eMudhra Rilis 8 Sertifikat CA Lemah, Update Perangkat Wajib Segera

Telset.id – Administrator sistem di seluruh dunia kembali dihadapkan pada pekerjaan darurat setelah delapan sertifikat intermediate CA milik otoritas sertifikasi asal India, eMudhra, ditemukan memiliki kunci privat yang sangat mudah ditebak. Sertifikat yang terdiri dari enam TLS dan dua code-signing ini memungkinkan penyerang memalsukan domain apa pun atau menyamar sebagai sumber perangkat lunak resmi, sehingga pembaruan perangkat menjadi wajib dilakukan secepatnya.

Kabar ini datang di tengah pekan yang sudah berat bagi tim keamanan teknologi. Sebelumnya, mereka harus menangani kerentanan kritis RCE pada PHP. Kini, tantangan bertambah karena jumlah mesin dan perangkat lunak yang perlu diperbarui sangat besar. Dampaknya terasa langsung bagi pengguna di jaringan perusahaan, pemerintah, hingga Wi-Fi publik, karena siapa pun yang berada di jalur lalu lintas jaringan dapat mencegat koneksi dan berpura-pura menjadi situs apa pun, termasuk layanan perbankan atau perusahaan teknologi besar.

Menurut laporan Tom’s Hardware, eMudhra menerbitkan enam sertifikat intermediate CA dan dua sertifikat intermediate code-signing dengan kunci privat yang dinilai tidak layak. Kunci privat merupakan bagian rahasia dari dua komponen sebuah sertifikat. Pada sertifikat tersebut, kunci privat hanya sepanjang 1 byte, yang berarti hanya berupa angka 0 hingga 255 dan sangat mudah dipecahkan dengan brute-force dalam hitungan detik. Hingga kini, penyebab pasti insiden tersebut masih dalam penyelidikan.

Bagaimana Sertifikat Lemah Bisa Dipakai Menyerang

Perangkat lunak memverifikasi keabsahan sertifikat melalui rantai sertifikat. Sebuah situs web memiliki sertifikat yang diterbitkan dan ditandatangani oleh intermediate Certification Authority (CA), lalu sertifikat CA tersebut dipercaya dan ditandatangani oleh root certificate yang kuncinya disimpan offline di dalam brankas. Ketika salah satu mata rantai memiliki kunci yang mudah ditebak, penyerang dapat menyisipkan sertifikat palsu ke dalam rantai tersebut.

Konsekuensinya, sistem operasi dan perangkat lunak yang terpasang tidak akan menyadari bahwa koneksi telah dibajak. Dalam skenario code-signing, aplikasi yang diunduh pengguna bisa tampil seolah-olah berasal dari Microsoft atau Google meskipun sebenarnya berbahaya. Skenario ini menjadikan pembaruan tidak lagi sekadar rutinitas, melainkan langkah mitigasi yang mendesak.

Sistem operasi dan puluhan aplikasi di sebuah mesin menyimpan daftar root certificate dan CA yang dipercaya. Peramban juga menyimpan daftar sertifikat yang tidak boleh dipercaya, yang disebut revocation list. Daftar-daftar ini diperbarui secara berkala setiap kali terjadi kesalahan, seperti yang terjadi pekan ini. Kini semuanya perlu diperbarui lagi dengan mencabut delapan CA tersebut, menghapus satu root certificate yang terdampak, atau melakukan hard-coding penolakan terhadap kedelapan kunci yang bermasalah.

Ada kabar baik di balik insiden ini. Versi terbaru Chrome, Brave, Firefox, dan Safari menerapkan fitur bernama Certificate Transparency yang mengonsultasikan log publik baca-saja berisi penerbitan sertifikat. Fitur ini memblokir sertifikat yang tidak tercatat dalam log tersebut. Google melaporkan bahwa tidak ada sertifikat yang ditandatangani oleh enam intermediate CA terdampak yang tercatat di log. Artinya, jika aktivitas pengguna hanya menjelajah web biasa, mereka kemungkinan besar aman. Meski demikian, pengecekan dan pembaruan perangkat lunak tetap perlu dilakukan.

Skala perangkat yang membutuhkan pembaruan menjadi tantangan tersendiri. Daftarnya mencakup PC, server, sistem operasi, ponsel, tablet, router, peramban web, peramban yang tertanam di dalam aplikasi, virtual server, virtual machine, Docker dan container lain, bahasa pemrograman seperti Python, Go, Node.js, dan Rust, utilitas unduhan mandiri seperti curl, serta kemungkinan puluhan atau ratusan kategori lain. Perangkat yang diperkirakan bakal menerima pembaruan mencakup perangkat yang masih aktif didukung. Sementara itu, router lama, peralatan smart dan IoT, serta komputer lama berpotensi menjadi masalah di kemudian hari.

Bagi pengguna yang ingin memantau tren perangkat dan pembaruan teknologi terkini, informasi seputar perangkat baru kerap muncul menjelang peluncuran resmi. Beberapa di antaranya seperti HMD Pulse 2T Pro hingga perangkat wearable seperti Fitbit Edge yang ramai dibahas belakangan ini.

Insiden ini menegaskan bahwa keamanan rantai sertifikat bukan hanya urusan vendor besar. Setiap organisasi yang mengoperasikan jaringan, mulai dari perusahaan hingga penyedia layanan publik, perlu memastikan seluruh perangkat dan perangkat lunak yang digunakan telah menerima pembaruan sertifikat terbaru. Bagi pengguna individu, langkah paling sederhana adalah memeriksa pembaruan sistem operasi, peramban, dan aplikasi yang terpasang, serta tidak menunda pembaruan yang tersedia.

Bagi administrator sistem, penanganan insiden ini menuntut koordinasi lintas perangkat. Selain mencabut sertifikat yang terdampak, mereka perlu memverifikasi bahwa revocation list telah diperbarui di seluruh titik akhir. Perangkat yang sudah tidak lagi menerima dukungan pembaruan menjadi prioritas untuk dievaluasi, mengingat perangkat tersebut tidak akan menerima perbaikan sertifikat secara otomatis. Langkah ini penting agar celah yang sama tidak kembali dieksploitasi di kemudian hari.

Hingga berita ini diturunkan, penyebab munculnya kunci privat sepanjang 1 byte pada sertifikat eMudhra masih dalam penyelidikan. Yang jelas, delapan sertifikat intermediate CA dan code-signing tersebut harus dianggap tidak lagi layak dipercaya, dan pembaruan perangkat menjadi kewajiban yang tidak bisa ditunda.