Sebuah laporan baru menunjukkan beberapa jaringan pribadi virtual (VPN) populer mungkin membuat pengguna terkena risiko keamanan yang signifikan.
VPN adalah opsi populer untuk bisnis dan konsumen, memberikan ukuran keamanan dan privasi saat menjelajahi web. Sayangnya, sebuah laporan baru oleh AppEsteem menemukan bahwa sejumlah opsi populer termasuk Surfshark, Turbo VPN, Atlas VPN, VyprVPN, VPN Proxy Master, dan Sumrando VPN menempatkan penggunanya pada risiko dengan praktik yang meragukan.
AppEsteem menemukan bahwa keenam VPN yang terdaftar memasang sertifikat root mereka sendiri. Sertifikat root adalah komponen penting dalam kriptografi dan enkripsi, yang pada dasarnya membuktikan validitas kunci enkripsi. Karena sertifikat root ditandatangani sendiri, yang paling tepercaya dikeluarkan oleh otoritas sertifikat (CA) yang mapan.
Daripada menggunakan sertifikat root dari CA tepercaya, masing-masing dari enam VPN menginstal sertifikat root yang ditandatangani sendiri. Meskipun ini mungkin tidak tampak seperti masalah, ini membuat pengguna VPN tersebut rentan terhadap serangan karena sertifikat root memberi penerbit kemampuan untuk menangkap hampir semua data yang dikirim dan diterima komputer. Risiko itulah mengapa sangat penting untuk memercayai CA secara implisit dan mencoba membatasi jumlah sertifikat root yang diinstal pada perangkat.
Selain implikasi privasi, sertifikat root yang ditandatangani sendiri juga mewakili titik kemungkinan serangan oleh aktor jahat, peretas, dan pemerintah jahat. Daripada menyerang CA profil tinggi, entitas yang bermusuhan hanya perlu berkompromi dengan penyedia VPN dan sertifikat yang ditandatangani sendiri untuk kemudian membahayakan perangkat apa pun dengan sertifikat yang diinstal. Akibatnya, merupakan praktik yang sangat dipertanyakan bagi penyedia VPN untuk menggunakan sertifikat mereka sendiri, bukan sertifikat dari CA tepercaya.
Sayangnya, setidaknya dalam kasus Surfshark, memasang Sertifikat Root Tepercaya bukanlah satu-satunya praktik yang dipertanyakan. Surfshark juga menginstal aplikasi Surfshark TAP Driver Windows, Avira, dan Open VPN, semuanya tanpa meminta izin.
Lebih buruk lagi, Surfshark melanjutkan penginstalan Sertifikat Root Tepercaya bahkan jika pengguna membatalkan proses penginstalan. Aplikasi ini juga menjalankan banyak proses di latar belakang dan gagal menghapus proses tersebut sepenuhnya saat dicopot pemasangannya.
Surfshark menghubungi TechRadar untuk memberi tahu mereka bahwa itu bekerja dengan AppEsteem untuk mengatasi masalah yang diangkat. Perusahaan mempertahankan penggunaan sertifikat root terlepas dari kenyataan bahwa penyedia tingkat atas tidak melakukan ini meskipun dikatakan sedang berupaya untuk menghentikan protokol IKEv2, yang “akan menghilangkan kebutuhan untuk menginstal sertifikat.”
Terlepas dari perubahan yang telah dilakukan Surfshark, pengguna sebaiknya menunggu konfirmasi pihak ketiga bahwa keenam penyedia ini telah membuat perubahan yang diperlukan agar sesuai dengan praktik terbaik industri. Konsumen yang tertarik dengan keamanan VPN terbaik sebaiknya melihat Mullvad atau NordVPN sebagai gantinya.
Sumber : Android Authority
