Internet berada dalam status siaga tinggi setelah ditemukannya delapan sertifikat TLS yang disusupi, terkait kerentanan kritis pada pustaka kriptografi OpenSSL. Dikenal sebagai Heartbleed, celah ini memungkinkan peretas mendekripsi pertukaran data yang dilindungi serta mencuri kunci privat, cookie sesi, dan kata sandi.
Serangan tersebut berdampak pada ribuan server, termasuk milik perusahaan besar dan lembaga pemerintah. Pemulihannya memakan waktu bertahun-tahun, mencakup penambalan OpenSSL, penerbitan ulang jutaan kunci TLS, pencabutan sertifikat, penggantian kata sandi, dan pembaruan sistem tertanam.
Kunci yang disusupi dari eMudhra sangat cacat. Jika kunci privat standar NIST P-384 memiliki 384 bit entropi, kunci-kunci ini hanya memiliki 3 hingga 8 bit. Para insinyur menemukan kunci dengan nilai entropi 4, 56, 66, 115, 155, 156, 230, dan 237 bit, jauh di bawah ambang keamanan yang dapat diterima.
"Seharusnya hal ini tidak mungkin terjadi," kata Valsorda, yang menduga parameter ukuran pada antarmuka pembuatan kunci yang berbahaya mungkin secara keliru diatur ke 1. Ben Cartwright-Cox dari BGP.tools menduga kode contoh mungkin bocor secara tidak sengaja ke lingkungan produksi, dan menyebut kelalaian ini "gila". Insiden ini menyoroti risiko berkelanjutan dalam implementasi kriptografi dan pengawasan sistem.
Sumber: Ars Technica · Diringkas oleh HeadlinesBriefing