SSTP (Secure Socket Tunneling Protocol)

Rekomendasi Keamanan

SSTP (Secure Socket Tunneling Protocol) merupakan salah satu protokol VPN paling aman dan fleksibel karena mengandalkan SSL/TLS 1.2+, serupa dengan keamanan yang digunakan pada perbankan daring. Keunggulan utamanya adalah penggunaan TCP Port 443, sehingga lalu lintas VPN terlihat seperti lalu lintas web biasa (HTTPS) dan mampu melewati hampir semua jenis firewall atau proxy.

1. Gunakan TLS Versi Terbaru (TLS 1.2 atau 1.3)

SSTP bekerja di atas protokol SSL/TLS. Keamanan SSTP sangat bergantung pada versi TLS yang digunakan server Anda.

• Nonaktifkan SSL 3.0 dan TLS 1.0/1.1: Versi ini memiliki kerentanan kritis seperti POODLE.
• Wajibkan TLS 1.2 atau 1.3: Pastikan server hanya menerima negosiasi enkripsi pada versi terbaru untuk menjamin kerahasiaan data yang maksimal.

2. Validasi Sertifikat SSL yang Kredibel

SSTP sangat bergantung pada infrastruktur sertifikat (PKI).

• Hindari Self-signed Certificate: Untuk penggunaan profesional, gunakan sertifikat dari Certificate Authority (CA) publik yang terpercaya. Sertifikat self-signed sering kali memicu peringatan keamanan pada klien dan lebih rentan terhadap serangan Man-in-the-Middle (MitM).
• Cek CRL (Certificate Revocation List): Pastikan server klien dapat mengakses daftar pencabutan sertifikat untuk memastikan sertifikat yang digunakan masih valid dan belum dikompromi.

3. Implementasi Strong Cipher Suites

Meskipun menggunakan TLS, Anda harus memastikan cipher suite yang digunakan adalah yang terkuat.

• Gunakan algoritma enkripsi AES-256-GCM.
• Pastikan mekanisme pertukaran kunci menggunakan Diffie-Hellman (DH) dengan minimal 2048-bit atau Elliptic Curve (ECDHE) untuk mendukung Perfect Forward Secrecy (PFS).

4. Keamanan di Layer 7: Filter Hostname

Karena SSTP berjalan di Layer 7 (Application Layer), Anda bisa memperketat keamanan dengan:

• Strict Hostname Verification: Pastikan klien hanya terhubung ke FQDN (Fully Qualified Domain Name) yang tepat, bukan sekadar alamat IP.
• Web Application Firewall (WAF): Jika memungkinkan, tempatkan filter di depan server untuk mendeteksi anomali pada trafik HTTPS yang masuk.

5. Autentikasi Dua Faktor (2FA)

SSTP sering terintegrasi dengan Active Directory. Manfaatkan integrasi ini untuk menambahkan lapisan 2FA/MFA. Bahkan jika sertifikat SSL atau kata sandi pengguna bocor, penyerang tetap tidak dapat masuk ke jaringan internal tanpa kode verifikasi tambahan.