Chain of Custody

Pengantar

Chain of Custody (rantai penguasaan bukti) adalah proses dokumentasi dan pelacakan yang ketat terhadap setiap perlakuan terhadap bukti digital - mulai dari saat bukti ditemukan, diakuisisi, diangkut, disimpan, dianalisis, hingga disajikan di pengadilan. Tujuan utamanya adalah memastikan integritas, autentisitas, dan akseptabilitas hukum dari bukti digital.

Dalam forensika digital, chain of custody bukan sekadar formalitas administratif. Ia adalah fondasi legal yang menentukan apakah bukti digital dapat diterima di pengadilan. Pelanggaran kecil sekalipun - seperti celah dalam dokumentasi siapa yang memegang hard drive pada jam tertentu - dapat menyebabkan bukti ditolak (evidence inadmissible) dan seluruh kasus melemah.

Prinsip dasar chain of custody meliputi:

• Setiap perpindahan bukti harus tercatat - siapa, kapan, mengapa, dan ke mana.
• Setiap orang yang memegang bukti harus teridentifikasi secara unik.
• Bukti harus dilindungi dari modifikasi - baik disengaja maupun tidak.
• Hash cryptographic harus dihitung dan diverifikasi di setiap titik transisi.
• Dokumentasi harus kronologis, tertib, dan tahan terhadap pengawasan hukum.

Mengapa Chain of Custody Penting?

1. Legal Admissibility

Agar bukti digital dapat diterima di pengadilan Indonesia (berdasarkan UU ITE dan KUHAP) maupun International Criminal Court, pihak penuntut harus membuktikan bahwa:

• Bukti asli (authentic) - tidak diubah atau dimanipulasi.
• Bukti relevant - memiliki kaitan dengan perkara.
• Bukti reliable - metode akuisisi dan analisis dapat dipertanggungjawabkan.

Chain of custody adalah alat pembuktian ketiga hal tersebut.

2. Integritas Bukti

Bukti digital sangat rapuh. Satu perintah dd yang salah, satu koneksi ke jaringan yang tidak sengaja, atau satu file yang terbuka dalam mode baca-tulis dapat mengubah metadata. Chain of custody memaksa setiap penanganan bukti dilakukan dengan presisi forensik - read-only, write-blocker, hash diverifikasi.

3. Akuntabilitas Tim Forensik

Dengan chain of custody yang ketat, setiap anggota tim forensik bertanggung jawab atas bukti yang dipegangnya. Jika ada kerusakan atau kehilangan bukti, bisa langsung diketahui siapa yang terakhir memegangnya.

4. Reproduksibilitas

Chain of custody mencatat tools dan parameter yang digunakan. Ini memungkinkan analis independen lain untuk mereproduksi hasil analisis dan memverifikasi temuan - sebuah prinsip penting dalam scientific method forensika.

Komponen Utama Chain of Custody

Form Chain of Custody

Setiap organisasi forensik harus memiliki form Chain of Custody yang standar. Berikut adalah contoh template form Chain of Custody yang umum digunakan:

+--------------------------------------------------------------------+
|                    CHAIN OF CUSTODY FORM                            |
+--------------------------------------------------------------------+
| Case Number      : DF-2026-0042                                     |
| Case Title       : Penyelidikan Kebocoran Data PT XYZ               |
| Investigating    : Badan Reserse Kriminal Siber POLRI               |
| Officer          :                                                        |
+--------------------------------------------------------------------+
| ITEM DESCRIPTION                                                     |
+--------------------------------------------------------------------+
| Item #: 001                                                          |
| Description: Hard Disk Seagate 2TB S/N: Z12345                     |
| Evidence ID: EV-001                                                  |
| Hash SHA-256: 3a7b...f1e2 (saat akuisisi)                          |
| Storage Medium: Antistatic bag + Evidence bag #112                  |
| Acquisition Method: dd via Tableau T35u write-blocker              |
+--------------------------------------------------------------------+
| TRANSFER LOG                                                         |
+--------------------------------------------------------------------+
| Tanggal | Waktu | Dari (Nama, Jabatan) | Kepada (Nama, Jabatan) |   |
|         |       | Tanda Tangan          | Tanda Tangan          |   |
|---------|-------|-----------------------|-----------------------|   |
| 22/07/26| 09:00 | IPDA A. Pratama      | AKP B. Wijaya         |   |
|         |       | (Penyidik)            | (Lab Forensik)        |   |
|---------|-------|-----------------------|-----------------------|   |
| 22/07/26| 14:30 | AKP B. Wijaya        | R. Hartanto, S.Kom   |   |
|         |       | (Lab Forensik)        | (Analis Forensik)    |   |
|---------|-------|-----------------------|-----------------------|   |
| ...     |       |                       |                       |   |
+--------------------------------------------------------------------+
| PURPOSE OF TRANSFER                                                  |
| [X] Acquisition    [X] Analysis    [ ] Testing                      |
| [ ] Storage        [ ] Return to Owner  [ ] Court Production        |
+--------------------------------------------------------------------+
| SECURITY SEAL STATUS                                                  |
| Seal #: SL-001 | Intact: [X] Yes [ ] No | Broken: ___/___/____      |
| Seal #: SL-002 | Intact: [X] Yes [ ] No | Broken: ___/___/____      |
+--------------------------------------------------------------------+
| NOTES                                                                 |
| - Suhu ruangan penyimpanan: 20°C                                     |
| - Drive dalam kondisi write-protected (write-blocker hardware)       |
| - Dua salinan hash diverifikasi dan cocok                            |
+--------------------------------------------------------------------+

Evidence Handling Procedure

1. Acquisition (Akuisisi)

Akuisisi bukti digital adalah langkah paling kritis. Metode akuisisi harus:

• Forensik sound - tidak mengubah data asli.
• Bit-stream copy - menyalin seluruh bit termasuk slack space dan unallocated space.
• Write-blocked - menggunakan write-blocker hardware atau software.

Tools akuisisi:

• Guymager - GUI imager untuk Linux yang mendukung beberapa format output (dd, E01, AFF). Ideal untuk forensik berbasis Linux.

  sudo guymager
  

  Pilih device sumber (misalnya /dev/sdb), pilih format E01, hitung hash SHA-256 otomatis.

• FTK Imager - Tools akuisisi Windows yang sangat populer. Bisa membuat image dd, E01, dan SMART.

  • File > Create Disk Image
  • Pilih source (Physical Drive / Logical Drive)
  • Pilih destination (image type: dd atau E01)
  • FTK Imager otomatis menghitung MD5 dan SHA-1.
  • Verifikasi image segera setelah selesai.

• dc3dd - Enhanced version of dd dengan hash otomatis.

  dc3dd if=/dev/sdb hash=sha256 hashwindow=1G \
    of=/evidence/case001/image.dd \
    log=/evidence/case001/audit.log
  

2. Transport (Pengangkutan)

Saat mengangkut bukti digital:

• Gunakan antistatic bag untuk setiap komponen elektronik.
• Simpan dalam Faraday bag jika perangkat masih aktif (handphone, laptop) untuk mencegah sinyal remote wipe.
• Gunakan hard case dengan bantalan busa untuk mencegah kerusakan fisik.
• Dokumentasikan suhu dan kondisi lingkungan.
• Jangan pernah meninggalkan bukti tanpa pengawasan selama transportasi.

3. Storage (Penyimpanan)

• Laboratorium forensik harus memiliki akses terkontrol (log access, CCTV, dua pintu).
• Suhu ruangan: 18 - 22°C, kelembaban: 30 - 50%.
• Gunakan Evidence Locker atau Evidence Vault dengan kunci ganda.
• Media penyimpanan harus write-protected selama penyimpanan.
• Log akses ruangan penyimpanan harus dicatat dan dapat diaudit.

4. Analysis (Analisis)

• Semua analisis harus dilakukan pada forensic workstation dedicated yang terisolasi dari jaringan.
• Gunakan forensic bridge atau write-blocker saat mengakses evidence drive.
• Catat setiap langkah analisis dalam Lab Notes.
• Tools analisis harus verified (hash tool diverifikasi) dan version controlled.
• Aktivitas analisis direkam - bisa berupa screen recording atau log tool.

Hash Verification - SHA-256

Hash adalah sidik jari digital dari data. SHA-256 adalah standar minimal yang direkomendasikan oleh NIST untuk verifikasi integritas bukti forensik.

Praktik Hash Verification:

1. Hitung hash saat akuisisi:

sha256sum /dev/sdb > /evidence/case001/hash_akuisisi.txt

2. Verifikasi setelah image selesai:

sha256sum /evidence/case001/image.dd
# Bandingkan dengan hash_akuisisi.txt

3. Verifikasi sebelum dan sesudah analisis:

sha256sum /mnt/forensic/image.dd

Jika hash berubah, bukti telah termodifikasi - dokumentasikan sebagai deviation.

Best Practice:

• Gunakan SHA-256 sebagai standar minimal, SHA-512 untuk kasus yang sangat sensitif.
• Simpan hash di multiple location (dokumen form, file teks, database).
• Hash diverifikasi oleh dua orang analis secara independen.
• Cetak hash dan simpan dalam sealed envelope sebagai bukti fisik.

Timeline Documentation

Setiap insiden forensik membutuhkan timeline kronologis yang ketat. Timeline ini mencakup:

Timeline ini bisa menggunakan spreadsheet, template markdown, atau sistem manajemen kasus seperti TheHive atau IRIS.

Legal Admissibility - Regulasi di Indonesia

Di Indonesia, beberapa landasan hukum yang relevan dengan chain of custody dalam forensika digital:

1. UU No. 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik (UU ITE)

   • Pasal 5: Informasi elektronik dan/atau dokumen elektronik adalah alat bukti yang sah.
   • Pasal 15: Penyelenggara sistem elektronik wajib menjaga keandalan sistem elektronik.

2. UU No. 1 Tahun 2024 tentang Perubahan Kedua atas UU ITE

   • Memperkuat kedudukan alat bukti elektronik.

3. Peraturan Bareskrim POLRI No. 6/2019

   • Mengatur tata cara penanganan barang bukti digital di lingkungan POLRI.

4. Surat Edaran Kapolri tentang Forensika Digital

   • Prosedur standar penanganan bukti digital termasuk chain of custody.

5. NIST SP 800-86 - Guide to Integrating Forensic Techniques into Incident Response

   • Panduan internasional yang sering diadopsi sebagai standar prosedur.

Common Pitfalls dalam Chain of Custody

Studi Kasus: Kegagalan Chain of Custody

Pada tahun 2015, sebuah kasus peretasan bank di Indonesia hampir gagal karena celah chain of custody. Penyelidik melakukan akuisisi hard disk server database menggunakan laptop pribadi tanpa write-blocker. Hash tidak dicatat saat akuisisi. Dalam persidangan, pengacara terdakwa berhasil membuktikan bahwa:

1. Laptop yang digunakan tidak memiliki forensic certification.
2. Tidak ada catatan hash SHA-256 saat akuisisi maupun analisis.
3. Hard disk telah terhubung ke motherboard langsung (tanpa write-blocker).

Akibatnya, bukti digital dari hard disk tersebut ditolak oleh majelis hakim dan terdakwa dibebaskan. Kasus ini menjadi pelajaran berharga bagi komunitas forensik digital Indonesia untuk menerapkan chain of custody yang ketat.

Kesimpulan

Chain of Custody adalah jaminan integritas dalam forensika digital. Tanpa chain of custody yang terdokumentasi dengan baik, bukti digital terbaik sekalipun bisa ditolak di pengadilan. Setiap praktisi forensik harus:

1. Menguasai prosedur dokumentasi - form, log, tanda tangan.
2. Menguasai tools akuisisi - Guymager, FTK Imager, dc3dd.
3. Menghitung dan memverifikasi hash di setiap tahap.
4. Menjaga rantai penguasaan bukti tanpa celah.
5. Memahami implikasi hukum dari setiap langkah forensik.

Dengan menerapkan chain of custody secara disiplin, bukti digital yang dihasilkan akan memiliki kekuatan hukum yang maksimal.