Protokol Newton: Mengamankan Bagian Tengah, Bukan Tepi
Pagi ini, aku meninggalkan ponselku tidak terkunci di meja dapur selama kira-kira sepuluh menit saat aku mengurus hal lain, dan ketika aku balik, aku sempat panik kecil yang singkat—bukan karena sesuatu terjadi, tapi karena refleksnya: "tunggu, bagaimana kalau ada orang yang mengambilnya." Tidak ada yang terjadi. Tapi itu membuatku berpikir tentang di mana keamanan sebenarnya berada dalam sebuah sistem, dibandingkan dengan tempat yang kita asumsikan keamanan itu berada.
Gagasan itu masih terus berputar di kepalaku kemudian saat aku duduk lagi dengan materi Protokol Newton—kali ini dalam kerangka "meningkatkan keamanan lewat otomasi yang dapat diverifikasi". Dan alih-alih hanya mengangguk, aku mendapati diriku menanyakan pertanyaan yang lebih spesifik—keamanan terhadap apa, tepatnya, dan keamanan dimulai dari mana. Jadi aku menggali lebih dalam batas-batas sebenarnya tentang apa yang dilindungi oleh lapisan TEE dan ZK.
Begini yang akhirnya “klik”, dan sedikit mengganggu begitu kamu melihatnya dengan jelas. Sistem verifikasi mengamankan bagian tengah dari alur kerja dengan sangat baik—sistem itu membuktikan bahwa tindakan apa pun yang dieksekusi benar-benar sesuai dengan aturan yang disetujui. Bagian itu rapat sekali, sungguh. Namun sistem itu sama sekali tidak menyentuh momen sebelum itu—bagaimana izin tersebut ditulis dan ditandatangani sejak awal, serta oleh siapa. Jika perangkat atau kunci yang menandatangani cakupan izin dikompromikan, atau jika seseorang yang punya akses hanya menulis izin yang secara teknis valid tapi terlalu luas, seluruh sistem hilir akan dengan setia, secara kriptografis membuktikan bahwa tindakan buruk yang dihasilkan adalah “benar-benar dieksekusi.” Karena memang begitu. Dieksekusi dengan benar, sesuai instruksi yang tidak seharusnya pernah diberikan.
Kurasa aku sudah mengasumsikan begini—sama seperti aku menganggap ponselku pada dasarnya aman selama tidak ada yang benar-benar meretasnya dari jarak jauh—cerita keamanan di sini dimulai dari awal dan mencakup seluruh rantai dari ujung ke ujung. Tidak. Keamanan dimulai setelah sebuah izin sudah ada dan diperlakukan sebagai sah. Semua yang ada sebelum itu—langkah manusia, langkah penandatanganan, perangkat yang memegang kunci—sepenuhnya berada di luar apa yang diverifikasi. Ini bukan kritik terhadap rekayasanya; rekayasa di dalam batas itu memang benar-benar kuat. Masalahnya lebih pada batasnya yang lebih sempit daripada yang terdengar saat “keamanan melalui otomatisasi yang bisa diverifikasi” menjanjikan.
Tapi ini bagian yang benar-benar menggangguku. Kebanyakan kompromi dunia nyata dalam kripto secara historis tidak berasal dari mematahkan kriptografi; biasanya justru berasal dari lapisan hulu yang persis seperti ini—kunci yang dipancing (phished), perangkat yang terkompromi, atau seseorang yang menyetujui sesuatu yang tidak seharusnya di bawah tekanan atau karena kebingungan. Kalau titik risiko yang sebenarnya masih terkonsentrasi di sana, maka sistem yang secara terbukti mengamankan segalanya setelah izin itu ada sedang menyelesaikan masalah yang biasanya bukan yang “menggigit” orang. Ini agak seperti memasang kunci yang sangat bagus di pintu, sementara kebanyakan pembobolan terjadi lewat jendela terbuka yang tidak dicek siapa pun. Aku tidak bilang kuncinya tidak berguna, tapi aku tidak yakin itu mengubah peluang sebesar yang disiratkan oleh cara pembingkaiannya.
Ada juga pertanyaan soal pencabutan (revocation), yang awalnya tidak kupikirkan akan penting, tapi sekarang jadi sulit berhenti memikirkannya—begitu sebuah izin aktif dan agen sedang berada di siklusnya, seberapa cepat seorang pengguna benar-benar bisa menariknya kembali jika sesuatu terasa salah. Aku belum sepenuhnya memastikan jawabannya di sana; mungkin ini hanya celah dari apa yang sudah kubaca sejauh ini, bukan celah pada sistemnya sendiri.
Yang paling penting, kurasa, bagi siapa pun yang menganggap jenis otomatisasi terverifikasi ini sebagai alasan untuk menjadi kurang hati-hati pada hal-hal hulu—kebersihan perangkat, siapa yang punya akses penandatangan, bagaimana izin ditinjau sebelum diberikan. Matematikanya tidak benar-benar berubah hanya karena semuanya di hilir itu rapat secara kriptografis.
Bagaimanapun, ponselku sudah kembali di saku, tidak ada yang terjadi, jelas. Tapi aku tetap mengeceknya dua kali sebelum meninggalkannya berserakan. Kebiasaan lama, kurasa, bahkan kalau risikonya sebenarnya kemungkinan besar ada di tempat lain sepenuhnya.