Sertifikat Google Palsu adalah Akibat di-Hack
H-Online.Com – Setelah pada akhir bulan lalu disampaikan bahwa sebuah sertifikat SSL palsu sedang digunakan secara aktif untuk memonitor pengguna Gmail dari Iran, penerbit sertifikat tersebut telah memberikan reaksinya. Penerbit sertifikat, DigiNotar, melaporkan bahwa mereka mendeteksi sebuah penyusupan terjadi ke sistem mereka pada tanggal 19 Juli, saat dimana penyusup membuat sejumlah sertifikat, termasuk sertifikat *.google.com sebagaimana disebutkan diatas
Pada waktu itu, DigiNotar sedang menyelidiki sejauh mana penyusupan tersebut terjadi dan mencabut seluruh sertifikat yang dikeluarkan secara ilegal. Walaupun mereka mengakui ada beberapa sertifikat yang lolos. “Baru-baru ini, kami menemukan setidaknya ada satu sertifikat palsu yang tidak berhasil dicabut saat itu. Setelah diberitahukan oleh sebuah lembaga pemerintah Belanda Govcert, DigiNotar mengambil tindakan cepat dan mencabut sertifikat palsu tersebut.”
Para penyerang secara khusus menargetkan infrastruktur untuk membuat masalah pada SSL dan sertifikat validasi tambahan SSL (EVSSL). DigiNotar akan menghentikan pengeluaran sertifikat hingga mereka menerima hasil audit keamanan lebih jauh dari auditor internal. Mereka tidak menjelaskan mengapa mereka baru mengambil langkah saat ini – padahal penyusupan dilakukan pada pertengahan Juli lalu. Perusahaan menargetkan solusi dari masalah itu selesai pada akhir minggu lalu.
Perusahaan induk Diginotar, VASCO, berharap dapat menenangkan para pelanggan mereka dengan kalimat “Sepanjang enam bulan pertama 2011, pendapatan dari bisnis SSL dan EVSSL tidak kurang dari 100.000 Euro. VASCO tidak mengharapkan insiden keamanan DigiNotar ini akan berdampak signifikan terhadap pendapatan atau rencana bisnis perusahaan di masa mendatang. “Ini hanyalah ketidaknyamanan kecil bagi pengguna Gmail dari Iran yang dimonitoring oleh pemerintah mereka selama kurun beberapa minggu. Jika mereka menggunakan koneksi yang aman ke Google, mereka tidak perlu khawatir mendapatkan masalah dengan keamanan”
Selain itu, tidak dapat dibantah bahwa DigiNotar juga meluputkan masalah sertifikat palsu lainnya selama penyusupan itu terjadi. Sebagai konsekuensinya, para pengembang browser akan mengambil langkah radikal untuk menghentikan “kepercayaan” pada sertifikat DigiNotar. Google dan Mozilla telah mengumumkan rilis update yang menghapus DigiNotar dari daftar otoritas sertifikasi terpercaya. Microsoft menggunakan daftar sertifikat yang diatur secara terpusat, yang di Windows Vista dan versi Windows sesudahnya terupdate secara otomatis. Perbedaan update security sedikit berbeda untuk Windows XP dan Windows Server 2003.
Instruksi untuk menghapus sertifikat root dari Firefox secara manual sudah dipublikasi oleh Mozzila tampaknya keliru. Pengujian oleh team editor H menemukan bahwa, meskipun instruksi tersebut menyebabkan DigiNotar hilang dari daftar otoritas sertifikasi terpercaya, tapi ketika pengaturan jendela dibuka ulang, tidak ada perubahan yang terjadi.
Tampaknya mustahil untuk menghapus sertifikat tersebut dari Mozilla, tetapi sertifikat tersebut dapat “ditandai”sebagai yang tidak bisa dipercaya, meski tetap saja tidak ada indikasi yang tampak menunjukkan bahwa sertifikat itu sudah masuk ke daftar hitam.
Mozilla kini sedang memperbaiki instruksi yang dimaksud dengan mencantumkan petunjuk cara menandai sertifikat tersebut sebagai yang tidak bisa dipercaya, menggantikan petunjuk penghapusan sertifikat yang dimuat di instruksi sebelumnya.
Terjemah Bebas oleh Pengelola Blog http://tanyarezaervani.wordpress.com
Leave a Reply