Teknologi blockchain harus dipertimbangkan oleh Percetakan Uang Republik Indonesia (Peruri) untuk meningkatkan sistem e-meterai yang ada.
OLEH: Dimaz Ankaa Wijaya, Ph.D
Peneliti blockchain di Universitas Deakin, Australia
Peruri harus diapresiasi karena telah mampu menerbitkan sistem e-meterai untuk mendukung regulasi baru. Namun, Peruri masih memiliki PR untuk meningkatkan sistem e-meterai yang ada. Teknologi blockchain sudah tentu akan banyak membantu meminimalisasi beberapa risiko keamanan yang masih membayang.
Dalam artikel sebelumnya di media ini, saya telah membahas sedikit soal e-meterai yang baru saja diresmikan oleh Menteri Keuangan RI, Sri Mulyani, pada 1 Oktober 2021 lalu.
Saya juga menyandingkan antara e-meterai dengan smart stamp duty, sistem yang saya rancang bersama beberapa co-author lainnya, yang dipublikasikan melalui prosiding konferensi CANS2019.
Skenario Terburuk Sistem E-meterai
Pada artikel ini, kita akan berandai-andai lagi, skenario terburuk apa saja yang bisa terjadi dengan e-meterai. Pengandaian ini penting sebagai perwujudan dari analisis ancaman (threat analysis) yang biasanya dilakukan saat mendesain sistem. Apalagi, sistem sebesar e-meterai yang berpotensi menyumbang triliunan uang pajak ke kas negera.
Sebagaimana telah disinggung dalam artikel saya sebelumnya, e-meterai yang dijalankan oleh Peruri tak lebih dari perwujudan tanda tangan digital berbasis sertifikat berdasarkan standar X.509.
Tanda tangan digital berbasis sertifikat ini dapat diverifikasi menggunakan chain of trust, untuk memastikan bahwa pihak yang mengeluarkan sertifikat yakni otoritas sertifikat (certificate authority atau CA) adalah pihak yang dapat dipercaya, dan dengan demikian informasi yang ditandatangan juga dapat dipercaya. Metode ini umum digunakan, misalnya dalam protokol HTTPS (Hypertext Transfer Protocol Secure).
Sertifikat yang dimiliki oleh sebuah website akan divalidasi oleh peramban (browser) seperti Chrome atau Firefox untuk memastikan bahwa website tersebut memang asli.
Premis dari sertifikat digital ini adalah bahwa otoritas sertifikat (certificate authority) selalu bertindak jujur.
Pasalnya, sampai di manakah kita harus percaya otoritas sertifikat, dalam hal ini Peruri, untuk selalu bertindak jujur?
Ada lima isu yang bisa disoroti dalam sistem e-meterai yang dapat diakses melalui https://pos.e-meterai.co.id.
Pertama, sistem e-meterai membutuhkan unggahan dari pengguna e-meterai. Dalam hal ini, pengguna harus mengunggah dokumen elektronik yang akan dimeterai. Dokumen ini merupakan dokumen mentah yang belum “ditandatangani” oleh Peruri.
Dari sini, kita mesti bertanya, sejauh mana pengamanan Peruri terhadap dokumen yang diunggah ini agar tidak bocor? Dokumen yang terutang meterai cukup banyak jenisnya, yang bukan tidak mungkin memuat informasi pribadi ataupun informasi berharga lainnya.
Peruri yang bertugas sebagai repositori dokumen, baik itu dokumen belum termeterai baik yang sudah termeterai, memiliki tugas berat.
Peruri harus memastikan keamanan dokumen dari akses yang tidak sah, baik internal maupun eksternal.
Pertahanan berlapis tentu saja harus diberikan. Untuk dokumen yang pemeteraiannya berharga hanya Rp10 ribu rupiah, mudah-mudahan Peruri punya margin yang cukup untuk membangun, mengelola, dan mengoperasikan benteng digital yang mumpuni.
Kedua, Peruri juga harus memastikan bahwa tak ada pihak yang dapat melakukan modifikasi atas dokumen yang telah diunggah dan melakukan pemeteraian seolah-olah dokumen hasil modifikasi inilah yang sah.
Isu kedua ini masih berkaitan dengan isu pertama, yakni dokumen yang tersimpan dalam peladen (server) Peruri yang dapat digunakan secara tak bertanggungjawab.
Intinya, pengguna tak bisa berbuat apa-apa selain percaya penuh pada Peruri agar tak “gatal”, misalnya membuat salinan dokumen yang juga ditandatangani, seolah-olah sah.
Ketiga, Peruri ternyata hanya memperbolehkan penggunanya mengunduh dokumen yang telah termeterai paling lambat dua jam setelah dokumen tersebut dimeteraikan.
Setelah dua jam terlewati, maka pengguna tak dapat mengakses dokumen termeterai tersebut dari situs e-meterai. Tak ada jaminan pasti apakah dokumen tersebut dihapus sepenuhnya dari peladen Peruri, ataukah masih tersimpan dalam sistem mereka meski tak dapat diakses pemiliknya.
Hal ini bisa menimbulkan masalah tentu saja, bagi mereka yang mengalami kesulitan akses Internet saat melakukan pengunduhan. Mengingat, koneksi Internet di wilayah Indonesia tak merata dan tak stabil.
Keempat, metode overt dan covert rancangan e-meterai oleh Peruri ini rasa-rasanya tak sesuai diterapkan dalam sistem elektronik yang harusnya tersedia untuk umum. Hanya Peruri yang memiliki barcode scanner atas “Peruri seal” yang tersemat pada desain e-meterai.
Hal ini menimbulkan ketergantungan pada vendor tertentu (yang biasanya harus selalu dihindari pada proyek-proyek teknologi). Meski, tak jelas apa kegunaan barcode scanner tersebut untuk dokumen elektronik yang verifikasinya dapat dilakukan melalui aplikasi pembaca PDF.
Kelima, Peruri CA (yang kabarnya menginduk ke RootCA milik Kementerian Kominfo) belum diakui oleh dunia internasional. Artinya, sertifikat-sertifikat yang ditandatangani oleh Peruri belum dapat dijamin keasliannya oleh perangkat lunak buatan luar negeri seperti Adobe Acrobat Reader. Akibatnya, akan muncul notifikasi seperti di bawah ini.
Sebenarnya saya ingin mencoba membuat “e-meterai” palsu sebagai langkah peragaan, tetapi niat tersebut saya batalkan karena takut konsekuensi hukum. Maklum, saya bukanlah pihak yang ditunjuk resmi untuk melakukan kajian terhadap sistem e-meterai.
Teknologi Blockchain untuk E-Meterai
Blockchain, selain kemampuannya menjalankan kontrak pintar (smart contract), dapat pula dilihat sebagai sistem cap waktu (timestamp machine).
Artinya, blockchain bisa menandai kapan sebuah dokumen dibuat dan direkam ke dalam sistem blockchain.
Dengan kata lain, seseorang bisa mengklaim bahwa dokumen tertentu telah dibuat pada saat tertentu di masa lalu, melalui perekaman nilai fingerprint dokumen tersebut, misalnya nilai hash, pada blockchain.
Transaksi perekaman akan disimpan dalam sebuah block yang memiliki informasi cap waktu. Informasi cap waktu dari blok tersebut akan melekat pula pada nilai hash dokumen.
Karakteristik di atas dapat digunakan untuk memperkuat sistem Peruri. Rekaman fingerprint pada dokumen serta validasi oleh Peruri, misalnya dalam bentuk pembubuhan tanda tangan elektronik bersertifikat, akan menjadi bahan pembuktian bahwa sebuah dokumen telah ditandatangani.
Model seperti ini akan memberikan fleksibilitas bagi pengimplementasi sistem, apakah implementasi tersebut akan menggunakan PDF atau bentuk lain.
Selama konsep pembubuhan dan verifikasi tanda tangan elektronik dipenuhi, format dokumen seharusnya tidak menjadi masalah.
Teknologi blockchain sudah tentu akan banyak membantu menekan sejumlah risiko keamanan pada sistem e-meterai ini. [ps]