Kunci Pintar untuk Kos: Akses Tanpa Resepsionis

Di kos tanpa resepsionis, kunci pintulah yang memutuskan siapa boleh masuk, dan hampir selalu tanpa internet. Penghuni yang sudah dihapus di aplikasi baru benar-benar tertolak setelah kuncinya sendiri tahu, atau setelah PIN, kartu, atau izin di ponselnya habis masa berlaku. Jadi pilih kunci yang menghapus langsung di memorinya, pendekkan masa izin di ponsel, dan jaga jam kuncinya.

Siklus penghuni dan pilihan antara kunci Bluetooth murni atau pakai gateway (alat penghubung WiFi yang membuat tiap kunci tetap daring) sudah saya bahas di pengelolaan akses pintu kos. Artikel ini membahas risiko yang perlu dikendalikan ketika tidak ada resepsionis yang mengawasi akses.

Apa saja kerja resepsionis yang kini diambil alih kunci?

Perhatikan resepsionis hotel. Tanpa sadar, ia memegang empat urusan akses sekaligus:

1. Tahu siapa yang masih boleh masuk. Tamu yang masa inapnya habis tidak dibuatkan kartu baru.
2. Menarik kembali kunci. Check-out, kartu lama langsung mati.
3. Tahu hari ini tanggal berapa. Masa berlaku tidak ada artinya kalau tidak ada yang tahu tanggal.
4. Memegang buku tamu. Siapa masuk, siapa yang mengizinkan, jam berapa.

Di kos tanpa staf, keempat urusan itu pindah ke kunci bertenaga baterai di tiap pintu. Kunci sering bekerja tanpa internet. Karena itu, periksa kemampuan dan batasnya untuk keempat tugas tersebut, meski penjelasannya tidak tercantum dalam brosur.

Kenapa penghuni yang sudah dihapus masih bisa masuk?

Karena "hapus" di aplikasi dan "hapus" di kunci itu dua kejadian yang berbeda. Jarak antara keduanya ditentukan satu hal: di mana kunci digitalnya disimpan, entah itu PIN, kartu, atau izin di ponsel.

Perhatikan dua pola penyimpanan hak akses berikut.

Daftarnya disimpan di dalam kunci. PIN dan kartu ditulis ke memori kunci itu sendiri, mirip daftar nama yang ditempel di balik pintu. Untuk mencoret satu nama, harus ada yang tersambung ke kunci itu, entah berdiri di depan pintu lewat Bluetooth atau lewat gateway, lalu menghapusnya. Setelah kunci mengonfirmasi penghapusan, kredensial tersebut harus ditolak.

Izinnya dibawa ponsel penghuni. Server membekali ponsel penghuni dengan izin digital bertanda tangan. Bayangkan karcis parkir langganan: satpam hanya mengecek stempel dan tanggal di karcis, bukan daftar pelanggan yang sudah berhenti. Kunci bekerja persis begitu. Menghapus penghuni di aplikasi memang membuat server berhenti menerbitkan izin baru. Tapi izin yang telanjur ada di ponsel tetap berlaku sampai tanggalnya lewat, sebab kuncinya tidak pernah diberi tahu.

Pada pola kedua, akses baru berakhir ketika izin yang tersimpan kedaluwarsa. Beberapa penelitian berikut menemukan masalah ini pada produk nyata:

• Tim peneliti UC San Diego membongkar kunci Master Lock D1000 dan memaparkan hasilnya di konferensi keamanan USENIX WOOT, Agustus 2025. Temuannya: izin di ponsel ("access profile") berlaku sembilan bulan, dan pencabutan hanya terjadi di aplikasi. Bekas tamu yang sempat menyalin izinnya bisa terus membuka pintu sampai izin itu kedaluwarsa. Vendornya dilapori 10 Maret 2025 dan berencana memangkas masa berlaku jadi tujuh hari.
• CERT/CC, pusat koordinasi celah keamanan di Carnegie Mellon University, menerbitkan pengumuman VU#949046 pada 7 Maret 2024. Isinya membahas kunci berbasis perangkat tegar Sciener (perangkat lunak yang tertanam di dalam kunci) beserta aplikasi TTLock untuk mengelolanya. Salah satu CVE-nya (nomor resmi untuk celah keamanan), CVE-2023-6960: kunci virtual yang dihapus memang hilang dari aplikasi, tapi di dalam kunci masih berlaku. CERT/CC tidak menerima tanggapan apa pun dari vendor. Satu-satunya jalan keluar yang mereka sarankan: matikan fungsi Bluetooth.
• Jauh sebelumnya, studi-studi 2016 sampai 2019 yang dirangkum di makalah WOOT yang sama menemukan lima produk kunci yang tetap bisa dibuka tamu yang aksesnya sudah dicabut. Caranya sepele: nyalakan mode pesawat di ponsel.

Penyimpanan daftar akses di dalam kunci juga memerlukan pekerjaan operasional. Mencabut akses berarti harus datang ke pintu, atau memasang gateway di tiap lantai. Untuk kos yang penjaganya tinggal di lokasi, jalan ke pintu hanya makan beberapa menit. Karena itu, untuk kebanyakan kos saya menyarankan model ini. Kunjungan lima menit ke pintu memberi kepastian penghapusan yang lebih jelas daripada menekan tombol aplikasi tanpa mengetahui apakah perubahan sudah diterima kunci. Kapan gateway layak dibayar, saya urai di satu platform kunci pintar untuk dua jenis bangunan.

Sebelum memesan tiga puluh unit, uji satu dulu. Buat satu PIN uji dan satu izin ponsel uji, hapus keduanya di aplikasi, lalu coba buka pintunya: ponsel dalam mode pesawat, PIN diketik di papan tombol. Jika salah satunya masih dapat membuka pintu, catat jeda hingga kunci benar-benar menolak akses tersebut.

Berapa lama izin di ponsel pengelola boleh berlaku?

Bedakan kunci digital menurut siapa pemegangnya. Masa berlaku yang pas untuk penghuni belum tentu pas untuk pengelola.

PIN dan kartu penghuni disimpan di dalam kunci. Masa berlakunya ikut periode sewa, ditambah masa tenggang kalau pemilik mau memberi. Bayar sewa, diperpanjang. Pindah, dihapus di depan pintu.

Izin di ponsel pengelola lain cerita. Aplikasi di ponsel itu memegang wewenang membuat dan menghapus akses di pintu mana pun, bahkan tanpa sinyal. Wewenang sebesar itu mestinya berumur hitungan hari, bukan bulan. Selama ponselnya daring, dan di kota besar Indonesia ponsel nyaris tidak pernah tanpa jaringan, izin itu diperpanjang otomatis di belakang layar.

Batasi masa izin untuk mengurangi dampak ponsel yang hilang atau dicuri. Begitu ponsel pengelola hilang atau dicuri, pemilik langsung menonaktifkan akunnya di server, dan perpanjangan otomatis berhenti. Tapi izin yang sudah tersimpan di ponsel itu tetap hidup selama ponselnya tanpa jaringan, sampai masa berlakunya habis. Masa berlaku izin itulah waktu terlama sebuah ponsel curian masih bisa membagikan akses kamar.

Master Lock memilih tujuh hari untuk sebagian besar produknya. Untuk kos, yang ponsel pengelolanya daring tiap hari, 24 sampai 72 jam sudah masuk akal. Pasang juga kunci layar atau sidik jari di aplikasinya, supaya ponsel yang dipungut orang tidak langsung bisa dipakai.

Angka sembilan bulan tadi punya cerita sendiri. Menurut makalah WOOT, itu tambalan untuk kesalahan perangkat tegar yang membuat jam kunci meloncat maju. Kalau izinnya pendek, izin itu kedaluwarsa sebelum waktunya dan penghuni yang sah malah terkunci di luar. Temuan ini menunjukkan bahwa waktu pada kunci juga memengaruhi keamanan.

Kenapa jam di dalam kunci ikut menentukan keamanan?

Semua masa berlaku di gedung itu, dari periode sewa, PIN sehari untuk petugas kebersihan, sampai izin 72 jam di ponsel pengelola, ujungnya hanya satu perbandingan: tanggal di izin lawan jam di dalam kunci. Jam itu jalan dengan baterai kecil, semacam jam tangan yang tertanam di kunci. Jam yang salah dapat membuat kunci menolak izin sah atau menerima izin yang seharusnya sudah berakhir.

Makalah yang sama menunjukkan cara menyalahgunakannya. Perintah menyetel jam kunci mestinya khusus admin. Aplikasinya memang menyembunyikan tombol itu dari tamu, tapi kuncinya sendiri menerima perintah itu dari siapa saja yang memegang izin sah. Tamu bisa memundurkan jam supaya aksesnya awet. Atau memajukannya, sampai semua izin sah tampak kedaluwarsa dan seisi kos terkunci di luar.

Terapkan empat aturan berikut pada pengelolaan waktu kunci:

• Hanya peran pemilik yang boleh menyetel jam, dan yang menegakkan aturan itu kuncinya sendiri, bukan aplikasi.
• Pembaruan waktu dari server ditandatangani, jadi ponsel yang meneruskannya tidak bisa mengutak-atik isinya di jalan.
• Aplikasi pengelola menampilkan jam kunci setiap kali tersambung, dan memberi peringatan kalau selisihnya lebih dari beberapa menit.
• Periksa jam setelah mengganti baterai sebelum meninggalkan lokasi.

Jam yang melenceng di perangkat lapangan urusannya lebih luas dari sekadar kunci. Polanya saya bahas di saat timestamp berhenti jadi bukti.

Siapa yang boleh membagikan akses kalau pemilik tinggal di tempat lain?

Kebanyakan pemilik kos tidak tinggal di lokasi. Urusan harian dipegang penjaga kos: menunjukkan kamar kosong, menyerahkan akses ke penghuni baru, menolong penghuni yang terkunci di luar jam sebelas malam. Jadi perlu dua peran:

• Pemilik: kendali penuh, termasuk pengaturan, peran pengguna, dan jam kunci.
• Penjaga: membuat dan menghapus akses penghuni di depan pintu. Sudah, itu saja.

Server dan kunci harus menegakkan batas peran penjaga. Menyembunyikan tombol pada aplikasi tidak cukup. Temuan WOOT tadi pelajarannya sama. Tombol setel jam disembunyikan, tapi izin di baliknya tetap membolehkan. Kalau izin penjaga secara teknis masih membawa hak mengubah pengaturan, siapa pun yang membongkar aplikasinya bisa memakai hak itu.

Penjaga yang berhenti kerja adalah pencabutan akses paling berisiko di seluruh gedung, karena ponselnya bisa membuka akses ke semua kamar. Di hari terakhirnya:

1. Nonaktifkan akunnya hari itu juga, supaya izinnya berhenti diperpanjang.
2. Jika akses harus berhenti segera, perbarui pencabutan pada setiap kunci melalui mekanisme yang didukung. Jika sistem hanya mengandalkan kedaluwarsa, catat bahwa izin tersimpan masih dapat dipakai sampai habis.
3. Daftar semua PIN sementara yang pernah ia buat (petugas kebersihan, tukang servis, keluarga penghuni), lalu hapus yang masih aktif.
4. Minta kembali kunci mekanis darurat kalau ia sempat memegangnya.

Apa yang dicatat kunci, dan bisakah catatan itu dipercaya?

Ada dua catatan yang sering dianggap sama.

Catatan pemberian akses berisi siapa diberi akses ke kamar mana, pengelola siapa yang membuatnya, dan kapan. Saat pengelola bekerja tanpa jaringan, pisahkan waktu tindakan di perangkat dari waktu catatan diterima server. Server tidak selalu menerima catatan pada detik tindakan dilakukan. Catatan ini menjadi dasar untuk menelusuri pemberian akses.

Catatan buka pintu berisi kapan pintu benar-benar dibuka, dan dengan kunci digital apa. Di kunci Bluetooth murni, catatan ini menumpuk dulu di dalam kunci, menunggu ponsel pengelola datang dan mengunggahnya. Ponsel hanya meneruskan catatan, sehingga pengiriman dapat gagal atau dimanipulasi. Tim WOOT membuktikan mereka bisa menyelipkan catatan palsu dan menahan catatan asli supaya tidak pernah terunggah.

Karena itu, sampaikan terus terang ke pemilik kos pertanyaan mana yang bisa dijawab sistemnya. Catatan pemberian akses menjawab "siapa saja yang saya beri akses?". Catatan buka pintu dari kunci Bluetooth murni hanya menjawab "kira-kira siapa yang masuk, sejauh yang sempat diantar ponsel", dan itu belum cukup kuat untuk laporan kehilangan barang. Kalau catatan buka pintu harus tahan saat ada sengketa, kuncinya wajib menandatangani tiap catatan sendiri, dan unggahannya harus rutin: lewat gateway, atau lewat jadwal keliling pengelola.

Satu lagi. Jam keluar-masuk penghuni termasuk data pribadi menurut UU PDP. Tentukan sejak awal berapa lama data itu disimpan.

Apakah kunci di dompet digital ponsel mengubah semua ini?

Connectivity Standards Alliance, konsorsium di balik standar rumah pintar Matter, merilis Aliro 1.0 pada 26 Februari 2026. Aliro adalah standar bersama supaya kunci pintu bisa disimpan di dompet digital Apple, Google, dan Samsung, lalu dipakai lewat sentuhan NFC, Bluetooth, atau Ultra-Wideband (sinyal jarak dekat yang bisa mengukur jarak, untuk masuk tanpa menyentuh apa pun). Menurut CSA, lebih dari 220 perusahaan anggota ikut menggarapnya, dan lokasi tanpa jaringan termasuk sasarannya.

Untuk kos, ujungnya bisa begini: penghuni membuka kamar langsung dari dompet digital di ponsel, tanpa pasang aplikasi apa pun. Namun, empat pemeriksaan akses sebelumnya tetap diperlukan. Kunci di dompet digital tetap izin yang dibawa ponsel, dan pengumumannya tidak menjelaskan bagaimana penghapusan sampai ke pintu yang tanpa jaringan. Tanyakan langsung ke tiap vendor. Untuk kunci yang dibeli di 2026, PIN dan kartu masih pilihan paling masuk akal. Periksa rencana dukungan dompet digital kepada vendor setelah kebutuhan akses utama terpenuhi.

Apa yang perlu ditanyakan sebelum membeli kunci untuk kos?

1. Kalau saya hapus satu penghuni, apa yang berubah di dalam kunci, dan kapan? Tunjukkan langsung.
2. Berapa lama izin di ponsel pengelola tetap berlaku saat tanpa jaringan, dan bisakah saya mengaturnya?
3. Siapa yang bisa menyetel jam kunci, dan apakah kuncinya sendiri yang membatasi?
4. Bisakah peran penjaga dibatasi hanya untuk membuat dan menghapus akses, dan pembatasannya dijaga di server?
5. Dari mana catatan buka pintu berasal, dan bisakah ponsel mengubah atau membuangnya?
6. Pernahkah celah keamanan di perangkat tegar kunci ini diumumkan resmi, dan sudah ditambal?

Di kos tanpa resepsionis, kunci menjalankan pemeriksaan akses sepanjang hari dengan daya baterai. Nilai cara pencabutan izin, pengaturan waktu, pembagian peran, dan keandalan catatannya sebelum membeli banyak unit. Minta vendor mendemonstrasikan perilaku tersebut pada kunci yang akan dipakai.