Ikon Gembok: Makna Sebenarnya

Ikon gembok di bilah alamat peramban Anda mengonfirmasi bahwa koneksi antara peramban Anda dan peladen web dienkripsi menggunakan TLS. Ini mencegah penyadap membaca data selama transit.

Ini juga mengonfirmasi bahwa peladen telah menyajikan sertifikat yang dapat diverifikasi oleh peramban Anda: sertifikat tersebut ditandatangani oleh Otoritas Sertifikat tepercaya (CA), dan nama domainnya cocok.

Gembok tidak menyatakan apa pun tentang keterpercayaan atau keabsahan situs web itu sendiri. Penjahat dapat memperoleh sertifikat TLS yang valid untuk situs pengelabuannya semudah bisnis yang sah dapat memperolehnya.

Gembok berarti "koneksi Anda ke peladen ini dienkripsi", bukan "situs web ini aman", "perusahaan ini sah", atau "Anda harus memercayai konten di halaman ini".

Situs pengelabuan secara rutin menggunakan HTTPS. Let's Encrypt menerbitkan sertifikat gratis secara otomatis kepada siapa pun yang mengendalikan sebuah domain, termasuk penjahat yang telah mendaftarkan domain mirip seperti "paypa1.com" atau "arnazon.com".

Laporan Transparansi Google menunjukkan bahwa lebih dari 90% halaman pengelabuan kini menggunakan HTTPS. Kehadiran gembok bukan indikator keamanan yang dapat diandalkan; nama domain itu sendiri harus diverifikasi.

Sertifikat Validasi Domain (DV), jenis yang paling umum, hanya memverifikasi bahwa pemohon mengendalikan domain tersebut. CA memeriksanya melalui catatan DNS, berkas yang ditempatkan di peladen web, atau surel ke kontak administratif domain.

Sertifikat DV dapat diterbitkan dalam hitungan menit melalui protokol ACME (yang digunakan oleh Let's Encrypt). Sertifikat ini mengonfirmasi kendali atas domain, tetapi tidak memberikan informasi tentang organisasi di balik domain tersebut.

Sertifikat Validasi Organisasi (OV) mengharuskan CA memverifikasi keberadaan hukum organisasi. CA memeriksa catatan pendaftaran usaha, mengonfirmasi alamat organisasi, dan memverifikasi bahwa orang yang meminta sertifikat berwenang bertindak atas nama organisasi.

Sertifikat OV mencantumkan nama organisasi dalam data sertifikat. Sertifikat ini memerlukan waktu beberapa hari untuk diterbitkan dan biayanya lebih tinggi daripada sertifikat DV, tetapi memberikan jaminan identitas organisasi yang lebih kuat.

Sertifikat Validasi Diperluas (EV) memerlukan verifikasi paling ketat: keberadaan hukum, keberadaan operasional, alamat fisik, dan konfirmasi langsung dengan personel berwenang. Prosesnya memerlukan waktu satu hingga beberapa minggu.

Secara historis, sertifikat EV menampilkan nama organisasi di bilah alamat peramban dengan warna hijau. Namun, Chrome menghapus indikator EV pada 2019 dengan alasan penelitian kebergunaan yang menunjukkan bahwa pengguna tidak memahami atau menyadarinya.

Transparansi Sertifikat (CT) adalah mekanisme yang mengharuskan setiap sertifikat yang diterbitkan dicatat dalam catatan publik yang dapat diaudit. Peramban memeriksa bahwa sertifikat tersebut muncul dalam catatan CT sebelum memercayainya.

Catatan CT memungkinkan pemilik domain memantau sertifikat tidak sah yang diterbitkan untuk domain mereka. Jika CA salah menerbitkan sertifikat, sertifikat itu akan muncul dalam catatan dalam hitungan jam, sehingga deteksi dan pencabutan dapat dilakukan dengan cepat.

Di peramban modern mana pun, Anda dapat mengeklik gembok untuk melihat detail koneksi. Chrome menampilkan "Koneksi aman", masa berlaku sertifikat, dan CA penerbit. Mengeklik "Sertifikat valid" menampilkan rantai sertifikat lengkap.

Detail sertifikat mencakup: Nama Umum dan Nama Alternatif Subjek (domain yang tercakup), CA penerbit, masa berlaku (tidak sebelum / tidak setelah), dan algoritma tanda tangan.

Sejak 2017, Chrome menandai semua halaman HTTP sebagai "Tidak Aman" di bilah alamat. Firefox dan Edge mengikuti langkah ini. Peringatan ini muncul karena HTTP mengirimkan semua data dalam teks biasa, yang dapat dilihat siapa pun di jaringan.

Label "Tidak Aman" terutama terlihat jelas ketika pengguna mulai mengetik ke dalam formulir di halaman HTTP, dengan memperingatkan bahwa kredensial atau data pribadi akan dikirim tanpa enkripsi.

HTTPS kini menjadi standar dasar yang diharapkan untuk setiap situs web, bukan fitur keamanan premium. Kehadirannya berarti saluran tersebut dienkripsi, yang diperlukan tetapi tidak cukup untuk keamanan situs secara keseluruhan.

Keamanan konten, keamanan autentikasi, kontrol otorisasi, pencegahan kerentanan injeksi, dan lusinan properti keamanan lainnya sepenuhnya terpisah dari apakah koneksi menggunakan HTTPS.

Selain ikon gembok, memverifikasi keabsahan situs mengharuskan Anda memeriksa nama domain secara persis untuk menemukan pendomplengan melalui salah ketik, mencari detail sertifikat OV atau EV jika tersedia, memverifikasi situs melalui hasil mesin pencari alih-alih mengeklik tautan dalam email, serta memeriksa usia dan kepemilikan pendaftaran domain melalui pencarian WHOIS.

Pengguna yang sadar keamanan menandai situs penting seperti situs bank mereka daripada mengetik URL setiap kali, sehingga mengurangi risiko salah mengetik alamat ke domain hasil pendomplengan salah ketik yang mungkin memiliki sertifikat HTTPS yang valid.

Uji pemahaman Anda tentang arti ikon gembok pada peramban.

Ikon gembok mengonfirmasi koneksi TLS terenkripsi dan validasi sertifikat oleh CA tepercaya. Ikon ini tidak mengonfirmasi keterpercayaan situs web atau organisasinya.

Situs pengelabuan dapat dan memang menggunakan HTTPS. Sertifikat DV hanya memerlukan verifikasi kendali atas domain dan diterbitkan dalam hitungan menit. Catatan Transparansi Sertifikat memungkinkan pemantauan sertifikat yang tidak sah. HTTPS diperlukan, tetapi tidak cukup untuk keamanan secara keseluruhan.