Validasi Sertifikat

Enkripsi saja tidak cukup. Jika Anda mengenkripsi koneksi ke penyerang, Anda telah mengamankan percakapan yang salah.

Validasi sertifikat memastikan Anda benar-benar berkomunikasi dengan server yang dimaksud.

Selama proses jabat tangan, klien memverifikasi beberapa hal:

• Rantai sertifikat mencapai akar tepercaya.
• Sertifikat berada dalam masa berlakunya.
• Sertifikat tidak dicabut.
• Nama host cocok.

Nama host yang Anda hubungkan harus cocok dengan entri Nama Alternatif Subjek (SAN) pada sertifikat.

Kolom Nama Umum (CN) yang lama sudah tidak direkomendasikan untuk tujuan ini; klien modern mengharuskan SAN.

Setiap sertifikat memiliki stempel waktu Belum Berlaku dan Tidak Berlaku Setelah. Di luar rentang ini, sertifikat akan ditolak.

Klien menelusuri rantai dari sertifikat daun hingga akar dalam penyimpanan kepercayaannya, lalu memverifikasi setiap tanda tangan.

Jika tidak ada jalur menuju akar tepercaya, validasi gagal meskipun sertifikat terlihat benar.

Klien memeriksa apakah sertifikat telah dicabut sebelum masa berlakunya berakhir menggunakan OCSP atau CRL.

Banyak peramban mengandalkan penyematan OCSP atau daftar pencabutan terkurasi agar pemeriksaan tetap cepat.

Sertifikat menyatakan penggunaan yang diizinkan dalam ekstensi Penggunaan Kunci dan Penggunaan Kunci Diperluas.

Sertifikat server harus menyertakan serverAuth; sertifikat CA harus memiliki penanda CA yang diaktifkan. Sertifikat yang disalahgunakan akan ditolak.

Penyematan menetapkan sertifikat atau kunci publik yang diharapkan secara permanen di dalam klien, yang umum dilakukan pada aplikasi seluler.

Bahkan sertifikat yang valid, ditandatangani oleh CA, tetapi tidak sesuai harapan akan ditolak, sehingga melindungi dari CA yang jahat atau disusupi.

Kesalahan validasi yang umum meliputi:

• NET::ERR_CERT_DATE_INVALID (kedaluwarsa)
• NET::ERR_CERT_COMMON_NAME_INVALID (nama host tidak cocok)
• NET::ERR_CERT_AUTHORITY_INVALID (penerbit tidak tepercaya)

Menonaktifkan verifikasi sertifikat, misalnya dengan curl -k atau verify=False, menghapus seluruh perlindungan terhadap penyamaran identitas.

Hal ini tidak boleh digunakan dalam kode produksi karena mengundang serangan penyusup di tengah.

Anda dapat menjalankan pemeriksaan validasi lengkap terhadap server aktif.

Anda telah mempelajari cara klien melakukan validasi sertifikat.

• Pemeriksaan mencakup kepercayaan rantai, tanggal berlaku, pencabutan, dan nama host (SAN).
• Penyematan menambah perlindungan terhadap CA yang jahat.
• Jangan pernah menonaktifkan validasi dalam produksi.

Selanjutnya, kita akan melihat serangan umum terhadap TLS.