Apa Itu Heartbleed?
Heartbleed adalah sebuah kerentanan dalam beberapa implementasi OpenSSL, sebuah pustaka kriptografi sumber terbuka. Kerentanan ini diumumkan secara publik oleh para peneliti pada 7 April 2014 dan diperbaiki pada bulan yang sama.
Secara resmi dikenal sebagai CVE-2014-0160, kerentanan ini memungkinkan penyerang membaca hingga 64 kilobyte memori per serangan pada klien atau server yang terhubung. Penyerang dapat mengirimkan serangan berulang untuk membaca lebih banyak data dalam potongan 64 KB.
Nama “Heartbleed” berasal dari fakta bahwa ini adalah kelemahan dalam implementasi ekstensi Heartbeat untuk protokol TLS dan DTLS sesuai dengan standar RFC 6520.
Apa Penyebab Heartbleed?
Kerentanan ini disebabkan oleh kode yang ditulis dengan buruk. Kelemahan ini ditemukan pada hari yang sama oleh peneliti keamanan dari Google dan Codenomicon. Mereka segera menyadari bahwa penyerang dapat mengeksploitasi celah ini untuk mengakses konten terenkripsi, nama pengguna, kata sandi, dan kunci privat dari sertifikat X.509.
Pada saat itu, OpenSSL digunakan oleh sekitar 66% dari semua situs web aktif di internet. Para ahli menyebut Heartbleed sebagai salah satu bug keamanan terburuk dalam sejarah internet.
Apakah Heartbleed Masih Menjadi Masalah?
Versi OpenSSL yang lebih lama mungkin masih rentan terhadap bug ini. Heartbleed ditemukan dalam semua versi OpenSSL yang dirilis antara Maret 2012 hingga April 2014. Pada April 2014, masalah ini diperbaiki dengan rilis OpenSSL versi 1.0.1g. OpenSSL.org merekomendasikan organisasi untuk:
- Memperbarui ke versi terbaru OpenSSL.
- Mengganti sertifikat X.509 dengan kunci baru.
Pada tahun 2017, mesin pencari keamanan Shodan merilis laporan yang menemukan hampir 200.000 layanan yang terhubung ke internet masih rentan dan belum diperbaiki dari Heartbleed. Hal ini menunjukkan bahwa beberapa sistem masih tidak mendapatkan pembaruan meskipun ancaman ini sudah diketahui selama bertahun-tahun.
Langkah Keamanan yang Harus Diambil
Meskipun kerentanan ini telah diperbaiki, langkah-langkah berikut harus dilakukan untuk memastikan sistem Anda aman:
- Perbarui OpenSSL ke versi terbaru secara berkala.
- Gunakan alat pemindai keamanan untuk mendeteksi kerentanan Heartbleed di sistem Anda.
- Segera perbaiki dan ganti kunci kriptografi serta sertifikat jika sistem Anda masih menggunakan versi OpenSSL yang rentan.
- Pastikan semua perangkat endpoint juga menerima pembaruan keamanan.