Certificate Transparency (CT) adalah kerangka kerja publik berbasis log append-only kriptografis yang dirancang untuk merekam setiap penerbitan sertifikat SSL/TLS oleh Certificate Authority (CA). Sistem ini diciptakan untuk mencegah insiden sertifikat palsu, penyalahgunaan CA, dan serangan man-in-the-middle dengan menyediakan mekanisme audit terbuka yang dapat diakses oleh siapa saja secara real-time.
Analisis CT melibatkan pemantauan berkala terhadap log publik untuk mendeteksi anomali seperti domain yang didaftarkan tanpa izin, sertifikat liar yang diterbitkan oleh CA yang disusupi, atau kesalahan konfigurasi infrastruktur Public Key Infrastructure (PKI). Peramban modern seperti Google Chrome dan Mozilla Firefox mewajibkan pencatatan CT agar sertifikat SSL/TLS dianggap sah dan tepercaya.
Mekanisme Kerja Certificate Transparency
Sistem CT beroperasi menggunakan tiga komponen utama yang bekerja secara terintegrasi untuk menjamin integritas dan transparansi penerbitan sertifikat digital:
- Log Servers: Server append-only publik yang menerima, mencatat, dan mengenkripsi sertifikat TLS. Server ini tidak dapat menghapus atau mengubah data yang sudah masuk.
- Monitors: Entitas atau sistem otomatis yang memindai log server secara terus-menerus untuk mendeteksi sertifikat mencurigakan atau sertifikat yang diterbitkan untuk domain tanpa izin pemilik sah.
- Auditors: Komponen perangkat lunak atau peramban yang memverifikasi bahwa log server beroperasi secara jujur dan menyertakan sertifikat tertentu di dalam pohon Merkle (Merkle Tree).
Matriks Perbandingan Komponen Utama CT
| Komponen CT | Fungsi Utama | Target Pengguna | Teknologi Pendukung |
|---|---|---|---|
| Log Server | Menyimpan dan mencatat sertifikat baru | Certificate Authority (CA) | Merkle Hash Tree, TLS |
| Monitor | Menganalisis dan mendeteksi anomali | Pemilik Domain, Keamanan Siber | API Pemindai, Script Automasi |
| Auditor | Memverifikasi integritas log server | Browser, Klien TLS | SCT (Signed Certificate Timestamp) |
Langkah Praktis Melakukan Analisis CT
Untuk melakukan audit atau analisis Certificate Transparency pada domain Anda sendiri, gunakan langkah-langkah teknis berikut:
- Akses platform pencarian log publik terpercaya seperti
crt.shatau Google Transparency Report. - Masukkan nama domain utama menggunakan format wildcard, contohnya
%.namadomain.comuntuk melihat seluruh subdomain yang pernah didaftarkan. - Ekstrak daftar sertifikat dan periksa kolom Issuer Name untuk memastikan seluruh sertifikat diterbitkan oleh CA yang sah dan Anda kenal.
- Validasi tanggal penerbitan dan masa kedaluwarsa untuk mendeteksi sertifikat kedaluwarsa yang masih aktif atau sertifikat siluman baru.
- Konfigurasikan sistem peringatan (alerting) otomatis menggunakan skrip pemantauan API untuk mendeteksi penerbitan sertifikat baru secara instan.
Tools Populer untuk Analisis Certificate Transparency
Berikut adalah perangkat lunak dan situs web yang sering digunakan oleh praktisi keamanan untuk memantau log CT:
- Crt.sh: Layanan pencarian log gratis yang dikelola oleh Comodo (Sectigo) berbasis basis data PostgreSQL.
- Google Certificate Transparency: Alat pemantau resmi dari ekosistem Google untuk melacak status log yang terdaftar.
- CertStream: Pustaka Python dan layanan WebSocket yang menyediakan aliran data real-time untuk setiap sertifikat baru yang masuk ke log CT.
Mitigasi dan Penanganan Temuan Mencurigakan
Jika dalam analisis ditemukan sertifikat liar atau tidak dikenal yang terdaftar atas domain Anda, lakukan tindakan cepat berikut:
- Segera hubungi CA yang menerbitkan sertifikat tersebut untuk meminta pencabutan (revocation) darurat menggunakan mekanisme OCSP atau CRL.
- Periksa keamanan akun DNS dan sistem manajemen domain (registrar) Anda untuk mencegah pencurian identitas atau pembajakan DNS.
- Terapkan kebijakan CAA (Certificate Authority Authorization) pada DNS record Anda untuk membatasi CA mana saja yang diizinkan menerbitkan sertifikat bagi domain Anda.