Delapan kunci penandatanganan milik otoritas sertifikat India eMudhra yang telah disusupi mengungkap celah antara perlindungan browser dan perangkat lunak yang berjalan di balik situs web serta perangkat perdagangan. Hingga 21 Oktober, pembuat browser utama telah memblokir sertifikat yang terdampak, tetapi beberapa program nonbrowser masih dapat menerima kredensial palsu karena tidak memeriksa apakah sertifikat telah dicabut.
Poin Penting
- Para peneliti berhasil memulihkan delapan kunci privat yang lemah dan dapat digunakan untuk menandatangani sertifikat yang menyamar sebagai situs web tepercaya.
- Pembuat browser memblokir sertifikat yang terdampak, tetapi pencabutan saja tidak melindungi perangkat lunak yang tidak pernah memeriksanya.
- Belum ada serangan kripto yang dilaporkan; kekhawatiran ini meluas ke perangkat lunak usang di internet secara lebih luas.
Daftar Isi
- Celah yang tersisa akibat kebocoran kunci eMudhra
- Perlindungan apa yang telah menjangkau pengguna?
- Bagaimana kunci yang lemah merusak verifikasi situs web
- Mengapa perangkat lunak perdagangan memerlukan perhatian tersendiri
- Kesimpulan
Celah yang tersisa akibat kebocoran kunci eMudhra
Perbedaan pentingnya terletak pada pencabutan sertifikat dan memastikan perangkat lunak menolak memercayainya. eMudhra mencabut sertifikat yang terdampak, tetapi peneliti keamanan Scott Helme memperingatkan bahwa langkah ini tidak memberikan perlindungan bagi program yang tidak memeriksa status pencabutan.
Helme mengatakan pengujiannya menemukan bahwa curl, Python, Node, Go, dan Java menerima sertifikat palsu untuk API Stripe. Hal tersebut merupakan demonstrasi penerimaan sertifikat, bukan bukti bahwa Stripe telah dibobol.
Sertifikat palsu dapat memungkinkan penyadap jaringan menyamar sebagai layanan tepercaya serta membaca atau mengubah lalu lintas data. Pemblokiran browser menangani jalur itu untuk browser yang dilindungi; langkah tersebut tidak memastikan bahwa setiap aplikasi terpisah atau sistem backend telah memperoleh perlindungan setara.
| Item | Rincian |
|---|---|
| Mozilla dan Chrome | Keduanya memblokir sertifikat yang terdampak pada 17 Oktober; pemblokiran Mozilla dilakukan sekitar tiga jam setelah laporan diterima. |
| Apple | Menyusul dengan tanggapannya pada 19 Oktober. |
| Microsoft | Menyusul pada 20 Oktober. |
| Pencabutan sertifikat | eMudhra mencabut sertifikat yang terdampak, tetapi perangkat lunak harus memeriksa pencabutan agar langkah tersebut bermanfaat. |
| Perbaikan untuk nonbrowser tersedia | Perbaikan tersedia untuk Go, paket certifi Python, dan webpki-roots Rust. |
| Node.js | Perbaikan masih menunggu hingga 21 Oktober. |
Perlindungan apa yang telah menjangkau pengguna?
Tanggapan dimulai setelah seorang peneliti bernama Wayne memberi tahu pembuat browser pada 17 Oktober. Ia menunjukkan kendali atas kedelapan kunci yang telah disusupi dengan menggunakannya untuk menandatangani peringatannya secara digital. Tersedianya perbaikan tidak membuktikan bahwa setiap instalasi telah diperbarui.
Bagaimana kunci yang lemah merusak verifikasi situs web
Otoritas sertifikat menyediakan kredensial yang digunakan browser untuk memverifikasi identitas situs web. Karena itu, kunci penandatanganan privat memiliki tanggung jawab yang berbeda dari kata sandi situs web biasa: kunci penandatanganan yang disusupi dapat digunakan untuk membuat sertifikat yang tampak autentik bagi situs lain.
Helme mengatakan ia memulihkan kedelapan kunci dari sertifikat publik dalam waktu kurang dari satu detik. Di antara nilai kunci privat yang ia identifikasi adalah 4 dan 56, yang menunjukkan betapa rendahnya hambatan untuk memulihkan kunci tersebut. Menurutnya, kunci-kunci itu telah terekspos sejak April 2025.
Menurut penafsiran Helme atas tiket bug Mozilla, eMudhra menyalahkan bug dalam skrip penyiapan kuncinya.
Mengapa perangkat lunak perdagangan memerlukan perhatian tersendiri
Bagi pengguna kripto, paparan risiko yang relevan tidak terbatas pada membuka bursa melalui browser. Bot bursa, skrip perdagangan, dan backend dompet dapat bergantung pada perangkat lunak nonbrowser yang terdampak. Secara teori, sertifikat API bursa palsu dapat memungkinkan penyerang di jaringan yang sama menyadap atau mengubah lalu lintas data bot.
Belum ada serangan kripto yang dilaporkan. Direktur teknologi Polygon Labs, Mudit Gupta, mengatakan kerentanan tersebut merupakan masalah keamanan perangkat lunak umum, bukan masalah khusus kripto, dengan perangkat lunak yang lebih lama atau belum ditambal menjadi perhatian khusus. Ia mengatakan pengguna yang memperbarui dompet, perangkat perdagangan, dan perangkat mereka menghadapi risiko yang lebih rendah.
Kesimpulan
Tanggapan browser menutup jalur langsung untuk penyamaran melalui sertifikat, tetapi tidak menyelesaikan masalah perangkat lunak yang lebih luas. Paparan risiko yang tersisa bergantung pada apakah masing-masing alat menolak kredensial yang telah disusupi—bukan sekadar apakah penerbitnya telah mencabut kredensial tersebut.
Baca Berita Lainnya
Penafian
Artikel FinanceVelix ini menyediakan informasi umum, bukan nasihat keuangan, investasi, hukum, atau pajak yang dipersonalisasi. Harga pasar, suku bunga, dan kondisi ekonomi dapat berubah; investasi mengandung risiko kerugian. Fakta mencerminkan materi yang tersedia saat diterbitkan dan dapat berubah. Periksa sendiri informasi penting dan konsultasikan dengan profesional berkualifikasi bila diperlukan. Penyebutan aset, perusahaan, atau layanan bukan merupakan bentuk dukungan.
