Delapan kunci rahasia milik eMudhra, perusahaan India yang menjamin keaslian situs web, berhasil dibobol. Para pengembang browser dan perangkat lunak bergegas merilis perbaikan
Saat pengguna mengunjungi situs web, browser mereka memeriksa sertifikat digital untuk memastikan bahwa situs tersebut asli. Sertifikat itu diterbitkan oleh perusahaan yang disebut otoritas sertifikat, dan eMudhra adalah salah satunya. Menurut The Register, perusahaan ini telah menerbitkan lebih dari 60 juta sertifikat.
Setiap otoritas sertifikat menandatangani sertifikatnya dengan kunci privat. Bayangkan kunci itu sebagai stempel utama. Jika seseorang mencuri atau membobol stempel tersebut, mereka dapat memalsukan sertifikat yang tampak asli untuk situs web mana pun. Sebagai
Pengguna kripto juga bisa terdampak, meski dampaknya terutama terjadi di luar browser. Bot bursa, skrip trading, dan backend dompet sering berjalan menggunakan Python, Node, atau Go. Secara teori, sertifikat palsu untuk API bursa dapat memungkinkan penyerang di jaringan yang sama membaca atau mengubah lalu lintas bot. Sejauh ini, belum ada serangan kripto yang dilaporkan.
Pembuat browser dan pengembang perangkat lunak telah merilis perbaikan darurat. Mozilla menerima laporan tersebut pada 17 Oktober, setelah pukul 20.00 UTC, dan menerapkan pemblokiran sekitar tiga jam kemudian. Chrome memblokir sertifikat tersebut pada hari yang sama. Apple menyusul pada 19 Oktober dan Microsoft pada 20 Oktober. eMudhra juga telah mencabut sertifikat-sertifikat tersebut.
Rincian persis tentang bagaimana bencana ini terjadi diungkap dalam Buletin Keamanan Resmi Mozilla. Menurut Helme, tiket bug Mozilla menyebutkan bahwa eMudhra menyalahkan bug pada skrip penyiapan kuncinya.
Kekhawatiran sebenarnya ada di luar browser. Banyak program tidak pernah memeriksa apakah sebuah sertifikat telah dicabut. "Jadi, fakta bahwa eMudhra dan Sectigo telah mencabut sertifikat perantara ini sama sekali tidak membantu mereka," tulis Helme.
Ia mengatakan pengujiannya menunjukkan bahwa perangkat seperti curl, Python, Node, Go, dan Java menerima sertifikat palsu untuk API Stripe. Perbaikan telah dirilis untuk Go, paket certifi milik Python, dan webpki-roots milik Rust. Saat terakhir diperiksa, perbaikan untuk Node.js masih belum tersedia.