Kunci Privat Delapan Sertifikat CA Bocor, Penyerang Bisa Menyamar sebagai Domain Apa Pun

Dunia keamanan siber kembali diguncang oleh insiden serius: delapan sertifikat intermediate dari otoritas sertifikat (CA) India, eMudhra, diketahui memiliki kunci privat yang sangat lemah, hanya satu byte, sehingga dapat dengan mudah ditebak oleh penyerang. Akibatnya, siapa pun yang berada di jalur lalu lintas jaringan—mulai dari penyedia layanan internet, jaringan perusahaan, hingga Wi-Fi publik—dapat menyadap koneksi dan menyamar sebagai situs web atau aplikasi tepercaya, seperti apple.com, amazon.com, atau bankofamerica.com. Jika sistem tidak diperbarui, pengguna tidak akan menyadari bahwa mereka sedang berinteraksi dengan entitas palsu.

Insiden ini terjadi di tengah minggu yang sudah padat bagi para administrator sistem, yang sebelumnya harus menangani kerentanan kritis remote code execution (RCE) pada PHP. Kini, mereka dihadapkan pada tugas besar untuk memperbarui berbagai perangkat dan perangkat lunak agar mencabut kepercayaan terhadap delapan sertifikat tersebut. Proses pencabutan dapat dilakukan dengan memperbarui daftar pencabutan sertifikat (revocation list) pada sistem operasi dan aplikasi, menghapus satu sertifikat root yang terdampak, atau menolak secara eksplisit kedelapan kunci tersebut.

Secara teknis, sertifikat digital berfungsi sebagai identitas yang memungkinkan komunikasi aman melalui rantai kepercayaan: sertifikat situs web ditandatangani oleh CA intermediate, yang kemudian ditandatangani oleh sertifikat root yang kuncinya disimpan offline dalam brankas. Dalam kasus ini, eMudhra menerbitkan sertifikat dengan kunci privat yang seharusnya dirahasiakan, tetapi justru dibuat dengan panjang satu byte—setara dengan angka 0 hingga 255—sehingga dapat di-brute-force dalam sekejap. Hingga berita ini diturunkan, penyebab kelalaian tersebut masih diusut.

Dampak dari kebocoran ini tidak main-main: penyerang dapat mencegat koneksi pengguna dan menampilkan situs palsu yang tampak sah, atau mendistribusikan malware yang tampak berasal dari pengembang tepercaya seperti Microsoft atau Google. Namun, ada kabar baik: peramban modern seperti Chrome, Brave, Firefox, dan Safari telah menerapkan fitur Certificate Transparency yang memeriksa log publik penerbitan sertifikat dan memblokir sertifikat yang tidak tercatat. Karena Google memastikan tidak ada sertifikat dari keenam CA intermediate yang terdampak yang tercatat, pengguna yang hanya menjelajah web relatif aman. Meski demikian, pembaruan perangkat lunak tetap wajib dilakukan.

Tantangan terbesar terletak pada skala pembaruan yang diperlukan: mulai dari PC, server, sistem operasi, ponsel, tablet, router, peramban web, aplikasi yang membungkus peramban, server virtual, mesin virtual, kontainer Docker, hingga bahasa pemrograman seperti Python, Go, Node.js, dan Rust, serta utilitas unduhan seperti curl. Perangkat lama, router usang, peralatan IoT, dan komputer lawas berpotensi menjadi titik lemah karena sering kali tidak lagi menerima pembaruan keamanan.

Bagi Indonesia, insiden ini menjadi pengingat keras akan pentingnya tata kelola sertifikat digital dan pembaruan perangkat lunak secara berkala. Banyak organisasi di dalam negeri, baik swasta maupun pemerintah, masih menggunakan perangkat lama dan sistem yang tidak terbarui. Jika tidak segera mengambil langkah mitigasi, risiko penyadapan dan penipuan digital dapat meningkat, terutama di sektor keuangan dan layanan publik yang menjadi target empuk. Otoritas siber nasional perlu mempercepat sosialisasi dan memastikan patch keamanan tersedia serta diterapkan di seluruh ekosistem digital.

Ke depan, insiden ini menyoroti perlunya audit menyeluruh terhadap praktik penerbitan sertifikat, tidak hanya di eMudhra tetapi juga di seluruh otoritas sertifikat global. Regulator dan industri harus memperketat standar, termasuk mewajibkan penggunaan kunci yang kuat dan transparansi dalam proses penerbitan. Pertanyaannya, apakah kita akan menunggu insiden berikutnya sebelum memperkuat fondasi keamanan digital yang selama ini kita andalkan?