8 Sertifikat TLS eMudhra Bocor, Internet Siaga
Judul asli: The Internet goes on high alert after discovery of 8 compromised TLS certs
Mengapa Ini Penting
Sertifikat intermediate yang bocor bisa merusak fondasi kepercayaan TLS di seluruh internet.
Delapan sertifikat TLS intermediate milik eMudhra Limited India ditemukan dengan kunci privat lemah, memungkinkan siapa pun menerbitkan kredensial tepercaya untuk situs mana pun di Internet.
Browser utama dan sejumlah aplikasi besar telah memblokir kedelapan sertifikat intermediate milik eMudhra Limited, certificate authority berbasis India, per Selasa pagi waktu setempat. Penemuan ini bermula dari advisory informal di emudhra.we-have-a-problem.com yang membuktikan kendali atas kunci privat dengan menandatangani pesan secara digital — artinya pihak tidak bertanggung jawab bisa melakukan hal yang sama untuk menerbitkan sertifikat palsu yang dipercaya jutaan server di seluruh dunia.
Sejauh ini belum ada laporan dari certificate transparency logs yang menunjukkan kunci yang bocor digunakan secara jahat. Namun ancaman belum selesai. Filippo Valsorda, cryptography engineer dan maintainer bahasa pemrograman Go, menyebut insiden ini sebagai "pekerjaan pembersihan masif, lebih besar dari Heartbleed." Ia menjelaskan kepada Ars Technica bahwa pembaruan distribusi Linux masih berjalan, belum menyentuh perangkat IoT, Docker container, mesin Linux yang terbengkalai, hingga CLI tools yang membawa salinan root certificate sendiri — pola umum di ekosistem seperti Python.
Heartbleed pada 2014 membutuhkan waktu bertahun-tahun untuk dipulihkan: patching OpenSSL, reissuance jutaan kunci TLS, rotasi password, dan pembaruan perangkat embedded. Valsorda memperingatkan situasi kini lebih kompleks karena lebih banyak konteks, lebih banyak pihak, dan heterogenitas sistem yang jauh lebih tinggi.