Belajar PKI - Sejarah, Latar Belakang & Mengapa Membutuhkannya

#Pendahuluan

Di episode 0 kalian sudah menyiapkan environment: skill dasar kriptografi, OpenSSL, dan lab container. Sekarang waktunya memahami mengapa teknologi ini ada. PKI tidak lahir dalam sekejap; dia adalah hasil puluhan tahun riset kriptografi, standarisasi, dan pergeseran cara internet dipercaya.

Roadmap episode ini: kita menelusuri sejarah kriptografi kunci publik, kelahiran X.509, evolusi SSL menuju TLS, era CA komersial yang kemudian diubah oleh Let's Encrypt, dan tren yang membentuk PKI masa kini. Di akhir episode kalian akan tahu masalah nyata apa yang dipecahkan PKI, dan mengapa tanpa PKI identitas digital bisa dipalsukan begitu saja.

#Akar Kriptografi Kunci Publik

#Diffie-Hellman dan RSA

Sejarah PKI dimulai dari terobosan kriptografi kunci publik di era 1970-an. Pada 1976, Whitfield Diffie dan Martin Hellman mempublikasikan skema pertukaran kunci yang memungkinkan dua pihak berbagi rahasia di saluran publik tanpa pernah bertemu. Konsep ini revolusioner karena sebelumnya enkripsi selalu memakai satu kunci rahasia bersama.

Setahun kemudian, pada 1977, Ron Rivest, Adi Shamir, dan Leonard Adleman merilis RSA, algoritma kunci publik pertama yang mampu melakukan enkripsi sekaligus tanda tangan digital. RSA memakai sepasang kunci matematis yang saling berhubungan: yang satu boleh dipublikasikan, yang lain harus dirahasiakan. Inilah cikal bakal seluruh PKI modern.

#Kelahiran X.509

Kunci publik yang tersebar memunculkan pertanyaan baru: bagaimana memastikan sebuah kunci publik benar-benar milik pihak yang diklaim? Pada 1988, komunitas standar melahirkan X.509, format sertifikat yang membungkus kunci publik bersama identitas pemiliknya dan tanda tangan penerbitnya. Sertifikat X.509 inilah yang menjadi blok penyusun PKI hingga hari ini.

X.509 mendefinisikan struktur data yang berisi subjek, penerbit, masa berlaku, dan kunci publik, semuanya ditandatangani oleh otoritas penerbit. Dengan dokumen ini, kepercayaan bisa diwariskan: kalau kalian mempercayai penerbit, kalian bisa memercayai apa pun yang ia tandatangani.

#Dari SSL ke TLS

#Evolusi Protokol

SSL (Secure Sockets Layer) dikembangkan Netscape pada pertengahan 1990-an untuk mengamankan transaksi web. Pada 1999, protokol ini disempurnakan dan diubah namanya menjadi TLS oleh IETF. Sejak itu TLS terus berevolusi: TLS 1.0 pada 1999, TLS 1.1 pada 2006, TLS 1.2 pada 2008, hingga TLS 1.3 pada 2018 yang jauh lebih cepat dan aman. Versi SSL lama kini dianggap usang dan tidak lagi digunakan.

Perjalanan 1999 hingga 2026 ini menunjukkan satu prinsip: protokol keamanan tidak pernah berhenti berkembang. Setiap generasi TLS memperbaiki kelemahan generasi sebelumnya, dan PKI yang melapisinya ikut menyesuaikan praktik terbaiknya.

#Let's Encrypt dan Era Akses Terbuka

Selama dua dekade, sertifikat digital hanya terjangkau organisasi besar karena harus dibeli dari CA komersial dengan harga yang tidak murah. Kondisi ini membuat banyak situs kecil berjalan tanpa enkripsi sama sekali. Semua berubah pada 2016 ketika Let's Encrypt meluncurkan sertifikat gratis dengan otomatisasi penuh lewat protokol ACME.

Let's Encrypt mengubah ekonomi PKI publik: kini sertifikat bisa didapatkan dan diperbarui otomatis tanpa intervensi manusia, sehingga enkripsi TLS menjadi default di seluruh internet. Efeknya terasa hingga hari ini; sebagian besar situs yang kalian buka mengandalkan otomatisasi semacam ini. Sertifikat gratis bukan berarti tanpa kepercayaan; Let's Encrypt tetap CA yang sah dengan root yang di-trust oleh semua browser.

#Tren 2020-an: PKI di Era Modern

#mTLS dan Zero Trust

Arsitektur jaringan modern bergeser dari model perimeter menuju zero trust: tidak ada jaringan yang otomatis dipercaya, setiap koneksi harus diverifikasi. Di sinilah mTLS (mutual TLS) menjadi bintang, karena klien dan server sama-sama memverifikasi sertifikat masing-masing sehingga dua arah komunikasi terotentikasi.

Service mesh dan platform Kubernetes memakai mTLS untuk memberi identitas pada setiap workload. Setiap pod atau service memiliki sertifikat yang dikelola otomatis, sering kali dengan umur pendek (short-lived) hanya beberapa jam atau hari. Sertifikat pendek membatasi dampak kebocoran: kunci yang dicuri hanya berguna selama sertifikatnya masih berlaku.

#Transisi Post-Quantum

Ancaman terbesar di horizon adalah komputer kuantum yang di masa depan bisa memecah RSA dan EC dalam hitungan detik. Menyadari ini, NIST merilis standar algoritma tahan kuantum pada 2024: FIPS 203 untuk ML-KEM (key encapsulation), FIPS 204 untuk ML-DSA (tanda tangan), dan FIPS 205 untuk SLH-DSA. Transisi ini dikenal sebagai post-quantum transition.

Bagi PKI, transisi ini berarti hierarki CA, algoritma tanda tangan, dan ukuran sertifikat akan berubah dalam beberapa tahun ke depan. Server modern sudah mulai mendukung hybrid handshake yang memadukan algoritma klasik dan post-quantum secara bersamaan. Ini bukan isu masa depan yang jauh; ini isu yang sedang berjalan sekarang.

#Ringkasan Timeline PKI

Untuk mempermudah mengingat, berikut garis waktu penting yang kita bahas:

• 1976: Diffie-Hellman mempublikasikan pertukaran kunci publik.
• 1977: RSA lahir, algoritma kunci publik pertama yang praktis.
• 1988: X.509 distandarkan sebagai format sertifikat.
• 1994: Netscape mengembangkan SSL untuk mengamankan web.
• 1999: SSL diadopsi dan diubah menjadi TLS 1.0.
• 2016: Let's Encrypt dan ACME membuka sertifikat gratis otomatis.
• 2018: TLS 1.3 dirilis, standar tertinggi yang dipakai saat ini.
• 2024: NIST merilis FIPS 203, 204, dan 205 untuk era post-quantum.

Garis waktu ini menunjukkan satu pola: setiap krisis kepercayaan atau keterbatasan teknis selalu melahirkan evolusi berikutnya. PKI publik yang kalian lihat hari ini adalah akumulasi keputusan selama lima dekade.

#Melihat Rantai PKI dalam Aksi

Semua pembahasan di atas bisa kalian amati langsung. Hubungkan ke server HTTPS dengan OpenSSL untuk melihat rantai sertifikat yang dikirim server:

openssl s_client -connect example.com:443 -showcerts

Outputnya menampilkan sertifikat server dan sertifikat perantara yang membentuk rantai menuju root. Perhatikan bahwa root biasanya tidak dikirim server karena sudah ada di trust store kalian, konsep yang akan kita pelajari lebih dalam di episode 2 dan 5. Nama server di atas hanya contoh; ganti dengan domain yang kalian kuasai, lalu coba juga openssl s_client -connect example.com:443 -tls1_3 untuk memaksa protokol TLS 1.3.

Untuk hasil yang lebih ringkas, gunakan opsi -brief yang hanya menampilkan hasil handshake dan cipher yang dipilih. Bandingkan juga detail handshake antara dua versi protokol:

openssl s_client -connect example.com:443 -brief
openssl s_client -connect example.com:443 -tls1_2 -brief

Perhatikan perbedaan panjang handshake dan daftar cipher. Perbedaan inilah yang membuat TLS 1.3 lebih cepat dibanding pendahulunya, dan keduanya tetap bergantung pada sertifikat yang diterbitkan lewat rantai PKI.

#Masalah yang Diselesaikan PKI

#Identitas Digital yang Bisa Dipalsukan

Tanpa PKI, siapapun bisa mengklaim identitas apa pun. Seorang penyerang di tengah jaringan bisa menyamar sebagai server yang kalian tuju, serangan yang dikenal sebagai MITM (man-in-the-middle). Kalau tidak ada cara memverifikasi identitas, kalian tidak pernah tahu sedang berbicara dengan server sebenarnya atau impostor.

PKI menyelesaikan masalah ini dengan trust chain: kalian memercayai root CA, root memercayai intermediate, dan intermediate menerbitkan sertifikat server. Rantai tanda tangan inilah yang membuat klaim identitas bisa diverifikasi secara matematis.

#Otentikasi, Integritas, dan Confidentiality

Melalui TLS, PKI menyediakan tiga jaminan sekaligus:

• Otentikasi: klien yakin server (dan dalam mTLS, server yakin klien) adalah pihak yang seharusnya.
• Confidentiality: kunci sesi hasil handshake mengenkripsi seluruh data sehingga tidak bisa dibaca pihak lain.
• Integritas: setiap perubahan data terdeteksi karena merusak keaslian pesan terenkripsi.

Tanpa ketiganya, transaksi e-commerce, perbankan, dan email tidak mungkin aman. PKI adalah mesin kepercayaan di balik layar.

#Mengelola Identitas Mesin, User, dan Service

PKI juga dipakai untuk mengelola identitas di luar web: sertifikat untuk mesin (device), pengguna (user), dan service internal. Setiap jenis identitas punya siklus hidup sendiri: diterbitkan, diperbarui, dan dicabut saat tidak lagi dibutuhkan. Di episode-episode berikutnya kalian akan praktik langsung mengelola identitas ini lewat private CA kalian sendiri.

#Penutup

Di episode 1 kalian sudah memahami perjalanan PKI dari kriptografi kunci publik era 1970-an, kelahiran X.509, evolusi SSL menuju TLS 1.3, perubahan yang dibawa Let's Encrypt, hingga tren mTLS zero trust dan transisi post-quantum. Kalian juga tahu masalah nyata yang diselesaikan PKI: mencegah identitas palsu dan menjamin otentikasi, integritas, serta confidentiality.

Inti yang harus dibawa pulang:

• Diffie-Hellman dan RSA meletakkan dasar kriptografi kunci publik pada 1976 dan 1977.
• X.509 lahir pada 1988 sebagai format sertifikat yang dipakai hingga kini.
• TLS berevolusi dari SSL dan mencapai TLS 1.3 pada 2018.
• Let's Encrypt dan ACME menjadikan sertifikat gratis dan otomatis sejak 2016.
• Tren 2020-an: mTLS zero trust, short-lived certificate, dan transisi post-quantum FIPS 203, 204, 205.
• Tanpa PKI, identitas digital bisa dipalsukan melalui serangan MITM.

Di episode 2 selanjutnya kita akan membongkar konsep dasar dan arsitektur utama PKI — anatomi sertifikat X.509, peran CSR, chain of trust, hierarki Root CA hingga Sub CA, dan mekanisme revocation dengan CRL serta OCSP. Persiapkan diri kalian, karena episode berikutnya akan sangat teknis!