Iklan
Sebuah novel bug enkripsi telah muncul baru-baru ini, yang dapat menimbulkan ancaman terhadap privasi online. Dijuluki "LogJam," bug terjadi di TSL (Transport Security Layer), protokol enkripsi yang digunakan untuk mengotentikasi server dan menyembunyikan konten aktivitas web yang aman (seperti login bank Anda).
Bug ini memungkinkan penyerang man-in-the-middle untuk memaksa browser Anda, dan server yang terhubung dengannya, untuk menggunakan bentuk enkripsi yang lemah yang rentan terhadap serangan brute-force. Ini terkait dengan Kerentanan RE FREAK ’ SuperFREAK: Kerentanan Bug Keamanan Baru Memengaruhi Keamanan Desktop & Peramban SelulerKerentanan FREAK adalah yang memengaruhi browser Anda, dan tidak terbatas pada satu browser saja, atau sistem operasi apa pun. Cari tahu apakah Anda terpengaruh dan lindungi diri Anda. Baca lebih banyak ditemukan dan ditambal awal tahun ini. Bug-bug ini muncul karena masalah keamanan seperti Heartbleed Heartbleed - Apa yang Dapat Anda Lakukan Agar Tetap Aman? Baca lebih banyak
dan ShellShock Lebih buruk daripada patah hati? Meet ShellShock: Ancaman Keamanan Baru Untuk OS X dan Linux Baca lebih banyak .
Sementara tambalan sedang bekerja untuk sebagian besar peramban utama, perbaikannya mungkin membuat ribuan server web tidak dapat diakses sampai mereka ditingkatkan dengan kode yang diperbaiki.
Warisan Militer
Tidak seperti kebanyakan kerentanan keamanan, yang disebabkan hanya dengan pengawasan programmer 1.000 Aplikasi iOS Telah Melumpuhkan Bug SSL: Cara Memeriksa apakah Anda TerkenaBug AFNetworking memberi masalah pada pengguna iPhone dan iPad, dengan ribuan aplikasi membawa kerentanan yang menghasilkan Sertifikat SSL tidak diautentikasi dengan benar, berpotensi memfasilitasi pencurian identitas melalui man-in-the-middle serangan. Baca lebih banyak , kerentanan ini setidaknya sebagian disengaja. Kembali pada awal 1990-an, ketika revolusi PC sedang berlangsung, pemerintah federal khawatir bahwa ekspor teknologi enkripsi yang kuat ke kekuatan asing dapat membahayakan kemampuannya untuk memata-matai yang lain negara. Pada saat itu, teknologi enkripsi yang kuat dianggap, secara hukum, sebagai bentuk persenjataan. Ini memungkinkan pemerintah federal untuk membatasi distribusinya.
Akibatnya, ketika SSL (Lapisan Soket Aman, pendahulu TSL) dikembangkan, ia dikembangkan dalam dua rasa - versi AS, yang mendukung kunci panjang penuh 1024 bit atau lebih besar, dan versi internasional, yang diunggulkan pada tombol 512-bit, yang secara eksponensial lebih lemah. Ketika dua versi berbeda dari SSL berbicara, mereka kembali ke kunci 512-bit yang lebih mudah rusak. Aturan ekspor diubah karena serangan balik hak-hak sipil, tetapi untuk alasan kompatibilitas ke belakang, versi modern TSL dan SSL masih memiliki dukungan untuk kunci 512 bit.
Sayangnya, ada bug di bagian protokol TSL yang menentukan panjang kunci mana yang digunakan. Bug ini, LogJam, memungkinkan a laki-laki di tengah Apa itu Serangan Manusia-di-Tengah? Jargon Keamanan DijelaskanJika Anda pernah mendengar tentang serangan "man-in-the-middle" tetapi tidak yakin apa artinya itu, ini adalah artikel untuk Anda. Baca lebih banyak penyerang untuk menipu kedua klien agar berpikir mereka sedang berbicara dengan sistem lama yang ingin menggunakan kunci yang lebih pendek. Ini menurunkan kekuatan koneksi, dan membuatnya lebih mudah untuk mendekripsi komunikasi. Bug ini telah disembunyikan dalam protokol selama sekitar dua puluh tahun, dan baru-baru ini terungkap.
Siapa yang Terkena Dampak
Bug saat ini memengaruhi sekitar 8% dari satu juta situs web teratas yang mendukung HTTPS, dan sejumlah besar server surat, yang cenderung menjalankan kode yang ketinggalan zaman. Semua browser web utama terpengaruh kecuali penjelajah internet. Situs web yang terpengaruh akan menunjukkan kunci https hijau di bagian atas halaman, tetapi tidak akan aman terhadap beberapa penyerang.
Pembuat peramban telah sepakat bahwa perbaikan paling kuat untuk masalah ini adalah dengan menghapus semua dukungan lawas untuk kunci RSA 512-bit. Sayangnya, ini akan ditampilkan sebagian dari Internet, termasuk banyak server surat, tidak tersedia hingga firmware mereka diperbarui. Untuk memeriksa apakah browser Anda telah ditambal, Anda dapat mengunjungi situs yang dibuat oleh peneliti keamanan yang menemukan serangan itu di kelemahandh.org.
Menyerang Kepraktisan
Jadi seberapa rentan adalah kunci 512-bit hari ini, sih? Untuk mengetahuinya, pertama-tama kita harus melihat apa yang sedang diserang. Pertukaran kunci Diffie-Hellman adalah algoritma yang digunakan untuk memungkinkan dua pihak untuk menyetujui kunci enkripsi simetris bersama, tanpa membaginya dengan pengintai hipotetis. Algoritma Diffie-Hellman bergantung pada bilangan prima bersama, dibangun ke dalam protokol, yang menentukan keamanannya. Para peneliti dapat memecahkan yang paling umum dari bilangan prima ini dalam satu minggu, memungkinkan mereka untuk mendekripsi sekitar 8% dari lalu lintas internet yang dienkripsi dengan yang lebih lemah 512-bit prime.
Ini menempatkan serangan ini dalam jangkauan untuk "penyerang warung kopi" - pencuri kecil mengintip sesi melalui WiFi publik 3 Bahaya Masuk ke Wi-Fi PublikAnda pernah mendengar bahwa Anda seharusnya tidak membuka PayPal, rekening bank Anda, dan bahkan mungkin email Anda saat menggunakan WiFi publik. Tapi apa risiko yang sebenarnya? Baca lebih banyak , dan kunci yang memaksa setelah fakta untuk memulihkan informasi keuangan. Serangan itu akan sepele bagi perusahaan dan organisasi seperti NSA, yang mungkin berusaha keras untuk mengatur seorang pria dalam serangan tengah untuk spionase. Apa pun yang terjadi, ini memang merupakan risiko keamanan yang kredibel, baik untuk orang biasa dan siapa pun yang mungkin rentan terhadap pengintaian oleh kekuatan yang lebih kuat. Tentu saja, seseorang seperti Edward Snowden harus sangat berhati-hati dalam menggunakan WiFi tanpa jaminan untuk masa depan yang dapat dihindari.
Lebih mengkhawatirkan, para peneliti juga menyarankan bahwa panjang prime standar yang dianggap aman, seperti Diffie-Hellman 1024-bit, mungkin rentan terhadap serangan brutal oleh pemerintah yang kuat organisasi. Mereka menyarankan bermigrasi ke ukuran kunci yang jauh lebih besar untuk menghindari masalah ini.
Apakah Data Kami Aman?
Bug LogJam adalah pengingat yang tidak disukai tentang bahaya mengatur kriptografi untuk tujuan keamanan nasional. Upaya untuk melemahkan musuh-musuh Amerika Serikat telah melukai semua orang, dan membuat kita semua kurang aman. Itu datang pada saat FBI membuat upaya untuk memaksa perusahaan teknologi untuk melakukannya termasuk backdoors dalam perangkat lunak enkripsi mereka. Ada peluang yang sangat bagus bahwa jika mereka menang, konsekuensi untuk dekade mendatang akan sama seriusnya.
Bagaimana menurut anda? Haruskah ada pembatasan kriptografi yang kuat? Apakah browser Anda aman terhadap LogJam? Beri tahu kami di komentar!
Kredit gambar: Perang Dunia Maya Angkatan Laut AS, Keyboard Peretas, HTTP, Tanda NSA oleh Wikimedia
Seorang penulis dan jurnalis yang berbasis di Barat Daya, Andre dijamin tetap fungsional hingga 50 derajat Celcius, dan tahan air hingga kedalaman dua belas kaki.