Cacat sertifikat eMudhra mendorong Google, Mozilla, Apple, dan Microsoft memblokir sertifikat yang terdampak antara 17 Oktober dan 20 Oktober 2026, setelah para peneliti memulihkan kunci penandatanganan privat untuk delapan sertifikat perantara. Google juga mengumumkan penghapusan yang lebih luas atas sertifikat root eMudhra, dengan peluncuran di perangkat yang mengandalkan Chrome Root Store diperkirakan pada 27 Oktober.
Inti Berita
- Delapan sertifikat perantara memiliki kunci privat yang mudah dipulihkan: enam untuk keamanan situs web dan dua untuk penandatanganan kode.
- Tidak ada sertifikat TLS yang rantai sertifikasinya mengarah ke enam sertifikat perantara terdampak yang tercatat secara publik sebelum pemblokiran Chrome; paparan di luar penegakan transparansi sertifikat masih belum dapat dipastikan.
- Rencana penghapusan sertifikat root oleh Chrome juga dapat mengganggu sertifikat yang sah, sehingga operator situs web terdampak perlu menggantinya.
Daftar Isi
- Bagaimana cacat sertifikat eMudhra merusak kepercayaan
- Hal yang ditetapkan—dan tidak ditetapkan—oleh pemblokiran darurat
- Penghapusan root yang lebih luas menetapkan tenggat penggantian
- Kesimpulan
Bagaimana cacat sertifikat eMudhra merusak kepercayaan
Kunci milik otoritas sertifikat yang berbasis di India dan terdampak ini dibuat pada 30 April 2025. Insinyur Mozilla Dennis Jackson mengatakan bahwa kedelapan kunci menggunakan bilangan bulat yang lebih kecil dari 256, sehingga hampir dapat dipulihkan seketika, alih-alih memiliki tingkat keacakan yang diharapkan dari kunci kriptografi yang aman.
Mozilla secara independen memulihkan kunci tersebut pada 17 Oktober, mengonfirmasi temuan peneliti. Penguasaan atas kunci penandatanganan TLS yang terdampak dapat memungkinkan penyerang memalsukan sertifikat untuk menyamar sebagai situs web di hadapan klien yang masih memercayai otoritas tersebut.
Dalam penjelasan mengenai akar masalah, eMudhra menyebut bahwa masalah tersebut disebabkan oleh skrip pembuatan kunci yang menghasilkan pasangan kunci kedua yang lebih lemah dengan label serupa. Pasangan tersebut keliru digunakan untuk permintaan penandatanganan sertifikat, disertai kesalahan manusia di beberapa tahap proses.
| Item | Detail |
|---|---|
| Chrome | Memblokir kunci publik yang terdampak pada 17 Oktober 2026. |
| Firefox | Menyelesaikan pemblokiran OneCRL pada 17 Oktober pukul 22:59 UTC. |
| eMudhra | Menandai delapan sertifikat terdampak sebagai dicabut pada 18 Oktober. |
| Apple | Menerapkan pemblokirannya pada 19 Oktober. |
| Microsoft | Menerapkan pemblokirannya pada 20 Oktober. |
Hal yang ditetapkan—dan tidak ditetapkan—oleh pemblokiran darurat
Chrome memblokir kunci publik yang terdampak melalui mekanisme CRLSet, sehingga melindungi pengguna tanpa perlu memperbarui atau memulai ulang peramban. Firefox menerapkan pemblokiran OneCRL pada hari yang sama, sementara eMudhra kemudian mencabut kedelapan sertifikat tersebut.
Google menyatakan bahwa sebelum tindakan pemblokirannya, tidak ada sertifikat TLS yang rantai sertifikasinya mengarah ke enam sertifikat perantara terdampak yang muncul di log Certificate Transparency. Karena itu, Google mengatakan sertifikat palsu dari otoritas tersebut tidak mungkin digunakan untuk menyerang klien yang menerapkan persyaratan pencatatan tersebut, termasuk Chrome.
Temuan itu tidak memastikan apakah kunci tersebut disalahgunakan di tempat lain. Perangkat lunak nonperamban belum tentu menerapkan transparansi sertifikat atau menerima pembaruan pemblokiran yang setara, sehingga sejauh mana paparan sebelumnya terjadi masih belum diketahui.
Penghapusan root yang lebih luas menetapkan tenggat penggantian
Pengumuman Google tentang perlindungan Chrome dan Android juga menjelaskan penghapusan emSign ECC Root CA – G3 dari Chrome Root Store. Peluncuran secara luas diperkirakan pada 27 Oktober 2026, dengan ketersediaan lebih awal di kanal prarilis.
Tindakan yang lebih luas ini penting karena sejumlah sertifikat sah yang rantai sertifikasinya mengarah ke root tersebut juga akan berhenti berfungsi di Chrome. Google mengatakan operator situs web terdampak harus memperoleh dan memasang sertifikat TLS pengganti dari hierarki lain yang tercakup dalam root store-nya, dan eMudhra telah berkomitmen membantu para pelanggan bermigrasi.
Google juga mengatakan sedang menyelidiki apakah otoritas sertifikat eMudhra lainnya sebaiknya tetap disertakan dalam Chrome Root Store. Peninjauan itu masih berlangsung dan bukan merupakan penghapusan tuntas semua otoritas eMudhra.
Kesimpulan
Pemblokiran sertifikat secara langsung menangani kunci lemah yang diketahui, tetapi upaya remediasi yang lebih luas masih berlangsung. Tonggak terjadwal berikutnya adalah peluncuran penghapusan root Chrome pada 27 Oktober, yang dapat berdampak pada situs sah yang belum mengganti sertifikat terkait root yang dihapus.
Baca Berita Lainnya
Penafian
Artikel FinanceVelix ini menyajikan informasi umum, bukan nasihat keuangan, investasi, hukum, atau pajak yang dipersonalisasi. Harga pasar, suku bunga, dan kondisi ekonomi dapat berubah; investasi mengandung risiko kerugian. Fakta mencerminkan materi yang tersedia pada saat diterbitkan dan dapat berubah. Periksa informasi penting secara mandiri dan konsultasikan dengan profesional yang berkualifikasi jika diperlukan. Penyebutan suatu aset, perusahaan, atau layanan bukan merupakan dukungan.
