Secure Socket Layer (SSL)

MATERI SIJA KELAS XII

Secure Socket Layer (SSL)

Sejarah Perkembangan SSL

Implementasi SSL paling pertama dikembangkan oleh Netscape Communications Corporation pada awal tahun 1990-an untuk mengamankan HTTP, yang mengirmkan data dalam bentuk plainteks melalui internet. Peluncuran resmi pertamanya adalah versi 2.0, di mana saat itu diterima cukup luas, meskipun masih ada beberapa masalah desain pada protokol. Pada akhir tahun 1990-an, semakin terlihat dengan jelas bahwa SSL 2.0 tidaklah aman. Netscape memulai untuk membangun SSL 3.0.

Secure Socket Layer (SSL) merupakan salah satu protokol yang didesain untuk dijalankan pada TCP/IP dan dengan mudah dapat digantikan dengan API soket UNIX-style standar guna keperluan browsing web secara aman. Banyak fitur yang disediakan pada SSL merupakan bentuk dari keamanan dalam browsing Internet.

Contoh Website yang sudah terpasang SSL

Contoh Website yang belum terpasang SSL

Metode yang digunakan pada SSL adalah dengan menggunakan kombinasi dari kriptografi, kunci simetri bersamaan dengan sebuah infrastruktur sertifikat. yang digunakan untuk menyandi informasi yang dikirim oleh klien dan memastikan bahwa informasi yang diterima oleh server adalah informasi yang benar yang dikirim oleh klien. Metode kriptografi yang digunakan adalah enkripsi, identitas maupun data-data yang diterima server akan dijaga kerahasiaannya. Keaslian informasi dan data-data dijamin dengan menggunakan sertifikat, sedangkan kesatuan informasi klien dimungkinkan terjadi adanya digital signatures (tanda tangan digital).

Pada SSL, terlibat dua pihak yang saling terpisah meliputi fitur-fitur keamanan yang disertakan dalam setiap komponen pesan yang ada pada saat negosiasi pelayanan keamanan yang dibentuk antara client dan server. Klien merupakan pihak yang menginisiasi (memulai) transaksi, sementara server adalah pihak yang memberikan respon kepada klien dan menegosiasi chiper (sandi) yang sesuai untuk digunakan saat enkripsi.

Sebuah sertifikat adalah sebuah kumpulan data identifikasi dalam format yang telah distandardisasi . Data tersebut digunakan dalam proses verifikasi identitas dari sebuah entitas (contohnya sebuah web server) pada internet. Sertifikat ini secara digital ditandatangani oleh sebuah Certificate Authority (CA), yaitu sebuah entitas yang dapat dipercaya yang diberikan kekuasaan untuk melakukan verfikasi sebuah perusahaan atau individu yang ingin menyediakan aplikasi yang diamankan menggunakan SSL.

Client yang ingin berkomunikasi secara aman dengan entitas tersebut dapat melakukan verifikasi identitasnya dengan menanyakannya pada basis data CA. Sebuah sertifikat juga mengandung kunci publik dari pemiliknya. Kunci ini berpasangan dengan kunci privat yang hanya diketahui oleh pemiliknya. Pasangan kunci ini digunakan untuk vaifikasi identitas dari pemilik sertifikat, dan juga untuk membuat informasi rahasia dapat dipertukarkan antara pemilik sertifikat dan entitas lainnya. SSL adalah protokol keamanan yang digunakan pada hampir semua transaksi amanpada internet. SSL mengubah suatu protokol transport seperti TCP menjadi sebuah saluran komunikasi aman yang cocok untuk transaksi yang sensitif.

SSL menyediakan otentikasi (pada sisi client,dan opsional pada sisi server) terhadap pihak-pihakyang berkomunikasi. SSL dapatmengamankan koneksi antara dua titik, dantidak ada pihak yang dapat melakukan hal-halang bersifat destruktif atau mengaksesinformasi yang bersifat sensitif.SSL menyediakan sebuah saluran komunikasiyang aman tanpa perlu adanya pertemuankedua pihak yang berkomunikasi untukmelakukan proses pertukaran kunci.

SSL menawarkan tiga tingkat keamanan, yaitu:

Authentication: Memastikan bahwa message yang diterima berasal dari seseorang yang tersurat
Confidentiality: Melindungi pesan dari suatu usaha pembacaan oleh penerima yang tidak berhak disepanjang perjalanannya.
Integrity: Memastikan bahwa pesan asli, tidak mengalami perubahan dalam perjalanannya.

Ada tiga protokol pada SSL, yaitu Handshake Protocol (Protokol jabat tangan), Record Protocol (Protokol Catatan), dan Alert Protocol (Protokol Tanda). Pada protokol jabat tangan, klien mengotentikasi server (memastikan identitas server). Setelah protokol tersebut selesai, enkripsi informasi yang dikirimkan klien dilakukan pada fase Record Protocol. Apabila selama sesi terjadi peringatan-peringatan tertentu, peringatan tersebut disertakan pada paket informasi yang terkait dan ditangani dengan menggunakan Alert Protocol

Protokol Jabat Tangan (Handshake Protocol)

Pada protokol Handshake, dilakukan langkah-langkah penting berupa negosiasi algoritma enkripsi (chiper) dan otentikasi server bagi klien. SSL menggunakan kriptografi simetris untuk enkripsi data selama fase transmisi. Kriptografi asimetris (yaitu PKI) digunakan untuk menegosiasi kunci yang digunakan untuk enkripsi simetris di atas. Pertukaran ini penting dalam protokol jabat tangan.

Berikut ini diberikan contoh sederhana hubungan antara klien dan server :

• Klien mengirimkan pesan ClientHello yang menyebutkan versi tertinggi protokol SSL yang dapat ia gunakan, sebuah angka yang acak, daftar chiper dan metode kompresi yang disarankan.
• Server menanggapi dengan ServerHello, yang mengandung versi protokol yang dipilih, sebuah angka yang acak, chiper dan metode kompresi yang dipilih dari yang ditawarkan oleh klien.
• Server mengirimkan sertifikatnya. Hal ini tergantung pada chiper yang digunakan. Terkadang langkah ini tidak perlu dilakukan oleh server.
• Server dapat meminta sertifikat dari klien (optional).
• Server mengirimkan pesan ServerHelloDone, yang mengindikasikan bahwa negosiasi jabat tangan (handshake) telah selesai.
• Klien menanggapi dengan pesan ClientKeyExchange, yang dapat mengandung sebuah PreMasterSecret, kunci publik, atau nihil (tergantung chiper yang digunakan).
• Klien dan server menggunakan angka-angka acak dan PreMasterSecret untuk menghasilkan sebuah rahasia bersama, yang disebut master secret. Semua kunci data yang lainnya diturunkan dari master secret.
• Klien mengirimkan pesan ChangeCipherSpec, yang memberitahu server bahwa semua data yang dikirimkan mulai saat itu akan dienkripsi. Langkah ini merupakan bagian dari Protokol Catatan.
• Klien mengirimkan pesan Finished yang telah dienkripsi, yang mengandung sebuah hash dan MAC atas pesan-pesan jabat tangan (handshake) sebelumnya.
• Server akan berusaha mendekripsikan pesan Finished dari klien, melakukan verifikasi terhadap hash dan MAC. Jika dekripsi atau verifikasi gagal, maka koneksi akan diputus.
• Server mengirimkan ChangeCipherSpec dan pesan Finished yang telah dienkripsi. Klien melakukan dekripsi dan verifikasi seperti yang sebelumnya dilakukan oleh server.
• Protokol jabat tangan telah selesai.

Protokol Catatan (Record Protocol)

Enkripsi untuk semua pesan pada SSL dilakukan pada protokol catatan. Protokol ini menyediakan format yang umum untuk Alert, ChangeCipherSpec, Handshake dan pesan- pesan protokol aplikasi.

Message digest, digital signature, jenis, versi dan panjang pesan merupakan bagian yang direkam pada protokol catatan.

Protokol Tanda (Alert Protocol)

Protokol ini menangani paket informasi yang meragukan. Jika selama proses pertukaran informasi, server atau klien mendapati kesalahan atau error, pihak terkait akan mengirimkan peringatan tentang error tersebut.

Ada tiga macam pesan alert : peringatan, kritis dan fatal. Apabila pesan yang diterima berupa peringatan atau kritis, maka sesi dapat dibatasi sesuai keperluan. Namun jika pesan yang diterima berupa fatal, maka sesi dihentikan.

Jadi dapat disimpulkan dengan penggunaan SSL keamanan pertukaran informasi lewat situs di internet menjadi lebih terjamin. SSL memastikan kerahasiaan, keutuhan dan keaslian informasi yang dipertukarkan, serta melakukan otentikasi server kepada klien. Hal ini dimungkinkan dengan penggunaan kriptografi pada SSL.

Dengan Penggunaan SSL memungkinkan pengguna merasa lebih aman seperti bertransaksi online banking, online shopping, dan kegiatan lainnya lewat internet yang memerlukan jaminan keamanan informasi yang dipertukarkan oleh klien dengan server.

Slide Pemaparan

Akan dijelaskan kemudian mengenai isu–isu serangan pada Internet yang mampu diatasi oleh SSL, peluang penyerang melakukan serangan terhadap suatu web melalui SSL, serta sub protokol yang ada pada SSL untuk menjaga keamanan web pada saat browsing.

Percobaan:

1. Mengaktifkan wi-fi hotspot pada laptop.

2. Hubungkan smartphone dengan wifi menggunakan fasilitas wireless yang sudah ada pada smartphone.

3. Setelah smartphone terhubung dengan wifi laptop, jalankan program Wireshark yang sudah terinstall. ( bisa download di https://www.wireshark.org/download.html )

4. Pada program Wireshark pilih interface yang akan di analisa paket datanya (dalam kasus ini akan dianalisa paket data yang aktif pada interface terpilih).

5. Setelah interface dipilih, dapat langsung mengaktifkan Wireshark untuk menganalisa paket data yang aktif (pengiriman dan penerimaan) yang terjadi antara laptop,smartphone dan internet (proses ini disebut sniffing)

6. Pada saat smartphone melakukan aktivitasnya pada jaringan wireless yang disediakan oleh laptop dan berinteraksi dengan internet, beberapa aktivitasnya meninggalkan jejak yang dapat dilihat (sniff) pada program Wireshark

7. Setelah cukup, berikutnya menghentikan program Wireshark dan menganalisa hasil sniffing yang diperoleh. Akan memakan banyak waktu jika menjalankan program Wireshark terlalu lama, oleh karena itu beberapa detik pun cukup untuk menangkap segala aktivitas yang dilakukan smartphone.

8. Lakukan analisa terhadap beberapa protokol seperti HTTP, UDP, dan TCP. Untuk protokol tertentu seperti TLSv1.2 dan SSL tidak dapat dianalisa, karena protokol tersebut merupakan protokol secure, dimana pada saat untuk menganalisanya, akan mendapatkang karakter yang dimana itu adalah enkripsi pada protokol tersebut.

9. Selesai.

Untuk keterangan mengenai percobaan akan dijelaskan pada Hasil Percobaan dan Pembahasan

Sija Kelas XII