UU ITE (Undang-Undang Informasi dan Transaksi Elektronik) Indonesia membedakan antara tanda tangan elektronik "sederhana" dan tanda tangan elektronik "tersertifikasi" yang diterbitkan oleh Penyelenggara Sertifikasi Elektronik (PSrE) berizin di bawah pengawasan BSSN. Tanda tangan PGP yang dibuat sendiri termasuk kategori sederhana — tetap diakui sebagai alat bukti, tetapi tidak otomatis punya bobot hukum setara tanda tangan tersertifikasi.
Sepasang kunci: publik dan privat
Berbeda dengan enkripsi simetris (seperti AES), di mana satu kunci mengenkripsi dan mendekripsi data, PGP menggunakan sepasang kunci yang terkait secara matematis. Kunci publik bisa disebarkan secara bebas — siapa pun bisa menggunakannya untuk mengenkripsi pesan yang ditujukan hanya untuk Anda — dan hanya kunci privat yang sesuai, yang tidak pernah keluar dari perangkat Anda, yang bisa mendekripsinya.
Sederhana secara hukum, tetap kuat secara kriptografis
Perbedaan antara tanda tangan elektronik sederhana dan tersertifikasi di Indonesia murni soal siapa yang menjamin identitas penandatangan, bukan soal kekuatan matematika di baliknya. Sebuah tanda tangan PGP tetap terbukti secara kriptografis — hanya saja tidak ada PSrE resmi yang menjamin bahwa kunci publik itu benar-benar milik orang yang diklaim.
Tanda tangan digital — ide yang sama, terbalik
Untuk menandatangani pesan, penulis menghash isinya lalu mengenkripsi hash itu dengan kunci privatnya. Siapa pun bisa memverifikasi tanda tangan dengan kunci publik penulis — verifikasi yang berhasil memastikan pesan itu benar-benar dibuat oleh pemilik kunci privat dan tidak diubah setelahnya.
Untuk apa ini dibutuhkan
- Mengenkripsi pesan rahasia untuk penerima tanpa bertukar rahasia terlebih dahulu.
- Menandatangani rilis perangkat lunak atau commit untuk membuktikan kepenulisan, tanpa perlu PSrE bersertifikat.
- Memverifikasi keaslian email atau file yang ditandatangani dari pihak luar.
Web of Trust, Bukan PSrE Berizin
Model tersertifikasi Indonesia bergantung pada otoritas berizin yang memverifikasi identitas dari atas ke bawah. PGP menyelesaikan masalah kepercayaan dengan cara terbalik lewat «Web of Trust»: pengguna saling menandatangani kunci publik satu sama lain, mengonfirmasi bahwa mereka telah memverifikasi secara pribadi siapa pemilik kunci tersebut. Kepercayaan terhadap kunci yang tidak dikenal muncul melalui rantai tanda tangan antarindividu, bukan melalui satu PSrE yang diakui negara.