PKI dan Sertifikat Digital untuk Pemerintah

Pemerintah dan PKI Teknologi

Semakin banyak, pemerintah nasional di seluruh dunia secara aktif beralih ke infrastruktur kunci publik (PKI) dan sertifikat digital untuk keperluan:

• Program ID nasional.
• Sistem masuk tunggal (SSO) untuk workstation dan aplikasi perangkat lunak.
• Email pemerintah yang ditandatangani dan dienkripsi.
• Otentikasi dokumen melalui tanda tangan digital.
• Otentikasi identitas warga negara untuk layanan online seperti pembayaran pajak.

Program ID digital nasional adalah pekerjaan yang sedang berlangsung di seluruh dunia. Menurut a Laporan Bank Dunia 2016, “Sebagian besar negara berkembang memiliki beberapa bentuk skema ID digital yang terkait dengan fungsi tertentu dan melayani sebagian dari populasi, tetapi hanya sedikit yang memiliki skema multiguna yang mencakup seluruh populasi.” Menurut laporan yang sama, alasan untuk mengadopsi ID digital berbeda-beda di setiap negara: "Di negara berpenghasilan tinggi, ID digital mewakili peningkatan dari sistem ID fisik lama yang mapan dan kuat yang telah bekerja cukup baik di masa lalu," sementara " negara-negara berpenghasilan rendah… seringkali tidak memiliki sistem pencatatan sipil dan identitas fisik yang kuat dan membangun sistem ID mereka secara digital, melompati sistem berbasis fisik yang lebih tradisional. ” Dalam kedua kasus tersebut, jelas bahwa tren global mengarah pada penciptaan sistem ID digital nasional baru atau perluasan sistem yang ada.

Dalam banyak kasus, inisiatif seperti ini termasuk undang-undang untuk membuat lembaga yang ditugaskan untuk mengembangkan dan menegakkan standar nasional infrastruktur kunci publik (PKI), lisensi lokal otoritas sertifikat (CA) untuk memberikan sertifikat digital, dan / atau mengembangkan yang dikelola pemerintah PKI dan CA. Agen-agen ini biasanya diberi judul Otoritas Teknologi Informasi dan Komunikasi (Atau Otoritas TIK). Artikel ini dimaksudkan untuk memberikan para pembuat keputusan di Otoritas TIK nasional dan CA berlisensi dengan informasi yang mereka butuhkan untuk menjawab pertanyaan-pertanyaan penting seperti:

• Haruskah kita mengembangkan internal kita sendiri PKI, atau kontrak layanan CA yang ada?
• Apa rute tercepat dan paling efisien untuk menawarkan sertifikat yang dipercayai publik kepada warga negara kita?

PKI, Sertifikat Digital, dan CA: Tinjauan Cepat

Pendeknya, Infrastruktur Kunci Publik (PKI) digunakan untuk mengelola pasangan kunci publik dan pribadi dan ikat mereka dengan identitas entitas, seperti orang dan organisasi, melalui penerbitan dokumen elektronik yang disebut sertifikat digitalMatematika di belakang PKI memastikan bahwa jika sertifikat tertanda dengan kunci pribadi entitas yang diberikan, siapa pun dengan kunci publik dari pasangan dapat:

• Verifikasi bahwa entitas yang menyajikan sertifikat yang ditandatangani memiliki kunci pribadi yang sesuai (keaslian).
• Percayalah bahwa konten sertifikat belum diubah sejak awalnya dibuat (integritas).
• Gunakan kunci publik untuk mengenkripsi pesan yang hanya dapat didekripsi dengan kunci pribadi terkait (enkripsi).

Dengan mengaktifkan keaslian, integritas, dan enkripsi, PKI dan sertifikat digital memungkinkan komunikasi yang aman melalui jaringan yang tidak aman, seperti Internet. Organisasi yang memelihara a PKI dan mengelola penerbitan dan pencabutan sertifikat digital dikenal sebagai a otoritas sertifikat (CA).

Kepercayaan Publik vs. Pribadi

Meskipun ada banyak aplikasi untuk sertifikat digital, penggunaannya yang paling terkenal adalah untuk penjelajahan web yang aman, yang dimungkinkan melalui SSL /TLS dan protokol HTTPS. Untuk mencegah peringatan browser dan pesan kesalahan, sertifikat digital yang dikeluarkan untuk situs web yang menghadap publik harus ditandatangani oleh a CA dipercaya publik. Kepercayaan publik juga diinginkan untuk sertifikat yang akan digunakan dengan klien email, sistem operasi desktop, dan perangkat lunak lain untuk pengguna akhir, sehingga pengguna atau staf TI tidak perlu menambahkan sertifikat yang dipercaya secara pribadi ke toko sertifikat OS.

CA yang dipercayai publik secara rutin dan ketat diaudit untuk kepatuhan dengan standar industri, seperti WebTrust untuk CA, untuk disertakan dalam toko kepercayaan publik dari sistem operasi utama dan pemasok perangkat lunak seperti Microsoft, Apple, Google, dan Mozilla. Perlu waktu bertahun-tahun bagi CA untuk dapat disertakan ke dalam semua program ini, dan mereka harus menjalani audit rutin dan ketat untuk mempertahankan status tersebut. Sebaliknya, CA yang dipercaya secara pribadi tidak tunduk pada standar ini, tetapi tidak berguna untuk aplikasi yang berhubungan dengan publik.

Mengapa pemerintah harus bergerak menuju PKIkeamanan siber berbasis?

Meningkatnya digitalisasi catatan dan transaksi publik pemerintah dalam beberapa tahun terakhir telah memicu mata para penjahat dunia maya. Pemerintah adalah penjaga dana publik yang besar dan penjahat dunia maya telah terbukti gigih dalam mencoba berbagai metode yang memungkinkan mereka untuk mendapatkan imbalan uang ini. Negara juga merupakan pemegang sejumlah besar informasi rahasia yang, setelah berhasil diretas, telah digunakan untuk taktik ransomware dan pemerasan.  

Artikel dari Majalah Keamanan menyatakan bahwa "diperkirakan dua juta serangan dunia maya pada tahun 2018 mengakibatkan kerugian lebih dari $45 miliar di seluruh dunia karena pemerintah daerah berjuang untuk mengatasi ransomware dan insiden berbahaya lainnya.” 

Tahun 2018 juga merupakan saat Amerika Serikat menjadi negara yang menerima kerugian finansial tertinggi akibat serangan siber, dengan angka mencapai lebih dari $13.7 miliar. 

Mungkin salah satu alasan utama mengapa negara harus terus meningkatkan keamanan siber mereka adalah karena mereka mengumpulkan banyak informasi pribadi dari warga yang mempercayakan kesejahteraan mereka kepada lembaga-lembaga publik ini.

Serangan Siber Pemerintah Terkemuka

Contoh pertama ini bukanlah serangan jahat, melainkan peretasan topi putih yang dilakukan oleh peneliti keamanan Chris Vickery pada tahun 2015. Dia menemukan database yang salah konfigurasi yang memaparkan informasi pribadi 191 juta pemilih di seluruh negeri kepada hampir semua orang di internet. Di antara informasi yang tidak dilindungi termasuk nama pemilih, tanggal lahir, alamat dan nomor telepon. Seorang petugas polisi yang diwawancarai mengenai kebocoran ini menyatakan keprihatinannya atas keselamatannya karena penjahat kemudian dapat mengakses informasi tentang dia. 

Serangan SolarWinds 2019 – yang dianggap sebagai spionase berbasis internet paling mengkhawatirkan yang dilakukan terhadap pemerintah AS – membuat ribuan jaringan pemerintah rentan terhadap serangan dunia maya. Akun email dari 27 jaksa AS telah diretas dan informasi sensitif tentang penyelidikan dan informan pemerintah kemungkinan telah dikompromikan. Akun email pejabat di Departemen Perdagangan dan Keuangan juga dibobol. 

Departemen Kesehatan dan Layanan Alaska (DHSS) diserang Mei 2021 lalu ketika situs webnya ditemukan rentan oleh peretas yang kemudian berpotensi mengekspos informasi pengenal pribadi (PII) dari individu yang tak terhitung jumlahnya, termasuk nomor telepon mereka, nomor jaminan sosial, dan informasi keuangan. Satu bahaya dengan informasi sensitif yang dicuri adalah bahwa peretas dapat menggunakan ini untuk menggunakan taktik rekayasa sosial seperti menelepon bank dan bekerja untuk menipu karyawan bank agar menyebabkan perubahan pada rekening bank korban. 

Pejabat kota Peterborough di New Hampshire menjadi korban Juli lalu oleh peretas rekayasa sosial menggunakan strategi yang disebut Kompromi Email Bisnis (BEC). Pejabat departemen keuangan kota dikirimi email terselubung yang menginstruksikan mereka untuk meneruskan pembayaran layanan publik ke rekening bank lain. Taktik penipuan ini berhasil diterapkan dua kali dalam satu bulan dan total $2.3 juta dicuri oleh pencuri cyber.

Pemerintah PKI Pengembangan: Internal vs. Hosted

Sekali pemerintah memutuskan bahwa itu perlu a PKI untuk menerbitkan sertifikat kepada warganya (atau perusahaan lokal meminta izin untuk menawarkan sertifikat atas nama pemerintah), pemikiran pertama yang umum adalah berinvestasi dalam pengembangan infrastruktur independen. Lagi pula, perangkat lunak untuk mengimplementasikan CA yang ditandatangani sendiri tersedia dengan biaya rendah atau tanpa biaya melalui perangkat lunak seperti Windows Server, OpenSSL, dan EJBCA. Namun, pada pandangan kedua, opsi ini memiliki beberapa tantangan dan biaya yang berpotensi merusak kesepakatan untuk diatasi:

• Mencapai kepercayaan publik untuk penggunaan tanpa batas dengan sistem operasi desktop dan perangkat lunak seperti browser web, klien email dan office suites biasanya merupakan proses yang panjang dan sulit, dan pencapaian serta pemeliharaan status ini tidak dijamin.
• Biaya untuk menemukan dan mempekerjakan staf yang berkualitas untuk mengoperasikan secara aman dan efektif a PKI pada skala nasional cukup besar.
• Biaya perangkat keras dan jaringan yang terkait dengan membangun dan memelihara nasional PKI mungkin lebih besar dari perkiraan semula. Selanjutnya, upaya untuk skala PKI (misalnya, untuk mencakup lebih banyak warga dan memungkinkan layanan pemerintah penting tambahan) kemungkinan akan membutuhkan keahlian dan infrastruktur tambahan dari waktu ke waktu.

Ketika teknologi digital dan kebutuhan keamanannya yang terkait menjadi lebih terkait dengan proses pemerintah dan semakin banyak lembaga dan warga memanfaatkan sepenuhnya sertifikat digital, perangkat keras, jaringan, dan biaya personel semua dapat diharapkan tumbuh. Biaya ekspansi ini dapat menjadi faktor pembatas dalam penggunaan PKI untuk potensi sepenuhnya untuk melayani suatu bangsa dan warganya.

Keuntungan dari Hosted PKI

Beberapa CA publik komersial, termasuk SSL.com, saat ini menawarkan host yang dipercaya secara publik dan pribadi PKI sebagai layanan, dan menawarkan potensi bagi pemerintah dan pemegang lisensi mereka untuk melewati banyak masalah yang dirinci di atas. Selain itu, standar industri untuk keamanan dan keandalan yang dimiliki CA ini biasanya sudah sesuai dengan PKI standar dan pedoman yang dikeluarkan oleh Otoritas TIK nasional. Dengan memilih yang di-host PKI dengan CA publik terkemuka, pemerintah dapat berharap untuk menemukan:

• Sistem efektif sudah ada untuk penerbitan sertifikat, pemeliharaan siklus hidup, dan kedaluwarsa, bersama dengan pemberitahuan otomatis tentang kedaluwarsa sertifikat yang akan datang.
• A PKI sudah beroperasi dengan sukses pada skala global.
• CA yang harus sering, audit terperinci yang memenuhi atau melebihi standar yang diberlakukan oleh Otoritas TIK negara, dan diharuskan untuk tetap mengikuti standar industri yang berkembang dan praktik terbaik.

Dalam kebanyakan kasus - dan terutama untuk negara-negara berkembang - solusi yang di-host akan ditemukan lebih murah, lebih sederhana untuk diterapkan, dan lebih aman daripada mencoba untuk mengembangkan tanaman rumahan. PKI.

Hosted PKI dari SSL.com

Untuk pelanggan pemerintah kita secara global, SSL.com menawarkan manfaat kelas dunia berikut:

• Solusi Khusus: SSL.com bekerja sama dengan pemerintah dan pemegang lisensi di seluruh dunia untuk mengoptimalkan pembuatan, instalasi, dan siklus hidup sertifikat untuk kartu ID pintar dan aplikasi lainnya.
• CA bawahan bermerek: Di-host bawahan CA (juga dikenal sebagai mengeluarkan CA) dari SSL.com menawarkan kontrol penuh atas penerbitan dan pengelolaan sertifikat yang dipercaya secara publik atau pribadi, dengan biaya yang lebih murah untuk membangun CA root mereka sendiri dan PKI infrastruktur. Misalnya, CA lokal yang berlisensi untuk menerbitkan sertifikat atas nama pemerintah dapat segera mencapainya kepercayaan publik, kepatuhan terhadap peraturan, dan sertifikat digital bermerek.
• Alat Manajemen: Alat manajemen online SSL.com memungkinkan pengguna untuk dengan mudah menerbitkan volume tinggi sertifikat dan mengelola siklus hidupnya.
• API: Administrator dapat dengan mudah mengotomatiskan penerbitan sertifikat dan siklus hidup dengan SSL.com API Layanan Web SSL (SWS).

Layanan spesifik apa yang ditawarkan SSL.com yang membantu memerangi ancaman keamanan siber yang dihadapi oleh lembaga pemerintah?

SSL Sertifikat

Sertifikat SSL kami dapat mengamankan situs web pemerintah dengan mengenkripsi informasi pribadi dan sensitif yang diunggah oleh pengguna publik, termasuk alamat rumah, nama pengguna dan kata sandi, nomor jaminan sosial, dan detail keuangan mereka. Kami menggunakan enkripsi kunci publik standar industri yang disebut sebagai 2048+ Bit SHA2 yang sangat sangat sulit dibobol oleh hacker. Kami juga menawarkan sertifikat SSL Wildcard yang sangat praktis digunakan untuk kantor pemerintahan. Wildcard SSL memungkinkan lembaga pemerintah untuk melindungi situs web utama mereka serta situs web/subdomain cabang mereka hanya dengan satu sertifikat. Mempertimbangkan bahwa departemen pemerintah memiliki banyak biro di bawah mereka, memiliki perlindungan yang menyeluruh PKI sertifikat sangat mengurangi kemungkinan penyerang dapat melakukan serangan pintu belakang. Klik di sini untuk memilih di antara beberapa jenis sertifikat SSL yang kami tawarkan, termasuk Wildcard.  

Ekstensi Surat Internet Aman/Serbaguna (S/MIME)

Seperti yang dibahas di bagian sebelumnya, email telah menjadi strategi utama yang digunakan oleh penjahat dunia maya dalam mencuri sejumlah besar uang dan data sensitif dari lembaga pemerintah. Di sinilah S/MIME hadir sebagai alat pertahanan yang kuat dalam melindungi sistem dan transaksi email pemerintah. Menggunakan PKI dan enkripsi asimetris, dan S/MIME sertifikat dari SSL.com memungkinkan lembaga pemerintah untuk memastikan keaslian email di antara karyawan dan pejabatnya. Jika dua atau lebih departemen atau biro pemerintah berkomunikasi, S/MIME sertifikat juga memberikan jaminan bahwa email benar-benar berasal dari sumber asli dan bahwa pesan email dilindungi saat dalam perjalanan karena dienkripsi. Selain itu, S/MIME juga merupakan pencegah yang kuat bagi pegawai dan pejabat pemerintah untuk ditipu oleh peretas atau bertindak ceroboh karena ini menciptakan sistem di mana email yang masuk dievaluasi terlebih dahulu untuk melihat apakah mereka dienkripsi dengan kunci kriptografi yang membuktikan bahwa identitas sumber email itu sah . Jadi, tidak masalah jika email penipuan telah direkayasa secara sosial agar terlihat seperti berasal dari sumber asli, tidak adanya S/MIME sertifikat akan segera memperingatkan bahkan karyawan yang paling tidak mengerti teknologi untuk tidak menghiburnya. Pergi ke halaman ini untuk melihat yang mana S/MIME sertifikat dari SSL.com paling sesuai dengan kebutuhan Anda.

Penandatanganan Cloud eSigner

Instansi pemerintah menangani banyak dokumen. Mengirim dokumen otoritatif palsu telah menjadi salah satu taktik yang digunakan oleh peretas untuk mencuri informasi rahasia, uang, dan data pengguna dari lembaga pemerintah. Menggunakan PKI enkripsi dan teknologi cloud, aplikasi web eSigner Express SSL.com memungkinkan kantor publik untuk menandatangani dan mengotentikasi dokumen dengan aman dari perangkat apa pun yang terhubung ke internet. Fitur ini sangat berguna selama pandemi Covid-19 ini di mana banyak kantor menerapkan beberapa tingkat pekerjaan jarak jauh untuk karyawan mereka. Teknologi cloud telah terbukti jauh lebih murah daripada peralatan penyimpanan yang terikat perangkat keras. Karena eSigner adalah sistem penyimpanan berbasis perangkat lunak, eSigner juga menawarkan perlindungan yang hampir tahan dari bencana seperti kebakaran, gempa bumi, dan banjir, serta pencurian fisik.

SSL.com memiliki semua alat yang diperlukan untuk dihosting, diberi merek, dipercaya secara publik atau pribadi PKI yang memenuhi pedoman dari Otoritas TIK sebagian besar negara atau badan pengatur TI lainnya. Jika Anda ingin menghubungi kami untuk informasi lebih lanjut, memberi tahu kami kebutuhan spesifik Anda, atau meminta staf kami meninjau dan mengkonfirmasi kemampuan kami untuk mematuhi pedoman nasional Anda, silakan hubungi kami melalui email di Sales@SSL.com or Support@SSL.com, panggil +1 877-SSL-AMAN, atau cukup klik tautan obrolan di kanan bawah halaman ini.