Apa itu SSL? Cara Kerja dan Sertifikat SSL

Apa itu SSL?

SSL (Secure Sockets Layer) adalah teknologi keamanan yang mengenkripsi data antara browser dan situs web saat informasi dikirimkan. Dengan enkripsi ini, data seperti nomor kartu kredit, nama, alamat, dan data sensitif lainnya tidak mudah dibaca oleh peretas selama proses pengiriman.

SSL memiliki tiga fungsi utama, yaitu enkripsi, autentikasi, dan menjaga integritas data. Enkripsi membantu melindungi data selama dikirim, autentikasi membantu memastikan bahwa pengguna terhubung ke server yang benar, sedangkan integritas data memastikan informasi tidak diubah selama proses pengiriman.

SSL dikembangkan oleh Netscape pada 1995. Namun, teknologi SSL kini sudah tidak digunakan sebagai standar keamanan modern. SSL 3.0, versi terakhir SSL, telah ditinggalkan sejak 2015 karena memiliki kelemahan keamanan. Koneksi modern menggunakan TLS (Transport Layer Security), terutama TLS 1.2 dan TLS 1.3. TLS 1.3 merupakan versi yang lebih baru dengan peningkatan keamanan dan efisiensi dibandingkan versi sebelumnya.

Karena SSL merupakan istilah yang sudah lama dikenal, kata “SSL” masih sering digunakan untuk menyebut teknologi yang sebenarnya menggunakan TLS. Karena itu, istilah SSL/TLS juga umum digunakan ketika membahas keamanan koneksi web.

SSL vs TLS

SSL telah melalui tiga versi sebelum sebuah badan pengembang baru, IETF, menciptakan penerusnya yang hingga kini masih banyak digunakan: Transport Layer Security, atau TLS, pada tahun 1999. Perbedaan antara versi terakhir SSL dan enkripsi TLS yang lebih baru sangatlah kecil sehingga kedua istilah tersebut sering kali disalahartikan dan digunakan secara bergantian — praktik ini masih berlanjut hingga saat ini. 

Saat ingin membeli sertifikat untuk sebuah situs web, layanan TLS sering kali diiklankan sebagai SSL yang secara teknis sudah usang. Arti sebenarnya dari SSL akan merujuk pada perangkat lunak yang sudah sangat ketinggalan zaman.

Pada akhirnya, pertanyaan mengenai SSL atau TLS tidak perlu diajukan — SSL 3.0 sudah tidak lagi populer sejak akhir tahun 90-an, karena para pakar keamanan secara luas menganggapnya rentan. TLS, beserta semua versi terbarunya, telah menjadi standar bagi sebagian besar situs web selama 20 tahun terakhir.

Bagaimana cara kerja SSL/TLS?

SSL/TLS menggunakan kriptografi untuk mengamankan komunikasi antara browser dan server. Proses untuk membangun koneksi aman ini disebut SSL/TLS handshake atau jabat tangan SSL/TLS. Dalam proses tersebut, browser dan server menyepakati cara mengenkripsi komunikasi sebelum mulai bertukar data.

Sistem ini menggunakan dua jenis enkripsi dengan fungsi berbeda. Enkripsi asimetris menggunakan pasangan public key dan private key untuk mengautentikasi server dan membantu melakukan pertukaran kunci. Setelah koneksi terbentuk, enkripsi simetris digunakan untuk mengenkripsi data yang dikirim antara browser dan server karena prosesnya lebih cepat dan efisien.

Dari proses pertukaran kunci tersebut, browser dan server menghasilkan session key, yaitu kunci sementara yang digunakan untuk mengenkripsi komunikasi selama satu sesi. Setelah sesi berakhir, kunci ini tidak digunakan lagi.

Secara sederhana, proses handshake berlangsung dalam tiga tahap:

1. Browser menghubungi server

Browser mengirimkan pesan ClientHello kepada server. Pesan ini berisi informasi seperti versi TLS dan algoritma enkripsi yang didukung browser.

Server kemudian merespons dengan ServerHello dan mengirimkan sertifikat SSL/TLS yang berisi identitas situs serta public key. Browser menggunakan informasi tersebut untuk memverifikasi identitas server dan melanjutkan proses pembentukan koneksi aman.

2. Browser dan server melakukan pertukaran kunci

Setelah server terverifikasi, browser dan server melakukan proses pertukaran kunci menggunakan kriptografi asimetris. Dari proses ini, keduanya dapat menghasilkan session key, yaitu kunci sementara yang digunakan khusus untuk mengamankan sesi komunikasi tersebut.

Private key tetap disimpan oleh server dan tidak dikirimkan kepada browser. Sementara itu, public key dapat dibagikan melalui sertifikat SSL/TLS.

3. Koneksi simetris terbentuk

Setelah browser dan server memiliki session key yang sama, komunikasi selanjutnya diamankan menggunakan enkripsi simetris. Metode ini lebih cepat daripada enkripsi asimetris sehingga cocok digunakan untuk mengenkripsi data yang terus dikirim selama sesi berlangsung.

Setelah proses handshake selesai, browser dan server dapat bertukar data melalui koneksi terenkripsi. Gambaran sederhananya:

Apa itu sertifikat SSL?

Sertifikat SSL adalah file data yang dipasang pada server asal (origin server) sebuah situs web untuk mengaktifkan koneksi SSL/TLS. Sertifikat ini berisi public key serta informasi identitas situs yang digunakan untuk membantu browser memastikan bahwa server yang diakses memang sesuai dengan identitas yang tercantum pada sertifikat.

Sertifikat SSL diterbitkan dan diverifikasi oleh Certificate Authority (CA), yaitu pihak yang berwenang memvalidasi identitas pemilik atau pengelola situs sebelum menerbitkan sertifikat. Beberapa Certificate Authority yang umum digunakan antara lain Let's Encrypt, DigiCert, Sectigo, dan GlobalSign.

Jadi, jika Anda mencari tahu apa itu SSL certificate, apa itu sertifikat SSL, atau apa itu SSL website, sederhananya sertifikat ini berfungsi sebagai bukti identitas server dalam koneksi HTTPS. Browser dapat menggunakan informasi dalam sertifikat untuk memverifikasi identitas server sebelum membangun koneksi yang aman.

Kapan dan kenapa sertifikat SSL/TLS harus diaktifkan? 

Ada beberapa alasan utama mengapa situs web perlu menggunakan sertifikat SSL/TLS. Teknologi ini membantu melindungi data, memverifikasi identitas situs, serta mendukung keamanan dan kebutuhan teknis situs web.

1. Melindungi data dan meningkatkan kepercayaan

Setiap kali pengguna memasukkan informasi ke situs Anda, SSL akan memastikan transfer tersebut berjalan aman dari browser ke server web. Lalu, apa artinya bagi pemilik situs? Situs web berkomunikasi dengan pelanggan mereka untuk berbagi informasi. SSL perlu digunakan untuk mengamankan apa pun secara online di bawah payung pelindung sertifikat SSL. Terlepas dari kemampuan enkripsi, sertifikat SSL sangat penting dari sudut pandang kepercayaan pelanggan.

2. Menegaskan identitas

Selain melindungi, SSL juga memberikan verifikasi identitas ke situs web. Verifikasi identitas adalah salah satu aspek paling penting dalam keamanan web. Saat sertifikat SSL terpasang, Anda harus melalui proses validasi yang ditetapkan pihak ketiga independen yang disebut Certificate Authority (CA). CA kemudian memverifikasi identitas pengguna. Setelah terbukti, baru situs web mendapat indikator kepercayaan yang menjamin integritas pengguna dan mengetahui dengan siapa mereka berbicara.

3. Peringkat pada mesin pencari jadi lebih baik

Google mulai menggunakan HTTPS sebagai sinyal peringkat pada 2014. Namun, HTTPS merupakan salah satu sinyal yang relatif ringan, bukan syarat agar sebuah halaman dapat diindeks Google. Situs yang masih menggunakan HTTP tidak otomatis ditolak dari indeks hanya karena belum menggunakan HTTPS.

Selain itu, browser modern dapat menampilkan peringatan “Not Secure” ketika pengguna mengakses situs yang tidak menggunakan HTTPS. Jadi, alih-alih mengatakan bahwa browser “menghukum” situs HTTP, lebih tepat untuk menjelaskan bahwa browser memberikan penanda atau peringatan kepada pengguna mengenai koneksi tersebut.

4. Memenuhi persyaratan PCI/DSS

Saat menerima pembayaran online, situs web harus memenuhi persyaratan PCI/ DSS. Memasang sertifikat SSL merupakan salah satu dari 12 persyaratan utama yang ditetapkan Payment Card Industry (PCI).

Jenis sertifikat SSL

Sertifikat SSL dapat dibedakan berdasarkan cakupan domain yang dilindungi dan tingkat validasi identitas pemilik situs. Dengan memahami kedua kategori ini, Anda dapat mengetahui jenis sertifikat yang sesuai dengan kebutuhan situs web.

Berdasarkan cakupan domain

Sertifikat SSL dapat dibedakan berdasarkan jumlah dan jenis domain yang dapat dilindunginya. Tiga jenis yang umum adalah Single Domain, Wildcard, dan Multi-Domain (SAN).

Single Domain

Sertifikat ini melindungi satu domain, misalnya example.com. Sertifikat tersebut tidak otomatis mencakup subdomain seperti blog.example.com atau store.example.com.

Wildcard

Sertifikat Wildcard melindungi satu domain utama beserta seluruh subdomain tingkat pertamanya. Misalnya, sertifikat untuk *.example.com dapat melindungi blog.example.com dan store.example.com, tetapi tidak mencakup subdomain tingkat kedua seperti shop.store.example.com.

Multi-Domain (SAN)

Sertifikat Multi-Domain atau SAN (Subject Alternative Name) memungkinkan satu sertifikat melindungi beberapa domain sekaligus, misalnya example.com, example.net, dan store.example.com. Namun, penggunaan satu sertifikat untuk beberapa domain berarti private key dapat digunakan bersama, sehingga kebocoran kunci dapat berdampak pada beberapa domain.

Berdasarkan tingkat validasi (DV, OV, EV)

Sertifikat SSL juga dibedakan berdasarkan tingkat validasi identitas yang dilakukan oleh Certificate Authority (CA).

Domain Validated (DV)

CA hanya memverifikasi bahwa pemohon memiliki kendali atas domain. Prosesnya cepat dan biasanya digunakan untuk blog, situs pribadi, dan situs web umum.

Organization Validated (OV)

Selain memverifikasi domain, CA juga memeriksa informasi organisasi yang mengajukan sertifikat. OV cocok untuk situs bisnis atau organisasi.

Extended Validation (EV)

CA melakukan pemeriksaan identitas organisasi yang lebih ketat sebelum menerbitkan sertifikat. EV biasanya digunakan oleh organisasi yang membutuhkan validasi identitas lebih tinggi.

Cara mengecek apakah situs web memiliki SSL yang valid

Anda dapat mengecek apakah sebuah situs menggunakan SSL yang valid langsung dari browser. Ikuti langkah berikut:

1. 1. Periksa bilah alamat. Pastikan URL situs dimulai dengan https://, bukan http://.
2. 2. Cari ikon gembok. Biasanya ikon ini berada di sebelah kiri URL pada bilah alamat.
3. 3. Klik ikon gembok. Browser akan menampilkan informasi tentang koneksi dan sertifikat situs.
4. 4. Buka detail sertifikat. Periksa Certificate Authority (CA) yang menerbitkan sertifikat, domain yang tercantum, serta tanggal mulai dan berakhirnya masa berlaku.
5. 5. Pastikan sertifikat masih berlaku. Periksa apakah sertifikat belum kedaluwarsa dan diterbitkan untuk domain yang sedang Anda kunjungi.

Perlu diingat: ikon gembok dan HTTPS hanya menunjukkan bahwa koneksi antara browser dan situs telah dienkripsi. Keduanya tidak menjamin bahwa situs tersebut sah atau dapat dipercaya. Situs phishing juga dapat menggunakan sertifikat SSL yang valid.

Cara mengatasi kesalahan koneksi SSL

Kesalahan koneksi SSL dapat muncul ketika browser tidak dapat memverifikasi sertifikat atau membangun koneksi HTTPS dengan aman. Beberapa pesan yang umum muncul antara lain “Your connection is not private”,

ketika sertifikat sudah kedaluwarsa, dan

ketika nama domain pada sertifikat tidak sesuai dengan situs yang dikunjungi.

Browser juga dapat menampilkan peringatan mixed content ketika halaman HTTPS memuat sumber daya tertentu melalui koneksi HTTP.

Jika mengalami kesalahan koneksi SSL, coba beberapa langkah berikut:

1. 1. Periksa tanggal dan waktu perangkat. Pastikan pengaturan tanggal, waktu, dan zona waktu sudah benar.
2. 2. Muat ulang halaman atau gunakan browser lain. Cara ini dapat membantu mengetahui apakah masalah hanya terjadi pada browser tertentu.
3. 3. Hapus cache dan status SSL browser. Anda dapat mengikuti panduan cara menghapus cache dan cookie untuk membersihkan data browser.
4. 4. Periksa masa berlaku sertifikat. Klik ikon gembok pada bilah alamat, lalu buka detail sertifikat untuk memastikan sertifikat belum kedaluwarsa.
5. 5. Periksa antivirus, firewall, atau jaringan. Jika kesalahan terjadi pada beberapa situs sekaligus, periksa pengaturan pemindaian HTTPS pada antivirus atau firewall, serta koneksi jaringan yang digunakan.

Jika Anda mengalami masalah serupa di perangkat seluler, termasuk saat mencari tahu apa itu SSL di iPhone, langkah pemeriksaan dasarnya tetap sama: periksa koneksi HTTPS, sertifikat, serta pengaturan tanggal dan waktu perangkat.

Cara memasang SSL/TLS pada website

Anda dapat memasang SSL/TLS secara gratis maupun berbayar. Let's Encrypt merupakan salah satu pilihan gratis yang umum digunakan untuk sertifikat DV. Sertifikatnya berlaku selama 90 hari dan dapat diperpanjang secara otomatis. Sementara itu, sertifikat berbayar dapat menawarkan validasi OV atau EV serta fitur tambahan seperti garansi.

Secara umum, proses pemasangan SSL/TLS meliputi langkah berikut:

1. 1. Pastikan prasyaratnya terpenuhi. Siapkan domain, akses ke server atau hosting, dan pastikan situs sudah mengarah ke server yang benar.
2. 2. Pilih jenis sertifikat. Tentukan sertifikat berdasarkan kebutuhan domain dan tingkat validasi yang diperlukan.
3. 3. Buat CSR dan private key. Certificate Signing Request (CSR) berisi informasi yang dibutuhkan CA untuk menerbitkan sertifikat. Private key harus disimpan dengan aman di server.
4. 4. Ajukan permintaan sertifikat. Kirim CSR kepada CA atau layanan penerbit sertifikat dan selesaikan proses validasinya.
5. 5. Unduh sertifikat. Setelah permintaan disetujui, unduh sertifikat beserta file pendukung yang diperlukan.
6. 6. Konfigurasikan sertifikat pada server. Pasang sertifikat pada server melalui cPanel, panel hosting lain, atau alat seperti Certbot, sesuai lingkungan server yang digunakan.

Bagaimana jika ingin membuat SSL sendiri?

Anda juga dapat membuat self-signed certificate tanpa menggunakan Certificate Authority (CA). Namun, sertifikat ini tidak diverifikasi oleh CA sehingga browser biasanya menampilkan peringatan keamanan.

Karena itu, self-signed certificate lebih cocok untuk pengujian, pengembangan, atau jaringan internal, bukan untuk situs web publik yang diakses pengguna umum. 

Haruskah saya menggunakan VPN dengan SSL/TLS?

SSL/TLS dan VPN melindungi bagian koneksi yang berbeda. SSL/TLS mengenkripsi komunikasi antara browser dan satu situs web tertentu, tetapi tidak mengenkripsi seluruh lalu lintas internet dari perangkat Anda. SSL/TLS juga tidak menyembunyikan domain yang Anda kunjungi dari jaringan atau penyedia layanan internet (ISP).

VPN memberikan lapisan perlindungan tambahan dengan mengenkripsi seluruh lalu lintas antara perangkat Anda dan server VPN. Dengan begitu, VPN dapat membantu melindungi aktivitas internet di berbagai situs dan aplikasi, termasuk saat menggunakan jaringan yang tidak tepercaya. Namun, VPN tidak menggantikan SSL/TLS. Situs web tetap sebaiknya menggunakan HTTPS untuk mengamankan komunikasi antara browser dan server.

Perlu diingat bahwa ikon gembok juga bukan jaminan bahwa sebuah situs aman atau sah. Situs phishing pun dapat memperoleh sertifikat DV gratis dan menampilkan HTTPS. Karena itu, periksa alamat situs dan tanda-tanda phishing lainnya, bukan hanya ikon gembok. Pelajari lebih lanjut tentang apa itu phishing.

Untuk perlindungan tambahan saat menjelajah internet, NordVPN juga menawarkan antivirus generasi berikutnya yang dapat membantu mendeteksi dan memblokir situs berbahaya. VPN, SSL/TLS, dan perlindungan terhadap situs berbahaya memiliki fungsi yang berbeda, tetapi dapat digunakan secara bersamaan untuk mendukung keamanan saat online. Anda dapat mempelajari lebih lanjut tentang enkripsi VPN untuk memahami bagaimana VPN melengkapi perlindungan SSL/TLS.