https://nalar.dev/id/tags/pki/ Recent content in PKI on Nalar Hugo id-id Thu, 17 Sep 2026 00:00:00 +0000 https://nalar.dev/id/certificate-transparency-membuat-penerbitan-sertifikat-dapat-diaudit-secara-publik/ Thu, 17 Sep 2026 00:00:00 +0000 https://nalar.dev/id/certificate-transparency-membuat-penerbitan-sertifikat-dapat-diaudit-secara-publik/ <h1 id="certificate-transparency-membuat-penerbitan-sertifikat-dapat-diaudit-secara-publik">Certificate Transparency Membuat Penerbitan Sertifikat Dapat Diaudit Secara Publik</h1> <p>Certificate authority yang dipercaya publik dapat menerbitkan sertifikat yang secara sintaksis valid untuk sebuah domain meskipun penerbitan itu seharusnya tidak pernah terjadi. Validasi TLS path saja tidak dapat mengungkap kesalahan tersebut jika sertifikat berantai ke root tepercaya, cocok dengan nama yang diminta, masih dalam masa berlaku, dan memenuhi pemeriksaan kebijakan client lainnya.</p> <p>Certificate Transparency mengubah bukti yang tersedia di sekitar peristiwa itu. Alih-alih hanya mengandalkan catatan privat CA dan pengungkapan insiden di kemudian hari, ekosistem dapat mewajibkan penerbitan sertifikat meninggalkan bukti yang dapat diverifikasi secara kriptografis dalam log append-only publik. Log tidak memutuskan apakah sebuah sertifikat diotorisasi. Log membuat penerbitan dapat diamati dan membuat bentuk tertentu dari equivocation log dapat dideteksi.</p> https://nalar.dev/id/tls-must-staple-mengubah-ocsp-yang-hilang-menjadi-kegagalan-handshake/ Thu, 17 Sep 2026 00:00:00 +0000 https://nalar.dev/id/tls-must-staple-mengubah-ocsp-yang-hilang-menjadi-kegagalan-handshake/ <h1 id="tls-must-staple-mengubah-ocsp-yang-hilang-menjadi-kegagalan-handshake">TLS Must-Staple Mengubah OCSP yang Hilang Menjadi Kegagalan Handshake</h1> <p>Server TLS dapat memiliki private key yang valid dan menyajikan sertifikat yang membentuk chain ke root tepercaya, tetapi bukti status revokasinya tidak tersedia. OCSP stapling biasa tidak selalu mengubah kondisi tersebut menjadi kegagalan: client dapat meminta informasi status, tetapi dalam protokol stapling dasar server masih diperbolehkan tidak mengirim respons.</p> <p>Sifat opsional ini menciptakan batas keamanan. Intermediary aktif yang mampu menghalangi akses ke OCSP responder dapat memanfaatkan kebijakan client yang menerima pemeriksaan revokasi yang tidak konklusif. Ekstensi TLS Feature dari RFC 7633 mengubah sertifikat itu sendiri sehingga fitur TLS tertentu menjadi syarat penggunaan yang dapat diterima. Untuk OCSP stapling, sertifikat dapat menyatakan bahwa client yang patuh harus menerima bukti status yang diminta.</p>