SULAWESI BARAT — Apple memblokir delapan sertifikat keamanan web yang berpotensi dipakai penipu untuk memalsukan situs resmi. Meski Safari, Chrome, dan Firefox sudah menolak sertifikat tersebut, seorang engineer kriptografi memperingatkan bahwa macOS masih mempercayainya karena tidak memeriksa status pencabutan. Pengguna Mac diminta waspada hingga patch keamanan dirilis.
Delapan sertifikat intermediate yang bermasalah telah dicabut oleh Apple setelah ditemukan celah pada skrip pembuatannya. Sertifikat jenis ini berfungsi membuktikan kepemilikan sebuah situs, sehingga Safari bisa memastikan pengguna benar-benar membuka apple.com dan bukan situs tiruan.
Kesalahan pada skrip pembuatan sertifikat membuat sejumlah private key bisa ditemukan hanya dengan menguji 256 kemungkinan angka. Angka itu tergolong sangat kecil, sehingga kunci privat dapat ditebak dengan perangkat biasa.
Sertifikat intermediate adalah lapisan perantara dalam rantai kepercayaan TLS. Ketika pengguna membuka situs, browser memeriksa apakah sertifikat yang diterima masih valid dan diterbitkan oleh otoritas tepercaya.
Skrip yang keliru menghasilkan kunci privat dengan entropi rendah. Alhasil, siapa pun yang mengetahui polanya bisa merekonstruksi kunci dan memakai sertifikat tersebut untuk mengaku sebagai situs sah.
Apple sudah mencabut delapan sertifikat tersebut dan memastikan celah serupa tidak muncul pada sertifikat yang diterbitkan setelahnya.
Apple, Google, dan Mozilla masing-masing memblokir sertifikat bermasalah di browser mereka. Safari, Chrome, dan Firefox kini menolak sertifikat tersebut saat digunakan untuk membuka situs.
Masalahnya, perlindungan itu berhenti di level browser. Engineer kriptografi Mozilla, Dennis Jackson, memperingatkan bahwa macOS tetap mempercayai sertifikat yang sama karena sistem operasi tidak memeriksa informasi pencabutan.
Jackson juga menyoroti utilitas bawaan /usr/bin/curl di macOS. Bundel sertifikat yang dipakai curl tidak mengecek status pencabutan, sehingga koneksi lewat terminal berpotensi tetap menerima sertifikat yang sudah dicabut.
Jika sebuah Mac sudah pernah menerima salah satu sertifikat tersebut, sistem akan terus mempercayainya. Kondisi ini membuka ruang bagi penyerang yang memegang kunci privat untuk menyamar sebagai situs legitimate di hadapan pengguna Mac.
Sejauh ini belum ada bukti sertifikat tersebut dieksploitasi di lapangan. Tidak ada laporan insiden yang mengaitkan pencabutan ini dengan serangan aktif terhadap pengguna.
Apple diperkirakan bisa menutup celah ini lewat pembaruan keamanan macOS berikutnya. Perusahaan belum menyebut tenggat resmi perbaikannya.
Pengguna Mac sebaiknya tidak mengabaikan pembaruan sistem operasi dalam beberapa pekan ke depan. Aktifkan pembaruan otomatis agar patch keamanan langsung terpasang begitu tersedia.
Hindari membuka tautan situs perbankan atau layanan pembayaran dari pesan yang tidak diminta. Periksa kembali alamat situs secara manual, terutama jika browser menampilkan peringatan sertifikat.
Bagi pengguna yang sering memakai curl untuk mengunduh berkas dari internet, pertimbangkan memverifikasi checksum berkas secara terpisah. Langkah ini mengurangi risiko menerima berkas dari server yang menyamar.
Pencabutan sertifikat ini menyentuh lapisan fondasi keamanan web yang jarang dibahas di permukaan. Pengguna awam tidak perlu memahami detail kriptografinya, tetapi perlu tahu bahwa pembaruan macOS kali ini bukan sekadar perbaikan kosmetik.