Dead Man's Switch: Cara Kerja Sistem Pelepasan Data Berbasis Liveness

Sebuah post dari Ibrahim Arief yang membagikan magnet link menuju arsip terenkripsi membuat istilah dead man's switch kembali ramai dibahas.

Saya tidak akan menebak isi arsipnya. Yang menarik untuk dibedah adalah arsitektur teknis di balik mekanisme yang menggabungkan enkripsi, distribusi data, sinyal liveness, dan pelepasan kunci.

Apa itu dead man's switch?

Dead man's switch adalah mekanisme yang menjalankan aksi ketika pemilik atau operator tidak memberikan tanda kehidupan dalam periode yang sudah ditentukan.

Dalam sistem digital, aksi tersebut dapat berupa:

mengirim notifikasi;
membuka akses kepada pihak yang sudah ditentukan;
merilis kunci dekripsi;
memindahkan kontrol layanan;
atau menjalankan prosedur pemulihan.

Istilah ini tidak selalu berarti sistem benar-benar mendeteksi kematian seseorang. Secara teknis, sistem hanya mendeteksi bahwa sinyal liveness tidak diterima sesuai aturan.

Arsitektur dasarnya

Alur sederhananya dapat digambarkan seperti ini:

data asli
   |
   v
kompresi dan enkripsi
   |
   +--> arsip terenkripsi disebarkan ke beberapa lokasi
   |
   +--> kunci dekripsi disimpan terpisah

sinyal liveness masuk secara berkala
   |
   +--> masih aktif: tidak ada pelepasan
   |
   +--> melewati deadline: jalankan prosedur pelepasan kunci

Hal pentingnya adalah memisahkan data terenkripsi dari kunci dekripsi. Jika keduanya disimpan di tempat yang sama, enkripsi tidak banyak membantu ketika media penyimpanan berhasil diambil pihak lain.

Mengapa data sering dikompresi lebih dulu?

Data biasanya dikompresi sebelum dienkripsi karena beberapa alasan:

Ukuran arsip lebih kecil.
Distribusi melalui jaringan menjadi lebih efisien.
Struktur internal data lebih sulit ditebak setelah enkripsi.
Banyak file dapat diperlakukan sebagai satu objek yang mudah diverifikasi.

Contoh susunan nama file seperti archive.tar.zst.age biasanya dapat dibaca sebagai arsip TAR yang dikompresi dengan Zstandard lalu dienkripsi menggunakan format age. Nama file saja tidak membuktikan isi maupun keasliannya.

Peran BitTorrent

BitTorrent berfungsi sebagai lapisan distribusi. File dibagi menjadi potongan kecil dan dibagikan di antara peer. Semakin banyak peer yang menyimpan potongan file, semakin besar peluang file tetap tersedia meskipun satu server berhenti beroperasi.

Namun, BitTorrent tidak memberikan jaminan berikut:

isi file benar;
pembuat file dapat diverifikasi;
arsip bebas malware;
file tidak melanggar privasi;
atau dokumen di dalamnya memiliki nilai pembuktian hukum.

Karena itu, hash digunakan untuk memeriksa integritas file. Hash dapat menjawab apakah file berubah, tetapi tidak dapat menjawab apakah file tersebut asli atau informasinya benar.

Bagaimana sinyal liveness bekerja?

Sistem membutuhkan aturan untuk menentukan apakah pemilik masih aktif. Beberapa pola yang umum antara lain:

Check-in berkala

Pemilik mengirim konfirmasi setiap minggu atau setiap bulan. Jika beberapa periode terlewati, sistem masuk ke masa peringatan sebelum menjalankan pelepasan.

Escalation window

Sistem tidak langsung merilis kunci ketika satu check-in terlewat. Sistem lebih dulu mengirim notifikasi ke beberapa kanal, lalu memberi waktu untuk membatalkan trigger.

Trusted contacts

Beberapa pihak tepercaya menerima notifikasi atau memegang bagian dari kunci. Mereka dapat menghentikan pelepasan jika trigger terjadi karena kesalahan teknis.

Multi-party approval

Kunci dibagi menjadi beberapa bagian. Pelepasan baru mungkin dilakukan ketika jumlah minimum pihak menyetujui, misalnya tiga dari lima pemegang kunci.

Pendekatan ini lebih kuat daripada menaruh satu passphrase di satu tempat, karena kegagalan satu akun tidak langsung menghancurkan seluruh mekanisme.

Masalah terbesar bukan enkripsi

Enkripsi modern dapat bekerja sangat baik, tetapi sistem dead man's switch tetap memiliki banyak titik gagal:

pemilik kehilangan kunci sebelum jadwal pelepasan;
server liveness mati dan menganggap pemilik tidak aktif;
email atau kanal notifikasi diblokir;
trusted contact tidak lagi dapat dihubungi;
timer salah konfigurasi;
backup hanya menyimpan arsip, bukan metadata dan kunci;
atau pihak yang menerima kunci tidak dapat memverifikasi integritas data.

Inilah sebabnya sistem semacam ini harus diuji secara berkala dengan data dummy. Jangan menunggu kondisi darurat untuk mengetahui bahwa kunci, backup, atau prosedurnya tidak bisa digunakan.

Model ancaman yang perlu dipikirkan

Sebelum membangun mekanisme seperti ini, saya biasanya memisahkan beberapa pertanyaan:

Siapa yang ingin mencegah akses ke data?
Siapa yang ingin menghapus atau memanipulasi arsip?
Siapa yang memegang kunci?
Apa yang terjadi jika pemilik dipaksa menyerahkan kredensial?
Apa yang terjadi jika sistem salah mendeteksi tidak adanya liveness?
Siapa yang memverifikasi isi arsip setelah kunci dirilis?
Apakah data tersebut boleh disebarkan secara hukum?

Jawaban atas pertanyaan tersebut menentukan desain. Sistem untuk pemulihan dokumen perusahaan tentu berbeda dengan sistem untuk distribusi bukti atau arsip sensitif.

Integritas berbeda dari keaslian

Ada dua konsep yang sering tercampur:

Integritas: file yang diterima sama dengan file yang hash-nya diumumkan.
Keaslian: file tersebut benar-benar dibuat oleh pihak yang diklaim sebagai pembuatnya.

SHA-256 membantu memeriksa integritas. Tanda tangan digital, rantai kepemilikan kunci, metadata yang konsisten, dan sumber independen lebih relevan untuk memeriksa keaslian.

Sebuah arsip dapat memiliki hash yang konsisten, tetapi tetap saja merupakan file palsu yang dibuat oleh pihak lain.

Praktik yang lebih aman

Jika organisasi perlu membuat sistem pelepasan data, beberapa prinsip yang saya anggap wajib adalah:

enkripsi dilakukan sebelum data meninggalkan sistem;
kunci disimpan terpisah dari arsip;
gunakan lebih dari satu lokasi penyimpanan;
gunakan trusted contact atau threshold key untuk menghindari single point of failure;
tambahkan masa peringatan sebelum pelepasan;
simpan audit log untuk setiap perubahan konfigurasi;
uji proses restore dan decrypt dengan data dummy;
batasi isi arsip pada data yang memang boleh disimpan;
siapkan prosedur pencabutan ketika trigger salah aktif;
dan dokumentasikan siapa yang bertanggung jawab atas keputusan akhir.

Untuk data pribadi, prinsip minimisasi tetap berlaku. Menyimpan semua data hanya karena suatu hari mungkin berguna justru memperbesar dampak ketika arsip atau kunci bocor.

Penutup

Dead man's switch bukan tombol ajaib untuk menjamin kebenaran sebuah arsip. Ia adalah mekanisme kontinuitas akses yang mengatur kapan data dan kunci dapat dilepaskan.

Dari sisi rekayasa sistem, kekuatannya berasal dari kombinasi beberapa lapisan: enkripsi, distribusi, pemeriksaan liveness, pemisahan kunci, verifikasi integritas, dan prosedur pemulihan.

Bagian tersulit bukan membuat timer. Bagian tersulit adalah memastikan sistem tidak salah melepas kunci, pemilik tidak kehilangan akses, dan data yang dibuka dapat diverifikasi tanpa mengorbankan keamanan atau privasi pihak lain.

Referensi

Magnet link post Ibrahim Arief (@ibamarief), X, diakses 10 September 2026: https://x.com/ibamarief/status/2097133920865452141
age: A simple, modern, and secure file encryption tool, age-encryption.org, diakses 10 September 2026: https://age-encryption.org/
The BitTorrent Protocol Specification, BEP 3, BitTorrent Enhancement Proposals, diakses 10 September 2026: https://www.bittorrent.org/beps/bep_0003.html
SHA-2 Standard, National Institute of Standards and Technology, diakses 10 September 2026: https://csrc.nist.gov/pubs/fips/180-4/upd1/final

Catatan: artikel ini membahas pola desain keamanan secara umum. Artikel ini tidak menyimpulkan isi, keaslian, atau tujuan arsip yang dibagikan dalam post viral tersebut.