Certificate Transparency: Cara Mendeteksi Sertifikat SSL yang Mencurigakan

Fungsi Certificate Transparency dalam Keamanan Website

Certificate Transparency membantu pemilik domain mengawasi penerbitan sertifikat SSL/TLS dan mendeteksi aktivitas yang perlu diperiksa. Berikut beberapa fungsi utamanya.

• Mendeteksi Sertifikat yang Tidak Dikenal
  CT membantu menemukan sertifikat baru untuk domain yang dipantau. Jika sertifikat diterbitkan tanpa sepengetahuan pemilik domain, penerbitannya perlu diperiksa lebih lanjut.

• Meningkatkan Transparansi Certificate Authority
  CT memungkinkan penerbitan sertifikat ditinjau secara publik sehingga membantu meningkatkan akuntabilitas Certificate Authority (CA) dan mendeteksi kemungkinan kesalahan penerbitan.

• Mengidentifikasi Risiko Penyalahgunaan Domain
  Sertifikat untuk subdomain yang tidak dikenal dapat menjadi petunjuk awal adanya risiko keamanan. Informasi ini membantu tim menemukan aset digital yang belum tercatat dan memeriksa potensi penyalahgunaan.

• Mendukung Pemantauan Keamanan Berkelanjutan
  Pemantauan CT dapat memberikan notifikasi ketika sertifikat baru ditemukan. Dengan begitu, tim keamanan dapat segera memverifikasi penerbitan yang tidak dikenal dan melakukan investigasi jika diperlukan.

1. Sertifikat Diajukan dan Disiapkan oleh CA

Ketika pemilik domain mengajukan sertifikat SSL/TLS, CA melakukan validasi sesuai ketentuan yang berlaku. Sertifikat atau precertificate kemudian dapat dikirim ke CT log untuk dicatat sebelum sertifikat final diterbitkan.

2. Sertifikat Dicatat dalam CT Log

CT log menyimpan informasi sertifikat dan dirancang agar catatan yang sudah masuk tidak dapat diubah secara diam-diam. Mekanisme ini menggunakan struktur data Merkle Tree untuk membantu memverifikasi integritas catatan. Setelah pengajuan diterima, CT log dapat memberikan bukti pencatatan berupa Signed Certificate Timestamp (SCT).

3. SCT Digunakan sebagai Bukti Pencatatan

Signed Certificate Timestamp (SCT) merupakan bukti digital bahwa CT log berkomitmen mencatat sertifikat dalam batas waktu yang ditentukan. SCT bukan jaminan bahwa sertifikat tersebut aman, tetapi menjadi bagian dari mekanisme untuk memeriksa kepatuhan terhadap kebijakan Certificate Transparency.

4. Sertifikat Dipantau dan Diverifikasi

Sistem pemantauan dapat mencari sertifikat baru yang mencantumkan domain tertentu, termasuk subdomainnya. Jika ditemukan sertifikat yang tidak dikenal, pemilik domain perlu memeriksa penerbit, tanggal penerbitan, dan tujuan penggunaannya. Apabila terdapat indikasi penerbitan yang tidak sah, pemilik domain dapat menghubungi CA untuk meminta investigasi dan mempertimbangkan pencabutan sertifikat jika diperlukan.

Secara keseluruhan, Certificate Transparency membantu meningkatkan visibilitas penerbitan sertifikat SSL/TLS. Namun, setiap temuan tetap perlu diverifikasi karena sertifikat yang tidak dikenal belum tentu menandakan ancaman keamanan.

Manfaat Certificate Transparency untuk Pemilik Website

Certificate Transparency membantu pemilik website memantau penerbitan sertifikat SSL/TLS dan mengidentifikasi potensi risiko keamanan domain. Berikut beberapa manfaat utamanya.

• Mengetahui Penerbitan Sertifikat Baru
  Pemantauan CT membantu pemilik website menemukan sertifikat baru untuk domain mereka dan memverifikasi apakah penerbitannya telah disetujui.

• Menemukan Subdomain yang Belum Tercatat
  Informasi sertifikat dapat membantu menemukan subdomain yang belum tercatat dalam inventaris, sehingga pengelola dapat memeriksa status dan keamanannya.

• Mendukung Investigasi Insiden Keamanan
  Sertifikat yang tidak dikenal dapat menjadi petunjuk awal untuk investigasi. Tim keamanan dapat memeriksa informasi penerbitan dan menghubungi CA jika ditemukan indikasi penerbitan yang tidak sah.

• Membantu Pengelolaan Sertifikat dalam Skala Besar
  Pemantauan CT membantu organisasi membandingkan sertifikat yang ditemukan dengan inventaris internal, terutama ketika mengelola banyak domain dan subdomain.

• Meningkatkan Kesiapan Keamanan Website
  Pemantauan secara berkala membantu mendeteksi perubahan penerbitan sertifikat lebih awal. Namun, CT tetap perlu dilengkapi dengan pengamanan DNS, pengelolaan akses, dan perlindungan kunci privat.

Pemantauan Certificate Transparency dapat dilakukan melalui layanan pencarian CT publik atau layanan notifikasi otomatis. Berikut langkah-langkah yang dapat diterapkan.

Gunakan Layanan Pencarian Certificate Transparency

Gunakan crt.sh untuk mencari sertifikat yang tercatat dalam CT log. Masukkan nama domain, seperti contoh.co.id, lalu periksa sertifikat yang muncul beserta informasi penerbitan dan subdomainnya.

Periksa Informasi Sertifikat

Periksa nama domain, CA penerbit, tanggal penerbitan, masa berlaku, dan nama domain tambahan (SAN). Bandingkan informasi tersebut dengan inventaris sertifikat internal untuk mengetahui apakah penerbitannya sesuai dengan kebutuhan website.

Aktifkan Notifikasi Sertifikat Baru

Gunakan layanan Certificate Transparency Monitoring untuk menerima pemberitahuan ketika sertifikat baru ditemukan. Misalnya, Cloudflare menyediakan fitur pemantauan CT yang membantu mengawasi penerbitan sertifikat untuk domain yang dipantau.

Verifikasi Sertifikat yang Tidak Dikenal

Jika menemukan sertifikat yang mencurigakan, pastikan penerbitannya bukan bagian dari pembaruan rutin atau layanan pihak ketiga. Periksa konfigurasi DNS dan catatan internal, lalu hubungi CA terkait jika penerbitannya tidak dapat dijelaskan.

Lakukan Pemantauan Secara Berkala

Pantau sertifikat secara konsisten dan catat setiap penerbitan yang telah disetujui. Gabungkan pemantauan CT dengan inventaris domain, pemeriksaan masa berlaku sertifikat, dan pengamanan DNS untuk membantu menjaga keamanan website.

Keterbatasan Certificate Transparency yang Perlu Dipahami

Meskipun bermanfaat untuk memantau sertifikat SSL/TLS, Certificate Transparency memiliki beberapa keterbatasan. CT membantu mendeteksi penerbitan sertifikat yang mencurigakan, tetapi tidak dapat mencegah penerbitan yang tidak sah secara langsung. Jika ditemukan sertifikat bermasalah, pemilik domain perlu melakukan investigasi dan menghubungi CA terkait untuk penanganan lebih lanjut.

Selain itu, tidak semua sertifikat tercatat dalam CT log publik, terutama sertifikat yang diterbitkan oleh CA privat untuk kebutuhan internal. Hasil pemantauan juga dapat mencakup sertifikat sah dari pembaruan rutin atau layanan pihak ketiga, sehingga setiap temuan perlu diverifikasi sebelum dianggap sebagai ancaman.

Keterbatasan lainnya adalah informasi subdomain yang tercantum dalam sertifikat dapat terlihat oleh publik. Oleh karena itu, pengelola website perlu memperhatikan penggunaan nama subdomain dan tetap menerapkan pengamanan akses serta konfigurasi layanan yang tepat.

Praktik Terbaik dalam Menggunakan Certificate Transparency

Agar pemantauan sertifikat lebih efektif, terapkan beberapa praktik berikut.

1. Buat Inventaris Domain dan Sertifikat

Catat domain, subdomain, CA penerbit, masa berlaku sertifikat, dan pihak yang bertanggung jawab untuk memudahkan verifikasi hasil pemantauan CT.

2. Gunakan Pemantauan Otomatis

Aktifkan layanan notifikasi sertifikat baru agar penerbitan yang tidak dikenal dapat segera diperiksa tanpa harus melakukan pencarian manual.

3. Konfigurasikan DNS CAA

Gunakan DNS CAA untuk menentukan CA yang diizinkan menerbitkan sertifikat bagi domain. Langkah ini melengkapi CT yang berfungsi memantau pencatatan sertifikat.

4. Lindungi Akun Registrar dan DNS

Gunakan autentikasi multifaktor, batasi hak akses, dan pantau perubahan konfigurasi DNS untuk mengurangi risiko penyalahgunaan domain.

5. Siapkan Prosedur Penanganan Insiden

Tentukan langkah verifikasi, pihak yang bertanggung jawab, dan prosedur menghubungi CA jika ditemukan sertifikat yang mencurigakan.