Sertifikat Kunci Publik

Apa Itu Sertifikat Kunci Publik?

Sertifikat kunci publik adalah sertifikat digital yang menghubungkan kunci publik dengan identitas seperti situs web, organisasi, perangkat, pengguna, server, atau layanan.

Sederhananya, sertifikat ini membantu membuktikan bahwa kunci publik tertentu dimiliki oleh entitas yang mengklaimnya.

Glosarium sertifikat kunci publik NIST menjelaskan bahwa sertifikat kunci publik adalah dokumen digital yang diterbitkan dan ditandatangani secara digital oleh otoritas sertifikat. Dokumen tersebut menghubungkan pengenal dengan pelanggan melalui kunci publik.

Definisi sertifikat NIST yang lebih luas menjelaskan bahwa sertifikat berisi kunci publik suatu entitas dan ditandatangani secara digital oleh pihak tepercaya untuk menghubungkan kunci publik tersebut dengan entitas itu.

Sertifikat kunci publik merupakan bagian inti dari Public Key Infrastructure, yang sering disebut PKI.

PKI adalah sistem kepercayaan yang memungkinkan browser, aplikasi, server, wallet, exchange, sistem kustodian, dan platform perusahaan menentukan apakah suatu kunci publik dapat dipercaya untuk identitas tertentu.

Bagi pengguna kripto, sertifikat kunci publik penting karena banyak aktivitas kripto penting dimulai melalui situs web, unduhan wallet, API, dasbor, portal kustodian, atau infrastruktur node.

Kunci wallet blockchain membuktikan kendali atas aset kripto, sedangkan sertifikat kunci publik membantu membuktikan identitas layanan atau sistem internet yang terhubung dengan pengguna.

Perbedaan ini penting karena keamanan sertifikat melindungi lapisan komunikasi di sekitar kripto, bukan kunci privat yang secara langsung membelanjakan dana on-chain.

Cara Kerja Sertifikat Kunci Publik

Sertifikat kunci publik bekerja dengan menggabungkan identitas, kunci publik, detail sertifikat, dan tanda tangan digital dari penerbit tepercaya.

Penerbit tepercaya ini biasanya disebut certificate authority atau CA.

Situs web, perusahaan, perangkat, atau pengguna terlebih dahulu membuat pasangan kunci yang terdiri dari kunci publik dan kunci privat.

Kunci publik dapat dibagikan, sedangkan kunci privat harus tetap dirahasiakan.

Entitas tersebut kemudian mengajukan permintaan sertifikat kepada CA atau penerbit sertifikat lainnya.

Penerbit memeriksa identitas entitas sesuai jenis sertifikat dan aturan penerbitan.

Setelah validasi, penerbit menandatangani secara digital sertifikat yang menghubungkan identitas dengan kunci publik.

Ketika sistem lain menerima sertifikat tersebut, sistem akan memeriksa tanda tangan penerbit, rantai sertifikat, tanggal kedaluwarsa, domain atau identitas, serta status pencabutan.

Jika semua pemeriksaan lolos, sistem dapat memercayai bahwa kunci publik tersebut dimiliki oleh identitas yang tercantum.

Proses ini merupakan dasar koneksi HTTPS yang diandalkan pengguna saat membuka situs web kripto dan antarmuka wallet.

Informasi Apa Saja yang Terdapat dalam Sertifikat Kunci Publik?

Sertifikat kunci publik berisi informasi terstruktur yang membantu software memvalidasi identitas dan penggunaan kunci.

Sertifikat tersebut mencakup subject, yaitu identitas yang direpresentasikan oleh sertifikat.

Untuk sertifikat situs web, subject biasanya terhubung dengan nama domain.

Sertifikat juga mencakup kunci publik milik subject tersebut.

Sertifikat mencakup issuer, yang mengidentifikasi CA atau otoritas yang menandatangani sertifikat.

Sertifikat mencakup masa berlaku dengan tanggal mulai dan tanggal kedaluwarsa.

Sertifikat mencakup nomor seri yang membantu mengidentifikasi sertifikat secara unik.

Sertifikat mencakup informasi penggunaan kunci yang memberi tahu software cara kunci publik dalam sertifikat tersebut dapat digunakan.

Sertifikat mencakup tanda tangan digital dari penerbit agar perubahan yang tidak sah dapat dideteksi.

Standar IETF RFC 5280 menetapkan profil sertifikat X.509 dan certificate revocation list yang digunakan di berbagai sistem PKI internet.

Sertifikat Kunci Publik vs Kunci Publik

Kunci publik dan sertifikat kunci publik bukan hal yang sama.

Kunci publik adalah nilai kriptografi yang dapat digunakan untuk memverifikasi tanda tangan, mengenkripsi data, atau mendukung pertukaran kunci, tergantung pada sistemnya.

Sertifikat kunci publik adalah catatan data bertanda tangan yang menyatakan bahwa kunci publik tertentu dimiliki oleh identitas tertentu.

Kunci publik saja tidak memberi tahu pengguna siapa pemiliknya.

Sertifikat menambahkan informasi identitas dan tanda tangan tepercaya dari penerbit.

Karena itu, sertifikat berguna untuk situs web, API, server perusahaan, dan sistem kustodian.

Browser tidak hanya memerlukan kunci publik situs web.

Browser juga perlu memastikan bahwa kunci publik tersebut benar-benar milik domain situs web yang dikunjungi pengguna.

Sertifikat membantu memberikan kepastian tersebut melalui model kepercayaan CA.

Tanpa sertifikat, penyerang dapat lebih mudah menyajikan kunci publik miliknya sendiri sambil berpura-pura menjadi layanan kripto yang sebenarnya.

Sertifikat Kunci Publik vs Kunci Publik Wallet Kripto

Kunci publik wallet kripto biasanya digunakan untuk memverifikasi bahwa transaksi blockchain ditandatangani oleh kunci privat yang berpasangan.

Sertifikat kunci publik biasanya digunakan untuk membuktikan bahwa suatu kunci publik dimiliki oleh identitas dunia nyata atau identitas sistem.

Sebagai contoh, kunci publik wallet dapat membantu memverifikasi bahwa transaksi berasal dari pemilik wallet.

Sertifikat situs web dapat membantu memverifikasi bahwa pengguna terhubung ke domain yang benar sebelum mengunduh wallet atau menggunakan aplikasi web.

Sebagian besar wallet blockchain publik tidak memerlukan CA untuk membuat alamat atau menandatangani transaksi.

Pengguna dapat membuat pasangan kunci wallet secara mandiri tanpa meminta izin kepada CA.

Inilah salah satu alasan blockchain publik dapat bersifat terbuka dan tanpa izin.

Namun, situs web, aplikasi, API, dan sistem kustodian di sekitar blockchain tersebut sering menggunakan sertifikat kunci publik untuk komunikasi internet yang aman.

Dalam kripto, kunci wallet membuktikan kendali atas aset, sedangkan sertifikat kunci publik membantu membuktikan identitas layanan.

Keduanya menggunakan kriptografi kunci publik, tetapi menyelesaikan masalah kepercayaan yang berbeda.

Sertifikat Kunci Publik dan HTTPS

HTTPS bergantung pada sertifikat kunci publik untuk mengamankan komunikasi antara browser dan situs web.

Ketika pengguna membuka situs web kripto, server menyajikan sertifikat TLS kepada browser.

Browser memeriksa apakah sertifikat tersebut valid untuk domain, terhubung ke CA tepercaya, dan masih dalam masa berlaku.

Jika sertifikat diterima, browser dapat membentuk koneksi TLS terenkripsi dengan server.

Penjelasan Cloudflare mengenai sertifikat SSL menyatakan bahwa sertifikat SSL memungkinkan HTTPS dan berisi kunci publik serta informasi identitas situs web.

Hal ini penting karena pengguna kripto sering berinteraksi dengan sistem bernilai tinggi melalui halaman web.

Koneksi HTTPS yang aman dapat membantu mencegah penyerang membaca atau mengubah data yang dikirimkan.

Namun, HTTPS tidak membuktikan bahwa proyek kripto dapat dipercaya atau suatu token aman.

HTTPS hanya membantu membuktikan bahwa pengguna memiliki koneksi terenkripsi ke domain yang ditampilkan di browser.

Domain palsu tetap dapat memiliki sertifikat yang valid untuk domain palsu tersebut.

Sertifikat Kunci Publik dan Certificate Authority

Certificate authority adalah entitas yang menerbitkan dan menandatangani sertifikat kunci publik.

CA memeriksa apakah pemohon mengendalikan domain, mewakili organisasi, memiliki perangkat, atau memenuhi persyaratan identitas lainnya.

Kekuatan pemeriksaan identitas tersebut bergantung pada jenis sertifikat dan kebijakan penerbitan.

Sertifikat validasi domain umumnya memeriksa kendali atas domain.

Sertifikat validasi organisasi juga mencakup pemeriksaan terkait organisasi.

Sertifikat validasi diperluas secara historis melibatkan pemeriksaan identitas yang lebih ketat, meskipun praktik tampilan browser telah berubah seiring waktu.

Dalam semua kasus, peran CA adalah menghubungkan kunci publik dengan identitas melalui tanda tangan digital tepercaya.

Browser dan sistem operasi memercayai CA root tertentu melalui trust store.

Jika sertifikat terhubung ke CA root tepercaya dan lolos validasi, software dapat menerimanya.

Rantai kepercayaan ini sangat berguna, tetapi kesalahan atau kompromi CA juga dapat menimbulkan masalah keamanan serius.

Rantai Sertifikat

Rantai sertifikat menghubungkan sertifikat situs web atau layanan dengan sertifikat root tepercaya.

Sertifikat yang digunakan situs web sering disebut sertifikat leaf atau sertifikat entitas akhir.

Sertifikat leaf tersebut mungkin ditandatangani oleh CA perantara.

CA perantara dapat ditandatangani oleh CA perantara lain atau CA root.

Browser, sistem operasi, atau trust store aplikasi memercayai CA root.

Ketika browser memvalidasi sertifikat situs web, browser membangun dan memeriksa rantai kepercayaan ini.

Jika ada mata rantai yang tidak valid, kedaluwarsa, tidak tepercaya, atau salah dikonfigurasi, browser dapat menolak sertifikat.

Hal ini penting bagi layanan kripto karena masalah rantai sertifikat dapat menghalangi akses pengguna, merusak API, dan mengurangi kepercayaan.

Perusahaan kripto dapat memiliki keamanan smart contract yang kuat, tetapi tetap menimbulkan risiko jika rantai sertifikatnya dikelola dengan buruk.

Pengelolaan rantai sertifikat yang baik merupakan bagian dari keamanan infrastruktur kripto yang profesional.

Sertifikat Kunci Publik X.509

X.509 adalah format sertifikat yang paling umum digunakan untuk PKI internet dan TLS.

Glosarium sertifikat kunci publik X.509 NIST menjelaskan bahwa sertifikat kunci publik X.509 merupakan sertifikat digital yang berisi kunci publik, nama unik, dan informasi lainnya yang dilindungi oleh tanda tangan digital dari CA penerbit.

Sebagian besar sertifikat HTTPS yang ditemui pengguna kripto merupakan sertifikat X.509.

Sertifikat X.509 digunakan di situs web, jaringan perusahaan, VPN, keamanan email, identitas perangkat, dan banyak sistem antarmesin.

Dalam infrastruktur kripto, sertifikat X.509 dapat mengamankan dasbor, API, endpoint node, layanan penandatanganan, portal kustodian, sistem akses institusional, dan microservice internal.

Hal ini membuat sertifikat X.509 tetap penting meskipun blockchain itu sendiri tidak menggunakan X.509 untuk transaksi wallet biasa.

Lapisan web, aplikasi, dan perusahaan tetap memerlukan identitas berbasis sertifikat.

Sistem kripto sering menggabungkan kendali aset terdesentralisasi dengan keamanan internet tradisional.

Sertifikat kunci publik merupakan salah satu titik temu utama antara kedua dunia tersebut.

Sertifikat Kunci Publik dan Certificate Transparency

Certificate Transparency adalah sistem pencatatan publik yang merekam penerbitan sertifikat.

Penjelasan DigiCert tentang Certificate Transparency menjelaskan bahwa CT merupakan log publik yang hanya dapat ditambahkan, yang mencatat penerbitan sertifikat TLS agar sertifikat palsu atau yang diterbitkan secara keliru dapat ditemukan dan diaudit.

Certificate Transparency membantu pemilik domain mendeteksi sertifikat yang seharusnya tidak diterbitkan untuk domain mereka.

Hal ini berguna bagi perusahaan kripto karena penyerang sering membuat domain yang menyerupai domain asli atau mencoba menyalahgunakan nama merek.

Proyek dapat memantau log CT untuk mencari penerbitan sertifikat mencurigakan yang terkait dengan merek atau domainnya.

Jika sertifikat mencurigakan muncul, proyek dapat menyelidikinya dan memperingatkan pengguna dengan lebih cepat.

CT tidak dapat menghentikan semua phishing karena domain palsu tetap dapat memperoleh sertifikat untuk domainnya sendiri.

Namun, CT meningkatkan visibilitas penerbitan sertifikat dan membuat ekosistem PKI publik lebih mudah diaudit.

Bagi pengguna kripto, CT sebagian besar tidak terlihat.

Bagi tim keamanan kripto, pemantauan CT dapat menjadi alat penting untuk mencegah phishing dan melindungi merek.

Sertifikat Kunci Publik dan Pencabutan

Pencabutan sertifikat adalah proses menandai sertifikat sebagai tidak lagi tepercaya sebelum tanggal kedaluwarsa normalnya.

Sertifikat mungkin perlu dicabut jika kunci privatnya dicuri, pemilik domain berubah, sertifikat diterbitkan karena kesalahan, atau layanan dihentikan.

Pencabutan penting karena sertifikat dapat tetap valid hingga masa berlakunya berakhir, kecuali klien mengetahui bahwa sertifikat tersebut tidak lagi boleh dipercaya.

Sistem pencabutan yang umum mencakup certificate revocation list dan pemeriksaan status sertifikat secara online.

Dalam kripto, pencabutan dapat menjadi penting jika sertifikat situs web, API, portal kustodian, atau sistem internal diretas.

Jika penyerang mencuri kunci privat sertifikat, mereka mungkin mencoba menyamar sebagai layanan atau menyadap komunikasi aman.

Pencabutan dan penggantian dengan cepat dapat mengurangi dampaknya.

Pencabutan tidak sempurna, sehingga organisasi sebaiknya menggabungkannya dengan masa berlaku sertifikat yang singkat, pemantauan, perlindungan kunci, dan respons insiden.

Perusahaan kripto sebaiknya memiliki rencana darurat sertifikat yang jelas sebelum membutuhkannya.

Sertifikat Kunci Publik dan Unduhan Wallet

Unduhan wallet merupakan salah satu area terpenting tempat sertifikat kunci publik melindungi pengguna kripto.

Pengguna yang mengunduh software wallet dari situs web palsu dapat memasang malware yang mencuri seed phrase, mengganti alamat, atau menandatangani transaksi yang tidak diinginkan.

Sertifikat valid untuk domain resmi membantu browser membentuk koneksi aman ke situs resmi tersebut.

Namun, pengguna tetap harus memverifikasi nama domain yang tepat.

Penipu dapat membuat domain yang tampak mirip dan menggunakan sertifikat valid miliknya sendiri.

Ikon gembok di browser bukan berarti situs tersebut adalah penyedia wallet yang asli.

Ikon tersebut hanya berarti koneksi ke domain yang ditampilkan dienkripsi dan sertifikatnya telah divalidasi.

Pengguna sebaiknya mengunduh wallet hanya dari sumber resmi, toko aplikasi terverifikasi, atau repositori tepercaya yang ditautkan dari dokumentasi resmi.

Pengguna sebaiknya menghindari iklan pencarian, balasan media sosial, pesan langsung, dan situs mirror unduhan yang tidak dikenal.

Keamanan sertifikat membantu, tetapi pemeriksaan domain dengan cermat tetap diperlukan.

Sertifikat Kunci Publik dan API Kripto

API kripto sering menggunakan sertifikat kunci publik untuk melindungi komunikasi antara aplikasi, server, node, penyedia data, platform kustodian, dan sistem institusional.

API dapat menyediakan data harga, penyiaran transaksi, status wallet, persetujuan kustodian, pemeriksaan kepatuhan, analitik, atau akses node.

Jika lalu lintas API tidak dilindungi dengan benar, penyerang dapat menyadap, mengubah, atau memalsukan respons.

Sertifikat TLS membantu klien memverifikasi bahwa mereka berkomunikasi dengan endpoint API yang diharapkan.

Dalam sistem dengan keamanan lebih tinggi, organisasi dapat menggunakan mutual TLS.

Mutual TLS berarti klien dan server sama-sama menyajikan sertifikat untuk memverifikasi satu sama lain.

Metode ini berguna untuk kustodian institusional, operasional trading, infrastruktur validator, dan layanan backend yang tidak seharusnya dapat diakses publik.

Dalam situasi tersebut, sertifikat kunci publik menjadi bagian dari pengelolaan identitas mesin.

Tujuannya adalah memastikan sistem yang tepat berkomunikasi dengan sistem yang tepat.

Hal ini dapat mengurangi risiko penyamaran, pengalihan yang salah, dan akses tanpa izin.

Sertifikat Kunci Publik dan Sistem Kustodian

Sistem kustodian kripto memerlukan kontrol identitas yang kuat karena mengelola aset bernilai tinggi dan alur kerja operasional yang sensitif.

Sertifikat kunci publik dapat melindungi dasbor kustodian, portal persetujuan, sistem kebijakan transaksi, layanan internal, dan komunikasi aman antara tim serta mesin.

Penyedia kustodian dapat menggunakan sertifikat untuk mengautentikasi server, mengenkripsi komunikasi, dan membatasi akses antar-layanan internal.

Sertifikat juga dapat mendukung koneksi klien yang aman bagi pengguna institusional.

Hal ini terpisah dari kunci penandatanganan wallet yang benar-benar mengotorisasi transaksi blockchain.

Platform kustodian dapat memiliki sertifikat TLS, sertifikat penandatanganan kode, kunci administratif, kunci penandatanganan wallet, kunci pemulihan, dan API key.

Setiap jenis kunci memiliki fungsi dan profil risiko yang berbeda.

Mencampuradukkan kunci sertifikat dengan kunci pengendali aset dapat menghasilkan desain keamanan yang buruk.

Sistem kustodian yang kuat memisahkan pengelolaan sertifikat dari pengelolaan kunci privat wallet.

Kedua sistem harus dilindungi, dipantau, dan dirotasi sesuai kebijakan yang ketat.

Sertifikat Kunci Publik dan Validator

Validator dan operator node dapat menggunakan sertifikat kunci publik untuk mengamankan infrastruktur operasional.

Protokol konsensus blockchain mungkin menggunakan kunci validatornya sendiri, tetapi infrastruktur di sekitarnya tetap memerlukan komunikasi yang aman.

Validator dapat menjalankan dasbor pemantauan, alat akses jarak jauh, endpoint API, sistem peringatan, load balancer, dan otomatisasi internal.

Sertifikat dapat membantu melindungi layanan tersebut dari penyamaran dan penyadapan.

Sebagai contoh, operator dapat menggunakan sertifikat TLS untuk dasbor privat atau mutual TLS untuk komunikasi layanan internal.

Hal ini tidak menggantikan kunci konsensus atau kunci penarikan validator.

Sertifikat melindungi infrastruktur yang membantu mengoperasikan validator dengan aman.

Sertifikat infrastruktur yang diretas mungkin tidak secara langsung digunakan untuk menandatangani blok, tetapi tetap dapat membantu penyerang menargetkan operasional.

Validator profesional sebaiknya mengelola sertifikat sebagai bagian dari program pengelolaan kunci yang lebih luas.

Keamanan validator yang baik mencakup keamanan kunci blockchain sekaligus keamanan infrastruktur internet.

Sertifikat Kunci Publik dan Smart Contract

Sertifikat kunci publik biasanya tidak diperlukan untuk eksekusi smart contract biasa di blockchain publik.

Smart contract memverifikasi tanda tangan, state, dan aturan sesuai kodenya.

Smart contract biasanya tidak meminta otoritas sertifikat web untuk memastikan apakah alamat wallet valid.

Namun, sertifikat kunci publik tetap dapat berperan dalam aplikasi smart contract.

Pengguna sering mengakses aplikasi terdesentralisasi melalui situs web yang bergantung pada sertifikat HTTPS.

Developer menerbitkan dokumentasi, laporan audit, frontend, dasbor, dan API melalui domain yang diamankan dengan sertifikat.

Oracle dan layanan off-chain dapat menggunakan sertifikat TLS saat berkomunikasi dengan penyedia data atau sistem backend.

Smart contract dapat bersifat terdesentralisasi, sementara antarmuka penggunanya bergantung pada Web PKI.

Karena itu, kompromi frontend dan domain palsu merupakan risiko serius dalam kripto.

Meskipun smart contract sudah benar, situs web palsu atau yang diretas dapat mengelabui pengguna agar menandatangani transaksi berbahaya.

Sertifikat Kunci Publik dan Penandatanganan Kode

Penandatanganan kode berkaitan dengan sertifikat kunci publik karena penerbit software dapat menggunakan sertifikat untuk menandatangani aplikasi, pembaruan, skrip, dan installer.

Sertifikat penandatanganan kode membantu pengguna dan sistem operasi memverifikasi bahwa software berasal dari penerbit yang diklaim dan belum diubah setelah ditandatangani.

Untuk wallet kripto, penandatanganan kode dapat mengurangi risiko software yang telah dimodifikasi.

Namun, penandatanganan kode tidak membuktikan bahwa software bebas dari bug.

Penandatanganan kode hanya membantu memverifikasi identitas penerbit dan integritas paket kode yang ditandatangani.

Penerbit berbahaya tetap dapat menandatangani software berbahaya dengan sertifikatnya sendiri.

Penerbit tepercaya pun dapat tanpa sengaja merilis software yang rentan.

Pengguna sebaiknya menggabungkan pemeriksaan penandatanganan kode dengan sumber unduhan resmi, checksum jika tersedia, rilis publik, audit, dan tinjauan komunitas.

Proyek kripto sebaiknya melindungi kunci privat penandatanganan kode dengan cermat karena kunci tersebut sangat berbahaya jika dicuri.

Sertifikat penandatanganan yang diretas dapat membuat malware tampak lebih tepercaya daripada seharusnya.

Sertifikat Kunci Publik dan Phishing

Sertifikat kunci publik membantu mengurangi risiko phishing, tetapi tidak menghilangkannya.

Situs phishing dapat memperoleh sertifikat valid untuk domain menipu miliknya sendiri.

Sebagai contoh, halaman wallet palsu dapat menggunakan domain yang mirip dengan nama proyek asli.

Browser tetap dapat menampilkan HTTPS karena sertifikatnya valid untuk domain palsu tersebut.

Karena itu, pengguna tidak boleh hanya mengandalkan ikon gembok.

Pengguna sebaiknya memeriksa ejaan, struktur domain, bookmark, kanal sosial resmi, dan dokumentasi terverifikasi.

Pengguna harus ekstra waspada terhadap situs web yang meminta seed phrase, kunci privat, frasa pemulihan, atau tindakan migrasi wallet yang mendesak.

Sertifikat kunci publik biasa tidak dapat melindungi pengguna yang memberikan seed phrase kepada halaman palsu.

Sertifikat melindungi koneksi dan pengaitan identitas, tetapi tidak menilai kejujuran bisnis atau keamanan transaksi.

Pertahanan terhadap phishing memerlukan pemeriksaan sertifikat, pemeriksaan domain, peninjauan prompt wallet, dan kebiasaan pengguna yang baik.

Sertifikat Kunci Publik dan Masa Berlaku

Sertifikat kunci publik memiliki tanggal kedaluwarsa.

Masa kedaluwarsa membatasi berapa lama sertifikat dapat dipercaya tanpa diperbarui.

Jika sertifikat kedaluwarsa, browser dan klien dapat menampilkan peringatan atau memblokir akses.

Bagi layanan kripto, sertifikat yang kedaluwarsa dapat membingungkan pengguna, menyebabkan kegagalan API, masalah koneksi wallet, peringatan pemantauan, atau gangguan layanan.

Pengguna mungkin mengira layanan telah diretas, padahal masalahnya merupakan kegagalan operasional.

Perusahaan kripto sebaiknya mengotomatiskan pembaruan sertifikat jika memungkinkan.

Perusahaan sebaiknya memantau tanggal kedaluwarsa dan menguji proses pembaruan sebelum sertifikat kedaluwarsa.

Perusahaan juga sebaiknya memastikan sertifikat cadangan dan prosedur insiden siap digunakan untuk layanan penting.

Kedaluwarsa sertifikat mungkin terdengar sepele, tetapi dapat menyebabkan gangguan besar ketika pengguna perlu mengakses dana, transaksi, atau persetujuan kustodian.

Pengelolaan sertifikat operasional merupakan bagian dari kepercayaan pengguna.

Sertifikat Kunci Publik dan Kriptografi Pascakuantum

Sertifikat kunci publik mungkin perlu berkembang seiring meningkatnya peran kriptografi pascakuantum.

Banyak sistem sertifikat saat ini menggunakan algoritma kunci publik seperti RSA atau kriptografi kurva eliptik.

Komputer kuantum besar yang toleran terhadap kesalahan dapat mengancam beberapa algoritma ini di masa depan.

Kriptografi pascakuantum berfokus pada algoritma yang dirancang agar tahan terhadap serangan klasik maupun kuantum.

Bagi pengguna kripto, risiko kuantum sering dibahas dalam konteks tanda tangan wallet, tetapi sertifikat juga penting.

Situs web, API, portal kustodian, koneksi institusional, dasbor validator, dan sistem penandatanganan kode semuanya mengandalkan infrastruktur kunci publik.

Transisi pascakuantum memerlukan algoritma sertifikat baru, klien yang diperbarui, ukuran sertifikat yang lebih besar, pengujian kompatibilitas, dan perencanaan migrasi yang cermat.

Perusahaan kripto sebaiknya merancang infrastruktur dengan crypto-agility agar algoritma sertifikat dapat diperbarui ketika standar dan dukungan software sudah matang.

Pengguna tidak perlu panik sekarang, tetapi tim infrastruktur yang serius sebaiknya mempersiapkan perubahan kriptografi jangka panjang.

Keamanan kripto yang siap menghadapi masa depan mencakup perencanaan wallet pascakuantum dan perencanaan sertifikat pascakuantum.

Manfaat Sertifikat Kunci Publik

Manfaat pertama sertifikat kunci publik adalah pengaitan identitas.

Sertifikat menghubungkan kunci publik dengan identitas tertentu dengan cara yang dapat diverifikasi.

Manfaat kedua adalah komunikasi aman.

Sertifikat mendukung TLS, yang membantu mengenkripsi lalu lintas internet dan mengautentikasi server.

Manfaat ketiga adalah kepercayaan yang dapat diskalakan.

Browser dan sistem dapat memercayai banyak layanan melalui rantai sertifikat dan otoritas root tepercaya.

Manfaat keempat adalah integritas software.

Sertifikat penandatanganan kode dapat membantu memverifikasi bahwa software yang diunduh tidak diubah setelah ditandatangani.

Manfaat kelima adalah identitas mesin.

Sertifikat dapat mengidentifikasi server, perangkat, workload, API, dan layanan internal.

Manfaat keenam adalah pencabutan.

Sertifikat yang diretas atau keliru dapat ditandai sebagai tidak tepercaya sebelum masa berlakunya berakhir.

Manfaat ketujuh adalah kemudahan audit.

Log Certificate Transparency memudahkan pemantauan penerbitan sertifikat publik.

Batasan Sertifikat Kunci Publik

Batasan pertama adalah sertifikat bergantung pada penerbit tepercaya.

Jika CA melakukan kesalahan atau diretas, model kepercayaan dapat melemah.

Batasan kedua adalah sertifikat tidak membuktikan bahwa proyek kripto itu sah.

Sertifikat hanya membantu membuktikan bahwa kunci publik terhubung dengan identitas atau domain yang tercantum.

Batasan ketiga adalah phishing.

Domain palsu tetap dapat memiliki sertifikat yang valid untuk domainnya sendiri.

Batasan keempat adalah kompleksitas operasional.

Sertifikat harus diterbitkan, diperbarui, dipantau, dicabut, dan dilindungi dengan benar.

Batasan kelima adalah risiko kunci privat.

Jika kunci privat yang terkait dengan sertifikat dicuri, penyerang dapat menyamar sebagai layanan sampai sertifikat diganti dan dicabut.

Batasan keenam adalah kesalahpahaman pengguna.

Banyak pengguna mengira ikon gembok berarti situs web aman, padahal ikon tersebut mungkin hanya berarti koneksi ke domain itu dienkripsi.

Batasan ketujuh adalah transisi kriptografi di masa depan.

Sistem sertifikat harus beradaptasi seiring usangnya algoritma atau munculnya ancaman baru.

Cara Pengguna Kripto Memeriksa Sertifikat

Pengguna kripto sebaiknya terlebih dahulu memeriksa nama domain yang tepat sebelum memercayai halaman yang diamankan dengan sertifikat.

Pengguna harus waspada terhadap domain yang menyerupai domain asli, kata tambahan, huruf yang ditukar, subdomain yang aneh, dan hasil pencarian bersponsor.

Pengguna sebaiknya menganggap peringatan sertifikat browser sebagai peringatan serius, terutama pada halaman wallet, kustodian, atau transaksi.

Pengguna tidak boleh memasukkan seed phrase, kunci privat, atau kata pemulihan ke situs web hanya karena situs tersebut menggunakan HTTPS.

Pengguna sebaiknya mem-bookmark situs web kripto resmi setelah memverifikasinya melalui dokumentasi resmi.

Pengguna sebaiknya mengunduh aplikasi wallet hanya dari sumber resmi dan toko aplikasi terverifikasi.

Pengguna perlu mengingat bahwa sertifikat melindungi komunikasi, tetapi tidak membuktikan kebenaran klaim investasi.

Pengguna sebaiknya memverifikasi alamat smart contract, kontrak token, dan prompt wallet secara terpisah dari sertifikat situs web.

Sertifikat dapat membantu membuktikan koneksi ke situs, tetapi tidak membuktikan bahwa token aman atau transaksi tidak berbahaya.

Perilaku kripto yang aman memerlukan kesadaran terhadap keamanan web sekaligus transaksi blockchain.

Praktik Terbaik bagi Proyek Kripto

Proyek kripto sebaiknya mencatat semua sertifikat publik dan internal.

Proyek sebaiknya mengotomatiskan pembaruan sertifikat dan memantau tanggal kedaluwarsanya.

Proyek sebaiknya melindungi kunci privat sertifikat dengan kontrol akses yang kuat dan penyimpanan yang aman.

Proyek sebaiknya menggunakan pemantauan Certificate Transparency untuk mendeteksi penerbitan sertifikat mencurigakan bagi domain terkait.

Proyek sebaiknya segera mencabut dan mengganti sertifikat setelah menduga adanya kompromi kunci.

Proyek sebaiknya menggunakan domain resmi yang jelas dan menghindari struktur domain yang membingungkan.

Proyek sebaiknya mengedukasi pengguna bahwa HTTPS diperlukan, tetapi belum cukup untuk membuktikan keamanan.

Proyek sebaiknya memisahkan kunci sertifikat dari kunci penandatanganan wallet, kunci treasury, kunci validator, dan kunci penandatanganan kode.

Proyek sebaiknya mempertimbangkan mutual TLS untuk API sensitif dan sistem institusional.

Proyek sebaiknya merencanakan transisi sertifikat pascakuantum seiring matangnya standar, browser, dan infrastruktur.

Kesalahpahaman Umum tentang Sertifikat Kunci Publik

Salah satu kesalahpahaman umum adalah sertifikat kunci publik sama dengan kunci publik wallet kripto.

Kunci publik wallet membantu memverifikasi tanda tangan blockchain, sedangkan sertifikat menghubungkan kunci publik dengan identitas melalui penerbit tepercaya.

Kesalahpahaman lainnya adalah sertifikat valid membuktikan bahwa situs web dapat dipercaya.

Sertifikat valid hanya membantu membuktikan bahwa koneksi terenkripsi dan sertifikat diterbitkan untuk domain yang ditampilkan.

Kesalahpahaman lainnya adalah ikon gembok browser berarti prompt wallet aman.

Situs web yang aman tetap dapat meminta pengguna menandatangani transaksi berbahaya.

Kesalahpahaman lainnya adalah sertifikat kunci publik secara langsung melindungi seed phrase.

Sertifikat melindungi komunikasi, sedangkan keamanan seed phrase bergantung pada perilaku pengguna, desain wallet, dan praktik penyimpanan.

Kesalahpahaman lainnya adalah sertifikat hanya berkaitan dengan web.

Sertifikat juga penting untuk API, perangkat, validator, penandatanganan kode, sistem kustodian, akses perusahaan, dan infrastruktur kripto internal.

FAQ

Apa arti sertifikat kunci publik?

Sertifikat kunci publik adalah dokumen digital bertanda tangan yang menghubungkan kunci publik dengan identitas seperti situs web, organisasi, perangkat, pengguna, atau layanan.

Mengapa sertifikat kunci publik penting dalam kripto?

Sertifikat ini penting karena pengguna dan perusahaan kripto mengandalkan situs web yang aman, API, unduhan wallet, portal kustodian, alat validator, dan sistem perusahaan.

Apakah sertifikat kunci publik sama dengan kunci publik wallet?

Tidak. Kunci publik wallet membantu memverifikasi tanda tangan blockchain, sedangkan sertifikat kunci publik menghubungkan kunci publik dengan identitas melalui penerbit tepercaya.

Apa saja isi sertifikat kunci publik?

Sertifikat biasanya mencakup identitas subject, kunci publik, penerbit, nomor seri, masa berlaku, informasi penggunaan kunci, dan tanda tangan digital penerbit.

Apa itu sertifikat X.509?

Sertifikat X.509 adalah format sertifikat kunci publik standar yang umum digunakan untuk TLS, HTTPS, dan PKI internet.

Apa itu certificate authority?

Certificate authority adalah entitas tepercaya yang memvalidasi permintaan sertifikat dan menandatangani sertifikat yang menghubungkan identitas dengan kunci publik.

Apakah HTTPS berarti situs web kripto aman?

Tidak. HTTPS berarti koneksi ke domain yang ditampilkan dienkripsi dan sertifikatnya telah divalidasi, tetapi tidak membuktikan bahwa proyek, token, atau transaksi tersebut aman.

Bisakah situs phishing memiliki sertifikat kunci publik?

Ya. Situs phishing dapat memiliki sertifikat valid untuk domain menipunya sendiri, sehingga pengguna harus memverifikasi nama domain dengan saksama.

Apa itu pencabutan sertifikat?

Pencabutan sertifikat adalah proses menandai sertifikat sebagai tidak tepercaya sebelum tanggal kedaluwarsa normalnya.

Apa itu Certificate Transparency?

Certificate Transparency adalah sistem pencatatan publik yang merekam penerbitan sertifikat TLS agar sertifikat yang mencurigakan atau diterbitkan secara keliru lebih mudah ditemukan.

Apakah blockchain publik memerlukan sertifikat kunci publik untuk transaksi wallet?

Sebagian besar blockchain publik tidak memerlukan sertifikat kunci publik untuk transaksi wallet biasa karena tanda tangan diverifikasi secara matematis melalui kunci wallet.

Apa kesalahan terbesar yang dilakukan pengguna terkait sertifikat?

Kesalahan terbesarnya adalah mengira ikon gembok atau sertifikat valid membuktikan bahwa situs web resmi, padahal pengguna tetap perlu memverifikasi domain dan permintaan transaksi.

Kesimpulan

Sertifikat kunci publik adalah alat kepercayaan digital yang menghubungkan kunci publik dengan identitas melalui sertifikat bertanda tangan.

Sertifikat ini merupakan salah satu komponen utama Public Key Infrastructure dan komunikasi internet yang aman.

Dalam kripto, sertifikat kunci publik biasanya tidak mengendalikan aset blockchain secara langsung.

Sebaliknya, sertifikat ini mengamankan situs web, API, unduhan wallet, portal kustodian, dasbor validator, sistem perusahaan, dan saluran software yang diandalkan pengguna dalam aktivitas blockchain.

Perbedaan antara kunci publik wallet dan sertifikat kunci publik sangat penting.

Kunci publik wallet membantu memverifikasi otorisasi on-chain, sedangkan sertifikat membantu memverifikasi identitas dan mengamankan komunikasi di lapisan internet dan infrastruktur.

Sertifikat kunci publik memberikan manfaat besar, seperti HTTPS, rantai sertifikat, pengaitan identitas, pencabutan, penandatanganan kode, identitas mesin, dan Certificate Transparency.

Sertifikat ini juga memiliki batasan karena domain phishing tetap dapat menggunakan sertifikat, certificate authority dapat melakukan kesalahan, kunci privat dapat diretas, dan pengguna dapat salah memahami indikator keamanan browser.

Cara paling sederhana memahami sertifikat kunci publik dalam kripto adalah: sertifikat ini membantu membuktikan layanan atau sistem online mana yang memiliki suatu kunci publik sebelum pengguna memercayai layanan tersebut untuk aktivitas terkait kripto.

Keamanan kripto yang kuat memerlukan kunci blockchain yang aman sekaligus komunikasi tepercaya yang didukung sertifikat.