*Update penting terkait artikel ini (19 Februari 2024 17:00): Berdasarkan investigasi IT forensik tambahan baru oleh tim kami, ada kemungkinan kecil bahwa server KPU sebenarnya TIDAK berada di luar Indonesia. Data dalam artikel kami masih valid, penjelasan temuan baru kami ditambahkan di akhir artikel ini.*
__________________
Dalam beberapa hari terakhir, klaim viral beredar online dan di media, mengatakan bahwa Komisi Pemilihan Umum (KPU) Indonesia menggunakan server di luar negeri / yang dihosting oleh Alibaba Cloud di Singapura untuk infrastruktur IT krusial terkait dengan pemilihan umum. Namun, penyelidikan kami mengungkap bahwa spekulasi sebelumnya mengenai hal ini kurang memiliki bukti konkret.
Klaim viral ini sebagian besar didasarkan pada kenyataan bahwa alamat IP terkait dengan pemilu2024.kpu.go.id terdaftar di bawah Alibaba Cloud dengan tanda lokasi Singapura. Namun, hubungan ini hanya menunjukkan penggunaan Content Delivery Network (CDN), bukan server sebenarnya.
Contoh klaim viral:
Link: https://nasional.tempo.co/read/1834617/kisruh-sirekap-cyberity-temukan-server-cloud-berada-di-cina
IP Address & lokasi pemilu2024.kpu.go.id:
Berdasarkan info Alibaba Cloud, IP address 163.181.92.246 adalah CDN, bukan server:
Kemudian kita mengecek domain setting (DNS) untuk pemilu2024.kpu.go.id:
pemilu2024.kpu.go.id mengarah ke 8.48.85.212. Kita mengecek alamat IP tersebut:
Hasil: alamat IP dari pemilu2024.kpu.go.id dimiliki oleh Zhejiang Taobao Network Co., Ltd di Louisiana, US. Mereka adalah mitra CDN Alibaba Cloud:
Artinya: Inilah bukti ke2 bahwa pemilu2024.kpu.go.id menggunakan CDN dan tidak mungkin untuk mengetahui alamat IP server dan lokasi server.
Memahami CDN: Tirai Asap
CDN adalah jaringan yang tersebar secara global untuk meningkatkan pengiriman konten web. Tujuan utamanya adalah untuk mengurangi latensi, meningkatkan waktu muat halaman, dan memberikan pengalaman pengguna yang lebih handal. CDN mencapai ini dengan menyimpan konten di berbagai lokasi, memungkinkan pengguna mengakses konten terdekat daripada mengambil data dari server asal.
Meskipun CDN memiliki peran penting dalam mengoptimalkan kinerja situs web, mereka juga menciptakan tirai asap untuk lokasi server yang sebenarnya. Ketika CDN digunakan, kita tidak dapat mengidentifikasi/melihat alamat IP server dan lokasi fisik server.
Dalam contoh di atas, kita melihat alamat IP & lokasi Jerman. Kalau nanti kita cek lagi, bisa jadi kita melihat alamat IP di Singapura atau China atau US atau Korea dst, begitulah cara kerja CDN dan telah menimbulkan klaim palsu seperti server KPU di China.
Terobosan Investigasi.org
Tim Investigasi.org telah melakukan penyelidikan menyeluruh untuk membongkar kebenaran tentang lokasi server-server KPU. Fokusnya adalah pada subdomain sirekap-web.kpu.go.id dan sso.kpu.go.id, di mana kami menemukan adanya server web (sirekap) dan server otentikasi (sso). Berbeda dengan alamat IP sebelumnya yang terkait dengan CDN, dua server ini tidak menunjukkan tanda-tanda menjadi bagian dari CDN.
Dengan memanfaatkan alat yang disediakan oleh Alibaba Cloud, kami melakukan analisis yang cermat, mengonfirmasi bahwa sirekap-web.kpu.go.id dan sso.kpu.go.id adalah server aktual yang dihosting di Alibaba Cloud di Singapura, bukan CDN. Terobosan ini memberikan bukti konkret, beda dari asumsi sebelumnya, dan menunjukkan penggunaan server asing oleh KPU dalam aspek krusial dari infrastruktur pemilu.
IP address dan lokasi sirekap-web.kpu.go.id:
Berdasarkan info Alibaba Cloud, IP address 170.33.97.36 adalah server, bukan CDN:
IP address dan lokasi sso.kpu.go.id adalah yang sama dengan sirekap-web.kpu.go.id, artinya server, bukan CDN:
Kita juga melihat domain setting (DNS) sirekap-web.kpu.go.id:
Hasil: Beda dari pemilu2024.kpu.go.id yang terhubung dengan CDN, sirekap-web.kpu.go.id secara tetap dan langsung terhubung ke server dengan alamat IP 170.33.97.36, yang sesuai penemuan sebelumnya adalah server di Alibaba Cloud Singapura.
Masih ada kemungkinan server yang dibuat di Alibaba Cloud Indonesia mendapatkan alamat IP Singapura yang ditetapkan padanya. Di penyedia cloud global, hal seperti itu bisa terjadi di wilayah yang sama, misalnya jika Cloud Provider tidak memiliki alamat-alamat IP khusus Indonesia. Untuk mengeceknya, kami telah membuka akun di Alibaba Cloud Indonesia dan membuat server di Indonesia (Indonesia (Jakarta) A):
Seperti terlihat pada gambar di atas, server kami mendapat alamat IP 147.139.175.140 dari sistem Alibaba Cloud. Itu ditetapkan secara otomatis, kami tidak dapat memilihnya. Kemudian kami cek lokasinya, dan jelas di Indonesia. Jadi kami buktikan bahwa server di Alibaba Cloud Indonesia mendapatkan alamat IP Indonesia:
Implikasi Hukum: Pelanggaran UU ITE dan PP 71/2019 Pasal 20
Penggunaan server asing oleh KPU menimbulkan keprihatinan hukum serius. Tindakan ini merupakan pelanggaran jelas terhadap Undang-Undang Informasi dan Transaksi Elektronik (UU ITE) dan Peraturan Pemerintah (PP) 71/2019 Pasal 20 beserta turunannya. Hukum Indonesia secara eksplisit mengamanatkan bahwa infrastruktur IT krusial negara, seperti yang terkait dengan pemilihan, harus dihosting dalam yurisdiksi nasional untuk memastikan keamanan, integritas, dan kepatuhan terhadap standar hukum.
Dampak Serius
Implikasi dari menjalankan server pemilihan di tanah asing melebihi konsekuensi hukum semata. Mekanisme akuntabilitas dan penegakan hukum menjadi terancam, karena otoritas Indonesia tidak dapat dengan sendirinya memerintahkan audit terhadap server-server ini. Kerjasama dari otoritas asing diperlukan, suatu proses yang tidak hanya merepotkan tetapi juga dapat ditolak berdasarkan kepentingan negara yang menjadi tuan rumah.
Selain itu, keberadaan infrastruktur terkait pemilu di negara asing menimbulkan kekhawatiran terhadap integritas proses pemilu. Dengan layanan cloud yang sama tersedia di Indonesia, keputusan untuk menggunakan host asing seperti Alibaba Cloud Singapura tampak sewenang-wenang dan tidak masuk akal.
Kesimpulan: Panggilan Aksi Segera
Bukti yang disajikan oleh Investigasi.org mengungkapkan realitas yang mengkhawatirkan – KPU memang menggunakan server Alibaba Cloud di Singapura untuk infrastruktur pemilihan yang krusial, melanggar hukum yang ada dan membahayakan integritas proses pemilu.
Pembeberan ini menuntut tindakan segera dari otoritas terkait untuk memperbaiki situasi ini, memastikan bahwa server pemilihan krusial dihosting dalam yurisdiksi nasional. Implikasi dari kelemahan keamanan dan kepatuhan semacam ini sangat serius, dan langkah cepat diperlukan untuk melindungi pemilu dan mempertahankan prinsip demokratis negara.
Langkah Menuju Keterbukaan: Permintaan Resmi dari Yayasan Advokasi Hak Konstitusional Indonesia (YAKIN)
Sejalan dengan pengungkapan ini, Yayasan Advokasi Hak Konstitusional Indonesia (YAKIN) telah mengajukan permohonan resmi kepada KPU. Berdasarkan Undang-Undang Keterbukaan Informasi Publik (UU KIP), YAKIN meminta detail lengkap terkait dengan seluruh infrastruktur IT terkait pemilu, termasuk lokasi semua server. Langkah ini diambil untuk memastikan transparansi dan memenuhi kewajiban hukum untuk memberikan akses informasi kepada publik.
Siaran Pers YAKIN tentang permohonan KIP kepada KPU: Yayasan YAKIN Ajukan Dua Permohonan Keterbukaan Informasi ke Komisi Pemilihan Umum
____________
*Penjelasan kenapa, meski semua bukti yang sudah diberikan di artikel ini, masih ada kemungkinan semua server KPU bisa berada di Indonesia:
Dalam domain settings (DNS) sirekap-web.kpu.go.id dan sso.kpo.go.id, yang ditunjukkan pada artikel, kita dapat melihat catatan “CNAME” yang menunjuk ke 4w4kpyk1tqp8s14z.aliyunddos0010.com. Artinya layanan perlindungan DDoS digunakan (untuk mencegah serangan hacker).
Berdasarkan pembelajaran kami tentang layanan perlindungan DDoS Alibaba Cloud, ada beberapa opsi di mana apa yang disebut “proxy” dapat digunakan, di mana kita hanya akan melihat alamat IP (dan lokasi) dari proxy, dan server sebenarnya tidak terlihat. Ini bisa berarti bahwa apa yang kami nyatakan sebagai “server” sirekap dan sso di artikel kami bisa jadi adalah “proxy” perlindungan DDoS. Kalau begitu belum diketahui dimana server sebenarnya dan bisa jadi berada di Indonesia. Namun menurut kami kemungkinan ini sangat kecil, karena biasanya “proxy” perlindungan DDoS berada di tempat yang sama dengan server sebenarnya. Namun karena kemungkinan “proxy” tersebut berada di tempat yang berbeda dengan server, maka kami harus menyatakan bahwa kami tidak lagi yakin 100% bahwa server KPU berada di luar negeri.
Kami percaya kejujuran dan transparansi adalah hal yang penting, oleh karena itu kami memperbarui artikel ini dengan temuan terbaru kami.
Kami berharap KPU menaati UU KIP dan memberikan rincian Infrastruktur IT sesuai permohonan resmi kami, sehingga masyarakat akhirnya mengetahui di mana sebenarnya server-server Pemilu berada.*
