Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Let’s Encrypt

Let’s Encrypt

Let’s Encrypt mencabut banyak sertifikat SSL dalam dua hari

by

Let’s Encrypt akan mulai mencabut sertifikat SSL/TLS tertentu yang diterbitkan dalam 90 hari terakhir karena bug, mulai 28 Januari 2022. Langkah ini dapat memengaruhi jutaan sertifikat Let’s Encrypt yang aktif.

ISRG diinformasikan oleh pihak ketiga yang memeriksa repo kode Let’s Encrypt’s Boulder bahwa ada “dua kejanggalan” dalam penerapan metode validasi “TLS using ALPN” oleh otoritas sertifikat [1, 2].

Untuk mematuhi Kebijakan Sertifikat Let’s Encrypt, yang mengharuskan otoritas sertifikat untuk membatalkan Sertifikat dalam waktu 5 hari dalam kondisi tertentu, organisasi nirlaba akan mulai mencabut sertifikat pada pukul 16:00 UTC pada tanggal 28 Januari 2022.

Bagaimanapun, tidak semua sertifikat dipengaruhi oleh penerapan metode validasi “TLS menggunakan ALPN” yang tidak tepat. Pencabutan yang direncanakan ini hanya akan berlaku untuk sertifikat yang diterbitkan dengan metode validasi TLS-ALPN-01 yang cacat.

“Kami memperkirakan [kurang dari] 1% sertifikat aktif terpengaruh. Pelanggan yang terkena pencabutan akan menerima pemberitahuan email jika akun ACME mereka berisi alamat email yang valid. Jika Anda terpengaruh oleh pencabutan ini dan memerlukan bantuan untuk memperbarui sertifikat Anda silakan ajukan pertanyaan di utas ini,” lebih lanjut menjelaskan insinyur.

Pada November 2021, jumlah semua sertifikat Let’s Encrypt yang aktif melampaui 221 juta.

Oleh karena itu, jumlah sertifikat aktif yang terpengaruh (1% atau kurang) mungkin bisa mencapai jutaan—jika ini diterbitkan dengan validasi tantangan TLS-ALPN-01 yang cacat.

Pemilik situs dengan sertifikat Let’s Encrypt yang terpengaruh melaporkan menerima pemberitahuan email, menginstruksikan mereka untuk memperbarui sertifikat mereka saat pencabutan akan segera dimulai.

Let’s Encrypt mengirimkan pemberitahuan email (Twitter)

“Jika Anda menerima email tersebut, maka akun Anda telah berhasil memperoleh setidaknya satu sertifikat dalam 90 hari terakhir yang divalidasi menggunakan tantangan TLS-ALPN-01,” jelas Let’s Encrypt di utas tersebut.

Mengingat pemberitahuan singkat, tidak semua pengguna mungkin senang dengan langkah Let’s Encrypt yang tiba-tiba tetapi perlu.

Sisi baiknya, mereka yang menggunakan solusi manajemen sertifikat otomatis seperti Caddy Web Server bisa tenang.

“Caddy otomatis menstaples OCSP untuk semua sertifikat yang relevan. Ini akan me-refresh staples sekitar setengah masa berlakunya. Jika status berikutnya Dicabut, Caddy akan segera mengganti sertifikat.”

Pembaruan, 13:54 ET: Menambahkan referensi ke bug lain yang juga menyebabkan pencabutan jutaan sertifikat Let’s Encrypt pada tahun 2020.

Sumber : Bleeping Computer

Ponsel Android lama tidak akan mendukung banyak situs web aman mulai awal September 2021

by

Menurut Android Police, Otoritas Sertifikat Let’s Encrypt memperingatkan bahwa ponsel yang menjalankan versi Android sebelum 7.1.1 Nougat tidak akan mempercayai sertifikat akarnya mulai tahun 2021, menguncinya dari banyak situs web aman.

Organisasi tersebut akan menghentikan penandatanganan silang default untuk sertifikat yang mengaktifkan fungsi ini pada 11 Januari 2021, dan akan menghentikan sepenuhnya kemitraan penandatanganan silang pada 1 September di tahun yang sama.

Solusi parsial tersedia dengan memasang Firefox (Mozilla adalah mitra di Let’s Encrypt) dan menggunakan penyimpanan sertifikatnya sendiri, tetapi itu tidak akan membantu dengan klien saingan atau fungsionalitas di luar browser.

Let’s Encrypt mencatat bahwa sekitar 33,8 persen pengguna Android di Google Play masih menjalankan versi yang lebih lama dari 7.1, dan beberapa vendor perangkat keras menghentikan dukungan lebih awal. Tidak jarang vendor Android menawarkan pembaruan yang relatif sedikit di tahun-tahun sebelumnya, dan beberapa perangkat (biasanya ponsel hemat) bahkan akan terjebak dengan OS awal mereka. Anda mungkin telah membeli telepon pada tahun 2016 atau bahkan 2017 yang dapat tiba-tiba kehilangan akses ke beberapa situs web, setidaknya tanpa solusi.

Situasinya membaik. Samsung dan pembuat Android lainnya berkomitmen untuk tiga tahun pembaruan OS. Namun, hal itu tidak akan mengubah kenyataan bagi banyak orang dengan perangkat keras lama, dan mungkin hanya ada sedikit cara lain jika Anda tidak dapat atau tidak ingin menggunakan Firefox.

Meskipun banyak situs lain akan tetap berfungsi, dukungan yang tidak konsisten dapat menjadi gangguan paling kecil dan paling buruk menjadi kendala utama.

Sumber: Endgadget