Chrome dan Mozilla akan distrust sertifikat SSL/TLS Camerfirma? Kepatuhan dalam industri keamanan digital memang bisa dibilang cukup ketat untuk dibahas maupun diterapkan, ini karena keamanan (digital security) membawa pengaruh besar terhadap aktivitas online harian para pengguna internet. Salah satunya adalah aktivitas bisnis online pada suatu situs web yang menggunakan sertifikat SSL/TLS berkualitas sebagai pelapis keamanan web dari berbagai serangan dan ancaman siber yang merugikan. Namun, apa jadinya jika sertifikat SSL/TLS berkualitas yang Anda gunakan tidak dipercaya lagi oleh browser? Apa penyebabnya? Anda bisa mempelajari dan menjawab pertanyaan tersebut dengan artikel ini, di mana Chrome dan Mozilla berencana tidak akan lagi mempercayai (distrust) sertifikat SSL/TLS Camerfirma pada pembaruan browser berikutnya.
Camerfirma CA
Camerfirma adalah Otoritas Sertifikat (CA) berbasis di Madrid, Spanyol, mereka menerbitkan dan menjual berbagai sertifikat SSL/TLS di bawah nama brand Camefirma. Mungkin CA ini tidak begitu familiar di kalangan para pengguna sertifikat SSL/TLS berkualitas di Indonesia maupun di beberapa negara Asia, sebab Camerfirma hanya menerbitkan sertifikat SSL/TLS untuk pengguna lokal (wilayah Spanyol) dan tidak mencapai mancanegara. Sangat mengejutkan, ternyata Camerfirma masuk ke dalam salah satu CA sertifikat SSL/TLS yang sangat berpengaruh dan banyak diminati oleh para pengguna sertifikat SSL/TLS berkualitas di sana justru sering melakukan kesalahan dan pelanggaran fatal terhadap web security compliance yang tidak hanya sekali dua kali dilakukan, namun terus berulang-ulang seolah-olah abai terhadap standar keamanan yang telah ditetapkan oleh browser dan CA/B Forum.
Kasus Web Security Compliance yang Dilanggar Camerfirma
Sejumlah browser besar di dunia seperti Chrome dan Mozilla yang tergabung dalam CA/B forum telah sering menyepakati peraturan baru untuk mengetatkan standar keamanan web sertifikat SSL/TLS, yang diharapkan mampu memberikan jaminan keamanan bagi setiap penggunanya. Dan baru-baru ini beberapa perwakilan dari organisasi browser masing-masing menghadiri diskusi panjang membahas beberapa pelanggaran fatal yang terus menerus dilakukan oleh salah satu Otoritas Sertifikat (CA), bersama fakta dan bukti yang dikumpulkan oleh Ben Wilson selaku perwakilan dari browser Mozilla.
Ben Wilson, memulai terlebih dahulu diskusi online dengan memberikan beberapa daftar kesalahan CA Camerfirma yang melanggar standar kepatuhan keamanan web mulai dari tahun 2017.
Yang kemudian juga ditulis oleh Ryan Sleevi, perwakilan Google Chrome, ‘Kasus ini menggambarkan pihak CA yang gagal memenuhi persyaratan program keamanan.’ Dalam feedback yang diberikan, Sleevi juga menambahkan beberapa daftar kegagalan Otoritas lainnya sebelum Camerfirma.
Beberapa kesalahan yang dilakukan secara berulang oleh Camerfirma yaitu seperti diterbitkannya sertifikat SSL/TLS dengan domain yang tidak divalidasi terlebih dahulu atau kesalahan domain yang diverifikasi, terlewatnya proses final audit, hingga sub-CA yang dirahasiakan. Beberapa insiden melibatkan berbagai sub-CA intermediate yang tidak ditandatangani oleh root Camerfirma. Pengguna dan komunitas merasa khawatir terhadap kesalahan berulang yang dilakukan oleh Camerfirma, mereka berpikir seharusnya diberikan tindakan pencegahan dan perbaikan lebih lanjut sejak kasus pertama muncul. Selain browser tentunya, kehilangan kepercayaan (trust) pengguna yang beli sertifikat SSL/TLS juga besar. Karena itu merupakan perilaku buruk yang tidak mencerminkan Otoritas Sertifikat yang mematuhi dan abai terhadap standar keamanan. Dengan begitu, apakah ada jaminan keamanan untuk situs web dan server kita dengan menggunakan layanan sertifikat SSL/TLS Camerfirma?
Camerfirma merespon kasus ini dengan rencana perbaikan (remediation plan), namun para anggota diskusi agaknya masih meragukan hal tersebut di mana rencana tersebut tidak cukup untuk memperbaiki situasi dan kepercayaan yang dirusak berulang kali oleh Camerfirma sendiri.
Keputusan Google Chrome dan Mozilla Firefox
Google memilih untuk blacklist alias men-distrust langsung sertifikat SSL/TLS yang diterbitkan Camerfirma mulai pada rilisan browser versi 90 tanpa memberikan pertimbangan dua kali terhadap CA dari Spanyol tersebut. Sedangkan, Mozilla telah melakukan diskusi internal mengenai kasus ini dan juga memutuskan men-distrust Camerfirma dari root Mozilla pada rilisan Firefox versi 88.
Adapun situs web yang masih menggunakan sertifikat SSL/TLS Camerfirma akan menjadi ‘Not Secured’ dan menampilkan pesan eror ‘Your Connection is Not Private’ pada rilisan terbaru browser Chrome dan Mozilla. Dan tentunya akan membuka peluang bagi pelaku Man In the Middle Attack untuk mencegat lalu lintas situs web Anda yang tidak terlindungi kriptografi enkripsi dari sertifikat SSL/TLS berkualitas.
Tindakan yang Harus Diambil
Seperti yang diinfokan di atas, kasus pelanggaran Camerfirma kali ini cukup menuai kontroversi di kalangan komunitas dan industri SSL/TLS sehingga tak adanya kesempatan untuk melakukan perbaikan melainkan keputusan distrust sertifikat SSL/TLS Camerfirma dari browser. Yang artinya tak ada pengecualian maupun keringanan. Dan apabila Anda tak ingin kehilangan pelanggan dan merugi karena situs web yang tak terlindungi dari serangan Hacker, maka ini adalah saatnya untuk memilih dan beli sertifikat SSL/TLS berkualitas dari beberapa CA terpercaya dan terkemuka di industri. Di mana Anda tidak perlu khawatir terhadap web security compliance yang dijalankan karena CA terpercaya menjamin semuanya berjalan sesuai standar yang ditetapkan. PusatSSL jual sertifikat SSL/TLS murah dari berbagai brand CA terpercaya secara global, Anda bisa menemukan opsi rangkaian sertifikat SSL/TLS berkualitas dan murah dari DigiCert, Entrust, GeoTrust, GlobalSign, RapidSSL, Sectigo dan Thawte. Setelah beli sertifikat SSL/TSL yang sesuai dengan kebutuhan situs, Anda bisa langsung menginstalnya pada server untuk mengamankan lebih lanjut koneksi situs dengan enkripsi terbaik dari CA terpercaya di industri SSL/TLS.
