Menyoal PeduliLindungi yang Tak Sesuai Namanya

JAGAT media sosial kemarin dihebohkan dengan beredarnya sertifikat vaksin Presiden Joko Widodo. Banyak yang bingung apa yang sesungguhnya terjadi. Apakah itu kerjaan hacker? Apakah servernya telah dibobol oleh penjahat sehingga berakibat bocornya data presiden?

Jawabannya: tidak, tuan dan puan. Yang terjadi sederhana saja: seseorang memasukkan nama lengkap dan NIK Presiden Jokowi di situs pedulilindungi.id, lalu mencentang "i'm not a robot" pada form reCAPTCHA buatan Google, lalu klik tombol 'Periksa'. Gotcha! Karena datanya cocok, keluarlah itu sertifikat. Ya, sesederhana itu.

Lalu, dari mana NIK Presiden Jokowi diperoleh? Jika Anda buka Google sekarang, lalu ketikkan 'NIK Presiden Jokowi' di kolom pencarian, maka muncullah itu NIK. Artinya, NIK itu memang sudah bocor duluan, bukan berasal dari aplikasi PeduliLindungi. Namun, karena ketika NIK itu diinput, sistem di PeduliLindungi menemukan kecocokan datanya, maka muncullah sertifikat vaksin atas nama itu.

Lalu apa yang salah dengan PeduliLindungi? Jawab: mekanisme pengecekan datanya. Dalam sistem saat ini, siapa pun bisa mengecek sertifikat orang lain asal tahu NIK-nya. Ini lantaran PeduliLindungi tidak mewajibkan login terlebih dahulu ke dalam aplikasi sebelum mengecek sertifikat.

Seorang teman saya di Aceh bercerita bahwa suatu ketika dia berniat mengecek sertifikatnya sendiri. Namun, dia kaget, ketika yang muncul sertifikatnya atas nama orang lain. Alamak!

Di sinilah letak masalahnya. Pada sistem sekarang, si A bisa memeriksa dan mengunduh sertifikat si B atau si C asal tahu nama lengkap dan NIK-nya. Ini jelas-jelas tidak menerapkan prinsip perlindungan dan keamanan data. Metode ini jelas tidak sesuai dengan nama PeduliLindungi.

Dalam dunia keamanan data, kita mengenal metode enkripsi atau setidaknya lewat mekanisme login menggunakan username dan password. Anehnya, itu tidak dilakukan oleh PeduliLindungi. Tidak ada mekanisme otentikasi di sana.

Untuk lebih mudah memahaminya, mari kita lihat yang dilakukan oleh aplikasi perbankan. Dalam kasus PeduliLindungi, ini seperti si A yang tahu nomor rekening bank si B, lalu menggunakan aplikasi bank tempat si B menabung untuk mengunduh mutasi rekeningnya.

Faktanya, si A tidak bisa melakukan itu di aplikasi perbankan. Bank mendesain aplikasinya sedemikian sehingga hanya si B yang bisa melihat dan mengunduh datanya. Bank memastikan si A tidak bisa mengakses isi rekening si B (kecuali lewat trik penipuan untuk mendapatkan kode akses).

Bagaimana bank memastikan itu? Lewat kode akses atau otentikasi. Itu saja kuncinya. Dengan begitu, si A hanya bisa mengecek mutasi rekeningnya sendiri, tidak bisa memeriksa mutasi rekening si B meskipun dia tahu nomor rekeningnya. Begitu juga sebaliknya.

Itulah yang tidak diterapkan oleh PeduliLindungi. Walhasil, sertifikat vaksin Presiden Jokowi pun bisa diunduh oleh orang lain.

Celakanya, tampaknya itu tidak disadari oleh pejabat kita. Lihatlah yang disampaikan oleh Menkominfo Johny G Plate kepada wartawan setelah sertifikat vaksin Presiden Jokowi bisa diunduh orang lain.

Johny bilang, NIK dan tanggal vaksin presiden bukan berasal dari PeduliLindungi, tetapi telah terlebih dahulu bocor dari situs Komisi Pemilihan Umum.

Yang dikatakan Johny itu benar 1000%. Tidak ada dakwa-dakwi dalam hal itu. Tapi bukan itu masalahnya. Masalah utamanya, wahai Pak Johny, aplikasi PeduliLindungi tidak menerapkan mekanisme otentikasi siapa dapat mengakses apa.

Begitu pula dengan Menteri Kesehatan Budi G. Sadikin. Menteri yang selama ini terlihat cerdas itu, tiba-tiba bicara soal kesalahan entry data setelah sertifikat vaksin presiden beredar.

"Karena tetap data entry kan Indonesia sering terjadi kesalahan, niatnya ke sana. Nah memang tidak nyamannya kita, bukan hanya Pak Presiden saja tapi juga banyak pejabat-pejabat juga yang NIK-nya sudah jadi tersebar informasinya keluar, kita menyadari itu," kata Budi kepada wartawan di Mapolda Metro Jaya, Jumat kemarin, 3 September 2021.

Pernyataan Menteri Budi itu, jelas-jelas tidak menyentuh substansi persoalan. Inti masalahnya bukan pada entry data, tapi pada bagaimana melindungi data yang sudah di-entry.

Celakanya lagi, Menteri Budi mengatakan akan menutup data milik pejabat saja. Loh, itu artinya yang bukan pejabat tidak perlu dilindungi, begitu? Wah, kacau kalau begitu, Pak Menteri. Untuk apa juga bertahun-tahun membahas Rancangan Undang-undang Perlindungan Data Pribadi yang belum kelar sampai sekarang jika ujung-ujungnya yang dilindungi hanya data pejabat?

Dirjen Dukcapil Zudan Arif Fakhrulloh tampaknya lebih memahami persoalan. Dia menyarankan PeduliLindungi menerapkan metode otentikasi dua faktor.

"Jadi tidak hanya dengan NIK (nomor induk kependudukan) saja, bisa dengan biometrik atau tanda tangan digital (pengguna)," kata Zudan dalam keterangannya, Jumat, 3 September 2021.

Zudan bilang, perkara bocornya sertifikat vaksin presiden ini bukan kebocoran NIK, tetapi menggunakan data orang lain untuk mendapatkan data informasi orang lain.

Dari pernyataan itu, kita bisa menilai bahwa Zudan paham benar inti masalahnya. Karena itu, dia menawarkan solusinya.

Saya sepakat dengan Zudan. Yang perlu dilindungi bukan hanya data pejabat, tapi data seluruh rakyat Indonesia.

Kesan Lepas Tanggung Jawab Pembuat Aplikasi
Kesan hendak lari dari tanggung jawab memang sudah terlihat di syarat dan ketentuan di situs pedulilindungi.id. Pada poin tentang 'Pembatasan Tanggung Jawab', Telkom selalu pihak yang membuat aplikasi PeduliLindungi, secara tegas mengatakan tidak bertanggung jawab jika terjadi kebocoran data.

Begini bunyi lengkapnya:
"Pemerintah Republik Indonesia dan PT Telekomunikasi Indonesia Tbk tidak bertanggung jawab atas setiap kerugian yang timbul diakibatkan karena adanya pelanggaran atau akses tidak sah terhadap PeduliLindungi, termasuk namun tidak terbatas pada hal-hal ataupun fitur yang terdapat dalam PeduliLindungi yang dilakukan oleh Pengguna dengan cara yang bertentangan dengan Ketentuan ini maupun ketentuan hukum yang  berlaku di wilayah Republik Indonesia."

Jelas bukan? Aroma hendak lepas tangan kentara sekali terendus dalam kalimat-kalimat di atas.

Celakanya, di tengah sikap tidak bertanggung jawab si pembuat aplikasi, Menteri Luhut Pandjaitan justru hendak mewajibkan aplikasi PeduliLindungi untuk semua akses publik.

"Ke depan penggunaan platform PeduliLindungi nanti akan terus digunakan dan diluaskan serta diwajibkan bagi seluruh akses publik yang melakukan penyesuaian tanpa terkecuali," kata Luhut, dalam konferensi pers secara daring, Senin (30/8/2021) malam, seperti dikutip Kompas.com.

Masyarakat tentu akan manut jika PeduliLindungi bisa mengamankan data mereka. Tapi lihatlah, jangankan data masyarakat, data Presiden Jokowi saja tidak bisa dilindungi. Sangat wajar kalau kemudian masyarakat pesimis.

Karena itu, alangkah lebih bijak jika pemerintah melakukan evaluasi internal terlebih dahulu, sebelum memaksa masyarakat menggunakan aplikasi PeduliLindungi yang ternyata tidak melindungi itu.

Hal lain, pelajaran penting dari kasus ini: transformasi digital, meskipun sangat penting, tidak bisa dilakukan ugal-ugalan. Ada aspek keamanan siber yang harus jadi fokus perhatian utama. Itu pun, jika pengelola negara sepakat bahwa data pribadi masyarakatnya perlu dijaga.[]

Penulis adalah editor Cyberthreat.id. Opini ini merupakan pandangan pribadi penulis, bukan sikap redaksi Cyberthreat.id