Apa itu nonrepudiation?

Nonrepudiation (penyangkalan yang tidak bisa dilakukan) memastikan bahwa tidak ada pihak yang bisa menyangkal telah mengirim atau menerima pesan melalui enkripsi dan/atau tanda tangan digital, atau telah menyetujui suatu informasi. Mereka juga tidak bisa menyangkal keaslian tanda tangannya di suatu dokumen.

Walau awalnya merupakan konsep hukum, nonrepudiation juga banyak digunakan dalam dunia komputasi, keamanan informasi, dan komunikasi.

Information assurance dan nonrepudiation

Nonrepudiation adalah salah satu dari lima pilar dalam information assurance (IA)—praktik untuk mengelola risiko yang berkaitan dengan informasi dan melindungi sistem informasi seperti komputer, server, dan jaringan perusahaan. Empat pilar lainnya adalah:

Nonrepudiation memberikan bukti mengenai asal, keaslian, dan integritas data. Ini memastikan ke pengirim bahwa pesan mereka benar-benar terkirim, dan juga memberi bukti identitas pengirim kepada penerima. Dengan cara ini, nggak ada satu pun pihak yang bisa menyangkal bahwa pesan tersebut telah dikirim, diterima, dan diproses.

Nonrepudiation itu mirip seperti autentikasi, terutama dari sisi implementasi. Misalnya, sebuah tanda tangan kunci publik bisa jadi alat nonrepudiation kalau hanya satu pihak yang bisa membuat tanda tangan itu.

Secara umum, nonrepudiation adalah kombinasi antara autentikasi dan integritas.

Nonrepudiation, message authentication code, dan digital signature

Nonrepudiation bisa dicapai dengan kriptografi, seperti tanda tangan digital, dan juga layanan lain seperti autentikasi, pencatatan (logging), dan audit.

Dalam transaksi online, tanda tangan digital memastikan bahwa satu pihak tidak bisa menyangkal bahwa dia mengirim informasi atau menyangkal keaslian tanda tangannya. Tanda tangan digital dibuat dengan kunci privat dari pasangan kunci asimetris (kriptografi kunci publik), dan diverifikasi dengan kunci publiknya.

Hanya pemilik kunci privat yang bisa mengakses kunci ini dan membuat tanda tangan tersebut, sehingga membuktikan bahwa dokumen itu benar-benar ditandatangani secara elektronik olehnya. Ini memastikan orang tersebut nggak bisa menyangkal tanda tangannya—itulah inti dari nonrepudiation.

Dalam kriptografi, message authentication code (MAC) atau tag digunakan untuk mengautentikasi pesan atau memastikan bahwa pesan tersebut berasal dari pengirim yang sah dan tidak diubah sepanjang jalan. Berbeda dengan tanda tangan digital, MAC dibuat dan diverifikasi menggunakan kunci rahasia yang sama, yang sebelumnya harus disepakati antara pengirim dan penerima.

MAC bisa mencegah pemalsuan pesan oleh pihak yang tidak tahu kunci rahasia bersama, jadi dia memberikan integritas dan autentikasi. Tapi, algoritma MAC seperti cipher-based MAC dan HMAC tidak bisa menjamin nonrepudiation.

Selain tanda tangan digital, nonrepudiation juga digunakan dalam kontrak digital dan email. Dalam email, nonrepudiation bisa dilakukan dengan cara seperti pelacakan email.

Kelemahan nonrepudiation dengan tanda tangan digital

Karena nggak ada teknologi keamanan yang benar-benar sempurna, beberapa ahli menyatakan bahwa tanda tangan digital saja mungkin belum cukup menjamin nonrepudiation. Ada saran untuk memakai pendekatan ganda, misalnya menangkap informasi biometrik dan data tambahan dari pengirim atau penandatangan yang sulit untuk disangkal.

Penting juga diketahui bahwa definisi nonrepudiation di ranah digital saat ini hanya mempertimbangkan keabsahan tanda tangan. Tidak mempertimbangkan kemungkinan bahwa si penandatangan dipaksa, tertipu, atau dimanipulasi untuk menandatangani. Ada juga potensi bahwa virus, worm, atau malware lainnya bisa mencuri kunci privat dan memalsukan tanda tangan digital, sehingga mengganggu validitas nonrepudiation.

Untuk menghindari masalah ini dan memastikan bahwa tanda tangan digital benar-benar valid—dan dengan demikian cocok untuk nonrepudiation—harus dilakukan melalui sistem penanganan dokumen dan mekanisme tanda tangan yang aman dan terpercaya.

Ada juga kekhawatiran bahwa tanda tangan digital bisa tetap tampak sah meski dipalsukan oleh seseorang yang berhasil mencuri kunci privat. Departemen Pertahanan AS menangani masalah ini dengan kartu akses umum (CAC), sejenis smart card untuk personel aktif militer.

CAC membuktikan identitas pemiliknya dan memungkinkan akses fisik ke area terbatas serta sistem komputer militer. Kartu ini memenuhi syarat untuk tanda tangan digital dan juga mencakup tiga pilar IA: nonrepudiation, integritas, dan autentikasi.

nonrepudiation