Bisnis Indonesia Online » Edisi Cetak

Senin, 12/05/2008

Tinjauan terhadap privasi e-mail

• Cetak

Sebutan surat elektronik atau e-mail saat ini sebenarnya tidak tepat. Istilah yang lebih akurat mungkin kartu pos elektronik atau e-postcard. Surat biasa (yang kadang dilecehkan oleh para pemakai e-mail sebagai 'surat siput' atau snail mail) biasanya dikirim di dalam amplop, agar tidak mudah dibaca orang lain yang tidak berhak. Bila surat tersebut cukup penting terkadang kita menandatanganinya, untuk meyakinkan penerima akan identitas kita.

Berbeda dengan surat biasa, surat elektronik acap kali dikirimkan tanpa perlindungan yang analog dengan amplop. Pak Pos biasanya tidak akan dapat membaca isi surat kita (kecuali, tentu saja, bila amplopnya dibuka terlebih dahulu).

Pada surat elektronik fungsi Pak Pos ini dilakukan oleh server-server e-mail. Namun keadaannya tidak sama. Siapa pun yang punya akses pada server tersebut, seperti administrator, dapat membaca e-mail yang dikirimkan. Belum lagi bila ada yang berhasil menyadap komunikasi antara server e-mail pengirim dan penerima. Berbeda dengan surat biasa, ini dapat dilakukan tanpa diketahui oleh penerima e-mail. Paling tidak pada surat biasa ada kemungkinan terlihat tanda-tanda amplop sudah pernah dibuka.

Apakah berarti kita tidak bisa punya privasi dalam komunikasi e-mail? Sebenarnya bisa saja, bila kita melakukan enkripsi. Memasang enkripsi pada surat elektronik bisa dibandingkan dengan memasukkan surat biasa ke dalam amplop. Dengan demikian surat elektronik akan benar-benar menjadi surat, bukan kartu pos yang bisa dibaca setiap orang. Peranti lunak untuk melakukan enkripsi saat ini tersedia dengan bebas dan gratis. Pada beberapa aplikasi e-mail dukungan terhadap enkripsi bahkan sudah ditanamkan.

Kebanyakan program enkripsi ini juga mendukung tanda tangan digital (digital signature). Seperti tanda tangan biasa, tanda tangan digital berguna buat memastikan identitas pengirim. Dengan demikian penerima bisa memastikan bahwa e-mail yang dia dapatkan benar-benar berasal dari orang yang dimaksud.

Kenyataannya saya sendiri tidak pernah menemukan orang yang melakukan enkripsi terhadap isi surat elektroniknya. Untuk mendapatkan jawaban kenapa seperti itu, saya memutuskan menyigi beberapa orang kenalan lewat pesan instan. Latar belakang mereka beragam: mulai ada mahasiswa, karyawan swasta dan pemerintah, sampai pengembang web. Ada yang setahu saya sangat akrab dengan teknologi informasi, dan ada pula yang biasa-biasa saja (namun tidak dapat digolongkan gagap teknologi).

Semua kenalan saya itu berpendapat privasi pada e-mail merupakan hal yang penting. Salah satunya malah mengungkapkan kekesalannya karena e-mailnya kadang dibaca orang lain di server. Namun anehnya tidak ada yang mengetahui keberadaan peranti lunak untuk melakukan enkripsi e-mail.

Dua orang mengetahui bahwa koneksi antara server e-mail dapat dienkripsi. Namun tujuan pengamanan koneksi sebenarnya untuk memastikan bahwa saluran komunikasi tidak disadap. Meskipun membantu, pengamanan tersebut berbeda dengan enkripsi e-mail yang bertujuan untuk melindungi privasi. Pengamanan koneksi e-mail adalah seperti mengirimkan surat menggunakan mobil khusus yang dikawal, buat memastikan tidak ada yang merampas surat-surat di tengah jalan dan membacanya.

Semua orang yang diwawancarai menjawab akan memakai enkripsi e-mail bila ada. Namun kebanyakan meragukan kemudahan penggunaannya. Hal ini berpotensi menghalangi pemakaian enkripsi e-mail. Karena itu saya memutuskan untuk melihat dua standar solusi enkripsi e-mail yang banyak digunakan, dan bagaimana pemakaiannya. PGP sudah diperkenalkan pada awal dasawarsa 1990-an sedangkan S/MIME saat ini didukung oleh banyak aplikasi e-mail populer.

PGP/GPG

PGP (Pretty Good Privacy) merupakan solusi enkripsi e-mail yang pertama kali diperkenalkan oleh Phil Zimmerman pada tahun 1991. Program ini kemudian menjadi basis untuk standar OpenPGP, yang tidak hanya didukung oleh PGP sendiri tapi juga diimplementasikan oleh program lain seperti Gnu Privacy Guard, atau sering disingkat sebagai GPG. Berbeda dengan PGP yang pada beberapa versi merupakan programproprietary, GPG sepenuhnya bebas.

Karena dikenal sudah sejak lama, PGP merupakan alat enkripsi e-mail yang cukup populer. Namun saat ini kebanyakan orang akan memilih menggunakan GPG, yang tersedia gratis untuk berbagai sistem operasi, dan dapat ditemukan sebagai program bawaan dalam hampir semua distribusi Linux.

Saya menemukan setup GPG pada Linux relatif mudah bila kita menggunakan antarmuka grafis seperti Seahorse atau KGPG. GPG sendiri sebenarnya adalah program yang harus dijalankan dari command prompt. Menggunakan GPG tanpa bantuan antarmuka grafis cukup menyulitkan buat pemula. Client e-mail bawaan Linux, seperti Evolution dan Kmail, sudah mengintegrasikan dukungan terhadap GPG.

Masalahnya tentu saja pengguna Linux saat ini sangat jarang. Namun GPG juga tersedia buat sistem operasi yang jauh lebih populer, seperti Windows dan Mac OS X. Buat Windows ada WinPT (Windows Privacy Tools), yang memasangkan GPG serta antarmuka grafis. WinPT juga menambahkan plugin buat Microsoft Outlook dan Outlook Express, sehingga pemakai kedua aplikasi e-mail populer tersebut dapat mengenkripsi dan menandatangani surat-surat mereka.

Memasang GPG sendiri barulah langkah pertama. Berikutnya pemakai perlu menciptakan pasangan kunci pribadi (private key) dan kunci publik (public key). Kunci publik seperti namanya dapat disebarluaskan kepada umum. Sebagian orang menerakan kunci publiknya (dalam format teks) di situs web pribadinya, sebagai contoh. Kunci publik digunakan untuk mengenkripsi pesan yang ditujukan kepada pemiliknya. Pesan tersebut tidak bisa dibaca orang lain, dan hanya dapat dibuka dengan kunci pribadi. Karena itu kunci pribadi seharusnya disimpan baik-baik dan tidak diberikan pada orang lain.

Agar kita dapat mengirimkan pesan terenkripsi pada orang lain kita perlu mendapatkan kunci publiknya. Ini berarti orang yang hendak kita kirim e-mail juga sudah harus memasang GPG. Tanpa GPG yang bisa kita lakukan hanyalah menandatangani pesan, yang nantinya dapat diperiksa menggunakan kunci publik.

Salah satu masalah pada sistem yang dipakai PGP adalah bagaimana memastikan bahwa kunci publik yang didapatkan benar-benar berasal dari orang yang diklaim. Cara yang paling jelas tentu saja bertemu muka langsung ketika saling bertukar kunci publik.

S/MIME

Secure/Multipurpose Internet Mail Extension merupakan alternatif lain buat enkripsi dan tandatangan digital. Keunggulan S/MIME terutama karena sistem enkripsi dan autentikasi ini sudah tertanam langsung ke dalam banyak aplikasi e-mail, seperti Microsoft Outlook/Outlook Express, Apple Mail, dan Mozilla Thunderbird. Kita tidak perlu memasang program terpisah seperti PGP/GPG.

S/MIME mengambil pendekatan yang agak berbeda dengan PGP/GPG. Untuk mengatasi masalah pemastian identitas S/MIME menggunakan otoritas terpusat, yang biasa dinamakan sebagai CA (Certificate Authority). CA biasanya berupa perusahaan atau organisasi. Contoh CA yang bisa

• Cetak