Android 17 Kini Punya Perlindungan terhadap Sertifikat Website Palsu

CA bertugas memastikan sertifikat hanya diberikan kepada pihak yang berhak mengendalikan sebuah domain.

Google menjelaskan bahwa proses Domain Control Validation merupakan bagian penting dari keamanan karena bertujuan memastikan sertifikat hanya diterbitkan kepada operator domain yang sah.

Tanpa pemeriksaan tersebut, penyerang berpotensi memperoleh sertifikat valid untuk domain yang bukan miliknya.

Inilah yang membuat masalah sertifikat menjadi berbeda dengan website phishing biasa.

Pada phishing konvensional, penipu biasanya menggunakan domain yang dibuat menyerupai domain asli.

Misalnya, huruf tertentu diganti, ditambah, atau dibuat sedemikian rupa sehingga sekilas terlihat sama.

Dalam kasus penyalahgunaan sertifikat yang jauh lebih serius, ancamannya adalah adanya sertifikat yang diterbitkan secara tidak sah untuk domain yang sebenarnya.

Bagaimana Certificate Transparency Bekerja?

Certificate Transparency dapat dianalogikan sebagai buku catatan publik untuk sertifikat website.

Ketika Certificate Authority menerbitkan sertifikat, keberadaan sertifikat tersebut harus dicatat dalam Certificate Transparency log.

Log ini dirancang agar dapat diaudit.

Dengan demikian, penerbitan sertifikat tidak hanya menjadi urusan antara pemilik website dan CA. Terdapat catatan yang memungkinkan operator domain, perusahaan teknologi, peneliti keamanan, dan sistem keamanan mendeteksi sertifikat yang mencurigakan.

Google menjelaskan:

"Android is enabling Certificate Transparency (CT) by default, requiring all certificates to be logged in a public registry."

Artinya, Android 17 mengaktifkan Certificate Transparency secara default dan mengharuskan sertifikat dicatat dalam registri publik.