Digital Certificate

22 Mar 2023

SSL(Secure Socket Layer)/TLS(Transport Layer Security) Certificate adalah sebuah objek digital yang dapat memverifikasi identitas dan membuat website terenkripsi, sehingga saat terjadi perpindahan data antara user dan server, informasi tersebut tidak dapat dilihat langsung oleh peretas, karena informasi tersebut terenkripsi.

Sebuah website terenkripsi SSL/TLS apabila terdapat lambang gembok di address bar dan alamat web diawali https. Ketika sebuah web menggunakan sertifikat SSL/TLS, maka hanya client dan web server yang dapat melihat data yang dikirimkan (end-to-end).

Diatas adalah youtube.com, contoh website yang menggunakan digital certificate

Diatas adalah contoh website tanpa digital certificate.

Certificate SSL/TLS dikeluarkan oleh Certificate Authority (CA). Certificate Authority adalah sebuah organisasi atau entitas yang bertanggung jawab menerbitkan dan memvalidasi sertifikat digital (SSL/TLS) yang digunakan untuk mengenkripsi komunikasi di internet. CA dengan sertifikatnya menjamin keabsahan pemilik sertifikat sebagai seorang atau organisasi yang sah. Beberapa perusahaan terkenal yang mengeluarkan sertifikat digital antara lain: Let’s Encrypt, Comodo, dan Symantec.

Cara kerja sertifikat digital.

Sertifikat digital sendiri terbagi atas dua jenis, yaitu sertifikat umum (Public Certificate) dan sertifikat pribadi (Private Certificate). Sertifikat umum atau sertifikat SSL/TLS diterbitkan oleh CA dan digunakan oleh individu atau organisasi untuk memverifikasi identitas dan mengenkripsi komunikasi antara peladen dan pengunjungnya. Sertifikat umum ini juga berisi kunci publik (public key) yang digunakan untuk mengenkripsi data. Sertifikat umum dapat digunakan oleh siapa saja untuk memverifikasi keabsahan sebuah website.

Sertifikat SSL/TLS adalah sebuah file data yang berisi informasi sebagai berikut:

Nama domain situs web yang bersangkutan.
Informasi tentang Certificate Authority (CA) yang mengeluarkan sertifikat, seperti nama dan nomor sertifikat CA.
Nomor seri sertifikat, yang unik untuk setiap sertifikat.
Tanggal kadaluarsa sertifikat, yang menunjukkan kapan sertifikat tersebut tidak lagi valid.
Kunci publik situs web, yang digunakan untuk enkripsi data saat terhubung ke situs web.
Nama organisasi atau perusahaan yang memiliki situs web.
Lokasi fisik atau alamat kantor pusat organisasi atau perusahaan.
Informasi tentang jenis sertifikat, seperti apakah sertifikat tersebut digunakan untuk enkripsi data atau untuk tanda tangan digital.
Tanda tangan digital, yang menunjukkan bahwa sertifikat tersebut berasal dari CA yang sah dan bahwa informasi dalam sertifikat tidak dimanipulasi atau diubah.

Cara kerja public certificate adalah sebagai berikut:

User (individu atau organisasi) membuat pasangan public & private key.
User meminta sertifikat digital, memberikan public key dan informasi atau identitas tentang user kepada CA.
CA memverifikasi identitas user dan menerbitkan sertifikat yang berisi public key tadi dan informasi tentang user dengan signature CA.
Saat user terhubung ke sebuah website (website user diatas), maka perangkat mereka akan mengecek validasi sertifikat web yang dikunjungi dengan mengidentifikasi signature CA, dan memverifikasi kesamaan public key di sertifikat dan web yang dikunjungi.
Jika tervalidasi dengan benar, maka pengunjung dapat berkomunikasi dengan aman dengan website tersebut, karena data akan terenkripsi oleh public key dan didekripsi oleh private key milik website.

Jika diatas yang dibahas adalah sertifikat umum / publik, maka sekarang kita akan membahas sertifikat pribadi (private certificate). Sertifikat pribadi adalah sertifikat yang digunakan oleh user untuk memvalidasi identitas mereka saat menggunakan layanan dalam jaringan tertentu. Sertifikat pribadi berisi informasi berupa nama individu atau organisasi, alamat email, dan kunci publik. Sertifikat ini tidak dapat diakses oleh publik dan hanya dapat digunakan sebagai alat validasi identitas pengguna.

Cara kerja sertifikat pribadi adalah sebagai berikut:

User (individu atau organisasi) membuat pasangan public & private key.
User meminta sertifikat pribadi, memberikan public key dan informasi untuk identifikasi tentang user ke CA.
CA memverifikasi identitas user dan menerbitkan sertifikat pribadi untuk memvalidasi diri mereka sendiri. Sistem atau server akan mengecek keabsahan pengunjung atau user ketika mereka mencoba mengakses sebuah layanan dalam sebuah jaringan. Sistem akan mengecek validasi private certificate dengan membandingkan public key user dan sertifikat, dan signature dari CA.
Jika tervalidasi dengan benar, maka user akan diberikan akses ke layanan oleh sistem dan dapat berkomunikasi dengan aman.

Manfaat penggunaan sertifikat digital:

Validasi dan otentikasi yang kuat. Sertifikat digital memastikan bahwa perpindahan data hanya terjadi antara dua pihak yang dipercaya.
Data yang dikirim melalui internet terenkripsi oleh public key, sehingga kerahasiaan data terjaga.
Setiap bentuk perpindahan data tercatat, sehingga kedua belah pihak tidak dapat menyangkal ketika terjadi komunikasi.
Pengguna sertifikat merupakan pihak yang dapat dipercaya, karena identitas pengguna telah diverifikasi oleh CA.
Sertifikat digital lebih murah dibandingkan menggunakan token fisik dan kartu pintar.
Proses pembuatan hampir sepenuhnya otomatis.

Kekurangan penggunaan sertifikat digital:

Ketergantungan pada CA. Apabila CA disusupi atau terganggu, maka validasi semua sertifikat yang diterbitkan akan terganggu.
Sertifikat digital rentan terhadap serangan yang menargetkan private key, serangan phishing, dan man-in-the-middle.
Dalam organisasi besar, manajemen sertifikat digital akan menjadi sulit dilakukan. Organisasi dapat menggunakan vendor/pihak ketiga untuk melakukan manajemen, yang akan memakan biaya yang mahal.

References:

Jonathan & Johanes