Begitu banyak barang sehari-hari di negara maju yang kini terhubung ke Internet, seringkali tanpa bisa dijelaskan. Hal ini menambah potensi kegagalan teknologi yang bagi peralatan pribadi dapat menjadi gangguan yang lucu: membutakannya tidak akan terbuka, gelombang mikro itu jangan menyesuaikan dengan perubahan waktu, lemari es itu memerlukan pembaruan firmware.
Namun di perusahaan, ketika perangkat Internet of Things gagal, itu bukan lelucon di Twitter. Jalur perakitan pabrik terhenti. Monitor detak jantung di rumah sakit beralih offline. Papan pintar sekolah dasar menjadi gelap.
Kegagalan perangkat pintar merupakan risiko yang semakin meningkat di dunia perusahaan, dan bukan hanya karena hal tersebut kekhawatiran keamanan yang sering dibahas. Hal ini karena beberapa sertifikat akar perangkat ini — yang diperlukan agar perangkat dapat tersambung ke Internet dengan aman — sudah habis masa berlakunya.
“Perangkat perlu mengetahui apa yang harus dipercaya, sehingga sertifikat root dimasukkan ke dalam perangkat sebagai alat autentikasi,” jelas Scott Helme, peneliti keamanan yang telah ditulis secara luas tentang masalah kedaluwarsa sertifikat root. “Setelah perangkat berada di alam bebas, ia mencoba memanggil 'rumah' — API atau server pabrikan — dan memeriksa sertifikat akar ini untuk mengatakan, 'Ya, saya terhubung ke perangkat aman yang benar ini.' Pada dasarnya [sertifikat root adalah] jangkar kepercayaan, kerangka acuan bagi perangkat untuk mengetahui apa yang diajak bicara.”
Dalam prakteknya otentikasi ini seperti web atau rantai. Otoritas sertifikat (CA) menerbitkan semua jenis sertifikat digital, dan entitas “berbicara” satu sama lain, terkadang dengan berbagai tingkatan. Namun tautan pertama dan paling inti dari rantai ini selalu berupa sertifikat akar. Tanpanya, tidak ada level di atas yang dapat membuat koneksi menjadi mungkin. Jadi, jika sertifikat akar berhenti berfungsi, perangkat tidak dapat mengautentikasi koneksi dan tidak dapat terhubung ke Internet.
Inilah masalahnya: Konsep Web terenkripsi dikembangkan sekitar tahun 2000 — dan sertifikat root cenderung berlaku sekitar 20 hingga 25 tahun. Maka pada tahun 2022, kita berada tepat di tengah-tengah periode kedaluwarsa tersebut.
CA telah menerbitkan banyak sertifikat root baru dalam lebih dari dua dekade terakhir, tentu saja, jauh sebelum masa berlakunya habis. Hal ini berfungsi dengan baik di dunia perangkat pribadi, di mana kebanyakan orang sering melakukan upgrade ke ponsel baru dan mengklik untuk memperbarui laptop mereka, sehingga mereka akan mendapatkan sertifikat yang lebih baru. Namun di perusahaan, memperbarui perangkat bisa menjadi jauh lebih menantang atau bahkan tidak mungkin — dan di sektor seperti manufaktur, mesin mungkin masih berada di pabrik 20 hingga 25 tahun kemudian.
Tanpa koneksi Internet, “perangkat ini tidak ada artinya,” kata Kevin Bocek, wakil presiden strategi keamanan dan intelijen ancaman di Venafi, penyedia layanan manajemen identitas mesin. “Mereka pada dasarnya menjadi batu bata [ketika sertifikat root mereka habis masa berlakunya]: Mereka tidak dapat mempercayai cloud lagi, tidak dapat mengambil perintah, tidak dapat mengirim data, tidak dapat melakukan pembaruan perangkat lunak. Itu adalah risiko yang nyata, terutama jika Anda adalah produsen atau operator.”
Tembakan Peringatan
Risikonya tidak bersifat teoritis. Pada tanggal 30 September, sertifikat root dikeluarkan oleh CA besar-besaran Mari Enkripsi kadaluwarsa — dan beberapa layanan di Internet rusak. Kedaluwarsanya bukanlah suatu kejutan, karena Let's Encrypt telah lama memperingatkan pelanggannya untuk memperbarui ke sertifikat baru.
Tetap saja, Helme menulis di a posting blog 10 hari sebelum masa berlakunya habis, “Saya bertaruh beberapa hal mungkin akan rusak pada hari itu.” Dia benar. Beberapa layanan dari Cisco, Google, Palo Alto, QuickBooks, Fortinet, Auth0, dan banyak lagi perusahaan lainnya gagal.
“Dan yang aneh tentang hal itu,” kata Helme kepada Dark Reading, “adalah tempat-tempat yang menggunakan Let's Encrypt secara definisi sangat modern — Anda tidak bisa begitu saja mengunjungi situs web mereka dan membayar $10 lalu mengunduh sertifikat Anda secara manual. Itu harus dilakukan oleh mesin atau melalui API mereka. Para pengguna ini sudah mahir, dan itu masih menjadi masalah yang sangat besar. Jadi apa yang terjadi ketika kita melihat [kedaluwarsa] dari CA lama yang memiliki pelanggan perusahaan besar ini? Tentu saja dampaknya akan lebih besar.”
Jalan ke Depan
Namun dengan beberapa perubahan, dampak langsung tersebut tidak harus terjadi, kata Bocek dari Venafi, yang memandang tantangan ini sebagai tantangan dalam hal pengetahuan dan rantai komando – jadi ia melihat solusinya baik melalui kesadaran maupun kolaborasi awal.
“Saya sangat gembira saat melihat kepala petugas keamanan dan timnya terlibat di tingkat produsen dan pengembang,” kata Bocek. “Pertanyaannya bukan sekedar, 'Dapatkah kita mengembangkan sesuatu yang aman?' tapi 'Bisakah kita terus mengoperasikannya?' Seringkali ada tanggung jawab bersama dalam pengoperasian perangkat-perangkat terhubung bernilai tinggi ini, jadi kita harus jelas tentang bagaimana kita akan menanganinya sebagai sebuah bisnis.”
Percakapan serupa juga terjadi di sektor infrastruktur, kata Marty Edwards, wakil CTO untuk teknologi operasional dan IoT di Tenable. Dia adalah seorang insinyur industri perdagangan yang pernah bekerja dengan perusahaan utilitas dan Departemen Keamanan Dalam Negeri AS.
“Sejujurnya, di ruang industri yang memiliki utilitas dan pabrik, kejadian apa pun yang menyebabkan penghentian atau kerugian produksi merupakan hal yang memprihatinkan,” kata Edwards. “Jadi di kalangan khusus ini, para insinyur dan pengembang tentu saja melihat dampaknya [dari sertifikat akar yang kedaluwarsa] dan bagaimana kami dapat memperbaikinya.”
Meskipun Edwards menekankan bahwa dia “optimis” dengan pembicaraan tersebut dan dorongan untuk mempertimbangkan keamanan siber selama proses pengadaan, dia yakin diperlukan lebih banyak pengawasan peraturan.
“Semacam standar dasar pelayanan yang mungkin mencakup penjelasan tentang cara menjaga integritas sistem sertifikat,” kata Edwards. “Contohnya, sudah ada diskusi antara berbagai kelompok standar dan pemerintah mengenai ketertelusuran perangkat yang sangat penting.”
Adapun Helme, dia ingin melihat mesin perusahaan diatur untuk pembaruan dengan cara yang realistis dan tidak sulit bagi pengguna atau produsen — sertifikat baru diterbitkan dan pembaruan diunduh setiap lima tahun, mungkin. Namun produsen tidak akan diberi insentif untuk melakukan hal tersebut kecuali konsumen perusahaan mendorongnya, katanya.
“Secara umum, menurut saya ini adalah sesuatu yang perlu diperbaiki oleh industri,” Edwards setuju. “Kabar baiknya adalah sebagian besar tantangan ini belum tentu disebabkan oleh teknologi. Ini lebih tentang mengetahui cara kerjanya, dan menempatkan orang serta prosedur yang tepat.”
