Telset.id – Peneliti keamanan Burch menemukan sembilan kerentanan pada perangkat lunak enkripsi disk dan autentikasi pra-boot bernama CryptoPro Secure Disk. Celah keamanan ini berpotensi digunakan untuk melewati pemeriksaan integritas CryptoPro dan mendapatkan akses penuh ke perangkat terenkripsi, termasuk ATM yang banyak digunakan di sektor finansial.
Temuan ini dipresentasikan pada konferensi keamanan Black Hat dan Defcon di Las Vegas bulan ini. Produk buatan perusahaan Jerman, CryptWare, ini dipasarkan khusus untuk pembuat ATM dan digunakan di sejumlah mesin ATM, termasuk sebagai bagian dari Vynamic Security Suite milik Diebold Nixdorf. Namun, CryptoPro juga dijual sebagai solusi keamanan untuk pembuat perangkat tertanam lainnya, serta organisasi besar yang menggunakan Microsoft Windows.
Kondisi tersebut menyoroti tantangan rantai pasokan perangkat lunak, di mana bug harus ditangani ketika perangkat lunak diterapkan secara luas di berbagai industri. Burch mengungkapkan bahwa temuan ini mungkin memiliki dampak yang lebih besar dari sekadar ATM.
“ATM adalah yang membawa saya ke jalur ini, tapi saya pikir mungkin ada dampak yang lebih tinggi dari temuan ini di luar itu,” kata Burch. “Dari perspektif ATM dan jaringan keuangan, ada banyak lapisan, dan saya pikir sebagai hasilnya, banyak hal diimplementasikan dengan cara tertentu dan kemudian ada wawasan teknis yang terbatas—bug bisa terlewatkan atau tidak ditangani.”
Menanggapi temuan ini, CryptWare telah merilis perbaikan untuk sembilan bug tersebut dalam dua fase. Managing Director CryptWare, Uwe Saame, menyatakan perusahaannya menambal sembilan bug tersebut dengan CryptoPro versi 7.7.2 pada awal November dan 7.7.3 pada awal Desember.
Burch mengonfirmasi bahwa pihak CryptWare responsif dan kooperatif selama proses pengungkapan kerentanan. Ia juga telah memvalidasi bahwa tambalan yang dirilis benar-benar memperbaiki kerentanan yang ditemukannya. Meskipun CryptoPro tidak mempublikasikan catatan pembaruan secara terbuka, Burch meyakini perusahaan telah mendistribusikan informasi tentang tambalan tersebut kepada pelanggannya.
Sementara itu, juru bicara Diebold Nixdorf, Michael Jacobsen, menyatakan hanya dua dari sembilan kerentanan yang relevan dengan Vynamic Security Hard Disk Encryption, sistem di mana pembuat ATM tersebut menggunakan perangkat lunak CryptoPro. Jacobsen mengatakan Diebold Nixdorf telah merilis perbaikan untuk dua bug tersebut pada bulan Desember, namun menegaskan bahwa kerentanan tersebut tidak dapat dieksploitasi secara mandiri untuk membahayakan ATM Diebold Nixdorf.
Baca Juga:
Tantangan Rantai Pasokan Perangkat Lunak
Dalam dunia ATM, perangkat tertanam, dan keamanan enterprise secara lebih luas, tantangan rantai pasokan perangkat lunak berasal dari semua langkah yang diperlukan untuk benar-benar menerapkan perbaikan di lapangan. Prosesnya berlapis: pengembang harus merilis tambalan, kemudian perusahaan yang mengimplementasikan produk dalam perangkat lunak mereka sendiri perlu mengembangkan perbaikan yang disesuaikan, dan pada akhirnya pelanggan harus mengetahui serta menginstal tambalan tersebut.
Proses ini menjadi sulit untuk sistem yang berjalan di lapangan atau tidak dapat dengan mudah dihentikan dan diperbarui. Berbicara secara umum tentang tantangan ini, Jacobsen menjelaskan proses penanganan masalah keamanan di perusahaannya.
“Ketika masalah keamanan diidentifikasi, Diebold Nixdorf menilai dampaknya, mengidentifikasi produk dan konfigurasi yang terkena dampak, dan mengembangkan pembaruan yang diperlukan melalui proses keamanan produk dan rekayasa kami,” ujar Jacobsen. “Kami kemudian memberi tahu pelanggan yang terkena dampak dan menyediakan pembaruan melalui saluran distribusi perangkat lunak standar, termasuk Global Security Portal jika berlaku. Untuk ATM yang digunakan di lapangan, pembaruan dikoordinasikan dengan setiap pelanggan berdasarkan model operasi, perjanjian layanan, dan proses manajemen perubahan mereka.”
AI Mengikis Model Keamanan Tersembunyi
Selama beberapa dekade, peneliti keamanan telah memperingatkan tentang bahaya mengandalkan “keamanan melalui ketidakjelasan” atau security through obscurity, yaitu upaya menyembunyikan perangkat lunak dari pandangan atau menguncinya agar tidak mudah diakses. Sebagai hasil dari kerja keras para peneliti, produsen internet-of-things dan mereka yang berada di industri kritis seperti sektor finansial dan manufaktur perangkat medis telah membuat kemajuan dalam hal transparansi dan mendorong adopsi tambalan.
Namun, Burch menunjukkan bahwa seiring sistem AI memudahkan evaluasi perangkat lunak dan menemukan kerentanan—bahkan bagi peneliti atau penyerang yang tidak memiliki keahlian mendalam di bidang tertentu—sangat mendesak untuk menyoroti produk keamanan khusus. Kemampuan AI dalam menganalisis kode secara massal mengubah lanskap keamanan secara fundamental.
“AI benar-benar menghancurkan model ketidakjelasan,” kata Burch. “Kamu tidak perlu sepenuhnya memahami cara kerja sesuatu untuk bergerak maju dan berpotensi memiliki dampak besar.”
Temuan ini menjadi pengingat penting bagi industri keamanan siber, khususnya sektor finansial yang sangat bergantung pada perangkat keras dan perangkat lunak khusus. Meskipun tambalan telah dirilis, proses distribusi dan implementasi di lapangan tetap menjadi tantangan terbesar. Ke depan, transparansi dan kolaborasi antara peneliti, vendor, dan pengguna akhir menjadi kunci untuk menutup celah keamanan sebelum dieksploitasi oleh pihak yang tidak bertanggung jawab.
Komentar
Belum ada komentar.