Jabat Tangan TLS 1.3 dan Penyambungan Kembali 0-RTT

TLS 1.3, yang dirilis pada 2018 (RFC 8446), dirancang untuk memperbaiki kelemahan yang terakumulasi dalam TLS 1.2 selama satu dekade serangan di dunia nyata. Versi sebelumnya memungkinkan negosiasi rangkaian sandi yang lemah, mendukung kriptografi tingkat ekspor, dan memerlukan beberapa perjalanan bolak-balik sebelum Data dapat mengalir. TLS 1.3 menghapus semua algoritme yang tidak digunakan lagi dan menyederhanakan jabat tangan menjadi satu perjalanan bolak-balik dalam kondisi normal, sehingga meningkatkan keamanan dan performa secara signifikan.

Dalam TLS 1.3, klien dan server menyelesaikan jabat tangan dalam 1-RTT (satu perjalanan bolak-balik). Klien mengirim ClientHello yang mencakup rangkaian sandi yang didukung dan pembagian kunci (menggunakan Diffie-Hellman). Server merespons dengan ServerHello, pembagian kuncinya sendiri, sertifikat, dan Data aplikasi terenkripsi pertama — semuanya dalam satu pengiriman. Klien kemudian memverifikasi sertifikat dan mengirim pesan Finished sebelum bertukar Data aplikasi.

TLS 1.3 mewajibkan pertukaran kunci ephemeral — pertukaran kunci RSA dihapus sepenuhnya. Semua pertukaran kunci harus menggunakan ECDHE (Elliptic Curve Diffie-Hellman Ephemeral) atau DHE (Diffie-Hellman Ephemeral). Kata 'ephemeral' berarti pasangan kunci baru dibuat untuk setiap sesi. Ini merupakan dasar dari kerahasiaan penerusan sempurna: penyusupan terhadap kunci privat jangka panjang server tidak dapat mendekripsi sesi sebelumnya karena setiap sesi menggunakan kunci sementara yang unik.

Perfect Forward Secrecy (PFS) memastikan bahwa meskipun penyerang merekam semua lalu lintas terenkripsi hari ini dan memperoleh kunci privat server di masa mendatang, mereka tetap tidak dapat mendekripsi sesi lama. Dalam TLS 1.2 dengan pertukaran kunci RSA, kunci privat server dapat mendekripsi rahasia pramaster pada sesi sebelumnya — kegagalan yang sangat parah. Kunci DH ephemeral milik TLS 1.3 berarti setiap sesi menghasilkan kuncinya sendiri, dan kunci ephemeral tersebut dibuang setelah digunakan.

TLS 1.2 mendukung lebih dari 300 rangkaian sandi, dan banyak di antaranya lemah atau rusak. TLS 1.3 menguranginya menjadi hanya lima rangkaian sandi, yang semuanya menggunakan AEAD (Authenticated Encryption with Associated Data): TLS_AES_128_GCM_SHA256, TLS_AES_256_GCM_SHA384, TLS_CHACHA20_POLY1305_SHA256, TLS_AES_128_CCM_SHA256, dan TLS_AES_128_CCM_8_SHA256. Hal ini menghapus seluruh kategori serangan seperti BEAST, POODLE, dan FREAK yang mengeksploitasi negosiasi sandi yang lemah.

Penyambungan 0-RTT (Zero Round Trip Time) adalah fitur opsional TLS 1.3 yang memungkinkan klien mengirim Data aplikasi dalam pesan pertama, sebelum jabat tangan selesai. Fitur ini bekerja dengan menggunakan Pre-Shared Key (PSK) dari sesi sebelumnya. Meskipun 0-RTT secara drastis mengurangi latensi — hal yang penting untuk API dengan lalu lintas tinggi — fitur ini memiliki kompromi penting: Data awal tidak terlindungi dari serangan pemutaran ulang.

Dalam serangan pemutaran ulang terhadap Data 0-RTT, penyerang yang mencegat pesan awal dapat mengirimkannya kembali ke server dan berpotensi memicu tindakan yang sama dua kali (misalnya pembayaran atau perubahan status). Spesifikasi TLS 1.3 secara eksplisit memperingatkan bahwa Data awal 0-RTT hanya boleh membawa operasi idempoten — operasi yang menghasilkan hasil sama terlepas dari berapa kali dijalankan, seperti permintaan GET. Operasi yang tidak idempoten (POST, DELETE) tidak boleh menggunakan 0-RTT.

Setelah jabat tangan penuh TLS 1.3 berhasil, server mengeluarkan pesan NewSessionTicket yang berisi PSK (Pre-Shared Key) dan disimpan oleh klien. Saat tersambung kembali, klien menyertakan PSK ini dalam ClientHello menggunakan ekstensi pre_shared_key. Server mengenalinya lalu menyetujui Data 0-RTT atau beralih ke penyambungan 1-RTT. Tiket PSK memiliki batas waktu dan sebaiknya sering dirotasi untuk membatasi jangka waktu paparannya.

Salah satu Improvement utama dalam TLS 1.3 adalah bahwa sebagian besar jabat tangan dienkripsi, termasuk sertifikat server. Dalam TLS 1.2, sertifikat server dikirim dalam teks biasa sehingga pengamat jaringan dapat mengidentifikasi domain yang sedang dihubungi klien. TLS 1.3 mengenkripsi sertifikat dan sebagian besar pesan jabat tangan berikutnya, sehingga mengurangi metadata yang tersedia bagi pengamat pasif. Encrypted Client Hello (ECH) adalah ekstensi yang sedang berkembang dan bahkan menyembunyikan bidang SNI (Server Name Indication).

TLS 1.3 menghapus banyak fitur lama yang telah menjadi sumber risiko: pertukaran kunci RSA (tidak menyediakan kerahasiaan penerusan), rangkaian sandi mode CBC (rentan terhadap serangan padding oracle), RC4 (sandi aliran yang sepenuhnya rusak), kriptografi tingkat ekspor (penyebab FREAK dan Logjam), MD5 dan SHA-1 dalam tanda tangan digital, kompresi (penyebab CRIME), serta negosiasi ulang (penyebab berbagai serangan). Dengan menghapus semua itu, TLS 1.3 memiliki permukaan serangan yang jauh lebih kecil.

Penerapan TLS 1.3 yang benar mengharuskan Anda mengonfigurasi server web agar memprioritaskannya sekaligus menonaktifkan TLS 1.0 dan 1.1. Sebagian besar server web modern (Nginx, Apache, IIS) mendukung TLS 1.3 secara bawaan. Anda juga harus memastikan bahwa OCSP Stapling diaktifkan untuk menyediakan status pencabutan sertifikat tanpa klien menghubungi CA, dan bahwa header HSTS mencegah serangan penurunan versi ke HTTP. Gunakan alat seperti SSL Labs untuk memverifikasi bahwa konfigurasi Anda memperoleh peringkat A+.

Uji pemahaman Anda tentang konsep CompTIA Security+ (SY0-701) dari pelajaran ini.

Dalam pelajaran ini Anda mempelajari bahwa: TLS 1.3 menyelesaikan jabat tangan dalam 1-RTT hanya dengan pertukaran kunci DH ephemeral untuk menyediakan kerahasiaan penerusan sempurna, penyambungan 0-RTT memungkinkan penyambungan kembali yang lebih cepat menggunakan PSK tetapi rentan terhadap serangan pemutaran ulang dan hanya boleh membawa operasi idempoten, serta TLS 1.3 menghapus semua fitur lama yang lemah — pertukaran kunci RSA, sandi CBC, RC4, kriptografi ekspor, dan kompresi — sehingga secara drastis mengurangi permukaan serangan. Selanjutnya kita akan membahas algoritme enkripsi terautentikasi seperti AES-GCM.