Peringatan Sertifikat TLS dan Tindakan yang Tepat

NET::ERR_CERT_DATE_INVALID muncul ketika masa berlaku sertifikat telah berakhir. Tanggal "Berlaku Hingga" pada sertifikat telah terlewati. Peringatan ini biasanya disebabkan oleh kesalahan administrasi server: administrator lupa memperbarui sertifikat.

Sertifikat yang kedaluwarsa tidak memberikan jaminan keamanan karena CA telah berhenti menjamin keabsahannya. Meskipun situs tersebut mungkin masih merupakan situs yang sah, infrastruktur sertifikatnya telah mengalami kerusakan.

NET::ERR_CERT_AUTHORITY_INVALID muncul ketika sertifikat ditandatangani oleh CA yang tidak ada dalam penyimpanan akar tepercaya peramban. Hal ini terjadi pada sertifikat yang ditandatangani sendiri, sertifikat dari CA perusahaan internal, atau sertifikat dari CA kecil yang tidak disertakan dalam program akar utama.

Program akar peramban (Mozilla, Google, Apple, Microsoft) memelihara daftar CA tepercaya yang ketat. CA harus memenuhi persyaratan audit yang luas agar dapat disertakan. Sertifikat dari CA yang tidak disertakan memicu peringatan ini.

NET::ERR_CERT_COMMON_NAME_INVALID muncul ketika bidang Subjek atau SAN pada sertifikat tidak cocok dengan nama host di bilah alamat peramban. Mengunjungi "https://192.168.1.1" saat sertifikat menyatakan "router.example.com" akan memicu peringatan ini.

Peringatan ini dapat menunjukkan server yang salah konfigurasi, serangan MITM yang mengganti sertifikat sah dengan sertifikat lain, atau situs sah yang diakses menggunakan alamat IP, bukan nama host.

Sertifikat yang ditandatangani sendiri adalah sertifikat yang penerbit dan subjeknya sama: otoritas sertifikatnya adalah server itu sendiri. Peramban secara bawaan tidak mempercayai sertifikat yang ditandatangani sendiri karena sertifikat tersebut tidak menyediakan verifikasi pihak ketiga.

Sertifikat yang ditandatangani sendiri umum digunakan dalam lingkungan pengembangan, alat internal, dan pengujian. Sertifikat tersebut mengenkripsi lalu lintas sama baiknya dengan sertifikat yang ditandatangani CA, tetapi tidak memberikan jaminan identitas.

Peringatan sertifikat yang dicabut muncul ketika CA membatalkan keabsahan sertifikat sebelum masa berlakunya berakhir. Hal ini biasanya terjadi karena kunci privat disusupi, organisasi tersebut sudah tidak ada, atau sertifikat diterbitkan secara keliru.

Pencabutan diperiksa melalui OCSP (Protokol Status Sertifikat Online) atau CRL (Daftar Pencabutan Sertifikat). Chrome menggunakan CRLSets (data pencabutan yang telah dimuat sebelumnya) untuk meningkatkan kinerja, serta melengkapinya dengan OCSP waktu nyata untuk sertifikat bernilai tinggi.

Peringatan sertifikat umumnya dapat diabaikan dalam konteks internal dan pengembangan yang terbatas: server pengembangan milik Anda sendiri dengan sertifikat yang ditandatangani sendiri, alat internal perusahaan yang menggunakan CA perusahaan yang tidak ada dalam penyimpanan akar publik, atau perute rumah saat Anda mengetahui bahwa alamat IP-nya sesuai dengan perangkat tersebut.

Dalam kasus ini, peringatan menunjukkan CA yang tidak ada, bukan serangan. Anda dapat menambahkan CA ke penyimpanan kepercayaan atau menerima sertifikat tertentu untuk konteks internal tersebut. Dokumentasikan keputusan dan alasannya.

Jangan pernah mengabaikan peringatan sertifikat untuk layanan perbankan, email, portal kesehatan, layanan pemerintah, atau situs apa pun tempat Anda akan memasukkan data masuk atau informasi sensitif. Peringatan tersebut dapat menunjukkan serangan MITM aktif.

Meskipun hanya satu persen peringatan sertifikat yang menunjukkan serangan nyata, mengabaikannya pada layanan sensitif menciptakan risiko yang tidak dapat diterima. Ketidaknyamanan karena tidak dapat mengakses situs tersebut jauh lebih ringan daripada pencurian data masuk atau penipuan finansial.

Penyerang yang melakukan serangan MITM menyadap koneksi TLS Anda dan menyajikan sertifikatnya sendiri. Jika sertifikat tersebut tidak dipercaya oleh peramban Anda, Anda akan menerima peringatan. Peringatan tersebut IS mekanisme keamanan yang bekerja dengan benar.

Penyerang yang mengendalikan firewall perusahaan atau perute yang disusupi terkadang menyisipkan CA mereka sendiri untuk melakukan pemeriksaan TLS tanpa memicu peringatan. Jika Anda tiba-tiba mulai melihat peringatan sertifikat di situs yang biasanya Anda percayai, segera selidiki.

Jika Anda melihat peringatan sertifikat yang tidak terduga di situs web publik yang sah, segera laporkan. Untuk properti Google, gunakan tombol masukan Chrome. Untuk situs lain, hubungi pemilik situs melalui saluran alternatif (telepon atau jaringan lain).

Catatan Transparansi Sertifikat memungkinkan siapa pun memantau sertifikat yang tidak terduga untuk domain mereka. Layanan Pemantauan Transparansi Sertifikat milik Facebook memberi tahu pemilik domain ketika sertifikat baru diterbitkan untuk domain mereka.

HTTP Strict Transport Security (HSTS) mencegah peramban menerima kesalahan sertifikat untuk domain yang telah terdaftar. Setelah peramban melihat header HSTS, peramban menolak terhubung ke domain tersebut melalui HTTP atau dengan kesalahan sertifikat, bahkan jika pengguna mengeklik "tetap lanjut".

Situs dalam daftar pramuat HSTS ditanamkan secara permanen ke dalam peramban, sehingga bahkan kunjungan pertama kali pun terlindungi. Peringatan sertifikat pada situs yang dimuat sebelumnya tidak pernah dapat diabaikan, sehingga serangan MITM terhadap situs tersebut menjadi tidak praktis.

Organisasi yang menjalankan CA internal sebaiknya mendistribusikan sertifikat CA ke semua perangkat perusahaan melalui manajemen perangkat seluler (MDM) atau kebijakan grup. Hal ini menghilangkan peringatan sertifikat untuk alat internal tanpa mengharuskan pengguna melewati peringatan keamanan secara manual.

Kunci CA internal harus disimpan dalam modul keamanan perangkat keras (HSM), bukan di sistem berkas. Sertifikat CA harus memiliki masa berlaku terbatas dan tidak boleh dipercaya untuk domain internet publik, melainkan hanya untuk ruang nama internal khusus milik organisasi.

Uji pemahaman Anda tentang peringatan sertifikat TLS.

Peringatan sertifikat menunjukkan masalah tertentu: ERR_CERT_DATE_INVALID (kedaluwarsa), ERR_CERT_AUTHORITY_INVALID (CA tidak dikenal), dan ERR_CERT_COMMON_NAME_INVALID (ketidakcocokan nama host). Masing-masing memiliki penyebab dan tindakan yang sesuai.

Jangan pernah melewati peringatan sertifikat di situs perbankan, surel, atau kesehatan. Alat internal dengan sertifikat yang ditandatangani sendiri atau sertifikat CA internal dapat digunakan dengan aman setelah konteksnya diverifikasi. HSTS mencegah pelewatan peringatan pada domain yang terdaftar dalam HSTS, sehingga melindungi dari serangan MITM.