Rantai Sertifikat

Rantai sertifikat (atau rantai kepercayaan) adalah daftar berurutan berisi sertifikat yang menghubungkan sertifikat akhir milik server hingga sertifikat akar yang tepercaya.

Setiap sertifikat ditandatangani oleh sertifikat yang berada di atasnya.

Rantai yang umum memiliki tiga bagian:

• Sertifikat ujung (entitas akhir) untuk server yang sebenarnya.
• Sertifikat perantara yang menandatangani sertifikat ujung.
• Sertifikat akar yang menandatangani sertifikat perantara.

Untuk melakukan validasi, klien memeriksa setiap tanda tangan ke arah atas:

• Kunci publik akar memverifikasi sertifikat perantara.
• Kunci publik perantara memverifikasi sertifikat ujung.

Jika setiap tanda tangan berhasil diperiksa dan berakhir pada akar tepercaya, rantai tersebut sah.

Anda dapat melihat rantai yang disajikan server menggunakan s_client milik OpenSSL.

Rantai terhubung dengan mencocokkan bidang: Penerbit suatu sertifikat sama dengan Subjek sertifikat di atasnya.

Kesalahan yang sangat umum adalah server hanya mengirim sertifikat ujungnya dan melupakan sertifikat perantara.

Akibatnya, beberapa klien tidak dapat membangun jalur menuju akar dan melaporkan sertifikat tidak tepercaya, meskipun secara teknis semuanya sah.

Server seharusnya mengirim sertifikat ujung beserta semua sertifikat perantara, tetapi biasanya tidak mengirim sertifikat akar karena klien sudah memilikinya.

Berkas gabungan ini sering disebut fullchain.pem.

Anda dapat memverifikasi rantai secara lokal dengan memberikan akar tepercaya.

Validasi tidak hanya memeriksa tanda tangan. Klien juga memeriksa:

• Setiap sertifikat berada dalam tanggal berlakunya.
• Rantai tersebut tidak dicabut.
• Sertifikat CA memiliki tanda CA yang ditetapkan dalam batasan dasar.
• Penggunaan kunci dan batasan nama dipatuhi.

Terkadang akar baru belum dipercaya di semua tempat. Penandatanganan silang memungkinkan akar lama yang tepercaya secara luas untuk turut menandatangani perantara baru.

Hal ini membuat beberapa jalur yang sah sehingga kompatibilitas dengan perangkat lama meningkat.

Kegagalan rantai yang umum meliputi:

• Sertifikat perantara yang hilang
• Sertifikat kedaluwarsa di bagian mana pun pada jalur
• Urutan yang salah dalam berkas rantai
• Akar yang tidak tepercaya atau tidak lagi dipercaya

Server hanya menyajikan sertifikat ujungnya, dan beberapa klien melaporkannya sebagai tidak tepercaya. Apa penyebab yang paling mungkin?

Anda telah mempelajari cara rantai sertifikat menghubungkan sertifikat ujung ke akar tepercaya melalui sertifikat perantara.

• Validasi menelusuri rantai, memverifikasi setiap tanda tangan, tanggal, dan pencabutan.
• Server seharusnya mengirim rantai lengkap untuk menghindari kesalahan akibat perantara yang hilang.
• Penandatanganan silang meningkatkan kompatibilitas.

Selanjutnya, kita membahas tugas operasional dalam mengelola sertifikat.