karena data MLS tersimpan di setiap perangkat klien, perubahan apa pun pada grup MLS akan terlihat oleh semua peserta. Jadi meskipun semua server dikompromikan dan penyerang bergabung ke rapat, setiap peserta akan dapat melihat perubahan status MLS dan bahwa ada lebih banyak peserta dari yang diharapkan. Karena semua klien Proton Meet adalah open source(jendela baru), siapa pun dapat meninjau keamanan kode sisi klien yang mengimplementasikan MLS.
Tautan rapat dikompromikan
Risiko utama pada panggilan Proton Meet adalah peserta tidak sah mendapatkan akses melalui tautan yang dibagikan. Untuk memitigasi hal ini, penyelenggara dapat mengunci rapat setelah peserta yang diharapkan telah tiba. Mereka juga dapat membisukan audio, menghentikan video, atau menghapus peserta yang tidak diinginkan secara instan.
Kami juga menyarankan untuk membuat tautan rapat unik untuk setiap sesi guna mencegah penggunaan ulang tautan di berbagai grup. Ini ditangani secara otomatis saat menggunakan fitur Jadwalkan Rapat, dan tautan ruang rapat permanen juga dapat diputar secara manual sesuai kebutuhan. Pembaruan di masa mendatang akan mencakup kendali keamanan yang bahkan lebih ditingkatkan.
Kesimpulan
Peluncuran Proton Meet merupakan tonggak penting dalam misi kami untuk membangun internet yang lebih pribadi. Meskipun solusi panggilan video Big Tech memanfaatkan kebutuhan kami untuk terhubung dengan menguping panggilan kami dan memonetisasi data kami, model keamanan Proton Meet memastikan bahwa percakapan pribadi Anda tetap pribadi.
Terenkripsi secara end-to-end dan berbasis di Eropa, Proton Meet menawarkan alternatif Big Tech yang benar-benar berdaulat baik untuk komunikasi pribadi maupun profesional — melindungi Anda dari pembobolan, pengawasan, dan eksploitasi. Dilindungi oleh enkripsi zero-access, keamanan berlapis, dan beberapa undang-undang privasi terkuat di dunia, Proton Meet membantu bisnis menyederhanakan kepatuhan dan melindungi semua pengguna dari permintaan data AS dan yurisdiksi ekstrateritorial.
Prinsip-prinsip kami dilindungi oleh pemegang saham utama Proton, organisasi nirlaba Proton Foundation, dan bisnis kami hadir untuk melayani kepentingan komunitas kami. Jadi, seperti semua layanan kami, pengembangan Proton Meet akan dipandu oleh masukan dan permintaan fitur Anda. Terima kasih atas semua dukungan Anda.
