Rencana Open Source SingLinkVPN
Contents
Open source adalah awal dari kepercayaan jangka panjang.
SingLinkVPN telah resmi meluncurkan program open source dan riset teknisnya, serta membuat repositori resmi SingLinkVPN Open Source and Technical Research di GitHub.
Ini bukan publikasi sekali jadi atau halaman dokumen yang hanya untuk dibaca-baca. Ini adalah upaya rekayasa jangka panjang yang akan terus diperbarui dan diperluas dari waktu ke waktu.
Materi yang tersedia saat ini adalah fase pertama dari program yang lebih luas.
Fase pertama mencakup dokumentasi teknis publik, model keamanan dan privasi, metode pengujian performa yang dapat direproduksi, format data yang dapat dibaca mesin, kerangka dataset publik, direktori laporan, alat riset, proses pengungkapan keamanan, dan standar publikasi bukti.
Pada fase-fase berikutnya, SingLinkVPN berencana merilis materi teknis lanjutan, laporan riset, dan kode sumber produk secara bertahap, dengan syarat lolos tinjauan keamanan, privasi, lisensi, dan stabilitas produk. Area yang direncanakan meliputi protokol VPN, klien VPN, dan teknologi inti VPN lainnya yang layak dipublikasikan setelah ditinjau.
Karena itu, rilis saat ini bukan akhir dari program. Ini adalah langkah pertama dalam proses open source yang berkelanjutan.
Repositori resmi kini berisi direktori docs, data, reports, tools, tests, dan otomasi GitHub untuk memelihara dokumentasi publik, data riset, materi keamanan, pengujian performa, dan alat validasi terbuka. Repositori ini secara eksplisit dinyatakan sebagai proyek yang dipelihara secara aktif.
Repositori resmi: SingLinkLabs / singlink-vpn-open-source Status saat ini: Fase pertama sudah publik. Materi teknis tambahan, laporan riset, dan kode sumber produk akan dirilis secara bertahap.
Mengapa SingLinkVPN meluncurkan program open source?
VPN berkaitan erat dengan transport jaringan, keamanan, privasi, dan pemrosesan data.
Sebagian besar layanan VPN beroperasi di dalam sistem yang tidak bisa diamati langsung oleh pengguna. Pengguna mungkin melihat antarmuka aplikasi, daftar server, kecepatan koneksi, dan deskripsi produk, tetapi tidak mudah memastikan:
- bagaimana hasil kecepatan yang dipublikasikan diukur;
- versi perangkat lunak dan lingkungan jaringan apa yang digunakan;
- apakah pengujian yang gagal dicatat secara lengkap;
- apakah sebuah pernyataan keamanan merupakan komitmen kebijakan, pengujian internal, atau penilaian independen;
- apakah sebuah laporan mencantumkan tanggal, versi, metode, dan riwayat koreksi;
- apakah peneliti lain dapat mereproduksi hasilnya;
- apakah perubahan teknis dan keamanan dapat dilacak antarversi.
Pernyataan merek saja tidak dapat menjawab pertanyaan-pertanyaan ini secara tuntas.
Program ini bertujuan mengubah informasi teknis, keamanan, privasi, dan performa SingLinkVPN dari sekadar klaim produk menjadi materi publik yang dapat diperiksa, dikutip, diverifikasi, direproduksi, dan terus dikritisi oleh pihak lain.
Hal ini memerlukan sistem publikasi yang berkelanjutan, bukan sekadar mengunggah file ke internet:
- materi teknis penting harus memiliki versi yang jelas;
- klaim yang dapat diukur harus mencantumkan tanggal dan lingkungan pengujian;
- hasil performa harus didukung data yang sesuai;
- pengujian internal dan penilaian pihak ketiga harus dibedakan dengan jelas;
- koreksi material harus meninggalkan catatan publik;
- kode sumber produk harus dirilis bertahap setelah tinjauan keamanan;
- komunitas harus dapat memeriksa struktur dan kelengkapan data dengan alat publik.
Repositori ini mewajibkan setiap klaim yang dapat diukur mencantumkan tanggal pengujian, versi perangkat lunak, lingkungan, metode, ukuran sampel, data mentah atau agregat, dan batasan yang diketahui. Klaim superlatif yang tidak dapat diverifikasi seperti “tercepat”, “paling aman”, atau klaim privasi mutlak tidak dianggap sebagai bukti.
Apa saja yang tersedia di fase pertama?
Fase pertama membentuk delapan alur kerja publik:
- arsitektur pengembangan VPN dan dokumentasi teknis publik;
- catatan produk dan versi SingLinkVPN;
- model keamanan dan privasi;
- metode pengujian performa yang dapat direproduksi;
- format data uji dan kerangka dataset publik;
- direktori laporan keamanan, performa, dan transparansi;
- alat validasi data dan riset yang terbuka;
- pelaporan kerentanan dan pengungkapan yang bertanggung jawab.
Bersama-sama, semua ini menjadi fondasi yang diperlukan untuk publikasi kode sumber, data publik, dan riset independen di kemudian hari.
1. Arsitektur pengembangan VPN dan dokumentasi teknis publik
Fase pertama mencakup arsitektur klien VPN lintas platform.
Arsitektur ini tidak terikat pada satu bahasa pemrograman atau sistem operasi. Sebaliknya, arsitektur ini menjelaskan modul-modul utama yang dibutuhkan klien VPN lintas platform, termasuk antarmuka, siklus hidup koneksi, manajemen tunnel, perutean, DNS, konfigurasi, pengujian keamanan, dan diagnostik lokal.
1. Lapisan antarmuka
Lapisan antarmuka menampilkan status akun, pemilihan server, status koneksi, galat, hasil diagnostik, dan fitur aksesibilitas.
Status koneksi yang ditampilkan di antarmuka harus berasal dari state machine koneksi yang sebenarnya, bukan sekadar dari apakah pengguna sudah menekan tombol hubungkan.
2. Lapisan orkestrasi sesi
Lapisan ini menangani:
- koneksi;
- pemutusan koneksi;
- percobaan ulang otomatis;
- perubahan jaringan;
- perangkat tidur dan bangun kembali;
- aplikasi dimulai ulang;
- pemulihan setelah gangguan tidak normal.
Lapisan ini harus mencegah hasil koneksi yang sudah usang menimpa proses yang lebih baru, dan memastikan tindakan berulang tidak menimbulkan konflik.
3. Lapisan adaptor tunnel
Lapisan ini terintegrasi dengan API VPN bawaan di berbagai sistem operasi, termasuk:
- input dan output paket;
- siklus hidup tunnel;
- konfigurasi MTU;
- izin sistem operasi;
- pembatasan eksekusi di latar belakang;
- callback saat tunnel terputus.
4. Lapisan perutean dan DNS
Lapisan ini mengelola:
- rute default;
- split tunneling;
- rute yang dikecualikan;
- pemilihan DNS;
- kebijakan IPv4 dan IPv6;
- akses ke jaringan lokal;
- perlindungan kebocoran DNS dan rute.
Pengujian kebocoran tidak bisa dibatasi pada koneksi awal saja. Pengujian juga perlu mencakup penyambungan ulang, perubahan jaringan, tidur dan bangun perangkat, serta penghentian aplikasi secara tidak normal.
5. Lapisan transport
Lapisan transport bertanggung jawab atas sesi terautentikasi, perilaku transport, penanganan kemacetan, kebijakan keepalive, dan migrasi jaringan.
6. Lapisan konfigurasi
Lapisan konfigurasi memproses konfigurasi jarak jauh yang berversi, ditandatangani, dan diminimalkan, serta menolak konfigurasi yang tidak valid, kedaluwarsa, atau diturunkan versinya.
7. Lapisan observabilitas
Dengan tetap menjaga perlindungan privasi, lapisan ini menyediakan:
- status kesehatan lokal;
- diagnostik koneksi;
- klasifikasi galat;
- keluaran pengujian yang dapat direproduksi;
- data status teknis yang tidak berisi aktivitas jaringan pengguna.
Rilis saat ini mencakup arsitektur tingkat tinggi dan prinsip pengembangan yang aman. Modul yang lebih spesifik dan kode sumber hanya akan ditambahkan setelah tinjauan terkait selesai.
2. Catatan produk publik yang berversi
SingLinkVPN juga telah membangun catatan produk publik yang memisahkan berbagai jenis informasi.
Fakta produk
Fakta produk meliputi:
- platform yang didukung;
- versi publik;
- tanggal rilis;
- sumber unduhan resmi;
- checksum yang tersedia;
- perubahan fitur dan kompatibilitas yang material.
Deskripsi arsitektur
Deskripsi ini menyajikan desain tingkat tinggi tanpa mengungkap sistem sensitif, kredensial, atau lingkungan produksi.
Hasil pengukuran
Temuan performa dan teknis harus mencantumkan tanggal, metode, lingkungan, sampel, dan data pendukungnya.
Pernyataan kebijakan
Pernyataan ini mencakup operasional produk, keamanan, dan komitmen privasi. Pernyataan kebijakan tidak disajikan sebagai verifikasi independen.
Pemisahan ini membantu mencegah kebijakan, pengujian internal, detail implementasi, dan riset independen tercampur aduk. Catatan rilis formal secara bertahap akan mencakup platform, versi, tanggal, sumber, checksum yang tersedia, perubahan keamanan dan kompatibilitas yang material, batasan yang diketahui, serta tag Git yang tidak dapat diubah atau tautan Release.
3. Model keamanan dan privasi publik
Keamanan tidak bisa digambarkan hanya dengan kata-kata seperti “aman” atau “terenkripsi”.
Karena itu, fase pertama memublikasikan model keamanan dan privasi yang mendefinisikan risiko-risiko yang perlu diperiksa oleh pengujian, laporan, dan penilaian independen di kemudian hari.
Cakupan ancaman saat ini meliputi:
- pengamatan lalu lintas di jaringan lokal;
- kebocoran DNS;
- kebocoran IPv6;
- kebocoran WebRTC;
- rute terputus saat penyambungan ulang;
- perlindungan lalu lintas saat berpindah antara Wi-Fi dan jaringan seluler;
- perubahan berbahaya pada konfigurasi jarak jauh;
- penurunan versi konfigurasi;
- terpaparnya kredensial yang tersimpan di perangkat;
- risiko dependensi pihak ketiga;
- risiko rantai pasok build dan rilis;
- penyalahgunaan akun;
- sesi tanpa otorisasi;
- pengumpulan data diagnostik atau dukungan yang berlebihan.
Setiap pengujian keamanan publik harus mencantumkan:
- versi klien yang terdampak;
- sistem operasi;
- tanggal pengujian;
- kondisi jaringan;
- metode;
- perilaku yang diharapkan;
- perilaku yang teramati;
- batasan yang diketahui.
Model ini juga memisahkan kebijakan, dokumentasi arsitektur, pengujian internal, dan penilaian pihak ketiga.
Hanya laporan dari penilai atau peneliti independen yang disebutkan namanya, dan didukung laporan yang dapat diverifikasi, yang boleh diberi label penilaian pihak ketiga. Hal ini menciptakan standar yang konsisten dan dapat diaudit untuk laporan keamanan di masa mendatang.
4. Metode pengujian performa VPN yang dapat direproduksi
Performa VPN dipengaruhi oleh banyak faktor eksternal:
- negara atau wilayah penguji;
- penyedia broadband atau seluler;
- kualitas jaringan lokal;
- transit internasional;
- waktu dalam sehari;
- performa perangkat;
- versi klien;
- protokol;
- beban server;
- server pengujian;
- wilayah tujuan.
Karena itu, satu angka kecepatan puncak tidak mewakili pengalaman setiap pengguna.
Metode yang dipublikasikan mewajibkan setiap catatan mencantumkan:
- waktu pengujian dalam UTC;
- pengenal pengujian yang unik;
- versi klien;
- sistem operasi;
- jenis perangkat;
- label protokol;
- versi metodologi;
- negara atau wilayah pengujian;
- jenis jaringan;
- jumlah sampel;
- tingkat bukti.
Metrik utamanya adalah:
Median latensi koneksi
Median latensi dalam milidetik dari banyak sampel, bukan satu hasil terbaik.
Jitter persentil ke-95
Tingkat variasi latensi yang lebih tinggi yang teramati pada sebagian besar sampel.
Tingkat packet loss
Proporsi paket yang hilang selama pengujian.
Median kecepatan unduh
Median throughput unduhan dalam Mbps dari banyak sampel.
Median kecepatan unggah
Median throughput unggahan dalam Mbps dari banyak sampel.
Tingkat keberhasilan koneksi
Persentase percobaan yang berhasil dalam pengujian koneksi berulang.
Median waktu penyambungan ulang
Median waktu yang dibutuhkan untuk pulih setelah perubahan jaringan atau gangguan.
Alur kerja formalnya adalah:
- catat jaringan dasar tanpa VPN;
- jaga perangkat, jaringan, tujuan, dan rentang waktu pengambilan sampel tetap sama;
- jalankan pemanasan yang tidak dihitung;
- ulangi pengujian koneksi dan transfer;
- simpan sampel yang gagal, jangan dihapus diam-diam;
- publikasikan hasil agregat dan data yang dapat dibaca mesin;
- ungkapkan batasan yang diketahui, gangguan, dan sampel yang dikecualikan.
Pengujian perbandingan setara harus memakai kondisi yang sebanding. Perubahan penyedia, rute, perangkat, server pengujian, atau rentang waktu pengambilan sampel harus diungkapkan. Dataset bertanggal dan berversi yang dapat diunduh akan ditambahkan dengan metode ini seiring berjalannya pengujian.
5. Format data uji publik yang dapat dibaca mesin
Selain laporan yang mudah dibaca manusia, SingLinkVPN memublikasikan format data performa yang dapat dibaca mesin.
JSON Schema mewajibkan setiap catatan performa memuat:
- test_id: pengenal pengujian;
- tested_at_utc: waktu pengujian dalam UTC;
- client_version: versi klien;
- platform: platform pengujian;
- protocol_label: label protokol;
- country: negara atau wilayah pengujian;
- network_type: jenis jaringan;
- sample_count: jumlah sampel;
- latency_ms_median: median latensi;
- jitter_ms_p95: jitter persentil ke-95;
- packet_loss_pct: tingkat packet loss;
- download_mbps_median: median kecepatan unduh;
- upload_mbps_median: median kecepatan unggah;
- connection_success_pct: tingkat keberhasilan koneksi;
- reconnect_ms_median: median waktu penyambungan ulang;
- methodology_version: versi metode;
- evidence_level: tingkat bukti.
Saat ini bukti dapat ditandai sebagai:
- pengujian internal;
- reproduksi independen;
- penilaian pihak ketiga.
Format ini memungkinkan pengembang dan peneliti memeriksa kolom wajib dan rentang nilai secara langsung, serta memakai struktur yang sama untuk reproduksi dan perbandingan, alih-alih hanya mengandalkan grafik atau kesimpulan naratif.
6. Laporan keamanan, performa, dan transparansi
Repositori ini memiliki direktori laporan khusus untuk publikasi berkelanjutan berupa:
- laporan keamanan;
- laporan performa;
- riset privasi;
- laporan transparansi;
- penilaian pihak ketiga;
- hasil yang direproduksi secara independen;
- pemberitahuan perbaikan keamanan yang material.
Sebelum dipublikasikan, setiap laporan formal harus mencantumkan:
- tanggal publikasi;
- penulis atau pemelihara;
- versi produk yang terdampak;
- metode;
- sumber data;
- tingkat bukti;
- batasan yang diketahui;
- riwayat koreksi.
Pengujian internal dan penilaian independen memakai label yang berbeda. Fase pertama membangun struktur laporan, aturan bukti, dan kerangka pembuatan versi; laporan akan ditambahkan ketika data dan tinjauannya siap, bukan dipublikasikan sekali lalu ditinggalkan.
7. Alat validasi dan riset yang terbuka
Fase pertama juga memublikasikan beberapa alat riset dan validasi berbasis Python.
publication_guard.py
Alat ini memeriksa dokumen, data, dan alat sebelum dipublikasikan untuk mendeteksi:
- kredensial;
- format kunci;
- path privat;
- arsip;
- file biner;
- jenis kode sumber yang belum disetujui untuk dipublikasikan;
- file yang terlalu besar;
- format rahasia aktif yang umum;
- konten yang mungkin menggambarkan sistem sensitif.
validate_benchmark.py
Alat ini memvalidasi file CSV hasil pengujian performa, termasuk:
- nama kolom;
- kolom wajib;
- rentang angka;
- label bukti;
- struktur data uji.
check_relative_links.py
Alat ini memeriksa tautan relatif dalam Markdown dan memastikan file publik yang dirujuk memang ada.
check_multilingual_seo.py
Alat ini memeriksa dokumen multibahasa dan struktur terkait pencarian untuk membantu menjaga materi berbahasa Inggris, Tionghoa Sederhana, dan Tionghoa Tradisional tetap selaras.
Alat-alat ini bukan inti koneksi VPN. Alat-alat ini adalah infrastruktur publikasi yang bertujuan mengurangi kesalahan format, tautan rusak, terpaparnya informasi sensitif secara tidak sengaja, dan ketidakkonsistenan versi. Kontributor eksternal dapat memakai alat yang sama untuk kiriman mereka.
8. Standar bukti publik lima tingkat
Tingkat satu: pernyataan kebijakan
Komitmen produk, keamanan, operasional, atau privasi yang dipublikasikan oleh pemelihara. Ini adalah komitmen publik, bukan bukti implementasi atau audit independen.
Tingkat dua: dokumentasi implementasi
Deskripsi teknis tingkat tinggi yang berversi dan tidak memuat alamat server, kredensial, API privat, atau informasi sensitif lainnya.
Tingkat tiga: pengujian internal
Pengujian yang dijalankan SingLinkLabs dengan metode publik, disertai tanggal, versi, lingkungan, dan data.
Tingkat empat: hasil yang direproduksi
Hasil independen yang diperoleh pengembang atau peneliti lain dengan metode dan data publik yang sama.
Tingkat lima: penilaian pihak ketiga
Penilaian oleh peneliti atau organisasi independen yang disebutkan namanya, dengan laporan formal yang dapat diverifikasi.
Tingkat-tingkat ini tidak dapat saling menggantikan. Pengujian internal tidak boleh diberi label penilaian pihak ketiga; kebijakan tidak boleh dianggap sebagai verifikasi independen; dan memublikasikan metode tidak berarti hasilnya sudah direproduksi.
Setiap laporan harus menjawab: siapa yang mencapai kesimpulan, kapan, dengan versi apa, dan dengan metode apa?
Koreksi material memerlukan commit Git baru dan entri changelog. Data yang sudah dipublikasikan tidak boleh diganti diam-diam, dan data yang telah digantikan harus tetap dapat dikenali.
9. Pelaporan kerentanan dan pengungkapan yang bertanggung jawab
Publikasi terbuka dan pengungkapan yang aman harus berjalan beriringan.
Kerentanan yang belum ditambal, kredensial aktif, endpoint privat, alamat server, dan data pengguna tidak boleh diunggah di Issue publik.
Laporan kerentanan harus dikirim secara privat melalui alamat email keamanan atau GitHub Security Advisories dan ditandai dengan jelas sebagai pengungkapan keamanan. Jika alamat email keamanan belum dipublikasikan, baca `SECURITY.md` di repositori dan jangan menebak-nebak alamatnya.
Laporan sebaiknya mencakup:
- versi yang terdampak;
- platform yang terdampak;
- kondisi untuk mereproduksi;
- dampak keamanan;
- cara aman untuk menghubungi pelapor;
- materi reproduksi yang tidak berisi data pengguna sungguhan.
Laporan keamanan melewati tahap:
- triase dan konfirmasi;
- penilaian dampak;
- perbaikan;
- rilis versi yang sudah diperbaiki;
- jangka waktu pembaruan yang wajar;
- publikasi pemberitahuan keamanan.
Pemberitahuan publik membedakan dampak yang terkonfirmasi dari risiko hipotetis, serta mencantumkan versi yang terdampak dan versi yang sudah diperbaiki.
10. Data publik tidak berarti data pengguna dipublikasikan
Transparansi teknis tidak boleh mengorbankan privasi pengguna.
Repositori ini melarang Issue, pull request, dataset, atau dokumen riset memuat:
- data pribadi;
- pengenal akun;
- data pembayaran;
- percakapan dukungan;
- alamat IP privat;
- token akses;
- kredensial produksi;
- log produksi;
- lalu lintas produksi mentah;
- data uji yang dapat mengidentifikasi pengguna individual.
Data performa harus diagregasi atau dianonimkan. Peninjau harus memastikan sebelum publikasi bahwa dataset tidak berisi data tingkat pengguna, kredensial, atau materi yang dapat mengidentifikasi pengguna sungguhan.
Program ini membuat teknologi, metode, laporan, dan kode sumber yang telah ditinjau menjadi transparan. Program ini tidak memublikasikan informasi pengguna, data server yang sensitif bagi keamanan, atau kredensial produksi.
11. Bagaimana komunitas dapat berpartisipasi?
Pengembang, peneliti keamanan, dan anggota komunitas dapat:
- menyempurnakan dokumentasi teknis;
- memperbaiki kesalahan dokumentasi;
- menyempurnakan terjemahan Tionghoa Tradisional, Tionghoa Sederhana, dan Inggris;
- meningkatkan reproduktibilitas metode pengujian;
- meningkatkan kualitas data publik;
- meningkatkan aksesibilitas;
- menambahkan alat riset;
- menyempurnakan validasi format;
- menemukan tautan rusak;
- mengusulkan metode riset publik yang baru;
- menyarankan perbaikan desain pengujian;
- mereproduksi pengujian publik sesuai aturan keamanan.
Kontribusi tidak boleh berisi:
- kode sumber produk yang belum disetujui;
- informasi infrastruktur privat;
- kredensial atau kunci;
- data pengguna;
- endpoint privat;
- log produksi;
- instruksi eksploit lengkap untuk kerentanan yang belum ditambal.
Setiap kontribusi yang dapat diukur juga harus mencantumkan sumber, metode, tanggal, dan batasannya.
Apakah ini berarti SingLinkVPN kini sepenuhnya open source?
Tidak. Ini adalah fase pertama, bukan fase terakhir.
Fase pertama memprioritaskan:
- dokumentasi teknis;
- arsitektur pengembangan;
- model keamanan dan privasi;
- metode pengujian performa;
- format data yang dapat dibaca mesin;
- alat validasi;
- kebijakan bukti dan publikasi;
- pengungkapan yang bertanggung jawab;
- kerangka untuk laporan dan rilis kode sumber berikutnya.
Hal-hal berikut tidak termasuk dalam fase pertama:
- kode sumber lengkap klien VPN;
- kode sumber sisi server;
- kode sumber sistem pembayaran;
- konfigurasi server produksi;
- API privat;
- kredensial autentikasi;
- detail implementasi antiblokir atau perlawanan jaringan yang sensitif;
- kode sumber lengkap protokol inti.
Hal-hal tersebut belum tentu dikecualikan dari program secara keseluruhan. Setiap modul produk memerlukan tinjauan keamanan, privasi, dependensi, dan lisensi tersendiri.
Setelah tinjauan selesai, rilis berikutnya akan mencakup:
- direktori open source yang didefinisikan dengan jelas;
- lisensi yang relevan;
- riwayat versi;
- batasan keamanan;
- changelog;
- tanggal publikasi;
- tag Git atau Release yang dapat diverifikasi.
Membangun standar publikasi, struktur data, aturan keamanan, dan alat riset terlebih dahulu menciptakan fondasi yang lebih aman dan mengurangi risiko terpaparnya kredensial, infrastruktur, data pengguna, atau kode pihak ketiga yang secara hukum tidak boleh didistribusikan ulang.
Lisensi akan ditetapkan seiring dirilisnya materi tambahan
Repositori saat ini dapat dilihat publik, tetapi lisensi pemakaian ulang yang lengkap untuk kode dan konten masih disusun berdasarkan jenis materi dan kode sumber.
Sampai lisensi yang eksplisit dipublikasikan, pengguna tidak boleh menganggap telah menerima:
- hak untuk menyalin;
- hak untuk memodifikasi;
- hak untuk mendistribusikan ulang;
- hak untuk penggunaan komersial;
- hak untuk melisensikan ulang.
Lisensi yang jelas adalah bagian penting dari open source formal. Setiap rilis kode sumber, dokumentasi, data, atau alat berikutnya akan disertai ketentuan yang sesuai dengan dependensi, lisensi upstream, dan tujuan penggunaannya.
Cara ini menghindari penerapan lisensi satu modul secara keliru ke modul lain, serta melindungi kontributor, proyek upstream, dan pengguna downstream.
Arah jangka panjang program
Arahnya jelas: terus menambah jumlah materi teknis yang publik, dapat diverifikasi, dan dapat direproduksi.
1. Terus memperluas dokumentasi teknis publik
Ini mencakup siklus hidup koneksi, perutean, DNS, perubahan jaringan, konfigurasi yang aman, dan pengujian di berbagai platform.
2. Terus memublikasikan catatan produk yang berversi
Catatan akan ditambah dengan platform, versi, tanggal, checksum, perubahan material, batasan yang diketahui, dan tautan kutipan yang stabil.
3. Terus menambahkan dataset performa nyata
Data yang bertanggal, berversi, spesifik lingkungan, dan dapat dibaca mesin akan dipublikasikan dengan metode publik.
4. Terus memublikasikan laporan keamanan, performa, dan transparansi
Laporan akan membedakan kebijakan, pengujian internal, reproduksi independen, dan penilaian pihak ketiga.
5. Mendorong reproduksi independen
Peneliti dapat memakai metode dan format yang sama untuk membandingkan berbagai jaringan, perangkat, dan wilayah.
6. Terus menyempurnakan alat publikasi dan data
Otomasi akan diperluas untuk format, keamanan, dokumentasi, dan alur kerja pengujian.
7. Merilis kode sumber produk VPN secara bertahap
Setelah tinjauan keamanan, privasi, dependensi, dan lisensi, protokol, klien, dan teknologi inti lainnya yang direncanakan akan dirilis secara bertahap.
8. Membangun catatan pengungkapan dan koreksi yang lebih lengkap
Masalah keamanan yang material, versi yang terdampak, versi yang sudah diperbaiki, dan pembaruan lanjutan akan memiliki riwayat yang jelas.
Repositori ini berisi metadata kutipan. Peneliti sebaiknya mengutip Release yang diberi tag, commit yang tidak dapat diubah, dan laporan atau dataset bertanggal yang benar-benar digunakan, bukan materi promosi tanpa tanggal.
Dari pernyataan publik menuju verifikasi berkelanjutan
Open source tidak seharusnya hanya menjadi acara peluncuran.
Open source jangka panjang membutuhkan pemeliharaan, partisipasi dari luar, lisensi yang jelas, manajemen versi, perbaikan keamanan, dan materi teknis yang dapat diverifikasi serta direproduksi oleh pihak lain.
Memulai dari dokumentasi, metode riset, format data, standar bukti, struktur pelaporan, dan alat validasi menjadi fondasi bagi publikasi kode sumber yang lebih luas.
Pertama, membangun titik masuk publik
Materi teknis, keamanan, privasi, dan performa yang sebelumnya tersebar kini dikumpulkan dalam satu repositori GitHub yang dipelihara.
Kedua, menetapkan standar publikasi
Program ini mendefinisikan apa yang boleh dipublikasikan, kolom apa saja yang wajib ada dalam pengujian, bagaimana bukti diklasifikasikan, dan bagaimana koreksi dicatat.
Ketiga, membangun fondasi untuk open source berikutnya
Proses keamanan, privasi, lisensi, dan manajemen versi disiapkan untuk laporan, dataset, protokol, klien, dan modul lainnya.
Karena itu, fase pertama tidak menyajikan rilis awal yang terbatas sebagai hasil keseluruhan. Fase ini membuka proses yang dirancang untuk terus berkembang.
Pertanyaan yang sering diajukan (FAQ)
Apakah SingLinkVPN sudah resmi meluncurkan program open source?
Ya. Repositori resmi open source dan riset teknis SingLinkVPN sudah aktif, dan dokumentasi, metode riset, format data, serta alat validasi fase pertama sudah publik.
Apakah semua kode sumber VPN sudah publik sekarang?
Belum. Kode sumber protokol, klien, dan produk SingLinkVPN lainnya akan dirilis per modul setelah tinjauan keamanan, privasi, dependensi, dan lisensi.
Mengapa tidak memublikasikan semuanya sekaligus?
Produk VPN bisa berisi informasi server produksi, kredensial, API privat, mekanisme pertahanan yang sensitif, dependensi pihak ketiga, dan kode dengan lisensi yang berbeda-beda.
Tinjauan bertahap mengurangi risiko terpaparnya data pengguna, detail infrastruktur, kredensial aktif, atau kode pihak ketiga yang tidak boleh didistribusikan ulang.
Apakah data performa nyata akan dipublikasikan?
Ya. Metode dan format yang dapat dibaca mesin adalah langkah pertama. Data dan laporan yang bertanggal dan berversi akan menyusul, lengkap dengan lingkungan, ukuran sampel, dan batasannya.
Apakah laporan keamanan dan transparansi akan dipublikasikan?
Ya. Repositori SingLinkVPN memiliki direktori laporan khusus dan aturan publikasi. Laporan akan ditambahkan ketika bukti, metode, versi, dan batasannya sudah siap.
Apakah memublikasikan model keamanan berarti audit pihak ketiga sudah selesai?
Tidak. Model keamanan adalah dasar publik untuk pengujian dan penilaian berikutnya.
Penilaian pihak ketiga akan menyebutkan penilainya dan menautkan ke laporan yang dapat diverifikasi. Penilaian tersebut tidak akan disajikan sebagai pengujian internal.
Apa yang bisa dikontribusikan pengembang?
Pengembang dapat berkontribusi pada dokumentasi, terjemahan, metode riset, kualitas data, aksesibilitas, alat validasi, dan reproduksi pengujian.
Kerentanan keamanan harus dilaporkan secara privat, bukan diunggah di Issue publik.
Apakah data publik akan berisi data pengguna?
Tidak. Data publik harus diagregasi atau dianonimkan dan tidak boleh berisi data akun, data pembayaran, alamat IP privat, token akses, log produksi, atau lalu lintas produksi mentah.
Kesimpulan: open source adalah awal dari kepercayaan jangka panjang
Program open source SingLinkVPN kini sudah berjalan.
Fase pertama membangun dokumentasi teknis, metode riset, standar bukti, format data, aturan pengungkapan, struktur pelaporan, dan alat validasi.
Lebih banyak laporan keamanan, performa, dan transparansi akan menyusul. Lebih banyak data publik akan ditambahkan dalam format yang konsisten. Lebih banyak materi teknis dan kode sumber produk akan dirilis secara bertahap setelah tinjauan keamanan, privasi, dan lisensi.
Ini bukan pengumuman merek sekali jadi atau langkah terakhir. Ini adalah upaya rekayasa yang berkelanjutan.
Tujuan kami adalah mengubah informasi teknis, keamanan, privasi, dan performa SingLinkVPN dari materi yang hanya digambarkan oleh merek menjadi bukti publik yang dapat diperiksa, dikutip, diverifikasi, direproduksi, dan terus dikritisi oleh komunitas.
Kami menyambut pengembang, peneliti keamanan, media teknologi, dan pengguna komunitas yang ingin menyempurnakan dokumentasi, mereproduksi riset, memvalidasi data, dan ikut dalam diskusi teknis.
Open source adalah awal dari kepercayaan jangka panjang.
Dan ini baru langkah pertama.
