Bagaimana TLS/HTTPS bekerja?

Question

IT Interview Practice · Accepted Answer

**HTTPS hanyalah HTTP yang berjalan di dalam kanal terenkripsi TLS.** TLS (Transport Layer Security) memberi Anda tiga jaminan: **confidentiality** (trafik terenkripsi), **integrity** (tak bisa diubah tanpa terdeteksi), dan **authentication** (Anda benar-benar bicara dengan server yang disebut dalam certificate). Ia dinegosiasikan dalam sebuah **handshake** sebelum ada HTTP yang dikirim:

```text
Client                                   Server
  │──── ClientHello ──────────────────────▶│   (TLS versions, cipher suites, random)
  │◀─── ServerHello + Certificate ─────────│   (chosen cipher + cert with public key)
  │                                         │
  │  verify cert against a trusted CA       │
  │  agree on keys (e.g. ECDHE key exchange)│
  │                                         │
  │──── Finished (encrypted) ──────────────▶│
  │◀─── Finished (encrypted) ───────────────│
  │========= encrypted application data ====│   (now HTTP flows, encrypted)
```

Bagian cerdiknya adalah menggabungkan dua jenis kripto. Kriptografi **asymmetric** (pasangan kunci publik/privat pada certificate) dipakai hanya sebentar untuk *mengautentikasi server dan menyepakati sebuah shared secret secara aman*. Shared secret itu lalu menjadi kunci enkripsi **symmetric** yang cepat (seperti AES) untuk sebagian besar data — karena kripto asymmetric terlalu lambat untuk setiap byte.

**Authentication** bergantung pada rantai certificate: certificate server ditandatangani oleh sebuah **Certificate Authority (CA)**, dan OS/browser Anda disertai daftar CA tepercaya. Jika rantainya valid dan namanya cocok, kepercayaan terbentuk; jika tidak (kedaluwarsa, self-signed, host salah), browser menampilkan peringatan. **TLS 1.3** modern merampingkan semua ini menjadi satu round trip (0-RTT saat menyambung kembali) dan membuang cipher lama yang tidak aman.

## Mengapa ini penting

TLS menjadi fondasi hampir seluruh trafik web, sehingga memahaminya adalah syarat dasar untuk peran backend, security, atau infrastruktur mana pun. Pewawancara memakainya untuk menguji apakah Anda menangkap **model kripto hibrida** — asymmetric untuk membentuk kepercayaan dan sebuah kunci bersama, symmetric untuk kecepatan — sebuah pola yang berulang di berbagai sistem keamanan. Ini juga sangat praktis: certificate kedaluwarsa, rantai tak tepercaya, dan ketidakcocokan protocol/cipher adalah insiden production yang umum, dan mengetahui cara kerja handshake serta validasi certificate adalah yang memungkinkan Anda mendiagnosisnya dengan cepat (mis. dengan `curl -v` atau `openssl s_client`).

Mengapa ini penting

Pertanyaan terkait