Assignment 9 – Hash – Dwi Nur Ramadhan

Keamanan Data Publik di Era Blockchain dan AI Generatif

Pemerintah Indonesia meluncurkan sistem bernama CivChain, yaitu platform digital untuk menyimpan dokumen publik seperti akta kelahiran, ijazah, izin usaha, dan sertifikat tanah. Semua data tersebut disimpan di blockchain publik, agar tidak bisa dipalsukan dan dapat diverifikasi siapa pun.

Untuk membantu petugas, pemerintah bekerja sama dengan startup VeriAI, yang menggunakan AI Generatif (GenAI) untuk membuat ringkasan otomatis isi dokumen, menerjemahkan data, dan memberikan saran kepada operator agar lebih cepat memproses dokumen.

Beberapa waktu kemudian muncul beberapa masalah:

1. Data transaksi di blockchain ternyata bisa digunakan untuk menebak identitas warga, karena ada pola waktu, nama validator, dan jenis dokumen.

2. Beberapa keluaran dari GenAI menampilkan potongan kalimat dari dokumen pribadi, sehingga muncul risiko kebocoran informasi.

3. Website CivChain juga sempat diserang peretas melalui injeksi API dan DDoS attack yang membuat sistem lumpuh selama beberapa jam.

Pertayaan

1. Analisis Logika (25%)

Jelaskan dengan bahasa kamu sendiri mengapa kombinasi blockchain publik, GenAI, dan portal pemerintah dapat menimbulkan risiko baru terhadap privasi dan keamanan data warga. Gunakan logika dan contoh yang kamu buat sendiri, bukan teori hafalan.
Contoh arah jawaban: bagaimana pola transaksi atau ringkasan AI dapat secara tidak sengaja mengungkap identitas seseorang.

2. Dua Skenario (20%)

Buat dua cerita singkat:

• A: Situasi di mana hashing lebih tepat digunakan daripada enkripsi, dan jelaskan alasannya.

• B: Situasi di mana enkripsi lebih aman dan hashing tidak cukup, sertakan juga alasan teknisnya.

3. Contoh Data Buatan (15%)

Tulis tiga sampai lima baris data contoh fiktif untuk menunjukkan bagaimana penyerang dapat menebak identitas seseorang.
Gunakan format sederhana seperti contoh berikut (boleh disesuaikan):

Setelah itu, jelaskan dengan dua sampai tiga kalimat bagaimana penyerang dapat menebak siapa orang yang dimaksud.

4. Serangan ke Website Pemerintah (20%)

Pilih satu jenis serangan yang mungkin terjadi, seperti DDoS, SQL Injection, atau penyalahgunaan AI untuk social engineering.
Jelaskan secara berurutan:

• Bagaimana serangan bisa terjadi

• Tujuan penyerang

• Dampak yang ditimbulkan

• Cara pencegahannya (minimal dua langkah teknis dan dua langkah kebijakan atau prosedur kerja)

Gunakan gaya penjelasan seperti sedang menjelaskan kepada tim keamanan kampus.

5. Strategi Pertahanan (10%)

Tuliskan satu paragraf strategi keamanan yang mencakup lima hal berikut: salt/pepper, pseudonymization, pembatasan akses internal, audit dan logging, serta data minimization.
Tulis seolah kamu adalah penanggung jawab keamanan di sistem pemerintahan, dan jelaskan dengan bahasa yang sederhana tetapi menunjukkan pemahaman teknis.

6. Refleksi Etika dan Dampak Sosial (10%)

Tuliskan pendapat pribadi kamu tentang mengapa kebocoran data publik dari sistem seperti ini bisa lebih berbahaya daripada kebocoran password biasa.
Bahas dari sisi:

• Dampak terhadap reputasi seseorang

• Kepercayaan masyarakat terhadap pemerintah

• Tanggung jawab etis lembaga pengelola data

Gunakan gaya opini pribadi, bukan teori.

Status :100%
Keterangan: saya telah mengerjakan dengan baik dan benar
Bukti:

1. Menurut aku, gabungan antara blockchain publik, AI generatif, dan portal pemerintah bisa bikin risiko baru karena tiga hal: semuanya saling terhubung, terbuka, dan kadang terlalu pintar.

Pertama, blockchain publik itu kayak papan pengumuman digital  semua orang bisa lihat catatannya walau isinya disamarkan. Tapi dari pola waktu dan jenis transaksinya, orang bisa nebak identitas seseorang. Misalnya, setiap jam 10 pagi selalu ada transaksi izin usaha di Bandung, bisa aja orang sadar kalau itu punya aku. Jadi tanpa nyebut nama pun, identitas bisa ketebak dari pola.

Kedua, AI generatif kayak asisten yang pinter tapi suka keceplosan. Dia bisa bantu ngeringkas dokumen, tapi kadang malah nyebutin data pribadi. Misalnya AI bikin ringkasan ijazah dan tanpa sengaja nulis, Nama: Dwi Rahmawati, Lulus 2022. Padahal itu data sensitif yang gak seharusnya muncul.

Ketiga, portal web pemerintah jadi pintu masuk buat semua sistem ini. Kalau ada celah kecil di API atau serangan Distributed Denial of Service (DDoS), semuanya bisa tumbang. Blockchain-nya mungkin aman, tapi kalau websitenya diserang, datanya tetap bisa bocor.

Jadi menurutku, kombinasi tiga hal ini bisa bikin sistem kelihatan canggih tapi sebenarnya rawan bocor dari sisi yang gak disangka  blockchain terlalu terbuka, AI terlalu jujur, dan web portal terlalu gampang diserang.

2. 

a. Bayangin kamu lagi ikut lomba dan panitia ngasih nomor peserta. Nomor itu gak bisa dipakai buat tahu siapa kamu, tapi bisa dipakai buat ngecek apakah kamu peserta yang sama.

Nah, hashing itu mirip kayak kasih nomor unik ke sebuah data.
Contohnya: kamu mau nyimpen sertifikat digital di blockchain, tapi gak mau orang lain bisa baca isinya.
Jadi sistem gak nyimpen sertifikatnya langsung, tapi nyimpen hasil hash-nya semacam sidik jari digital dari dokumen itu.

Kalau nanti ada orang ngaku punya sertifikat itu, tinggal dicek aja hash-nya. Kalau sama, berarti asli; kalau beda, berarti palsu. Dan enaknya, hashing itu satu arah  gak bisa dibalik buat tahu isi aslinya. Hashing cocok buat ngecek keaslian atau keutuhan data, bukan buat nyembunyiin isi data. Jadi kayak ngecek ini beneran dokumennya dia gak sih? tanpa perlu buka isi dokumennya.

b. Sekarang bayangin kamu punya surat pribadi buat dikirim ke teman.
Kamu gak mau orang lain baca, jadi kamu kunci suratnya di kotak besi dan kasih kuncinya cuma ke teman kamu.

Itu lah enkripsi: data dikunci pake kunci rahasia, dan cuma orang yang punya kuncinya yang bisa buka.

Misalnya kamu kerja di tim CivChain dan harus kirim data warga (yang isinya nama, NIK, dan alamat) ke server AI untuk dianalisis. Kalau cuma di-hash, AI gak bisa baca isinya karena hashing gak bisa dibalik.
Tapi kalau kamu enkripsi dulu, datanya bisa dibuka lagi di sisi penerima dengan kunci yang sesuai  jadi tetap aman di perjalanan tapi masih bisa dipakai.

3.

4.

DDoS terjadi ketika banyak komputer (sering dari jaringan yang sudah dikompromi) mengirimkan permintaan atau trafik dalam jumlah sangat besar ke website atau API pemerintah sekaligus, sampai server dan jaringan tidak sanggup memprosesnya. Secara sederhana: bayangin pintu layanan online yang tiba-tiba dibanjiri ribuan orang palsu sehingga warga asli nggak bisa masuk. Serangan ini bisa dipicu lewat botnet, amplification techniques (mis. DNS/NTP amplifikasi), atau permintaan HTTP/HTTPS berulang-ulang ke endpoint yang berat.

Tujuan penyerang biasanya buat melumpuhkan layanan (membuat portal tidak bisa diakses) untuk mengganggu operasi, menimbulkan kerugian reputasi, atau mengalihkan perhatian sambil mereka jalankan serangan lain (mis. pencurian data). Kadang juga dipakai sebagai pemerasan: “bayar kami atau situsmu terus down.” Dampaknya nyata: layanan publik mati sementara (pendaftaran, verifikasi dokumen), gangguan proses administratif, beban kerja tambahan untuk tim IT, potensi kehilangan kepercayaan publik, dan biaya pemulihan/mitigasi yang besar.

Kalau website pemerintah diserang DDoS, dampak paling langsung adalah layanan publik jadi lumpuh sementara. Misalnya, portal seperti CivChain nggak bisa diakses warga yang mau verifikasi ijazah, cek izin usaha, atau ambil dokumen digital. Semua pengguna bakal lihat situs error atau tidak bisa diakses, padahal sebenarnya sistemnya cuma kebanjiran trafik palsu. Ini bikin aktivitas administrasi masyarakat terganggu warga bisa telat daftar usaha, gagal akses dokumen penting, atau tertunda proses legalitasnya.

Untuk mencegah serangan DDoS, ada dua sisi yang harus diperkuat: sisi teknis dan sisi kebijakan atau prosedur kerja. Dari sisi teknis, langkah pertama adalah menggunakan Content Delivery Network (CDN) dan load balancer. Fungsinya untuk membagi beban trafik ke banyak server di lokasi berbeda, jadi kalau satu titik diserang, sistem masih bisa tetap jalan dari titik lainnya. Langkah kedua adalah memasang Web Application Firewall (WAF) atau layanan anti DDoS yang bisa otomatis mendeteksi dan memblokir trafik mencurigakan sebelum sampai ke server utama. Selain itu, teknik seperti rate limiting (membatasi jumlah permintaan dari satu IP) juga efektif biar bot gak bisa ngirim ribuan request sekaligus.

5.
Sebagai penanggung jawab keamanan sistem pemerintahan, saya menerapkan strategi berlapis untuk menjaga data publik tetap aman dan tidak mudah disalahgunakan. Pertama, setiap data sensitif yang disimpan di database akan di-hash menggunakan salt dan pepper, supaya meskipun ada yang berhasil mencuri hasil hash-nya, mereka tetap tidak bisa menebak isi aslinya karena tiap data punya kode acak unik. Kedua, saya menerapkan pseudonymization, yaitu mengganti identitas asli warga (seperti nama atau NIK) dengan kode acak saat data diproses, sehingga tim teknis tidak langsung tahu siapa pemilik datanya. Ketiga, dilakukan pembatasan akses internal dengan prinsip least privilege, di mana setiap pegawai hanya bisa mengakses data sesuai tugasnya misalnya operator hanya bisa melihat data yang sudah disetujui, bukan seluruh database. Keempat, sistem juga memiliki audit dan logging otomatis untuk mencatat semua aktivitas pengguna dan sistem, agar setiap tindakan bisa ditelusuri jika terjadi penyimpangan. Terakhir, saya menerapkan prinsip data minimization, yaitu hanya mengumpulkan dan menyimpan data yang benar-benar dibutuhkan, bukan semuanya. Dengan cara ini, risiko kebocoran atau penyalahgunaan data bisa ditekan sekecil mungkin tanpa menghambat pelayanan publik.

6. 

Menurut saya, kebocoran data publik dari sistem seperti CivChain jauh lebih berbahaya daripada sekadar kebocoran password biasa, karena yang bocor bukan cuma akses, tapi identitas dan jejak hidup seseorang. Kalau password bocor, kita masih bisa ganti  tapi kalau data pribadi seperti NIK, akta lahir, atau sertifikat tanah tersebar, itu nggak bisa ditarik balik. Dampaknya bisa besar buat reputasi seseorang; misalnya, data pendidikan atau izin usahanya bisa dipelintir, digunakan untuk penipuan, atau dijadikan bahan manipulasi di dunia digital.

Dari sisi kepercayaan masyarakat, kebocoran seperti ini bikin orang jadi ragu untuk menyerahkan data ke pemerintah lagi. Padahal, kepercayaan itu fondasi utama buat transformasi digital. Begitu masyarakat merasa datanya tidak aman, mereka akan lebih memilih jalur manual atau bahkan menolak program digitalisasi, yang akhirnya bisa menghambat kemajuan layanan publik.

Secara etis, lembaga pengelola data punya tanggung jawab besar, karena mereka bukan hanya menjaga sistem, tapi juga menjaga rasa aman warga negara. Data publik bukan sekadar file di server  itu potongan kehidupan orang banyak. Jadi menurut saya, etika pengelolaan data harus lebih kuat dari sekadar kepatuhan teknis. Lembaga pemerintah harus punya kesadaran moral bahwa setiap kebocoran berarti ada individu yang dirugikan, bukan hanya sistem yang error.