Kriptografi on Nalar

Session Ticket TLS 1.3 Membawa State Resumption Antar-Koneksi

Sun, 20 Sep 2026 00:00:00 +0000

Session Ticket TLS 1.3 Membawa State Resumption Antar-Koneksi

Handshake TLS 1.3 yang selesai dapat menghasilkan lebih dari sekadar traffic key untuk koneksi yang sedang terbuka. Setelah handshake, server dapat menerbitkan NewSessionTicket yang memberi client material untuk mencoba resumption pada koneksi berikutnya. Koneksi baru itu dapat membuktikan kesinambungan dengan session TLS sebelumnya tanpa mengulang jalur certificate-based handshake yang sama.

Optimasi tersebut mengubah lokasi security state. Deployment yang mengaktifkan resumption tidak lagi hanya berurusan dengan sertifikat server dan key pada koneksi saat ini. Masa berlaku ticket, resumption secret, atribut autentikasi yang di-cache, ticket protection key, serta aturan untuk menerima koneksi hasil resumption ikut menjadi bagian dari boundary.

fs-verity Mengikat Pembacaan File Read-Only ke Digest Merkle Tree

Sat, 19 Sep 2026 00:00:00 +0000

Sebuah file dapat disimpan pada media yang tingkat kepercayaannya lebih rendah daripada proses yang mengonsumsinya. Menjadikan file tersebut read-only melalui permission bit biasa tidak membuktikan bahwa byte yang kemudian dikembalikan dari storage sama dengan byte yang sebelumnya disetujui. Linux fs-verity menangani batas integritas yang lebih sempit ini pada filesystem yang didukung dengan mengikat pembacaan file yang telah diaktifkan ke Merkle tree dan digest file yang stabil.

Mekanisme ini memiliki dua peran keamanan yang berbeda. Kernel memverifikasi data file terhadap Merkle tree saat data dibaca. Kebijakan terpisah harus menetapkan bahwa digest fs-verity yang dihasilkan memang digest yang dimaksudkan untuk dipercaya oleh sistem. Menganggap kedua peran tersebut sebagai satu jaminan akan melebihkan properti yang diberikan fitur filesystem ini.

Hex Acak Bukan Hash: Membuat Nilai Acak Kriptografis di Linux

Sat, 19 Sep 2026 00:00:00 +0000

Perintah seperti openssl rand -hex 32 sering disebut sebagai cara membuat “hash acak.” Hasilnya memang terlihat seperti digest SHA-256: 64 karakter heksadesimal. Namun, tidak ada operasi hash di sana. OpenSSL menghasilkan 32 byte acak lalu meng-encode-nya sebagai heksadesimal.

Perbedaannya penting. Fungsi hash mengubah input menjadi digest berukuran tetap. Cryptographically secure random number generator menghasilkan byte yang tidak dapat diprediksi. Jika kebutuhannya adalah token, session secret, kredensial API, nonce, atau nilai acak baru lainnya, bagian yang penting adalah byte acaknya. Melakukan hashing setelahnya biasanya tidak menambah ketidakpastian yang berguna.

Pemilihan Kunci JWS Adalah Keputusan Trust, Bukan Instruksi Header

Sat, 19 Sep 2026 00:00:00 +0000

Pemilihan Kunci JWS Adalah Keputusan Trust, Bukan Instruksi Header

Token bertanda tangan dapat membawa metadata yang mengarahkan verifier ke sebuah kunci. Protected header JWS dapat menyebut algoritma melalui alg, mengidentifikasi kunci melalui kid, atau, pada profile yang mengizinkannya, membawa maupun mereferensikan material kunci melalui parameter seperti jwk, jku, x5c, atau x5u. Field tersebut berguna untuk mengarahkan proses verifikasi, terutama saat rotasi kunci.

Field tersebut tidak membuktikan bahwa kunci yang dipilih memang tepercaya untuk token yang sedang diproses.

Signal Protocol Adalah Lapisan Kriptografi, Bukan Protokol Transport

Sat, 19 Sep 2026 00:00:00 +0000

Signal Protocol Adalah Lapisan Kriptografi, Bukan Protokol Transport

Service Go dapat mengirim pesan melalui WebSocket, HTTP, WebRTC, MQTT, atau antrean store-and-forward tanpa satu pun transport tersebut menyediakan end-to-end encryption. Enkripsi transport seperti TLS melindungi koneksi antara peer jaringan. Signal Protocol menangani batas yang berbeda: isi pesan dienkripsi pada satu endpoint dan tetap berupa ciphertext sampai endpoint penerima memproses sesi kriptografi yang sesuai.

Perbedaan itu menentukan posisi Signal Protocol dalam aplikasi. Relay dapat mengautentikasi akun, merutekan envelope, menyimpan ciphertext yang belum terkirim, dan menerapkan kuota, tetapi relay tidak perlu memiliki conversation key yang dibutuhkan untuk mendapatkan kembali plaintext pesan.

fs-verity Mengikat Pembacaan File pada Digest Merkle Tree

Fri, 18 Sep 2026 00:00:00 +0000

Package manager dapat menempatkan executable pada filesystem yang writable, menutupnya, lalu mengharapkan setiap byte yang dibaca kemudian tetap sama dengan objek yang sebelumnya disetujui. Permission biasa dapat menghentikan penulis yang tunduk pada kebijakan, tetapi tidak mengubah isi file menjadi objek dengan identitas kriptografis. Linux fs-verity menyediakan properti yang lebih sempit untuk file individual: setelah verity diaktifkan, data file menjadi read-only dan pembacaan diperiksa terhadap Merkle tree yang berakar pada digest file yang stabil.