[DISKUSI] SUDAHKAH SMARTPHONE (Android) KITA AMAN?

[MAAManda]

PENDAHULUAN

Seiring berkembangnya zaman, dompet (wallet) bitcoin yang dahulunya hanya bisa dibuat atau digunakan menggunakan PC (Windows / Mac) saat ini sudah bisa diakses melalui Hardware wallet seperti Ledger Nano yang dikembangkan oleh Ledger. Tidak hanya itu bahkan dompet (wallet) crypto juga dapat dibuat/digunakan hanya dengan smartphone.

PEMBAHASAN

Biasanya orang-orang awam atau memang karena keterbatasan senjata (gadget) yang dimilikinya, mereka akan menyimpan File seperti JSON, Private Key ataupun Phrase di smartphone mereka.

Beberapa waktu yang lalu saya teringat langkah-langkah ketika saya meng-install sebuah aplikasi di Smartphone, nah didalam langkah-langkah tersebut ada 2 poin yang mengganjal di fikiran saya, berikut poinnya:

1. Izinkan Aplikasi Mengakses Gambar
2. Izinkan Aplikasi Mengakses File

Hal ini sangat-sangat berbahaya jika memang sang developer sebuah APK Android dapat mengakses Gambar & File secara langsung, saya sudah menelusuri lebih lanjut tentang perihal ini, namun saya tidak mendapatkan titik temunya hingga saat ini.

So, yang ingin saya diskusikan di topik ini adalah 1 poin penting, yakni:

1. Apakah Developer sebuah APK benar-benar dapat mengakses Gambar ataupun File kita, jika kita mengizinkannya?

Siapa tau di forum ini ada yang bekerja sebagai Developer APK, mungkin bisa menjawab persoalan dalam diskusi ini.

DAFTAR PUSTAKA
[1] https://m.liputan6.com/hot/read/3948120/7-cara-mengetahui-aplikasi-palsu-dan-berbahaya-di-play-store-agar-hp-aman
[2] https://www.google.com/amp/s/jabar.tribunnews.com/amp/2018/03/14/jangan-sembarang-beri-izin-aplikasi-akses-ponsel-anda-hati-hati-rawan-penyadapan

[masulum]

Sejauh yang saya ketahui, ketika kita memberikan izin pada suatu aplikasi, artinya kita telah memberikan akses bagi aplikasi tersebut membuat, menyimpan, mengubah atau bahkan menghapus data. Artinya memang ada potensi bagi pengembang untuk melihat data-data yang ada pada ponsel kita yang sudah diizinkan untuk diakses. Contoh paling mudah adalah pada kasus penagihan hutang yang dilakukan oleh pengembang FinTech di Indonesia beberapa tahun lalu. Pengguna FinTech yang tidak membayar hutang, dicari kontak-kontaknya dan dikirimkan pesan bahwa "Si Fulan memiliki hutang". Hal ini terjadi karena izin akses yang diberikan oleh user itu sendiri.

Sebenarnya, untuk Android ada pengaman tambahan yang kita kenal dengan "root", ini yang melindungi kita dari akses asing yang dilakukan oleh aplikasi. Ketika ponsel dalam kondisi unroot, artinya ponsel kita tidak lagi memliki administrator pada sistem, sehingga semua aplikasi dapat melakukan apapun terhadap data kita ketika kita sudah memberikan izin.

Mungkin artikel ini juga dapat dijadikan tambahan informasi mengenai bagaimana plus minusnya izin yang diberikan untuk aplikasi:
https://www.avg.com/en/signal/guide-to-android-app-permissions-how-to-use-them-smartly

* Saya bukan developer aplikasi, ini sebatas apa yang saya ketahui, jika memang ada yang salah, silakan dikoreksi*

[MAAManda]

Sejauh yang saya ketahui, ketika kita memberikan izin pada suatu aplikasi, artinya kita telah memberikan akses bagi aplikasi tersebut membuat, menyimpan, mengubah atau bahkan menghapus data. Artinya memang ada potensi bagi pengembang untuk melihat data-data yang ada pada ponsel kita yang sudah diizinkan untuk diakses. Contoh paling mudah adalah pada kasus penagihan hutang yang dilakukan oleh pengembang FinTech di Indonesia beberapa tahun lalu. Pengguna FinTech yang tidak membayar hutang, dicari kontak-kontaknya dan dikirimkan pesan bahwa "Si Fulan memiliki hutang". Hal ini terjadi karena izin akses yang diberikan oleh user itu sendiri.

Sebenarnya, untuk Android ada pengaman tambahan yang kita kenal dengan "root", ini yang melindungi kita dari akses asing yang dilakukan oleh aplikasi. Ketika ponsel dalam kondisi unroot, artinya ponsel kita tidak lagi memliki administrator pada sistem, sehingga semua aplikasi dapat melakukan apapun terhadap data kita ketika kita sudah memberikan izin.

Mungkin artikel ini juga dapat dijadikan tambahan informasi mengenai bagaimana plus minusnya izin yang diberikan untuk aplikasi:
https://www.avg.com/en/signal/guide-to-android-app-permissions-how-to-use-them-smartly

* Saya bukan developer aplikasi, ini sebatas apa yang saya ketahui, jika memang ada yang salah, silakan dikoreksi*

Nahhhh iyakan om, saya baru keinget aplikasi Pinjol jadinya awkakwakk

Storage

Allows apps to read and write to your internal or external storage.

The good: A music app can save downloaded songs to your SD card, or a social networking app can save your friends’ photos to your phone.

The bad: A malicious app can secretly read, change, and delete any of your saved documents, music, photos, and other files.

Note: Thread ini belum akan saya lock, siapa tau akan muncul tanggapan-tanggapan yang memiliki base yang lebih kuat dari om @masulum

[joniboini]

Sebenarnya, untuk Android ada pengaman tambahan yang kita kenal dengan "root", ini yang melindungi kita dari akses asing yang dilakukan oleh aplikasi. Ketika ponsel dalam kondisi unroot, artinya ponsel kita tidak lagi memliki administrator pada sistem, sehingga semua aplikasi dapat melakukan apapun terhadap data kita ketika kita sudah memberikan izin.

Apa ga kebalik maksudnya gan? Secara default semua sistem Android itu ga memberikan akses root buat user, dan harus di jailbreak/flash custom rom/firmware kalau mau membuka akses root sehingga bisa dioprek lebih lanjut. Meskipun ponsel agan tidak dalam kondisi root, agan bisa dengan mudah deny semua permission di apps" yang agan ga percayai setahu ane.

Mengenai permission ini ane rasa potensi masalahnya hampir di semua devices ada, karena emang hampir semua devices juga perlu baca/tulis di storage agan. Makanya saran terbaik ya jangan pake hp buat jadi wallet utama, atau nyimpen key dst di hp. Agan bisa matiin aja semua services di background kalau ragu dengan apa yang dikirim/diterima hp agan saat agan internetan.

Btw Android atau platform lain juga setiap hari diperbarui, bukan tidak mungkin ke depannya masalah privasi bisa jadi lebih baik (dengan catatan ga percaya membabi buta aja ke perusahaan tertentu). Misalnya di versi Android 11 ke atas semua apps diharuskan make scooped storage dan ga bakal ngakses semua file di hp agan (kecuali appsnya emang perlu hal kaya gitu, misalnya photo viewer). https://developer.android.com/about/versions/11/privacy

[masulum]

@joniboini, Terima kasih koreksinya mas, karena pemahaman ane, root adalah sistem keamanan yang disematkan pada android untuk mencegah instalasi aplikasi yang yang dapat mengancam sistem. Jadi ketika seseorang membuka akses root dengan flashing saya menyebutnya unroot 🤦😂

terima kasih sudah meluruskan.

Yup, kita dapat memberikan izin untuk semua aplikasi saat menginstall maupun setelah kita menginstall untuk tidak mendapatkan akses pada storage dan sebagainya.

[joniboini]

Terminologi yang sering dipake di kalangan pengoprek Android memang sebaliknya om. Jadi HP dibilang diroot kalau usernya bisa mengakses root, sementara unroot berarti akses root ke user dihilangkan lagi. Kebetulan ane udah pengalaman root dkk ini sejak masih SMA jadi udah familiar.

Kalau sudah diroot memang tidak direkomendasikan lagi buat dijadiin wallet, ataupun tempat backup file" agan. Kecuali emang HPnya dibuat offline sepenuhnya alias jadi semi cold storage. Kalau sudah begitu masalah permission bisa lebih dikurangi.

[mu_enrico]

root itu username untuk akun superuser (default) gans, klo agan login pakai root artinya sudah jadi superuser, bebas mau ngapain aja. Kalau dari keamanan ya tergantung si superuser, super ngerti atau sama sekali ga ngerti tentang keamanan.

1. Apakah Developer sebuah APK benar-benar dapat mengakses Gambar ataupun File kita, jika kita mengizinkannya?

Yang agan kasih izin kan aplikasinya, bukan developernya. Kalau si dev bisa mengakses ya serem dongs, malah jadi kek keylogger itu appsnya. Kalau unduh dari playstore ya umumnya aman lah, apalagi ponselnya masih belom "diroot."

Memang ada aplikasi-aplikasi jahat (malware), makanya jangan sering mengakses situs-situs bokep di hp.

[Husna QA]

-snip- karena pemahaman ane, root adalah sistem keamanan yang disematkan pada android untuk mencegah instalasi aplikasi yang yang dapat mengancam sistem. Jadi ketika seseorang membuka akses root dengan flashing saya menyebutnya unroot -snip-

Istilah android phone yang sudah di root itu memang lebih dikenalnya user jadi memiliki akses lebih lanjut ke sistem yang secara default dikunci di OS android (untuk alasan keamanan), jadi bisa di'oprek' yang pada keadaan tertentu tidak bisa dilakukan jika smartphone nya belum di root.
Kalau untuk iOS di iphone istilahnya 'jailbreak'.

Dulu pernah nge-root beberapa android smartphone dan mencoba beberapa custom ROM, mengubah sd card jadi terbaca sebagai memory internal, dll; Pada beberapa aplikasi tertentu semisal mobile Banking ada yang tidak bisa digunakan pada android smartphone yang sudah di root (terdeteksi otomatis); Dan senada dengan yang disebutkan om Jon di atas, jika smartphone-nya sudah di root tidak direkomendasikan juga untuk digunakan sebagai wallet apalagi tidak mengerti betul perihal keamanan sistem smartphone-nya.

[creatorbit]

Menurut saya, ketika kita menginstal suatu aplikasi lalu aplikasi tersebut mempunyai fitur untuk meminta akses gambar dan file jadi aplikasi tersebut kemungkinan besar bisa melihat,merubah bahkan mengakses lebih data-data  yang ada di smartphone kita. Contohnya saja aplikasi pinjaman online terkadang ketika kita mempunyai tagihan yang belum dibayar pada saat jatuh tempo maka ada nomor yang menelfon kontak yang ada dihp kita karena mereka memiliki izin untuk mengaksesnya. Jadi dapat disimpulkan bahwa itu juga sangat berbahaya walaupun android selalu mengalami perkembangan yang dapat diperbarui tetapi lebih baik untuk lebih berhati-hati dalam menginstal suatu aplikasi di ponsel kita dan jangan sembarangan memberikan izin untuk mengakses gambar dan file atau bahkan kontak.

[naira]

sejauh yang saya pelajari tentang developer android khususnya, jika aplikasi tersebut meminta hak akses untuk suara, dokument dan sebagainya yang ada di settingan. maka aplikasi tersebut membutuhkannya jika si pengguna membutuhkan import atau export data-data yang dibutuhkan di aplikasi tersebut. tapi saya hanya mempelaari sebatas itu saja sedangkan ada yang namanya teknologi berupa Machine Learning yang khusus membuat AI dan disitu saya belum mengetahui lebih jauh karena saya tidak fokus pada pembelajaran tersebut. dan AI pada apk biasanya sebatas "ketika kita mencari A maka sistem akan merekomendasi A" dan "scan muka saat verifikasi"

[Chikito]

1. Apakah Developer sebuah APK benar-benar dapat mengakses Gambar ataupun File kita, jika kita mengizinkannya?

Betul, malah jika kau izinkan, mereka bisa mengakses seluruh kontak di HP.

Saya akan kasih contoh sebuah pengalaman saya sendiri bagaimana seorang teman sekantor mengizinkan aplikasi pinjol (pinjaman online) untuk mengakses kontak di Hp-nya

Tempo hari WA saya bunyi, isinya begini:

" YTH teman atau saudara dari A*t*n Ju*k*** , Tolong sampaikan ke beliau untuk segera melunasi tagihannya sekarang di aplikasi DanaTop, jangan menghindari dari tagihannya karena kewajiban peminjam adalah mengembalikannya. jika anda tidak menyampaikan kami anggap anda bekerjasama dengan pihak peminjam dan kami akan menghubungi anda terus menerus menanyakan informasi selanjutnya."

Saya sangat terkejut, pertama baca pesan tersebut saya merasa teman saya itu memberikan nomor saya untuk sebagai jaminan dia meminjam uang dan saya kena getahnya, tapi rupanya tidak hanya saya, tapi teman sekantor lain pun mendapatkan pesan WA yang isinya sama, sudah tahu begitu pasti ada apa-apa, setelah saya tanya ke kebersangkutan, ternyata dia telat bayar pinjaman online akan tetapi tidak pernah sekalipun dia kasih kontak ke peminjam sebagai jaminan, yang dia lakukan hanya poto KTP, tapi mengapa Pinjol bisa menghubungi orang-orang sekantor?.

Ternyata, ketika menginstal, dia mengizinkan aplikasi tersebut untuk mengakses kontak di HP jadinya pinjol menghubungi semua kontak tersebut baik keluarga, teman, dan sebagainya.

Jadi, sebelum menginstal aplikasi di android perhatikan dulu izin aplikasi untuk mengakses, jangan biarkan mereka mengetahui seluruh jeroan hp kamu, baca dulu, jangan klik accept sebelum lanjut ke instal.

[panjul07]

Jadi, sebelum menginstal aplikasi di android perhatikan dulu izin aplikasi untuk mengakses, jangan biarkan mereka mengetahui seluruh jeroan hp kamu, baca dulu, jangan klik accept sebelum lanjut ke instal.

Kalo hp android/ios kita juga dipake buat urusan cryptocurrency, utamanya buat nyimpen asset dalam wallet maka akan lebih baik kalo kita punya hp khusus sendiri buat urusan crypto dan tidak menginstal apk2 lain yang ga penting.
Tentunya memang harus menyediakan uang lebih tapi kalo emang demi keamanan asset, ane rasa ini worth to do.

[skarais]

Kalo hp android/ios kita juga dipake buat urusan cryptocurrency, utamanya buat nyimpen asset dalam wallet maka akan lebih baik kalo kita punya hp khusus sendiri buat urusan crypto dan tidak menginstal apk2 lain yang ga penting.
Tentunya memang harus menyediakan uang lebih tapi kalo emang demi keamanan asset, ane rasa ini worth to do.

Rentan memang kalau 1 android di gunakan untuk banyak keperluan dan mungkin hanya akan meningkatkan resiko kehilangan aset jika sempat install aplikasi bodong. Tidak pernah salah jika memang ada uang lebih untuk membeli 1 android yang dikhususkan untuk urusan cryptocurrency. Rata-rata pengguna saya rasa tidak akan kewalahan untuk membelinya. Tapi agak ribet juga kalau jalan bawa 2 android dikantong.

~~~
Jadi, sebelum menginstal aplikasi di android perhatikan dulu izin aplikasi untuk mengakses, jangan biarkan mereka mengetahui seluruh jeroan hp kamu, baca dulu, jangan klik accept sebelum lanjut ke instal.

Perizinan dan privasi harus selalu diperhatikan dan jangan di abaikan. Saya pribadi secara rutin memeriksa izin aplikasi yang telah terinstall dan menolak semua perizinan bila tidak digunakan (aplikasi bawaan atau lainnya).

[Husna QA]

Kalo hp android/ios kita juga dipake buat urusan cryptocurrency, utamanya buat nyimpen asset dalam wallet maka akan lebih baik kalo kita punya hp khusus sendiri buat urusan crypto dan tidak menginstal apk2 lain yang ga penting.
Tentunya memang harus menyediakan uang lebih tapi kalo emang demi keamanan asset, ane rasa ini worth to do.

-snip- Tidak pernah salah jika memang ada uang lebih untuk membeli 1 android yang dikhususkan untuk urusan cryptocurrency. Rata-rata pengguna saya rasa tidak akan kewalahan untuk membelinya. Tapi agak ribet juga kalau jalan bawa 2 android dikantong.

Kalau memang ada uang lebih dan mau ada device yang dikhususkan untuk urusan Cryptocurrency, saya kira mending memilih membeli hardware wallet yang kira-kira harganya tidak terpaut jauh dengan kalau membeli 1 smartphone lagi.
Meskipun smartphone bisa jadi multifungsi selain fungsi utamanya sebagai alat komunikasi, tapi dari segi keamanan tentunya smartphone bukan dikhususkan utamanya untuk dijadikan sebagai wallet kripto.

[Chikito]

Kalo hp android/ios kita juga dipake buat urusan cryptocurrency, utamanya buat nyimpen asset dalam wallet maka akan lebih baik kalo kita punya hp khusus sendiri buat urusan crypto dan tidak menginstal apk2 lain yang ga penting.
Tentunya memang harus menyediakan uang lebih tapi kalo emang demi keamanan asset, ane rasa ini worth to do.

Rentan memang kalau 1 android di gunakan untuk banyak keperluan dan mungkin hanya akan meningkatkan resiko kehilangan aset jika sempat install aplikasi bodong. Tidak pernah salah jika memang ada uang lebih untuk membeli 1 android yang dikhususkan untuk urusan cryptocurrency. Rata-rata pengguna saya rasa tidak akan kewalahan untuk membelinya. Tapi agak ribet juga kalau jalan bawa 2 android dikantong.

Betul, HP khusus hanya untuk wallet, 2fa dan sebagainya. Saya sepakat dengan apa yang mas Husna QA katakan di atas, kalau saya mending beli hardware wallet (HW) dari pada beli HP 1 lagi, karena bentuknya kecil juga enggak ribet dibawa kemana-mana, bahkan bisa diselipkan di dompet seperti kartu ATM (jika bentuknya card). HW juga mumpuni dari segi keamanan karena private key tidak terekspose dan tersimpan jika nanti suatu ketika secara tidak sengaja terinstal aplikasi jahat untuk mengakses jeroan HP.

[MAAManda]

Terimakasih om-om semuanya yang sudah aktif berpartisipasi dalam diskusi ini, saya sudah mencari kebenaran dari apa yang saya pertanyakan...

Berikut penjelasan singkat dari teman telegram yang seorang mantan Developer APK

Untuk itu, thread ini akan saya kunci, terimakasih...