Telset.id – Sebuah audit terbaru mengungkap fakta mengejutkan: lebih dari separuh aplikasi VPN untuk Windows masih menggunakan kode OpenVPN yang sudah usang, berpotensi membuka celah keamanan serius bagi penggunanya. Temuan ini menjadi peringatan keras bagi pengguna layanan VPN di Indonesia, terutama mereka yang mengandalkan VPN untuk aktivitas sehari-hari.
Pada Juli 2026, tim auditor memeriksa 32 aplikasi VPN Windows dari berbagai perusahaan, mulai dari perusahaan multinasional mapan hingga aplikasi gratis yang lebih kecil. Hasilnya sangat memprihatinkan. Sebanyak 56% atau 18 dari 32 aplikasi menggunakan versi OpenVPN yang sudah berusia lebih dari satu tahun. Lebih parah lagi, 41% (14 aplikasi) menggunakan konfigurasi berusia lebih dari dua tahun, 22% (7 aplikasi) mengandalkan kode berusia lebih dari empat tahun, dan 12,5% (4 aplikasi) menggunakan kode yang setidaknya berusia lima tahun.
OpenVPN adalah protokol yang menentukan bagaimana data dienkripsi dan dirutekan antara perangkat pengguna dan server VPN. Berkat statusnya sebagai proyek open-source, protokol ini menjadi standar de facto industri dan menjadi fondasi bagi banyak layanan VPN komersial. Namun, karena OpenVPN dikembangkan sebagai proyek open-source terpisah, penyedia VPN sering memperbarui aplikasi mereka sambil membiarkan komponen OpenVPN yang sudah dibundel tidak berubah. Antarmuka baru, perbaikan bug, dan fitur utama mungkin datang secara teratur, tetapi kode yang bertanggung jawab untuk koneksi VPN fundamental bisa sangat usang.
Risiko Tersembunyi di Balik Kode Usang
Apakah ini benar-benar masalah besar? Marijus Briedis, CTO di NordVPN, menjelaskan bahwa karena OpenVPN secara teratur menambal kerentanan, memperkuat basis kode, dan meningkatkan kinerja, menjalankan versi yang tertinggal bertahun-tahun dapat melewatkan komponen keamanan yang ditawarkan oleh versi terbaru. Jason Xu, pengembang senior aplikasi di Windscribe, bahkan berargumen bahwa kerentanan yang sebelumnya diungkapkan bisa menjadi lebih serius justru karena telah didokumentasikan. “Seorang penyerang bahkan tidak perlu menemukan bug baru; mereka bisa membaca changelog,” katanya.
Memang, OpenVPN secara teratur merilis Common Vulnerabilities and Exposures (CVE): enam kerentanan tercatat pada tahun 2025, enam pada tahun 2024, satu pada tahun 2023, dan satu pada tahun 2022. Ini berarti penyedia dengan versi lama kemungkinan besar tidak mengadopsi rilis upstream yang berisi perbaikan tersebut. Tentu saja, risikonya memiliki nuansa. Menjalankan versi yang lebih lama tidak selalu berarti aplikasi rentan terhadap setiap celah yang baru ditemukan. Namun, kekhawatiran sebenarnya adalah ketika tidak ada tindakan mitigasi yang dilakukan dan tidak ada visibilitas apakah tindakan tersebut ada atau tidak.
Masalahnya bisa luas dan beragam. Ketergantungan yang usang, seperti menjalankan versi OpenSSL yang lebih lama, hanyalah beberapa potensi masalah. Ada juga biaya pemeliharaan yang lebih luas. Menurut Dr. Peter Membrey, Chief Research Officer di ExpressVPN, versi yang lebih lama bisa menjadi semakin sulit untuk diintegrasikan dengan sistem operasi dan perpustakaan kriptografi saat ini. “Tertinggal beberapa tahun bisa menunjukkan akumulasi utang keamanan, kompatibilitas, dan operasional yang semakin besar,” ujarnya.
Mengapa Pembaruan OpenVPN Tertunda?
Mengadopsi rilis OpenVPN baru adalah perubahan mendasar yang memerlukan pengujian kompatibilitas lintas platform, pemeriksaan regresi, peluncuran bertahap, dan validasi bahwa tidak ada yang rusak dalam tumpukan perangkat lunak. Proses ini sering memakan waktu berbulan-bulan. Karena itu, penyedia VPN mengatakan mereka tidak berkewajiban untuk mengadopsi setiap rilis upstream. NortonVPN, yang saat ini sedang dalam proses beralih ke versi OpenVPN terbaru, menjelaskan bahwa setiap pembaruan perlu dinilai dan diuji dengan hati-hati untuk memastikan memberikan manfaat yang jelas tanpa menimbulkan masalah stabilitas, kinerja, atau kompatibilitas bagi pelanggan.
Karolis Kaciulis, Leading System Engineer di Surfshark, setuju bahwa penundaan enam hingga 18 bulan bisa dianggap wajar asalkan kerentanan kritis ditangani dengan segera. Beberapa penyedia VPN yang pembaruannya sudah berusia lebih dari dua tahun telah memberikan alasan spesifik untuk membenarkan penundaan tersebut. StrongVPN, misalnya, menyatakan bahwa pekerjaan pada protokol internal miliknya telah menunda pembaruan yang direncanakan ke OpenVPN 2.7. Sementara itu, ClearVPN mengklaim memastikan keamanan dengan menerapkan tambalan keamanannya sendiri. PureVPN menyatakan tetap menggunakan OpenVPN 2.6.12 karena telah mengembangkan teknologi khusus berdasarkan versi tersebut dan karena OpenVPN 2.7 menghilangkan dukungan untuk driver Wintun.
Terlepas dari alasan di balik penundaan tersebut, fakta bahwa sebagian besar aplikasi VPN Windows menggunakan kode OpenVPN usang tetap menjadi perhatian serius. Pengguna di Indonesia yang mengandalkan VPN untuk keamanan online perlu lebih waspada. Banyak penyedia kini menggunakan protokol yang lebih baru seperti WireGuard secara default, yang umumnya mendapat perawatan lebih aktif. Bahkan, beberapa penyedia sedang dalam proses menghentikan dukungan OpenVPN untuk protokol yang lebih cepat dan lebih gesit. Proton VPN, misalnya, akan mulai menghentikan dukungan OpenVPN di aplikasi kliennya sambil mempertahankan protokol tersebut di server untuk router dan perangkat lama.
Jadi, apakah Anda menggunakan aplikasi dengan konfigurasi OpenVPN terbaru atau tidak, mungkin ada baiknya untuk mengganti protokol. Jika Anda benar-benar ingin tahu, Anda dapat mengaudit VPN Anda dengan memeriksa pengaturan klien, log diagnostik, atau catatan rilis resmi untuk mengonfirmasi versi OpenVPN yang digunakan penyedia Anda dan kapan terakhir diperbarui. Tanda bahaya utama adalah ketergantungan protokol yang berusia lebih dari 12 hingga 18 bulan tanpa alasan keamanan atau kompatibilitas yang terdokumentasi, karena ini mungkin menunjukkan bahwa pembaruan keamanan kritis telah tertunda. Jika ragu, Anda selalu dapat menghubungi tim dukungan penyedia VPN Anda untuk mendapatkan informasi yang lebih transparan tentang jadwal pembaruan protokol dan tambalan keamanan.
Pada akhirnya, risiko terhadap keamanan Anda mungkin terbatas. Namun, di dunia VPN — di mana perhatian terhadap detail dalam hal keamanan adalah mata uang penyedia — kita mungkin bertanya: “Mengapa tidak mendukung opsi terbaru dan paling aman?”
Komentar
Belum ada komentar.