Long-Term Validation pada Tanda Tangan Digital
Pada tulisan sebelumnya penulis bercerita tentang Dampak Sertifikat Elektronik yang Kedaluwarsa. Bahwa sertifikat elektronik yang kedaluwarsa dapat melemahkan keabsahan hukum suatu dokumen.
Kemudian pada akhir tulisan, penulis tergelitik untuk mencari, apakah ada solusi untuk kondisi itu?
Dan ternyata ada. Solusi itu adalah Long-Term Validation yang disingkat dengan LTV. Solusi ini datang dengan kerangka yang dikenal dengan PAdES (PDF Advanced Electronic Signature).
PAdES LTV hanya berlaku untuk PDF. Tidak berlaku untuk format selain PDF.
Apa itu Long-Term Validation (LTV)?
Menurut Entrust (https://www.entrust.com/knowledgebase/ssl/document-signing-what-is-long-term-validation-ltv)
LTV (Long Term Validation) provides a record of what state the Certificate was at the time of signing.
Kemudian menurut DocuSign (https://support.docusign.com/s/articles/What-is-Long-Term-Validation-LTV?language=en_US&rsc_301)
When LTV is enabled, the certificates sign-time status is captured and stored inside the PDF document. This is indicated within the signature details if it is LTV enabled or not. This verification certificate remains in the file itself so that its validity can be determined even at some later date, regardless of whether the certificate has expired, been revoked, or the issuing authority no longer exists. Because the record is stored inside the signed document, it is also authenticated by the document’s signature, further reducing chances for error or fraud
Dari kedua referensi tersebut, penulis menyimpulkan bahwa LTV adalah suatu mekanisme untuk memvalidasi keabsahan tanda tangan digital dengan cara menambahkan stempel waktu pada tanda tangan tersebut. Tentunya tidak hanya stempel waktu, namun juga informasi seperti informasi pencabutan (revocation infomation) dari Certificate Revocation List (CRL) atau Online Certificate Status Protocol (OCSP).
Informasi tersebut diperlukan untuk memvalidasinya.
Dengan demikian, maka penerima tanda tangan dapat mempercayai bahwa tanda tangan tersebut valid pada saat dibubuhkan.
Penulis menemukan bahwa pada dokumen yang diterapkan LTV ditempelkan kepadanya 2 jenis sertifikat digital, yaitu:
- Sertifikat penandatangan: Ini adalah sertifikat utama yang mengidentifikasi orang atau entitas yang menandatangani dokumen.
- Sertifikat perantara (intermediate / interchain): Sertifikat ini bertindak sebagai rantai kepercayaan (chain of trust) yang menghubungkan antara sertifikat penandatangan ke sertifikat CA penerbit (issuing Certificate Authority). LTV biasanya menyematkan sertifikat perantara dalam rantai ini sebanyak yang diperlukan.
Jika di Indonesia, sertifikat perantara adalah sertifikat para PSrE yang terdaftar di https://tte.kominfo.go.id/
Berikut adalah contoh gambar yang menunjukkan bahwa suatu dokumen ditandatangani dengan dukungan LTV.
Benefit dari Long-Term Validation (LTV)
Keuntungan dari implementasi LTV adalah:
- Validasi secara offline: Dokumen dapat divalidasi bahkan tanpa akses internet untuk memperoleh informasi sertifikat atau informasi pencabutan (revocation).
- Kepercayaan jangka panjang: Tanda tangan tetap dapat diverifikasi meskipun sertifikat telah habis masa berlakunya atau CA mengubah kebijakannya di masa mendatang.
- Peningkatan keamanan: Menyematkan sertifikat di dalam dokumen mengurangi risiko kerusakan (tampering) atau penggantian denga sertifikat palsu.
Penutup
Long-Term Validation (LTV) memecahkan isu bagaimana memvalidasi tanda tangan digital saat sertifikat digitalnya kedaluwarsa.
Namun demikian, salah satu hal yang menarik dari implementasi LTV adalah (misalnya) jika ada skenario seperti berikut:
Peraturan Menteri Kesehatan Republik Indonesia Nomor 24 Tahun 2022 Tentang Rekam Medis menyebutkan pada pasal 39:
- Penyimpanan data Rekam Medis Elektronik di Fasilitas Pelayanan Kesehatan dilakukan paling singkat 25 (dua puluh lima) tahun sejak tanggal kunjungan terakhir Pasien.
- Setelah batas waktu sebagaimana dimaksud pada ayat (1) berakhir, data Rekam Medis Elektronik dapat dikecualikan untuk dimusnahkan apabila data tersebut masih akan dipergunakan atau dimanfaatkan.
Dokumen rekam medis tersebut disimpan secara elektronik dengan memgimplementasikan fitur LTV dengan durasi 25 tahun dan dikunci (lock) untuk menghindari adanya perubahan informasi rekam medis secara ilegal di masa depan.
Pertanyaan:
Masa berlaku sertifikat RootCA Indonesia, adalah 20 tahun.
Bagaimana caranya agar dokumen rekam medis elektronik tersebut tetap valid meski telah berusia lebih dari 25 tahun bahkan jika sertifikat digital RootCA Indonesia telah kedaluwarsa?
