Sertifikat Digital dan rantai kepercayaan tanda tangan

Puncak rantai kepercayaan. Sertifikat root CA ditandatangani sendiri dan disiapkan di sistem operasi dan browser. Mereka adalah sumber kepercayaan utama — jika Anda percaya root, Anda percaya semua yang diterbitkan di bawahnya.

Root CA jarang menerbitkan sertifikat pengguna akhir langsung. Sebaliknya, mereka menerbitkan sertifikat CA menengah, yang kembali menerbitkan sertifikat pengguna akhir. Ini menambah lapisan keamanan — jika menengah diserang, hanya perlu dicabut, bukan root.

Sertifikat yang diterbitkan kepada seseorang atau organisasi untuk penandatanganan atau autentikasi. Saat memverifikasi tanda tangan, pengecek mengikuti rantai: pengguna akhir → menengah → root. Jika semua kaitan valid dan root dipercaya, tanda tangan dipercaya.

RSA 2048-bit adalah yang paling kecil yang diterima oleh NIST SP 800-131A untuk tanda tangan di luar 2030. ECC P-256 menyediakan keamanan yang sama dengan ukuran kunci yang lebih kecil (256-bit) dan penandatanganan yang lebih cepat — 3 kali lebih cepat daripada RSA 2048. eSign.AI menggunakan ECC P-256 secara baku dan RSA 3072 untuk lingkungan peraturan yang memerlukan RSA.

Dasar CA/Browser Forum: maksimal 398 hari untuk sertifikat TLS. Bagi sertifikat eSignature: sertifikat QTSP Uni Eropa biasanya berlaku 2-5 tahun. Sertifikat CA Tiongkok: 3 tahun. Netrust Singapura: 2-3 tahun. Setelah masa berlaku habis, tanda tangan tetap berlaku tetapi data LTV harus disematkan untuk verifikasi independen.

Root CA → Intermediate CA → Sertifikat penandatanganan adalah rantai standar 3 tingkat. Beberapa QTSP menggunakan 4 tingkat (Root → Negara → CA → Penandatangan). Verifikasi memerlukan semua sertifikat intermediari untuk tersedia — jika sertifikat rantai hilang, tanda tangan menunjukkan "tidak diverifikasi" di Adobe Reader.

OCSP (Online Certificate Status Protocol) memeriksa pengembalian secara real-time, biasanya dengan latency 50-200 ms. CRL (Certificate Revocation List) mengunduh daftar penuh (50 KB - 5 MB) dan menyimpannya di cache. PAdES B-LT menyematkan keduanya OCSP responses dan CRLs saat menandatangani, memastikan verifikasi bekerja bahkan jika CA mengalami downline.

Penerbitan sertifikat mengikuti alur standar: pelanggan mengajukan permohonan dengan dokumen identitas, CA memverifikasi identitas (dengan wajah, melalui eKYC, atau melalui perwakilan terpercaya), CA menerbitkan sertifikat dengan periode keberlanjutan yang ditentukan, dan pelanggan menerima kunci pribadi yang disimpan di medium yang aman (HSM, token, atau vault kunci cloud). Menurut Pasal 15 Undang-undang Tanda Tangan Elektronik Tiongkok, penyedia CA harus memperoleh lisensi dari SCA. Menurut eIDAS, QTSP harus terdaftar di Daftar Terpercaya Uni Eropa dan disemua standar ETSI.

Sertifikat dapat dibatalkan sebelum masa berlaku karena kompromi kunci, kompromi CA, penipuan identitas pelanggan, atau perubahan organisasi (perkongkongan, pemecatan). Informasi pengembalian dipublikasikan melalui CRL (Certificate Revocation List) dan/atau OCSP (Online Certificate Status Protocol). Tanda tangan PAdES B-LT dan B-LTA menyematkan data pengembalian saat menandatangani, sehingga verifikasi bekerja bahkan tahun-tahun kemudian saat CA mungkin tidak beroperasi lagi. Tanpa data pengembalian disematkan, tanda tangan menjadi tak dapat diverifikasi setelah masa berlaku sertifikat — kegagalan yang umum dalam implementasi eSignature lama.

Program penandatanganan perusahaan harus merancang perpanjangan sertifikat 60-90 hari sebelum masa berlaku. Bagi dokumen yang disegel (pengajuan peraturan, sertifikat komplian), perpanjangan harus terjadi sebelum masa berlaku untuk mempertahankan rantai kepercayaan yang berkelanjutan. CA berlisensi SCA Tiongkok biasanya menerbitkan sertifikat 3 tahun; QTSP Uni Eropa menerbitkan sertifikat 2-5 tahun. eSign.AI mengelola perpanjangan secara otomatis untuk sertifikat berbasis cloud dan mengirimkan peringatan untuk sertifikat yang dipelihara pelanggan.