Telset.id – Administrator sistem di seluruh dunia menghadapi pekan yang berat. Setelah menangani kerentanan kritis PHP RCE, mereka kini harus memperbarui sejumlah besar mesin dan perangkat lunak akibat delapan sertifikat intermediate CA yang tidak aman. Sertifikat yang diterbitkan oleh otoritas sertifikasi (CA) asal India, eMudhra, itu memungkinkan penyerang memalsukan domain apa pun atau menyamar sebagai sumber tepercaya untuk menyebarkan malware.
Dampaknya luas. Penyerang yang berada di jalur lalu lintas jaringan, misalnya di jaringan perusahaan atau pemerintah, Wi-Fi publik, ISP, hingga entitas pemerintah tertentu, dapat mencegat koneksi dan berpura-pura menjadi situs mana pun seperti apple.com, amazon.com, atau bankofamerica.com. Selama sistem operasi dan perangkat lunak yang terpasang belum diperbarui, perangkat tidak akan menyadari pemalsuan tersebut.
Masalah tidak berhenti pada situs web. Dengan sertifikat code signing yang terdampak, aplikasi yang Anda unduh bisa tampil seolah-olah berasal dari Microsoft atau Google. Padahal, aplikasi tersebut bisa saja berisi kode berbahaya yang disamarkan sebagai produk resmi.
Kunci privat hanya 1 byte
Berdasarkan detail teknis yang diungkap, eMudhra menerbitkan enam sertifikat intermediate CA dan dua sertifikat intermediate code signing dengan kunci privat yang sangat tidak disarankan. Kunci privat adalah bagian rahasia dari dua komponen sebuah sertifikat. Pada sertifikat yang bermasalah ini, kunci privat hanya sepanjang 1 byte, sehingga hanya berupa angka 0 hingga 255 yang sangat mudah dipecahkan dengan brute-force dalam hitungan detik. Bagaimana hal ini bisa terjadi masih dalam penyelidikan.
Cara kerja validasi sertifikat menjelaskan mengapa kasus ini serius. Sebuah situs seperti tomshardware.com memiliki sertifikat yang diterbitkan dan ditandatangani oleh intermediate Certification Authority, yang sertifikatnya kemudian dipercaya dan ditandatangani oleh root certificate. Kunci root certificate inilah yang sangat berharga dan disimpan offline di dalam brankas.
Sistem operasi dan puluhan aplikasi di komputer menyimpan daftar root certificate dan CA yang dipercaya. Peramban juga menyimpan daftar sertifikat yang tidak boleh dipercaya, yang disebut revocation list. Daftar-daftar ini diperbarui secara berkala setiap kali terjadi kesalahan, seperti yang terjadi pekan ini. Kini semuanya harus diperbarui lagi dengan mencabut delapan CA tersebut, menghapus satu root certificate yang terdampak, atau melakukan hard-coding penolakan terhadap kedelapan kunci yang terdampak.
Ada kabar baik di tengah kekacauan ini. Versi terbaru Chrome, Brave, Firefox, dan Safari menerapkan fitur bernama Certificate Transparency yang mengacu pada log publik read-only berisi penerbitan sertifikat, lalu memblokir sertifikat yang tidak tercatat. Google melaporkan bahwa tidak ada sertifikat yang ditandatangani oleh keenam intermediate CA terdampak yang tercatat di log tersebut. Artinya, jika aktivitas Anda hanya menjelajah web biasa, Anda kemungkinan aman. Meski begitu, tetap periksa pembaruan seluruh perangkat lunak Anda.
Baca Juga:
Beban pembaruan yang masif
Tantangan terbesar justru pada skala perangkat dan perangkat lunak yang perlu diperbarui. Daftarnya mencakup PC, server, sistem operasi, ponsel, tablet, router, peramban web, peramban web yang tertanam dalam aplikasi, server virtual, mesin virtual, Docker dan kontainer lain, bahasa pemrograman seperti Python, Go, Node.js, dan Rust, utilitas unduh mandiri seperti curl, serta kemungkinan puluhan atau ratusan kategori lain.
Selain itu, ada perangkat yang diperkirakan dan kemungkinan besar akan menerima pembaruan. Namun, router lama, perangkat pintar dan IoT, serta komputer lama berpotensi menjadi masalah di kemudian hari karena sulit atau tidak lagi mendapat pembaruan.
Pengguna yang ingin memantau perangkat pintar terbaru bisa menyimak informasi seputar HMD Pulse 2T Pro yang turut menjadi sorotan. Sementara itu, bagi yang mengikuti perkembangan perangkat wearable, ada pula kabar tentang Fitbit Edge yang disebut membawa layar tambahan.
Bagi administrator sistem, langkah paling mendesak adalah memastikan seluruh perangkat lunak dan sistem operasi telah menerima pembaruan sertifikat terbaru. Mengingat kunci privat yang hanya 1 byte sangat mudah dipecahkan, penyerang di jalur jaringan berpotensi mengeksploitasi celah ini dengan cepat. Pembaruan pada perangkat yang masih didukung menjadi prioritas, sementara perangkat lama dan perangkat IoT perlu dievaluasi ulang keberadaannya di jaringan.
[IMAGE: https://cdn.mos.cms.futurecdn.net/6mmVqfQjXAQVMLwxBZ5SQV.jpg | An Asus RT-BE92U router with four antennas on wooden furniture, next to a lamp and some books]
Komentar
Belum ada komentar.