Metode pemeriksaan dan nilai rujukan

Nilai rujukan

Kolom "Nilai rujukan" di lembar hasil menunjukkan apa yang dibutuhkan untuk nilai penuh. Hasil di bawah rujukan diberi flag L; hasil di bawah 50 diberi flag ! (kritis).

Cakupan pemeriksaan

SecScan memeriksa sebuah host dari sisi luar, seperti yang dilihat browser atau klien SSH mana pun di internet. Pemeriksaan bersifat read-only: pemindai hanya mengirim pesan pembuka protokol (TLS ClientHello, banner SSH) dan membaca balasan pertama server. Tidak ada login, tidak ada data aplikasi, dan tidak ada percobaan serangan.

• Target berupa domain atau IP, dengan port opsional (host:port, bawaan 443). Maksimal 4 target sekali periksa.
• Domain di-resolve lalu alamat pertama (IPv4 bila ada) yang diperiksa. Alamat privat, loopback, dan link-local ditolak supaya pemindai tidak bisa dipakai menjangkau jaringan internal.
• Periksa hanya sistem milik sendiri atau yang sudah memberi izin.

Cara kerja tiap probe

Versi TLS

Untuk setiap versi (1.0, 1.1, 1.2, 1.3) dikirim satu ClientHello yang hanya menawarkan versi itu. Versi dianggap aktif jika server membalas ServerHello dengan versi yang sama. Pesan dibuat manual byte demi byte, jadi hasilnya tidak bergantung pada versi TLS yang didukung library di mesin pemindai.

Key exchange pasca-kuantum (TLS 1.3)

Setiap grup diuji sendiri-sendiri. ClientHello TLS 1.3 menawarkan tepat satu grup di supported_groups dengan key_share kosong. Server yang mendukung grup itu wajib membalas HelloRetryRequest yang menyebut grup tersebut (RFC 8446 §4.1.4); server yang tidak mendukung membalas alert. Dengan cara ini pemindai tidak perlu mengimplementasikan ML-KEM sendiri.

Sertifikat

Pemindai melakukan handshake TLS biasa dan mengambil sertifikat leaf: jenis dan ukuran kunci publik, algoritma tanda tangan, dan tanggal kedaluwarsa. Handshake kedua memvalidasi rantai dan nama host terhadap trust store sistem. OID ML-DSA-44/65/87 dan SLH-DSA dikenali sebagai sertifikat pasca-kuantum.

SSH

Port 22 dan 2222 dibuka, banner dibaca, lalu pemindai membaca pesan KEXINIT server. Pesan ini dikirim tanpa enkripsi sebelum autentikasi dan berisi daftar algoritma key exchange dan host key yang didukung server. Koneksi ditutup sebelum ada login.

Cara menghitung skor

Setiap pemeriksaan menghasilkan nilai 0–100. Skor komposit adalah rata-rata tertimbang dari pemeriksaan yang dipilih, dibulatkan: skor = Σ(bobot × nilai) / Σ bobot. Pemeriksaan yang tidak dipilih tidak ikut dihitung.

Key exchange PQ

Sertifikat

Semua kunci klasik mendapat nilai yang sama. Algoritma Shor memecahkan RSA dan ECC sama-sama, dan memperbesar kunci RSA ke 3072 atau 4096 bit tidak menambah ketahanan kuantum yang berarti. Nilai lebih tinggi untuk RSA besar akan mendorong migrasi ke arah yang salah.

Versi TLS

Nilai = poin ÷ 40 × 100. Contoh: TLS 1.3 saja = 100; TLS 1.2 + 1.3 = 62; tanpa TLS 1.3 = 0.

SSH

Untuk port terbuka, nilai = poin ÷ 50 × 100.

Grade dan status PQC

• Siap PQC: key exchange dan sertifikat sama-sama bernilai 100.
• Sebagian siap: key exchange sudah PQ, sertifikat masih klasik. Ini kondisi terbaik yang bisa dicapai situs publik hari ini.
• Belum siap: key exchange belum PQ.

Alasan pembobotan

• Key exchange (100) mendapat bobot terbesar karena ancamannya sudah berjalan sekarang: lalu lintas yang direkam hari ini bisa dibuka setelah komputer kuantum tersedia. Pemilik situs juga bisa memperbaikinya hari ini dengan update software.
• Sertifikat (60) melindungi identitas server. Tanda tangan lama tidak bisa dipalsukan mundur, jadi ancamannya baru nyata saat komputer kuantum ada. Pemilik situs juga belum bisa berbuat banyak sampai CA menerbitkan sertifikat PQC.
• SSH (50) adalah pintu masuk administrasi. Port SSH yang terbuka ke publik memperluas permukaan serangan, jadi menutupnya dinilai paling tinggi.
• Versi TLS (40) adalah prasyarat: key exchange PQ hanya ada di TLS 1.3, dan TLS 1.2 yang masih aktif membuka jalan bagi klien untuk turun ke key exchange klasik.

Penjelasan ancamannya ada di Memahami hasil pemeriksaan.

Batasan

• Hanya satu alamat IP per target yang diperiksa. Host dengan banyak IP atau load balancer bisa memberi hasil berbeda per node.
• Situs di belakang CDN atau reverse proxy dinilai dari edge-nya, bukan dari server asal.
• Yang diperiksa hanya permukaan publik: HTTPS dan SSH. VPN, jaringan internal, token aplikasi (JWT), data tersimpan, HSM, dan penandatanganan firmware tidak terlihat dari luar dan perlu inventaris kriptografi (CBOM) tersendiri.
• Hanya sertifikat leaf yang dinilai; CA perantara dan root belum ikut dinilai.
• Firewall atau rate limit bisa memblokir probe dan membuat fitur terlihat tidak aktif.
• Hasil adalah potret saat pemeriksaan dilakukan.