Enkripsi kunci publik adalah tulang punggung keamanan web modern. Di tengah sistem ini terdapat Secure Sockets Layer (SSL). Netscape menciptakan protokol ini untuk membantu browser dan server web berkomunikasi dengan aman. Itu tidak pernah dimaksudkan untuk berdiri sendiri selamanya.
Saat ini, SSL hanyalah istilah lama. Standar sebenarnya yang digunakan adalah Transport Layer Security (TLS).
Anda tidak perlu menjadi pembuat kode untuk menemukan perbedaan dalam penjelajahan harian Anda. Itu ada di bilah alamat. Cari “s” di https.
Sebelumnya, Anda melihat http. Sekarang, Anda melihat https.
Biasanya ada ikon gembok kecil di dekatnya. Terkadang ikon ini berada di bilah status di bagian bawah jendela. Terkadang itu mengambang di bidang URL. Artinya sama. Data Anda dienkripsi. Jika Anda masuk ke rekening bank atau menggunakan PayPal, Anda ingin melihat kunci itu. Detail pembayaran Anda tidak boleh disimpan dalam teks biasa di telepon.
“TLS dan SSL sangat bergantung pada otoritas sertifikat untuk memverifikasi identitas.”
Namun bagaimana browser mengetahui bahwa situs tersebut aman? Itu bukan sihir. Ini adalah jabat tangan dengan Certificate Authority (CA).
Saat Anda meminta halaman aman, prosesnya dimulai. Browser menambahkan “s” ke “http”. Kemudian ia memeriksa tiga hal spesifik sebelum memuat halaman:
- Kepercayaan : Apakah sertifikat berasal dari pihak yang dipercaya oleh browser?
- Validitas : Apakah sertifikat masih aktif dan belum habis masa berlakunya?
- Kecocokan : Apakah sertifikat tersebut benar-benar milik situs yang Anda kunjungi?
Jika salah satu pemeriksaan ini gagal, browser akan memberikan peringatan. Itu tidak akan membiarkan Anda melanjutkan secara membabi buta. Sistem inilah yang membuat Anda dapat percaya bahwa informasi sensitif Anda disampaikan dengan aman. Protokolnya telah berkembang, namun tugas intinya tetap sama. Menjaga data Anda dari tangan penyadap.
Jabat tangan yang menjaga keamanan data Anda
Di sinilah keamanan sebenarnya terjadi.
Browser mengambil kunci publik yang baru saja Anda terima dan menggunakannya untuk mengenkripsi kunci simetris yang dibuat secara acak. Cukup sederhana.
Tapi inilah hasil tangkapannya. Enkripsi kunci publik itu berat. Ini memerlukan daya komputasi yang serius. Melakukannya untuk setiap paket data akan menghentikan browser Anda. Jadi, sistem tidak melakukan hal itu.
Sebaliknya, mereka menggunakan pendekatan hybrid.
Anggap saja sebagai terowongan yang aman. Kunci publik hanyalah bel pintu. Ini memungkinkan pesan awal masuk. Begitu masuk, Anda beralih ke enkripsi kunci simetris untuk sisa percakapan. Ini lebih cepat. Ini lebih ringan. Ini adalah standar bagaimana dua komputer memulai sesi aman.
Satu komputer membuat kunci simetris. Itu membungkusnya menggunakan enkripsi kunci publik. Ini mengirimkannya ke sisi lain. Sisi lain membukanya. Kini kedua belah pihak memiliki kode rahasia yang sama.
Mereka berkomunikasi menggunakan enkripsi kunci simetris sejak saat itu.
Dan inilah bagian yang paling banyak dilewatkan oleh pengguna. Kuncinya tidak bertahan lama.
Ketika sesi berakhir, kuncinya dimusnahkan. Itu dibuang. Hilang.
Jika Anda memulai sesi baru, kunci simetris baru akan dibuat. Seluruh proses berulang.
“Setelah sesi selesai, setiap komputer membuang kunci simetris yang digunakan untuk sesi itu.”
Ini disebut kerahasiaan ke depan. Atau setidaknya, versi dasarnya. Artinya meskipun seorang hacker mencuri satu kunci, kunci tersebut tidak berguna untuk hal lain. Setiap sesi diisolasi. Setiap sesi memiliki kunci uniknya sendiri.
Mengapa ini penting?
Karena itu membatasi kerusakan. Jika koneksi HTTPS Anda disadap, penyerang hanya mendapatkan data satu sesi tersebut. Mereka tidak mendapatkan riwayat kata sandi Anda. Mereka tidak menerima email lama Anda. Mereka tidak mendapatkan kunci kerajaan.
Kuncinya bersifat sementara. Sesi ini bersifat sementara. Keamanannya berkelanjutan.
Ini adalah tarian penciptaan dan kehancuran. Kunci lahir. Aliran data. Kunci mati.
Dan Anda bahkan tidak pernah melihatnya.
