Security

Antisipasi Hati Yang Luka Di Pc Android

Ilustrasi (gettyimages)Ilustrasi (gettyimages)

Jakarta – Ibaratnya dua partai politik yang bahagia berbalas puisi, pengguna Microsoft Windows sering menjadi sindiran pengguna OS lain alasannya ialah sering menjadi sasaran utama malware dan eksploitasi celah keamanan.

Namun kelihatannya aturan eksekusi alam berlaku, bug Heartbleed yang dipublikasikan awal April 2014 menggemparkan komunitas open source dan lebih banyak didominasi OS open source yang memakai OpenSSL mengalami kerentanan atas bug tersebut.

Di sini terlihat bahwa bahwasanya sekuriti bukan ditentukan oleh apa produk/merek OS yang Anda pakai. Pada prinsipnya semua produk ciptaan insan tidak ada yang tepat sehingga penggunanya harus selalu waspada.

Kalau di dunia PC, OS komputer Microsoft Windows ialah rajanya menyerupai Android yang merajai dunia smartphone, maka OpenSSL sanggup dikatakan sebagai raja di dunia pengamanan koneksi dan dipakai oleh lebih dari 2/3 webserver dunia (Apache dan Nginx).

Selain itu, OpenSSL juga banyak dipakai oleh pembuat aplikasi khususnya aplikasi yang membutuhkan pengamanan kanal kredensial menyerupai security appliances dan router. Seperti beberapa jenis produk hardware Cisco dan Juniper ternyata juga mengadopsi OpenSSL dalam perangkatnya.

Kabar buruknya, eksploitasi terhadap bug hearbleed tidak meninggalkan jejak. Berbeda dengan agresi peretasan webserver dimana acara dan info IP peretas akan disimpan dalam file log yang sanggup membantu analisa dan pelacakan agresi yang dilakukan peretas, eksploitasi terhadap heartbleed tidak meninggalkan jejak atau sesuatu yang asing di log server.

Bug Heartbleed

Untuk Anda yang awam dengan istilah komputer, bug bukanlah virus atau malware. Bug ialah kesalahan atau cacat dalam agenda yang menjadikan agenda berjalan tidak menyerupai yang diperlukan atau menjadi berperilaku tidak wajar.

Tidak semua bug menawarkan efek jelek atau kerugian besar. Beberapa bug menawarkan efek ringan dan tidak terlalu mengganggu dan terkadang tidak terdeteksi dalam jangka waktu yang lama.

Bug yang lain menawarkan efek lebih besar menyerupai menjadikan agenda crash/hang atau BSoD (Blue Screen of Death). Yang paling berbahaya ialah bug yang menjadikan celah sekuriti atau security bug menyerupai Heartbleed bug ini.

Heartbleed bug ialah bug (cacat program) yang terkandung di dalam Heartbeat. Heartbeat ialah ekstensi (program pendukung) bagi OpenSSL.

OpenSSL ialah protokol pengamanan otentikasi open source yang paling banyak dipakai oleh penyedia layanan di internet dunia yang membutuhkan pengamanan kriptografi otentikasi.

Dinamakan Heartbleed alasannya ialah terkandung di dalam ekstensi Heartbeat dari TLS/DTLS (Transport Layer Security Protocol) dengan identifikasi CVE-2014-0160 yang info resminya sanggup diakses dari https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0160.

Heartbleed pada OpenSSL menjadikan bocornya info penting yang seharusnya terlindungi oleh enkripsi SSL/TLS yang selama ini dipakai untuk melindungi privasi dan pengamanan komunikasi pada aplikasi internet menyerupai web, email, instant messaging dan VPN.

Heartbleed memungkinkan siapapun di internet membaca memori sistem yang memakai versi OpenSSL yang mengandung bug ini, lebih tepatnya lagi Heartbleed secara sukarela menawarkan info SSL yang tadinya terenkripsi dan sehabis didekripsi kemudian diberikan kepada komputer yang mengeksploitasi bug ini (Terimakasih kepada bung Hais Wahyu atas info teknis Heartbleed).

Hal ini memungkinkan kriminal untuk mencuri dengar, mengambil data dari server atau pengguna layanan atau menyaru sebagai layanan palsu atau pengguna layanan palsu. Data yang rentan bocor ialah terutama (namun tidak hanya terbatas pada) kunci diam-diam pengamanan enkripsi SSL dan kredensial.

Adapun versi OpenSSL yang rentan ialah OpenSSL 1.0.1 – 1.0.1f. OpenSSL 1.0.0 dan 0.9.8 tidak rentan. OpenSSL 1.0.1g merupakan versi update menambal celah keamanan tersebut. Sedangkan OS Opensource yang terkait celah keamanan ini adalah:
• Debian Wheezy
• Ubuntu 12.04.4 LTS
• CentOS 6.5
• Fedora 18
• OpenBSD 5.3
• FreeBBSD 10.0
• NetBSD 5.0.2
• OpenSUSE 12.2

Selain OS open source di atas, aplikasi yang memakai OpenSSL yang rentan juga perlu melaksanakan update menyerupai IPCop, LibreOffice, LogMeIn dan beberapa versi software sekuriti dan aplikasi McAfee. Selain itu, beberapa layanan game menyerupai Minecraft, Wargaming, League of Legends dan Steam juga memanfaatkan OpenSSL.

Mendeteksi Heartbeat

Jika Anda ingin mendeteksi apakah suatu situs mengandung bug heartbleed, ketika ini sudah banyak beredar ekstensi yang sanggup diinstalkan pada Firefox atau google Chrome. Namun salah satu sumber utama untuk mendeteksi Heartbleed dibentuk oleh Filippo Valsorda yang sanggup anda kanal dari https://filippo.io/Heartbleed/ (lihat gambar 1)


Gambar 1: Situs pengecekan bug heartbleed.

Sedangkan untuk peramban Firefox dan Google Chrome sudah bermunculan banyak Add Ons (Firefox) menyerupai FXBleed dan Extension (Chrome) Chromebleed yang secara otomatis akan mengecek kerentanan Heartbleed dari server situs yang Anda kunjungi.

Perlu menjadi catatan pada gambar di bawah kalau pesan ‘Connection Refused’ berarti port OpenSSL 443 yang dicek tidak menawarkan tanggapan, sanggup saja diblokir oleh IPS/IDS atau memang tidak aktif. Hal ini tidak berarti server yang anda kunjungi mengandung kelemahan atau tidak mengandung kelemahan OpenSSL.

Heartbleed di Android

Bagi Anda pengguna smartphone, secara OS para pengguna iPhone dan Windows Phone boleh membusungkan dada alasannya ialah kedua OS ini tidak memakai OpenSSL.

Sedangkan untuk Android, berdasarkan rilis resmi dari Google hanya Android versi 4.1.1 Jelly Bean yang mengandung celah keamanan ini. Namun Anda jangan eksklusif percaya dengan apa yang dikatakan oleh vendor dan harus melaksanakan crosscheck.

Menurut pengamatan Vaksincom, beberapa smartphone dengan OS Kitkat dari beberapa vendor yang melaksanakan perubahan pada settingan OS Kitkat ternyata mengaktifkan Heartbeat dan otomatis OS Kitkat dengan ekstensi Heartbeat yang diaktifkan mengandung bug Heartbleed ini.

Kabar buruknya, sekalipun OS smartphone Anda sudah kondusif dari heartbeat, namun jikalau Anda memakai apps (aplikasi) yang memakai OpenSSL yang mengandung bug Heartbleed, maka otomatis perangkat anda juga terancam mengalami kerugian atas eksploitasi bug Heartbleed ini.

Untuk memastikan apakah perangkat Anda kondusif dari Heartbleed Anda sanggup mencoba apps dengan nama Bluebox Heartbleed Scanner dari Play Store. (lihat gambar 2)


Gambar 2: Bluebox Heartbleed Scanner

Bluebox Haertbleed scanner tidak saja mengusut apakah perangkat smartphone Anda mengandung bug Heartbleed, namun juga mengusut semua aplikasi yang terinstal pada smartphone, apakah mengandung bug Heartbleed atau tidak? (lihat gambar 3 dan 4)

Perlu Anda perhatikan dan menjadi catatan penting ialah sekalipun Anda memakai versi OpenSSL yang rentan, namun menonaktifkan Heartbeat maka perangkat Anda tidak mengandung kerentanan Heartbleed (lihat gambar 3).

Namun kesalahan setting sedikit saja yang mengaktifkan Heatbeat pada versi OpenSSL yang sama eksklusif mengakibatkan perangkat Anda mengandung kelemahan Heartbleed (lihat gambar 4).

Karena itu Vaksincom menyarankan Anda untuk selalu memakai versi terbaru dari apps dan segera melaksanakan update atas apps yang dipakai jikalau tersedia.


Gambar 3: Perangkat ini tidak mengadung kerentanan Heartbleed meskipun memakai OpenSSL 1.0.1e alasannya ialah Heartbeats dinonaktifkan.


Gambar 4: Perangkat ini sama-sama memakai OpenSSL 1.0.0e yang rentan menyerupai gambar 4 di atas. Namun mempunyai kerentanan eksploitasi Hearbleed alasannya ialah ekstensi heartbeats diaktifkan.

Jika khawatir bahwa aplikasi yang Anda gunakan mengandung kerentanan dan untuk memastikan kredensial Anda telah diganti seiring dengan versi OpenSSL di server penyedia layanan yang telah diupdate anda sanggup melaksanakan hal ini :
1. Logout dari apps yang Anda gunakan.
2. Tunggu 3 menit.
3. Login kembali.

Dengan cara ini, secara tidak eksklusif Anda melaksanakan penggantian token sekuriti yang secara otomatis akan ikut berganti jikalau OpenSSL di server layanan apps Anda telah diupdate. Tetapi ingat, pastikan lakukan hal ini hanya sehabis OpenSSL yang rentan telah diupgrade ke versi 1.0.0.g. Jika ragu silakan hubungi penyedia apps Anda.

*) Penulis, Alfons Tanujaya ialah seorang praktisi antivirus dan keamanan internet. Ia sanggup dihubungi melalui email info@vaksin.com.

Related Articles

Close