Belajar PKI - Konsep Dasar & Arsitektur Utama

#Pendahuluan

Di episode 1 kalian sudah memahami sejarah dan alasan PKI lahir: mencegah identitas palsu dan menjamin otentikasi, integritas, serta confidentiality lewat rantai kepercayaan. Sekarang saatnya membuka kotaknya dan melihat komponen-komponen penyusun PKI secara langsung.

Roadmap episode ini: kita membedah anatomi sertifikat X.509, memahami peran CSR, merangkai chain of trust, memetakan hierarki PKI dengan Root CA dan Sub CA, lalu menelusuri tiga alur penting — issuance, verifikasi, dan revocation. Di akhir episode kalian akan memiliki peta mental lengkap tentang bagaimana satu sertifikat dilahirkan, dipercaya, dan dicabut.

#Anatomi Sertifikat X.509

Sertifikat X.509 bukan sekadar file; dia adalah dokumen terstruktur dengan beberapa field penting:

• Subject: siapa pemilik sertifikat, misalnya nama host server atau identitas organisasi.
• Issuer: siapa yang menerbitkan dan menandatangani sertifikat ini.
• Validity: periode masa berlaku, dari notBefore hingga notAfter.
• SAN (Subject Alternative Name): daftar nama domain atau IP yang sah untuk sertifikat ini.
• Public key: kunci publik pemilik, yang dipakai untuk verifikasi dan enkripsi.
• Signature: tanda tangan penerbit yang mengikat seluruh field di atas.

openssl x509 -in cert.pem -noout -subject -issuer -dates
openssl x509 -in cert.pem -noout -ext subjectAltName
openssl x509 -in cert.pem -noout -text

Perintah pertama menampilkan subjek, penerbit, dan masa berlaku; yang kedua menampilkan SAN; yang ketiga menampilkan seluruh detail termasuk kunci publik dan algoritma signature. Sebelum sertifikat dibagikan, cek kesesuaiannya lewat openssl x509 -in cert.pem -text.

#CSR: Certificate Signing Request

Sebelum sebuah sertifikat diterbitkan, pemohon biasanya membuat CSR. CSR adalah permintaan formal berisi kunci publik dan identitas yang diinginkan, ditandatangani dengan kunci privat pemohon sebagai bukti kepemilikan. CSR belum sertifikat; dia masih permintaan yang menunggu tanda tangan CA.

Alur singkatnya: pemohon membuat key pair, mengemas kunci publik dan identitas ke dalam CSR, lalu mengirim CSR ke CA. CA memeriksa informasi, menambahkan masa berlaku dan ekstensi, lalu menandatangani dan mengembalikan sertifikat. Kita akan praktik langsung membuat CSR di episode 3.

#Chain of Trust

Chain of trust adalah rangkaian sertifikat yang saling menandatangani: root menandatangani intermediate, intermediate menandatangani leaf. Kalian memercayai leaf karena leaf ditandatangani oleh intermediate yang kalian percaya, dan intermediate kalian percaya karena ditandatangani oleh root yang ada di trust store.

Ini adalah kunci pemikiran PKI: kepercayaan diturunkan melalui tanda tangan, bukan lewat klaim sendiri. Selama rantai dari leaf ke root bisa dibangun dan setiap tanda tangan valid, sertifikat dianggap tepercaya.

#Hierarki PKI

#Root CA dan Sub CA

PKI enterprise biasanya berbentuk hierarki dua tingkat:

• Root CA: otoritas tertinggi, ditandatangani sendiri, dipegang paling aman dan sering bersifat offline.
• Sub CA (Intermediate CA): otoritas menengah yang menerbitkan sertifikat sehari-hari, berada di bawah root.

Root yang offline berarti kunci privatnya tidak pernah menyentuh jaringan, praktik yang mengurangi risiko penyalahgunaan. Hampir semua root di internet bekerja dengan pola ini. Kita akan membangun hierarki serupa di episode 4.

#CRL dan OCSP

Sertifikat yang diterbitkan bisa berhenti dipercaya lebih awal lewat revocation. Dua mekanisme utamanya:

• CRL (Certificate Revocation List): daftar serial number sertifikat yang dicabut, diterbitkan berkala oleh CA.
• OCSP (Online Certificate Status Protocol): layanan real-time untuk menanyakan status satu sertifikat.

OCSP stapling adalah varian di mana server membawa bukti status valid dari OCSP responder saat handshake TLS, sehingga klien tidak perlu bertanya langsung ke CA setiap kali.

#Alur Issuance: dari Key Pair ke Sertifikat

Seluruh proses penerbitan bisa diringkas dalam empat langkah:

1. Generate key pair: pemohon membuat kunci privat dan kunci publik.
2. Buat CSR: kunci publik dan identitas dikemas menjadi CSR.
3. Tanda tangan oleh CA: CA memvalidasi dan menandatangani, menghasilkan sertifikat.
4. Distribusi: sertifikat dipasang di server atau aplikasi yang membutuhkan.

Langkah pertama sampai kedua dilakukan pemohon, langkah ketiga dilakukan CA, dan langkah keempat melibatkan keduanya. Urutan inilah yang akan kalian praktikkan berulang kali.

#Alur Verifikasi: Membangun Rantai

Saat klien menerima sertifikat, ia tidak langsung percaya. Proses verifikasi berjalan:

1. Ambil sertifikat leaf yang dikirim server.
2. Cari penerbitnya di trust store atau sertifikat perantara yang disediakan.
3. Verifikasi tanda tangan: kunci publik penerbit harus memvalidasi tanda tangan leaf.
4. Ulangi sampai mencapai root yang ada di trust store.
5. Cek masa berlaku dan status revocation.

Kunci di sini adalah trust store: daftar root yang dianggap sah oleh sistem. Kalau leaf tidak terhubung ke root mana pun di trust store, verifikasi gagal. Konsep trust store ini akan dibahas tuntas di episode 5.

#Siklus Hidup Sertifikat

Setiap sertifikat melewati siklus hidup yang sama, dan memahami tahapannya membantu mengelola CA dengan baik:

1. Issuance: sertifikat diterbitkan lewat alur yang sudah kita bahas.
2. Distribution: sertifikat dan intermediate dipasang di server yang membutuhkan.
3. Renewal: sebelum kedaluwarsa, sertifikat diperbarui dengan kunci yang sama atau kunci baru.
4. Revocation: saat kunci bocor atau identitas berubah, sertifikat dicabut lebih awal.
5. Expiration: sertifikat yang tidak diperbarui berhenti berlaku otomatis.

Dua tahap yang paling sering dilupakan adalah renewal dan revocation. Sistem modern mengotomatiskan renewal dengan protokol seperti ACME, sementara revocation tetap mengandalkan CRL dan OCSP yang sudah kita bahas.

openssl x509 -in cert.pem -noout -dates

Output menampilkan notBefore dan notAfter. Biasakan memeriksa masa berlaku sebelum sertifikat dipasang ke production, karena ini penyebab paling umum kegagalan di lapangan. Kebiasaan kecil ini akan menyelamatkan kalian dari insiden yang sebenarnya bisa dicegah.

#Penutup

Di episode 2 kalian sudah membedah arsitektur PKI: anatomi sertifikat X.509 dengan subject, issuer, validity, SAN, public key, dan signature; peran CSR sebagai permintaan penerbitan; chain of trust sebagai dasar kepercayaan; hierarki Root CA dan Sub CA; serta alur issuance, verifikasi, dan revocation dengan CRL dan OCSP.

Inti yang harus dibawa pulang:

• Sertifikat X.509 memuat identitas pemilik, penerbit, masa berlaku, SAN, kunci publik, dan tanda tangan.
• CSR adalah permintaan penerbitan yang menunggu tanda tangan CA, bukan sertifikat.
• Kepercayaan diturunkan lewat tanda tangan dalam chain of trust dari root hingga leaf.
• Root CA bersifat offline dan Sub CA menangani penerbitan harian.
• Verifikasi membangun rantai dari leaf ke root menggunakan trust store.
• Revocation ditangani lewat CRL dan OCSP, dengan OCSP stapling sebagai varian praktis.

Di episode 3 selanjutnya kita akan langsung pegang terminal: OpenSSL untuk membuat key, CSR, dan self-signed certificate — fondasi praktis yang akan dipakai saat membangun private CA di episode 4. Siapkan terminal kalian!