Memahami Digital Signature/Tanda Tangan Digital

Masalah Authentication dan Integrity

Suatu saat, seorang teman menunjukan kepada anda sebuah file, kemudian dia mengklaim bahwa itu dibuat oleh Si X pada bulan lalu. Apa reaksi anda? Tentunya ada beragam pertanyaan yang akan muncul:

• Apa benar file itu dibuat 1 bulan yang lalu?
• Apa benar file itu dibuat oleh Si X?
• Apa benar isi file yang dilihat sekarang adalah yang ditulis Si X bulan lalu? Mungkin saja isinya sudah diubah sehingga berbeda dengan yang ditulis Si X bulan lalu.

Pertanyaan-pertanyaan itu lah yang menjadi vulnerability yang bisa saja di-exploit oleh seseorang. Dengan kata lain, vulnerability yang dimaksud adalah:

• Authentication: Siapa sebenarnya pembuat dokumen
• Integrity: Apakah dokumen itu masih asli (sama seperti pertama kali dibuat) atau sudah diubah.

Digital Signature/Tanda Tangan Digital

Saat ini teknologi sudah sangat maju sehingga pertanyaan-pertanyaan diatas dapat dijawab dengan meyakinkan. Teknologi yang dimaksud adalah digital signature, yang merupakan gabungan dari kriptografi asimetris dengan fungsi hash.

Proses Signing suatu file adalah dengan menghitung fingerprint dokumen menggunakan fungsi hash, lalu meng-enkripsinya menggunakan privat key si pembuat file.

Digital signature adalah fingerprint/hash yang di-enkripsi

Penerima dokumen dapat melakukan verifikasi dengan cara:

• Melakukan deskripsi signature menggunakan public key si pembuat file sehingga dokumen tersebut kembali menjadi fingerprint.
• Menghitung fingerprint file yang diterima.
• Membandingkan nilai fingerprint dari langkah 1 dengan langkah 2, jika nilainya tidak sama makan dapat dipastikan bahwa file itu sudah tidak asli (compromised).

File yang memiliki digital signature yang valid, dapat membuktikan bahwa:

• File itu benar-benar dibuat oleh pemiliknya.
• File itu tiddak pernah berubah sejak ditanda tangani.

Lalu bagaimana dengan umur file? 

Sebenarnya seseorang tidak bisa mengukur umur suatu file karena file hanyalah susunan bit yang hanya mewakili keadaan "ya" atau "tidak".

Sesuatu yang tidak memiliki wujud fisik tidak bisa diukur umurnya. Umur file adalah ilusi dari meta-data create date yang mudah dimanipulasi.

Maka untuk mengatasinya, tanggal pembuatan file harus dimasukan kedalam file (sebagai data, bukan meta-data) yang telah di-sign. Sehingga apabila ada perubahan, signature menjadi tidak valid.

Dengan cara ini nampaknya semua pertanyaan diatas dapat dijawab dengan meyakinkan, termasuk umur file. 

Masalahnya, karena umur file tergantung dari apakah pencantuman tanggal pembuatan dilakukan dengan benar, bisa saja didalam dokumen tersebut dicantumkan tanggal pembuatan yang salah.

Kesimpulan

Dengan menggunakan digital signature, masyarakat bisa yakin akan authentication dan integrity suatu file, terlebih jika didalam file itu juga dicantumkan tanggal pembuatannya sehingga orang lain bisa yakin akan umur file tersebut. (sumber)