Berita terbaru mengenai dunia maya - sebuah celah keamanan internet yang disebut "heartbleed" ditemukan pada protokol OpenSSL ... Ayo ganti password sobat !!
Openssl adalah sebuah toolkit kriptografi yang mengimplementasikan protokol jaringan Secure Sockets Layer (SSL v2/v3) dan Transport Layer Security (TLS v1) termasuk berbagai standar kriptografi lainnya yang di butuhkan. Openssl sendiri adalah program di Linux yang sifatnya command line tidak menggunakan grafik user interface (GUI), openssl mampu untuk digunakan untuk:
• Membuat parameter kunci (key) RSA, DH & DSA.
• Membuat sertifikat X.509, Certificate Signing Request (CSR) dan Certificate Revocation List (CRL).
• Perhitungan Message Digest (atau sidik dokumen).
• Enkripsi & dekripsi menggunakan cipher.
• Uji SSL/TLS Client & server.
• Menangani e-mail yang di tanda tangani & di enkrip mengunakan S/MIME.
Heartbleed merupakan suatu bug dari fitur yang bernama heartbeat , Fitur HEARTBEAT ini sendiri adalah fitur OpenSSL yang secara rutin memeriksa apakah client dan server terkoneksi.
Dengan mengeksploitasi celah heartbleed pada OpenSSL, hacker bisa mencuri informasi meskipun sebuah situs atau penyedia layanan sudah melakukan enkripsi (ditandai dengan gambar "gembok" dan prefiks "https:" pada URL).
Bagaimana HEARTBLEED bekerja ?
Secara simple hacker dapat memalsukan traffic HEARTBEAT dan merekam balasan server.
Kelemahan HEARTBEAT adalah hacker bisa meminta balasan tertentu sehingga bisa mengambil data yang seharusnya tidak dikirim oleh server.
Contoh : User meminta server untuk mencari data "modifikasi" tapi dengan sedikit perubahan menjadi "modifikasi[200]" maka server akan mengembalikan data modifikasi + 200 karakter sesudah kata tersebut .. hasilnya bisa saja master key, nomor kartu kredit, account bank dan password, dll ...
Masalahnya menjadi besar karena OpenSSL digunakan oleh 66 persen dari seluruh bagianweb internet untuk mengenkripsi data sehingga celah keamanan tersebar luas. Nama-nama besar, antara lain Gmail, Facebook, dan Yahoo, ikut terpengaruh.
jadi kesimpulannya, dari sisi pengguna tak ada yang bisa dilakukan untuk mengatasi bug ini kecuali menunggu penyedia layanan bersangkutan agar menambal celah heartbleed (heartbeat), lalu mengganti password untuk berjaga-jaga apabila kata kunci yang lama telah bocor.
0 komentar:
Post a Comment