Tanda Tangan Digital Aplikasi: Cara Memeriksa Penerbit Perangkat Lunak

Saat memasang aplikasi, nama file dan tampilan situs pengunduh belum cukup untuk memastikan keamanannya. Tanda tangan digital membantu memeriksa apakah berkas benar-benar diterbitkan oleh pihak yang tercantum dan tidak diubah setelah ditandatangani. Pemeriksaan ini penting terutama ketika Anda mengunduh installer dari internet, menerima aplikasi melalui surel, atau memasang pembaruan secara manual.

Artikel ini menjelaskan cara membaca informasi penerbit dan sertifikat pada aplikasi, khususnya di Windows dan macOS. Tanda tangan digital bukan jaminan bahwa sebuah program selalu aman, tetapi menjadi salah satu pemeriksaan teknis yang berguna sebelum instalasi.

Apa itu tanda tangan digital aplikasi?

Tanda tangan digital adalah data kriptografis yang ditempelkan pada berkas aplikasi oleh penerbitnya. Data tersebut dibuat menggunakan sertifikat digital dan kunci privat milik penanda tangan. Sistem operasi kemudian menggunakan kunci publik di dalam sertifikat untuk memeriksa tanda tangan.

Jika pemeriksaan berhasil, biasanya dapat disimpulkan bahwa berkas masih sesuai dengan versi yang ditandatangani dan sertifikatnya dapat dikenali. Jika berkas berubah setelah ditandatangani, tanda tangan dapat dinyatakan tidak valid. Perubahan bisa terjadi karena korupsi saat pengunduhan, modifikasi sengaja, atau proses pengemasan yang keliru.

Perlu diingat, tanda tangan digital menjawab pertanyaan siapa yang menandatangani dan apakah berkas berubah, bukan pertanyaan apakah perangkat lunak tersebut cocok untuk kebutuhan Anda atau bebas dari semua risiko keamanan.

Mengapa penerbit perlu diperiksa?

Nama aplikasi dapat ditiru dengan mudah, sedangkan sertifikat penerbit lebih sulit dipalsukan tanpa menguasai kredensial penanda tangan. Dengan memeriksa penerbit, Anda dapat membedakan installer resmi dari file yang memakai nama atau ikon serupa.

• Mengurangi risiko file palsu: informasi penerbit membantu mengenali aplikasi yang berasal dari pihak berbeda dari yang Anda harapkan.
• Mendeteksi perubahan berkas: tanda tangan yang rusak dapat menunjukkan file tidak lagi sama dengan versi yang dirilis.
• Menilai sumber unduhan: penerbit yang jelas dan sertifikat yang valid lebih meyakinkan daripada installer tanpa identitas.
• Membantu audit komputer: informasi sertifikat berguna ketika Anda perlu mencatat asal program yang terpasang.

Cara memeriksa tanda tangan digital di Windows

Windows menyediakan pemeriksaan melalui jendela properti berkas untuk banyak format aplikasi, seperti installer atau pustaka program. Langkahnya dapat berbeda sedikit menurut versi Windows, tetapi alurnya umumnya sama.

1. Temukan file installer di File Explorer. Klik kanan berkas tersebut, lalu pilih Properties atau Properti.
2. Buka tab Digital Signatures. Jika tab ini tidak tersedia, file mungkin tidak memiliki tanda tangan yang dikenali Windows.
3. Pilih salah satu entri penanda tangan pada daftar, kemudian tekan Details. Jendela ini menampilkan status tanda tangan.
4. Periksa pesan status. Keterangan seperti tanda tangan valid berarti pemeriksaan dasar berhasil, sedangkan pesan bahwa tanda tangan tidak valid memerlukan penyelidikan lebih lanjut.
5. Pilih View Certificate untuk melihat nama subjek, penerbit sertifikat, masa berlaku, dan jalur ke otoritas sertifikasi.

Bagian penting dalam detail sertifikat

• Issued to atau Subject: menunjukkan identitas pihak yang menerima sertifikat. Nama ini sebaiknya sesuai dengan nama perusahaan atau pengembang yang Anda harapkan.
• Issued by atau Issuer: menunjukkan otoritas sertifikasi yang menerbitkan sertifikat. Sistem operasi menggunakan rantai kepercayaan ini untuk menilai sertifikat.
• Valid from dan Valid to: menunjukkan periode berlaku sertifikat. Sertifikat yang sudah kedaluwarsa atau belum berlaku harus diperlakukan dengan hati-hati.
• Digital Signature Information: menjelaskan apakah tanda tangan dapat diverifikasi dan apakah ada masalah pada file atau sertifikat.
• Timestamp: menandai waktu penandatanganan. Pada kondisi tertentu, cap waktu membantu sistem menilai bahwa sertifikat masih berlaku ketika file ditandatangani, meskipun masa berlakunya kemudian berakhir.

Jangan hanya melihat kata “valid”. Baca juga nama penerbit. Tanda tangan yang valid dari penerbit yang tidak dikenal tetap perlu diperiksa melalui sumber unduhan, nama domain, dan konteks aplikasi.

Cara memeriksa aplikasi di macOS

macOS menggunakan Gatekeeper dan mekanisme notarization untuk membantu menilai aplikasi yang diunduh dari internet. Ketika pertama kali membuka aplikasi, sistem dapat menampilkan nama pengembang dan peringatan keamanan.

1. Unduh aplikasi dari situs pengembang atau kanal distribusi yang dapat dipercaya.
2. Buka aplikasi secara normal dan baca dialog keamanan. Perhatikan nama pengembang yang ditampilkan macOS.
3. Jika sistem menolak aplikasi, jangan langsung menonaktifkan perlindungan. Cari tahu apakah aplikasi memang berasal dari pengembang yang Anda kenal dan apakah versi tersebut kompatibel dengan macOS.
4. Untuk pemeriksaan tambahan, buka informasi aplikasi melalui Finder dan tinjau asal file, tanggal unduhan, serta izin yang diminta saat aplikasi dijalankan.

Peringatan macOS dapat muncul karena aplikasi belum dinotariskan, sertifikat pengembang bermasalah, atau file berasal dari sumber yang tidak dikenal. Alasan tersebut berbeda-beda, sehingga keputusan tidak boleh dibuat hanya berdasarkan satu pesan.

Memahami hasil pemeriksaan

Hasil pemeriksaan biasanya jatuh ke dalam beberapa kondisi. Valid dan penerbit sesuai adalah kondisi yang paling meyakinkan untuk tahap awal. Valid tetapi penerbit tidak sesuai berarti tanda tangan kriptografis bekerja, namun Anda perlu memastikan apakah perusahaan tersebut memang pengembang, distributor, atau vendor pembungkus aplikasi.

Tidak valid dapat berarti file berubah, sertifikat dicabut, rantai sertifikat tidak dipercaya, atau ada masalah waktu sistem. Periksa tanggal dan waktu komputer, lalu unduh ulang dari sumber resmi. Jika status tetap tidak valid, jangan lanjutkan instalasi sebelum mendapatkan penjelasan dari pengembang.

Tidak ada tanda tangan tidak otomatis membuktikan file berbahaya. Sebagian perangkat lunak lama, skrip, atau utilitas komunitas memang tidak ditandatangani. Namun, kondisi ini menghilangkan salah satu lapisan verifikasi, sehingga Anda perlu lebih ketat memeriksa reputasi sumber, checksum yang disediakan pengembang, dan hasil pemindaian keamanan.

Contoh pemeriksaan sebelum memasang installer

Bayangkan Anda memperoleh installer bernama “Pembaruan_PDF.exe” dari sebuah forum. Sebelum membukanya, cari versi yang sama di situs resmi pengembang. Jika file resmi memiliki penerbit yang jelas, bandingkan nama penerbit dan ukuran file. Buka properti installer, lihat tab tanda tangan digital, lalu pastikan subjek sertifikat sesuai dengan pengembang yang dicari.

Jika file forum tidak memiliki tanda tangan, namanya berbeda, atau sertifikatnya diterbitkan untuk organisasi lain, perlakukan sebagai file berisiko. Hapus file tersebut dan gunakan installer dari kanal resmi. Jangan mengandalkan ikon aplikasi, nama folder, atau komentar pengguna sebagai satu-satunya bukti keaslian.

Checklist singkat yang dapat digunakan

• Unduh aplikasi dari situs pengembang atau toko aplikasi yang terpercaya.
• Periksa apakah file memiliki tab tanda tangan digital atau peringatan pengembang dari sistem operasi.
• Pastikan nama penerbit pada sertifikat sesuai dengan aplikasi yang hendak dipasang.
• Perhatikan status validitas, masa berlaku, dan kemungkinan masalah pada rantai sertifikat.
• Jangan abaikan peringatan hanya karena aplikasi terlihat populer atau mendesak untuk dipasang.
• Unduh ulang jika file rusak, lalu bandingkan checksum apabila pengembang menyediakannya.
• Gunakan pemindai keamanan dan jalankan aplikasi dengan hak akses minimum yang diperlukan.

Penutup

Memeriksa tanda tangan digital aplikasi adalah kebiasaan sederhana yang dapat mengurangi risiko memasang file palsu atau berubah. Fokuskan pemeriksaan pada dua hal: status kriptografis tanda tangan dan identitas penerbit di dalam sertifikat. Gabungkan hasil tersebut dengan sumber unduhan, izin aplikasi, serta pemeriksaan keamanan lainnya. Jika identitas penerbit tidak jelas atau tanda tangan tidak valid, pilihan paling aman adalah menunda instalasi dan mencari salinan resmi.