Hidup ini indah

Sampai sekarang saya masih belum mengerti tentang cara pengamanan kartu debit. Ini pernah ditulis oleh Primus di sini. Saat ini saya menggunakan kartu debit BNI. Seingat saya, dua tahunan yang lalu, cara pembayarannya adalah: pengguna harus memasukkan PIN sebelum approval. Beberapa waktu setelahnya, tiba-tiba hal ini berubah. Otentikasi menggunakan PIN dihilangkan dan diganti dengan pembubuhan tanda tangan. Bedanya, PIN dimasukkan sebelum pembayaran, sedangkan pembubuhan tanda-tangan dilakukan setelah proses pembayaran terjadi. Jadi, pembubuhan tanda-tangan bukan merupakan proses otentikasi.

Beberapa waktu lalu saya mengunjungi sebuah toko yg lama tidak saya kunjungi, ternyata toko tersebut masih menggunakan PIN untuk otentikasi. Tampaknya, BNI menyerahkan pilihan mekanisme PIN atau tanda tangan kepada pihak toko atau retailer. Hal yang sama sepertinya juga dilakukan oleh bank-bank lainnya.

Wah, jadi khawatir juga, nih. Kalau kartu ATM/debit saya tercuri trus bagaimana, dong?

Jadi, permasalahannya adalah: Apakah PIN merupakan mekanisme pengamanan yang wajib (mandatory) untuk kartu ATM dan kartu debit?

Hingga saat ini, sebagian besar kartu ATM dan kartu debit di Indonesia masih menggunakan teknologi magnetic strip. Seluruh data yang dipergunakan dalam proses transaksi disimpan di dalam magnetic strip dalam bentuk plaintext (tidak terenkripsi). Jadi, penyerang dapat dengan mudah membaca data-data tersebut hanya dengan menggunakan alat pembaca kartu magnetik. Selanjutnya, dengan mudah pula penyerang tersebut membuat kartu debit palsu.

Di sinilah fungsi utama PIN. Meskipun data-data dalam kartu dapat di-cloning, kita masih memiliki satu faktor keamanan lagi, yaitu PIN. Account kita masih tetap aman selama PIN tersimpan dengan aman.

Jadi bagaimana dengan transaksi kartu debit tanpa PIN?

Dalam kasus ini berarti tidak ada mekanisme otentikasi dengan faktor ‘what you know’ (yaitu PIN). Yang ada adalah faktor ‘what you have’ (yaitu kartu magnetik itu sendiri), yang tidak aman berdasarkan penjelasan sebelumnya . Jadi transaksi dengan kartu debit tanpa PIN tidak aman.

Jadi mengapa hal ini masih tetap dijalankan? Menurut saya ada beberapa sebab:

1. Penggunaan signature justru bertujuan untuk menghindari ter-expose atau terbukanya PIN yang terlampau sering. PIN hanya dipergunakan di ATM, tidak di supermarket. Jadi kemungkinan terjadinya pencurian PIN menjadi lebih kecil.
2. Kemudahan. Kita dapat meminjamkan kartu debit kepada orang lain (istri, anak, saudara, bahkan teman) tanpa perlu memberitahukan PIN kita. Orang yang menggunakan kartu yg bukan miliknya juga tidak perlu lagi mengingat-ingat PIN.
3. Perhitungan manajemen risiko dari bank penyelenggara menyatakan bahwa prosentase fraud yang terjadi karena penyalahgunaan kartu debit tanpa PIN sangat kecil (terhadap seluruh nilai transaksi yang terjadi)

Ada sebab yg lain?

Bagi saya, tidak menggunakan PIN dalam transaksi kartu debit sama saja menghilangkan faktor keamanan utama kartu debit.

Kita bahas kembali tiga hal di atas.

Nomor satu dapat diatasi dengan penghalang pandangan di sekitar terminal POS (point of sales). Tentu tidak sebesar ruang ATM. Hanya sekedar mencegah orang mengintip PIN yang sedang kita ketikkan. Penempatan terminal juga harus diperhatika. Hal ini sebenarnya tidak susah untuk dilakukan. Pengguna juga berhak untuk menolak/membatalkan transaksi jika merasa tidak aman.

Nomor dua, menyalahi prinsip utama penggunaan kartu ATM dan kartu debit. Kartu ini hanya boleh dipergunakan oleh orang yang memiliki seluruh faktor otentikasi (ada dua, seperti yang dijelaskan di atas). Kemudahan? Sebenarnya bank penyelenggara menyediakan kemudahan tersebut dengan cara memindahkan risiko keamanan kepada pengguna. Tingkat keamanan diturunkan, risiko tanggung sendiri. Sebagai pengamanan, bank juga menetapkan batas maksimal transaksi yang dapat dilakukan tiap hari. Namun, batas ini dihitung berdasarkan perhitungan manajemen risiko fraud yang akan ditanggung oleh bank, bukan risiko yang akan kita tanggung. Sekali lagi, risiko tanggung sendiri. Mau?

Untuk nomor tiga, saya tidak memiliki bukti statistik penyalahgunaan kartu debit tanpa PIN. Mungkin rekan-rekan blogger punya? Saya menduga cukup besar.

Yang membuat saya lebih pusing lagi, seingat saya, BNI tidak pernah memberitahukan perubahan cara transaksi tersebut, apalagi menjelaskan risiko-risiko baru yang akan muncul. Menurut saya, bank penyelenggara wajib menjelaskan hal-hal seperti ini. Atau saya saja yang kelewat. Pembaca yang lain bagaimana?

Catatan: risiko penggunaan tanda tangan pada kartu kredit berbeda dengan kartu debit. Ini karena pada kartu kredit kita masih dapat menolak membayar tagihan karena menduga ada fraud. Untuk debit, uang kita sudah berpindah ke account merchant. Bisa gitu ditarik lagi?

Jadi ingin nulis2 tentang topik ini terutama setelah membaca tulisan P Ari di sini. Pembajakan di dunia dijital ataupun pembajakan di dunia selain dijital pada prinsipnya sama saja, yaitu memperbanyak produk tanpa seijin orang atau pihak yang memiliki hak cipta. Namun dalam kasus produk dijital, masalah ini tampaknya lebih rumit. Ini karena produk-produk dalam format dijital dapat dicopy atau diperbanyak dan didistribusikan dengan sangat mudah. Ini berbeda dengan kasus produk fisik tiruan (lukisan, patung, perangkat elektronik, perangkat mekanik dll). Perlu upaya sangat keras untuk meniru dan menyembunyikan kepalsuan produk secara fisik. Hal ini tidak berlaku di dunia dijital.

Produk dijital ini diantaranya mencakup: perangkat lunak, foto dijital, musik dijital ,film dijital dan ebook. Apakah pembajakan terhadap produk-produk ini dibenarkan? Secara hukum, tentu saja tidak. Namun, masalahnya bukan pada benar atau salah.

Yang menjadi masalah adalah: Apakah upaya perlindungan, dengan perangkat hukum dan teknologi, terhadap produk-produk ini cukup efektif dan feasible? Bukti di lapangan, menurut pengamatan saya, menyatakan tidak. Berbagai upaya telah dilakukan untuk melindungi produk perangkat lunak, hampir semuanya gagal atau tinggal menunggu waktu untuk gagal. Ini termasuk perlindungan dengan menambahkan hardware keamanan pada produk tersebut. Perlindungan terhadap musik dan film dijital? Sama saja. Pengguna internet (termasuk saya) dengan mudah me-rip CD/DVD film dan musik menjadi file digital (mp3, mp4, rmvb dll) dan mendistribusikannya lewat internet. Hal yg sama terjadi pada buku, dengan sedikit upaya tambahan untuk mengubah format buku hardcopy ke dalam format dijital (ebook).

Menurut bruce schneier, kesangatmudahan proses copy dan distribusi file dijital terjadi tidak lain karena hal ini sesungguhnya merupakan karakteristik intrinsik dari format dijital tersebut. Seluruh upaya yg dilakukan untuk melindungi produk dijital ini merupakan tindakan yang melawan hukum alam. Produsen tidak akan dapat menyelamatkan bisnisnya tanpa menyadari dan menerima hukum ini.

Dalam hal ini, saya sependapat dengan Bruce. Industri penghasil produk dijital tidak dapat mengatasi pembajakan hanya dengan menerapkan perangkat hukum dan teknologi untuk melindungi produk tersebut. Yang diperlukan adalah: Skema bisnis baru! Hal ini sudah dilakukan dalam kasus perangkat lunak yaitu melalui skema open source. Industri open source memperoleh pendapatan dari service bukan dari produk perangkat lunak. Bagaimana dengan musik dan film? Beberapa hal penting sebenarnya sudah terjadi (hanya mungkin luput dari pengamatan kita):

1. Film? Maraknya pembajakan film tidak mematikan industri bioskop. Orang tetap berbondong-bondong menonton film di bioskop meskipun film yg sama juga tersedia dalam CD/DVD bajakan. Apa yg dicari?

2. Musik? Kecenderungan saat ini adalah: orang hanya menyukai satu atau dua lagu dalam satu album. Jadi, mengapa harus membeli satu album penuh? Hal ini yang dibidik oleh P BR dengan Digital Beat Store-nya. Yang lain? Industri musik dapat memproduksi musik yang berkualitas high-end yang dapat dinikmati (dengan head-phone  yang nyaman utk masing2 pendengar) di tempat-tempat khusus, misalnya kafe atau ruang baca di toko buku. Tiap pendengar harus membayar berbasis waktu atau berdasarkan item lagu yg dipesan.

3. Buku? Rasanya saya tidak pernah berminat membajak buku2 lokal yang dipajang di toko2 buku. Mengapa? Karena hasil yang diperoleh tidak sepadan dengan harga dan upaya yang dikeluarkan. Saya tetap memilih buku asli karena masih cukup murah dan mudah. Bagaimana dengan buku textbook yg mahal-mahal? Utk kasus ini, maka akan berlaku hukum di atas, bajakan dalam format dijital lebih menarik. Capek membaca ebook di depan Laptop? Ah, masih bisa ditoleransi kok.

Jadi, apakah hukum dan teknologi saat ini efektif mengatasi pembajakan? Menurut saya tidak, tanpa ada skema bisnis baru.

Apakah kita dapat mengharapkan itikad baik dari publik? Dalam batas tertentu, ya. Yg dimaksud batas tertentu adalah: harga masih cukup masuk akal (meskipun belum tentu terjangkau), ada alternatif lain (perpustakaan yg memadai utk textbook. Open source utk software, meskipun ada effort tambahan).