Cara Kerja dan Penerapan SSL pada Website

Hai Sahabat SSL Indonesia. Kali Ini team SSL Indonesia akan membahas secara detail segala sesuatu yang wajib Anda ketahui tentang sertifikat SSL. Berbicara tentang sertifikat SSL sebenarnya berbicara tentang sertifikat digital. Sertifikat SSL ini merupakan komponen penting yang harus terdapat pada website baik itu website administrasi perusahaan, ecommerce maupun blog. Sertifikat SSL merupakan tanda legal yang mengindikasikan bahwa “Website Anda Aman”. Aman untuk dikunjungi, aman untuk melakukan transaksi, dan aman untuk aktivitas pribadi (memberikan data pribadi). Mari kita bahas secara berkala agar lebih mudah dan sederhana.

1. Sejarah Perkembangan Sertifikat SSL

• Sertifikat SSL 1, Sertifikat SSL 2, dan Sertifikat SSL 3

Pengembangan sertifikat SSL dilakukan karena perkembangan penggunaan internet menjadi kebutuhan umum. Sertifikat SSL digunakan untuk memudahkan transmisi data tanpa takut diambil oleh pihak ketiga atau disebut sebagai keamanan transportasi browser web. Pada tahun 1994 Netscape memperkenalkan sertifikat memperkenalkan adanya sertifikat SSL yang dapat digunakan untuk mengamankan transportasi data saat menggunakan internet. Netscape mengembangkan SSL 1.0, namun tidak pernah dirilis dikarenakan banyaknya kelemahan keamanan. Pada tahun 1995, Netscape merilis SSL 2.0 secara resmi dirilis. Sertifikat SSL 2.0 dirancang untuk mendukung website sebagai platform perdagangan.

Tahun 2011,  IETF (Internet Engineering Task Force) menyatakan bahwa SSL 2.0 sudah using dan kurang aman digunakan karena menggunakan kunci yang sama untuk integritas dan enkripsi pesan. Pada tahun 1996 Netscape mengembangkan SSL 3.0 dan digunakan hingga pertengan tahun 2014, saat SSL ini dirilis perkembangan website semakin pesat. Namun IETF kembali menyatakan bahwa SSL 3.0 tidak layak digunakan karena tidak dapat menggunakan fitur TLS seperti AEAD, ECDH, ECDSA dan DTLS. IETF menyatakan bahwa TLS lebih aman dibandingkan dengan SSL versi manapun.

• TLS 1.1, TLS 1.2, dan TLS 1.3

TLS (Transport Layer Security) pertama kali dikenalkan pada tahun 1999 sebagai peningkatan SSL 3.0 karena kelemahan POODLE ( Padding Oracle On Downgraded Legacy Encryption) dimana SSL 3.0 mengabaikan perbedaan pada padding bytes saat mode cipher block chaining. TLS 1.1 baru dirilis pada tahun 2006. Perbedaan antara TLS 1.0 dan SSL 3.0 sangat signifikan terkhusus pada perlindungan terhadap Cipher Block Chaining (CBC). Tahun 2008 TLS diperbaharui menjadi TLS 1.2. TLS 1.2 ditambahkan fitur PRFs (Pseudorandom Fuctions) khusus Cipher Suite, menambahkan AES Cipher suites, menghapus IDEA dan DES. Pada tahun 2018 TLS 1.3 resmi dirilis dan mengalami perubahan protocol seperti penghapusan SHA 1, MD5, RC4, DES dan 3DES. Selain itu pada TLS 1.3 dilakukan perubahan enkripsi informasi dengan tanda tangan baru

• Perbedaan SSL dan TLS

Antara SSL dan TLS tidak terdapat perbedaan yang sangat signifikan, keduanya diciptakan untuk melindungi transportasi data yang dilakukan saat akses internet. SSL dan TLS melibatkan 3 langkah dasar untuk melindungi data yang ingin dikirimkan yakni penerimaan data kiriman, public key, encryption based key, certificate based authentication dan enkripsi lalu lintas symmetric cipher based. Hanya saja TLS merupakan kelanjutan keamanan SSL. Anda dapat membaca Lapisan HTTPS pada blog sebelumnya dimana proses pengiriman data pada http dan https yang mengikutsertakan pada lapisan transport.

2. Cara Kerja Sertifikat SSL

Secara sederhana sertifikat SSL mengamankan proses transportasi pengiriman data antara web server dengan web browser (klien) dan pertukaran data antara server dengan server. Saat terjadi pertukaran data, SSL menggunakan algoritma yang terenkripsi. Cara kerja SSL berkaitan dengan public key dan private key sebagai enkripsi dan dekripsi proses transportasi data.

Berikut ilustrasi cara kerja sertifikat SSL:

Secara garis besar hanya ada tiga 3 tahapan penting yakni Handshake Protocol, Record Protocol dan Alert Protocol.

• Handshake Protocol (Protokol Jabat Tangan)

Pada tahap Handshake ini terjadi kegiatan negosiasi algoritma enkripsi (chipper) serta otentikasi server. Sertifikat SSL akan menggunakan kriptografi simetris yang akan melakukan negosiasi kunci untuk mengenkripsi data selama kegiatan transmisi data. Tahap ini dapat dikatakan sebagai tahap pembangunan chanel antara client dan server. Client akan membentuk koneksi awal ke server dengan melakukan akses website Anda dan meminta koneksi sertifikat SSL.

• Record Protocol (Protokol Catatan)

Pada tahap Record Protocol ini terjadi kegiatan enkripsi semua transmisi data. Protokol ini menyediakan rekaman message digest, digital signature, versi, jenis dan panjang data yang dikirimkan. Server akan melakukan pengecekan DNS dan memastikan konfigurasi. Jika server Anda/ yang dihubungi terkonfigurasi dengan benar maka server akan memberikan public key pada client. Disini terjadi proses validasi antara client dan server.

• Alert Protocol (Protokol Tanda)

Pada tahap Alert Protocol sertifikat SSL akan melakukan filter antara data yang dikirimkan oleh client dengan server. Protokol tanda ini akan menangani paket data atau informasi yang terlihat “mencurigakan” yang dikirimkan oleh client. Saat proses pertukaran data terdapat kesalahan atau error maka server akan mengirimkan peringatan error. Ada 3 macam tanda yang akan disampaikan yakni peringatan, kritis dan fatal. Apabila pesan yang diterima berupa peringatan atau kritis, maka sesi dapat dibatasi sesuai kebutuhan, namun jika pesan yang diterima berupa fatal maka sesia akan diberhentikan. Disinilah website Anda dapat diakses tanpa adanya warning “tidak aman” dimana setiap aktivitas transmisi data sudah terenkrip dan aman untuk dilanjutkan

3. Penerapan Sertifikat SSL pada Website

Penggunaan sertifikat SSL juga tidak sembarangan. Pemilihan sertifikat SSL membutuhkan analisa kecil dari segi budget, kebutuhan website serta kenyamanan. Jenis sertifikat SSL menjadi hal penting yang harus dipertimbangkan sebelum melakukan pembelian. Jenis sertifikat SSL dibagi menjadi dua bagian besar, bersadarkan proses validasi dan jumlah domain yang ingin dilindungi dan masing-masing jenis memiliki 3 bagian.

• Jenis Sertifikat Berdasarkan proses Validasi

Berdasarkan proses validasi, sertifikat SSL dibagi menjadi 3. Secara garis besar, jenis sertifikat ini dibagi sebagai bahan pertimbangan pembelian sertifikat berdasarkan kebutuhan website atau penerapan sertifikat SSL untuk website. Jadi pastikan Anda paham penggunaan website Anda sebelum memutuskan untuk memilih salah satu jenis sertifikat berdasarkan proses validasi. Karena hal tersebut berkaitan dengan tingkat enkripsi serta otentikasi website.

• • Domain Validation (DV)

Sertifikat SSL jenis DV ini merupakan jenis sertifikat SSL dengan tingkat enkripsi yang sangat rendah dan menjadi jenis sertifikat SSL yang dasar. Perlindungan serta fitur yang ditawarkan juga sangat sedikit. Sertifikat ini biasanya digunakan pada website yang tidak membutuhkan proses transmisi data sensitive, atau hanya digunakan sebagai website informasi contohnya blog, Jenis sertifikat DV ini merupakan sertifikat dengan proses validasi yang sangat mudah, hanya membutuhkan email domain serta CSR Anda dapat membeli sertifikat jenis DV ini. Jika Anda masih ragu membeli sertifikat SSL dengan budget tinggi, atau ingin mencoba fitur sertifikat SSL berbayar, jenis DV ini menjadi solusi baik bagi Anda.

• •  Organization Validation (OV)

Sertifikat jenis OV ini merupakan jenis sertifikat yang lebih aman dibandingkan dengan sertifikat jenis DV. Sertifikat jenis OV ini sangat cocok digunakan pada website yang berurusan dengan publik seperti pemerintahan, melakukan transmisi data sensitive seperti pertukaran password, memasukkan username. Proses penerbitan sertifikat jenis OV memiliki proses yang lebih panjang dibandingkan dengan DV. Membutuhkan data perusahaan seperti TDP, SIUP, akta perusahaan, dan lain sebagainya. Perlu diketahui bahwa syarat yang diberikan harus terpenuhi hingga dapat diterbitkan. Hal tersebut dilakukan karena pihak penerbit sertifikat (CA) ingin memastikan bahwa website yang akan digunakan SSL merupakan website dengan tingkat kepercayaan perusahaan yang baik.

• • Extended Validation (EV)

Dari kedua jenis sertifikat SSL tersebut EV merupakan jenis dengan tingkat enkripsi yang sangat tinggi up to 2048 bit. Jenis sertifikat EV ini sangat direkomendasikan pada website yang melakukan transmisi data sensitive, melakukan pembayaran online, serta website yang memerlukan tingkat kredibilitas kepercayaan lebih. Adanya fitur green address bar dengan nama perusahaan menjadikan website lebih berkelas dan terpecaya. Namun untuk melakukan penerbitan sertifikat ini ada beberapa syarat yang harus dipenuhi selain data perusahaan yakni perusahaan harus berdiri minimal 2 tahun.

Secara lengkap dapat Anda baca pada blog SSL Indonesia Extended Validation SSL Certificate

• Jenis Sertifikat Berdasarkan Jumlah Domain yang ingin Dilindungi

Berdasarkan jumlah domain yang ingin dilindungi, jenis sertifikat SSL dibagi menjadi 3. Ketiga jenis sertifikat ini didasarkan pada domain serta sub domain yang ingin Anda lindungi. Jadi pembagian ini menjadi bahan pertimbangan untuk menyeimbangkan antara kebutuhan, budget serta kenyamanan. Sebelum Anda memutuskan untuk membeli salah satu jenis sertifikat SSL ini, pastikan Anda sudah paham berapa jumlah domain serta sub domain website yang akan Anda lindungi dengan sertifikat SSL.

• • Sertifikat SSL Single Domain

Jenis sertifikat SSL single domain ini hanya melindungi satu nama domain utama atau satu sub domain. Dengan kata lain bahwa Anda membeli jenis sertifikat ini Anda harus memilih salah satu antara domain atau sub domain yang ingin Anda lindungi. Sebenarnya jenis sertifikat ini memberikan 2 hostname untuk dilindungi, namun dibagi untuk naked/ bare domain alamat website tanpa www dan versi website dengan www.

Contoh: Anda membeli sertifikat SSL dari SSL Indonesia untuk domain sslindonesia.com maka website sslindonesia.com (bare domain) dan www.sslindonesia.com akan terjamin keamanannya, namun sub domain yang ada pada sslindonesia.com seperti blog.sslindonesia.com tidak akan terlindungi. Atau jika Anda ingin melindungi sub domain blog.sslindonesia.com maka domain utama sslindonesia.com tidak akan ikut terlindungi. Beli jenis sertifikat SSL Single domain dengan harga murah hanya di SSL Indonesia.

• • Sertifikat SSL Wildcard

Jenis sertifikat SSL wildcard ini sangat unik dan akan menjadi salah satu jenis yang Anda sukai. Tidak hanya memberikan fitur keamanan, namun jenis ini menjadi salah satu solusi baik untuk menurunkan biaya administrasi pembelian sertifikat SSL pada website Anda. Jenis ini memberikan keefektifan penggunaan sertifikat SSL, karena satu sertifikat SSL wildcard Anda dapat melindungi satu domain utama Anda dan UNLIMITED Sub domain. Sertifikat jenis ini sangat cocok bagi Anda yang memiliki banyak sub domain utama pada website.

Contoh: Anda membeli satu jenis sertifikat SSL Wildcard dari SSL Indonesia untuk domain utama sslindonesia.com, maka seluruh sub domain yang ada pada domain sslindonesia.com juga ikut terlindungi baik itu blog.sslindonesia.com, promo.sslindonesia.com dan lain sebagainya. Konsep dari wildcard yakni melindungi .sslindonesia.com dan unlimited *.sslindonesia.com (* merupakan sub domain)

Anda dapat melihat review perbandingan sertifikat SSL wildcard sebagai bahan pertimbangan sebelum Anda melakukan pembelian sertifikat.

• • Sertifikat SSL Multi Domain

Jenis sertifikat SSL Multi domain ini juga termasuk unik dan sangat banyak di cari. Selain karena melindungi multi domain, sertifikat jenis ini juga menjadi solusi untuk efisiensi biaya pengeluaran. Berbeda dengan sertifikat jenis wildcard yang melindungi unlimited sub domain, jenis ini hanya melindungi domain utama. Namun perlu Anda ketahui, bukan unlimited domain utama karena beberapa brand sertifikat SSL memberikan batas domain yang dapat dilindungi dengan satu sertifikat ini, ada yang memberikan 3 domain dan 5 domain seperti GeoTrust TrueBusinessID Multi Domain memberikan 5 slot jumlah domain yang dilindungi sedangkan Sectigo Multi Domain hanya 3 domain.  Jadi Pastikan Anda mengetahui pemberian slot jumlah domain yang akan dilindungi dari brand sertifikat SSL yang akan Anda beli, jika tidak mengetahuinya Anda dapat bertanya pada team SSL Indonesia lewat live chat atau email : sales@sslindonesia.com

Satu keuntungan yang baik adalah, jika Anda tidak memiliki banyak domain yang ingin dilindungi maka slot perlindungan domain ini dapat Anda gunakan untuk melindungi salah satu sub domain Anda.

Contoh : Anda membeli Sertifikat SSL jenis Multi Domain dari SSL Indonesia karena memiliki 3 domain utama yang ingin dilindungi yakni sslindonesia.com, domainanda1.com dan domainanda2.com. Maka dengan satu sertifikat multi domain Anda dapat melindungi 3 domain utama Anda sslindonesia.com, domainanda1.com dan domainanda2.com. Jika Anda membeli GeoTrust True BusinessID Multi Domain yang memberikan 5 slot, maka 2 sisa slot keamanan dapat Anda gunakan untuk melindungi sub domain Anda.

4. Algoritma Sertifikat SSL

Perlindungan sertifikat SSL berbicara tentang enkripsi dan otentikasi. Kedua hal tersebut tidak boleh lepas dari sistem keamanan kriptografi sertifikat SSL. Keamanan kriptografi berkaitan dengan proses enkripsi yag terjadi pada saat proses transmisi data pada client dan server. Pada sertifikat SSL keamanan kriptografi disebut sebagai SHA (Secure Hashing Algorithm) dimana fungsinya sebagai pengacak data yang akan dikirimkan oleh client dan diterima oleh server atau dua arah mengirim dan menerima selama masa transmisi data pada internet. Hal tersebut menjamin aktivitas transmisi terhindar dari kejahatan phising atau pihak ketiga yang tidak bertanggung jawab.

Algoritma merupakan fungsi hashing yang melakukan pengacakan atau pengcodean data. Pada Algoritma kita akan dikenalkan dengan fungsi hash yang merupakan fitur matematika untuk melakukan pengcodean berupa angka dan dirubah menjadi bentuk tetap. Fungsi hash ini bekerja secara satu arah, hanya melakukan enkripsi tanpa melakukan dekripsi. Proses dekripsi dan enkripsi ini berkaitan juga dengan public key dan private key pada sertifikat SSL. Fungsi hash pada setiap brand sertifikat SSL berbeda-beda, tergantung pada jenis SHA yang digunakan dan ditawarkan oleh sertifikat. Hash akan mempengaruhi panjangnya bit tanda tangan. Semakin tinggi hash, semakin panjang bit tanda tangan sehingga data yang dikirimkan semakin acak dan semakin sulit untuk dicuri.

Ada 2 jenis SHA ataupun algoritma sertifikat SSL yang sering digunakan yakni SHA 1, SHA 2. SHA 1 dan SHA 2 ini hanya fungsi hash yang berbeda versi. Pastinya SHA 2 lebih unggul dibandingkan dengan SHA 1. Keduanya menawarkan panjang bit yang berbeda, SHA 1 hanya memberikan panjang bit 160 bit sedangkan SHA 2 hingga 256 bit. Ada beberapa pakar menyebut SHA 2 sebagai SHA 256, dimana pembacaan berdasarkan jabaran panjang bit yang diberikan SHA. SHA ini akan mempengaruhi tingkat konfigurasi sertifikat SSL website Anda, dan menentukan seberapa aman nya website Anda.  Namun saat ini, tidak ada sertifikat SSL yang menggunakan SHA 1, karena Certificate Authority (CA) sudah mewajibkan menggunakan SHA 2 sebagai salah satu syarat yang harus dipenuhi.

5. Media Browser Kompatible pada Sertifikat SSL

Sertifikat SSL berbayar yang sudah Anda aktifkan pada situs website Anda akan compatible pada semua browser. Seperti pengakuan dari semua penyedia sertifikat SSL Certificate Authority (CA) menyatakan bahwa SSL compatible pada 99,9% browser. Namun jika Anda menggunakan sertifikat SSL gratis, hal itu tidak dijamin akan compatible pada semua browser, dan akan memunculkan warning “tidak aman” karena dianggap sebagai self signed certificate. Beli sertifikat SSL murah dan kompatible hanya di SSL Indonesia.

SSL Indonesia menyedikan banyak brand sertifikat SSL dengan berbagai jenis sertifikat SSL Symantec, Digicert, GeoTrust, Sectigo, RapidSSL, dan Thawte. Tidak perlu khawatir, SSL Indonesia juga menyediakan produk dengan harga di bawah satu juta. Yakin Aman? SSL In Aja Dulu!