Infrastruktur Kunci Publik

Infrastruktur Kunci Publik (PKI) adalah sistem yang terdiri atas kebijakan, peran, perangkat keras, dan perangkat lunak untuk membuat, mengelola, dan memvalidasi sertifikat digital.

Tugas utamanya adalah mengaitkan kunci publik dengan identitas yang telah diverifikasi, seperti situs web, orang, atau server, agar pihak lain dapat mempercayainya.

Kriptografi kunci publik memungkinkan siapa pun memublikasikan kunci publik. Namun, bagaimana Anda mengetahui bahwa suatu kunci benar-benar milik bank.com dan bukan milik penyerang?

PKI mengatasi hal ini dengan meminta pihak ketiga tepercaya menjamin kunci tersebut melalui penandatanganan sertifikat.

Sertifikat digital menghubungkan kunci publik dengan identitas. Sertifikat ini berisi:

• Nama subjek, misalnya domain
• Kunci publik subjek
• Penerbit, yaitu otoritas yang menandatanganinya
• Tanggal berlaku
• Tanda tangan digital penerbit

Sebagian besar sertifikat mengikuti standar X.509. Anda dapat memeriksa sertifikat dengan OpenSSL.

Setiap sertifikat dibangun berdasarkan pasangan kunci asimetris:

• Kunci privat tetap rahasia di server.
• Kunci publik dibagikan di dalam sertifikat.

Data yang ditandatangani dengan kunci privat dapat diverifikasi menggunakan kunci publik, dan sebaliknya.

Sebuah otoritas menghitung nilai hash data sertifikat lalu mengenkripsi nilai hash tersebut dengan kunci privatnya sendiri. Inilah tanda tangan digital.

Siapa pun yang memiliki kunci publik otoritas tersebut dapat memverifikasi tanda tangan, sehingga membuktikan bahwa sertifikat belum diubah.

PKI mencakup beberapa peran:

• Otoritas Sertifikat (CA) menerbitkan dan menandatangani sertifikat.
• Otoritas Registrasi (RA) memverifikasi identitas sebelum penerbitan.
• Repositori Sertifikat menyimpan dan mendistribusikan sertifikat.
• Pihak yang Mengandalkan adalah siapa pun yang mempercayai dan menggunakan sertifikat.

Kepercayaan bermula dari sertifikat akar yang ditandatangani sendiri dan telah terpasang sebelumnya dalam sistem operasi dan peramban.

Sertifikat akar ini adalah jangkar kepercayaan. Jika Anda mempercayai akar tersebut, Anda dapat mempercayai semua yang ditandatanganinya dengan benar.

Untuk mendapatkan sertifikat, Anda membuat Permintaan Penandatanganan Sertifikat (CSR) yang berisi kunci publik dan identitas Anda, lalu mengirimkannya ke CA.

PKI ada di mana-mana:

• HTTPS / TLS untuk lalu lintas web yang aman
• Penandatanganan Kode untuk membuktikan keaslian perangkat lunak
• Keamanan Email melalui S/MIME
• VPN dan autentikasi perangkat

Sertifikat memiliki siklus hidup lengkap: meminta, menerbitkan, menerapkan, memperbarui, dan mencabut.

Pemeliharaan PKI yang baik berarti melacak tanggal kedaluwarsa dan segera mencabut kunci yang disusupi. Sertifikat yang diabaikan merupakan risiko keamanan.

Anda telah mempelajari bahwa PKI mengaitkan kunci publik dengan identitas menggunakan sertifikat digital.

• Kepercayaan mengalir dari sertifikat akar yang telah terpasang sebelumnya.
• CA menandatangani sertifikat; pihak yang mengandalkan memverifikasi tanda tangan.
• Sertifikat mengikuti standar X.509 dan memiliki siklus hidup lengkap.

Selanjutnya, kita akan melihat otoritas yang menerbitkan sertifikat ini.