Apa itu sertifikat CA, dan bagaimana cara kerjanya?

Baru-baru ini, pemerintah Kazakhstan sementara memaksa warga untuk menginstal Certificate Authority (CA) yang memungkinkan negara untuk mendekripsi semua konten dan komunikasi dalam serangan manusia-di-tengah.

Sertifikat itu bahkan memungkinkan pemerintah untuk mengubah data dan menipu pengguna agar menjalankan dan mengunduh virus dan spyware. Inisiatif oleh pemerintah Kazakhstan mungkin gagal untuk saat ini, tetapi ancamannya nyata.

Otoritas sertifikat menjelaskan

Otoritas sertifikat memverifikasi bahwa situs web adalah apa yang dikatakannya saat mengenkripsi data antara server dan Anda. CA akan menandatangani sertifikat enkripsi situs web, yang disajikan kepada pengguna setiap kali situs web dibuka.

Browser dan vendor sistem operasi tidak mungkin memvalidasi kepemilikan semua situs web sendiri, sehingga mereka mendelegasikannya ke sejumlah CA tepercaya. Semua CA harus memiliki proses dan pemeriksaan untuk memastikan sertifikat hanya diberikan kepada pemilik domain yang sah.

Misalnya, ketika mengunjungi situs web bank Anda, Anda ingin memastikan bahwa Anda benar-benar menggunakan situs web bank Anda dan bukan penipu. Jadi browser Anda akan memeriksa bahwa sertifikat yang disajikan oleh situs web dikeluarkan oleh CA tepercaya, sehingga membentuk “rantai kepercayaan” yang memberikan bukti bahwa Anda benar-benar menggunakan situs yang benar.

Di masa lalu, ada beberapa kasus di mana browser dan vendor OS telah mengambil hak menjauh dari CA karena mereka terbukti tidak kompeten atau jahat dalam cara mereka mengeluarkan sertifikat. Jika otoritas sertifikat menandatangani permintaan untuk orang lain, seperti negara atau peretas, sistem tidak berfungsi.

Komputer Anda dilengkapi dengan seperangkat otoritas sertifikat yang sudah diinstal sebelumnya, sementara Firefox menggunakan daftar sendiri, diperiksa oleh para ahlinya sendiri. Kazakhstan telah berusaha memasukkan otoritas sertifikat jahatnya ke dalam Firefox, tetapi Mozilla dengan sopan menolaknya. CA tidak termasuk dalam browser utama lainnya, tetapi dimungkinkan untuk menambahkan CA apa pun secara manual. Pengembang peramban menyadari celah ini, dengan beberapa yang mengusulkan untuk secara permanen memblokir CA jahat dan membuat tidak mungkin bagi pengguna untuk menginstalnya atau melewati batasan.

Otoritas sertifikat palsu

Dengan menciptakan otoritas sertifikatnya sendiri dan memberi dirinya kemampuan untuk meniru situs apa pun yang diinginkannya, pemerintah Kazakhstani berusaha untuk menghindari rantai kepercayaan yang penting ini..

Selama ini mengontrol aliran data, ia mampu menghadirkan server apa pun sebagai “sah” dan menggunakannya untuk mengecam kredensial Anda. Misalnya, sertifikat twitter.com yang valid membuktikan bahwa Anda benar-benar terhubung ke Twitter dan aman untuk memasukkan nama pengguna dan kata sandi Anda. Namun, jika komputer Anda memercayai CA palsu, orang lain mungkin mengarahkan koneksi Anda ke server mereka sendiri saat menyamar sebagai Twitter.

Apa itu sertifikat HTTPS?

Hypertext Transfer Protocol Secure (HTTPS) adalah protokol yang digunakan untuk mengenkripsi situs web. Saat Anda menavigasi ke situs web yang mendukung HTTPS (sekarang sebagian besar semua situs), saluran terenkripsi disiapkan antara perangkat Anda dan server situs web, memastikan tidak ada di antara keduanya yang dapat membaca kata sandi atau informasi sensitif Anda. Tindakan keamanan ini sering diindikasikan dengan kunci di bilah alamat browser.

Untuk memverifikasi bahwa komputer Anda terhubung ke situs web bank nyata dan bukan tiruan, sertifikat HTTPS ditandatangani oleh CA. Ketika Anda menavigasi ke situs, server akan menyajikan tanda tangan elektronik yang menunjukkan bahwa otoritas telah memverifikasi bahwa itu milik situs web yang Anda coba kunjungi.

Karena HTTPS sangat andal ketika tidak diubversi, sebagian besar situs web dan aplikasi hanya mengandalkan keamanan yang disediakan oleh HTTPS untuk menjaga keamanan data saat transit.

Enkripsi berfungsi

Enkripsi sesederhana HTTPS dapat memiliki efek mendalam pada keamanan dan privasi online, itulah sebabnya rezim otoriter cenderung untuk menyerangnya..

Terutama di negara-negara dengan sistem hukum yang tidak dapat diandalkan dan kurangnya akuntabilitas terhadap kekuasaan, kita tidak dapat mempercayai pemerintah dengan akses ke data pribadi kita. Seperti contoh yang tak terhitung jumlahnya telah menunjukkan, informasi pribadi (seperti informasi kartu kredit dan pesan pribadi) akan mengalir ke tangan departemen regional, kemudian perwira perorangan dan akhirnya menjadi kejahatan terorganisir, di mana itu mengancam stabilitas masyarakat.