eMudhra Cabut 8 CA Lagi: Kunci RSA Sempat Terbuka di Memori Python

eMudhra mencabut 8 intermediate certificate authority (CA) tambahan yang sebelumnya dinyatakan tidak terdampak kompromi kunci. Penyebabnya: skrip Python internal perusahaan sempat membaca kunci RSA privat ke memori komputer saat proses transfer antar-hardware security module (HSM).

Pencabutan dilakukan pekan lalu, setelah perusahaan menyimpulkan bahwa pihaknya tidak bisa membuktikan kunci-kunci itu ditangani sesuai aturan internalnya sendiri. Delapan CA itu sebelumnya masuk kategori aman dalam pernyataan resmi perusahaan di pelacak bug Mozilla.

Kasus ini memperpanjang masalah yang sudah menyeret nama eMudhra sejak Oktober. Delapan CA lain sebelumnya dicabut karena kunci ECDSA-nya terpotong menjadi satu byte akibat satu baris kode dalam skrip yang sama.

Kronologi: dari Key Ceremony April 2025 sampai Pencabutan November

Akar masalah bermula pada key ceremony 30 April 2025. Hari itu eMudhra membuat 16 kunci CA di HSM Utimaco, termasuk 8 kunci yang kemudian menjadi biang kompromi Oktober. Kunci-kunci tersebut sebenarnya ditujukan untuk HSM Crypto4A di lokasi perusahaan di Amerika Serikat dan Eropa.

Karena memindahkan kunci antar-HSM dari vendor berbeda punya keterbatasan, tim operasi PKI perusahaan menulis skrip Python sendiri. Skrip itu bertugas membungkus (wrap) setiap kunci untuk transportasi, lalu membukanya (unwrap) di HSM tujuan.

Putaran hari itu adalah uji coba transfer. Mode FIPS pada HSM sumber dimatikan sebagai pengecualian yang disetujui. Setelah putaran selesai, skrip membaca setiap kunci privat dari HSM ke memori komputer ceremony dan membangun ulang kunci dari salinan itu.

Untuk 8 kunci ECDSA, satu baris dalam proses baca-balik itu memotong nilai privat menjadi byte pertamanya saja. Kunci hasil rekonstruksi membawa label yang hampir identik dengan aslinya, sehingga salinan lemah itu tetap dikirim untuk penandatanganan dan sertifikasi.

Menurut laporan insiden lengkap yang diposting ke pelacak bug yang sama pekan ini, tidak ada tahap dalam ceremony yang menguji kekuatan kunci atau membandingkan kunci tersertifikasi dengan kunci yang pertama dibuat. Kunci lemah tetap menghasilkan tanda tangan valid, dan sertifikatnya lolos linting serta dua siklus audit WebTrust tanpa terdeteksi.

Perusahaan menegaskan HSM bekerja dengan benar sepanjang proses. Kesalahan, kata mereka, ada pada skrip dan kendali proses internal.

Delapan CA RSA dan Celah Aturan CPS §6.2.6

Delapan CA yang baru dicabut terdiri dari 6 CA untuk sertifikat situs (TLS) dan 2 untuk code signing. Empat di antaranya mulai dipakai di lingkungan produksi pada Mei. Daftar sertifikat perusahaan mencantumkan 195 sertifikat dari CA-CA tersebut, 29 di antaranya untuk domain milik eMudhra sendiri.

Berbeda dari kasus ECDSA, kunci RSA tidak mengalami pemendekan, dan setiap tanda tangan tetap terverifikasi terhadap kunci tersertifikasi. Persoalannya ada pada bagian privat kunci, seperti eksponen privat dan salah satu prima, yang sempat berada di memori proses Python di komputer ceremony.

Karena itu perusahaan menyatakan tidak dapat secara positif membuktikan bahwa materi kunci tersebut mematuhi CPS §6.2.6, aturan internal mereka soal pemindahan kunci masuk dan keluar HSM. Log dan berkas dari komputer itu tidak bisa diandalkan untuk menunjukkan bagaimana materi kunci ditangani.

Kesimpulan itu diambil awal November, setelah diskusi dengan program root browser. Delapan CA RSA dicabut dengan kode alasan cessationOfOperation, bukan kode CA-compromise yang dipakai saat 8 CA pertama dicabut pada 18 Oktober.

Peserta diskusi di thread bug mempertanyakan pilihan kode alasan tersebut, alih-alih memakai keyCompromise. Perusahaan sebelumnya menyebut ke-8 CA RSA tidak terdampak karena menempuh jalur skrip berbeda.

"The RSA issuers went through a different path as per our assessment of the code and are therefore not impacted," tulis perusahaan di pelacak bug Mozilla pada 19 Oktober, seperti dikutip dari laporan The Hacker News.

Pekan lalu perusahaan menyatakan jawaban awal itu hanya mencerminkan informasi yang sudah dihimpun tim saat itu, termasuk soal jalur skrip yang dilalui tiap kelompok kunci.

Sertifikat Terdampak dan Siapa Saja Pemegangnya

Dari 195 sertifikat dalam daftar perusahaan, 130 berasal dari EM DV TLS CA - G2C, 63 dari EM OV TLS CA - G2C, dan 2 dari CA code signing EM OV CS CA - G2C. Selain domain milik eMudhra, sertifikat itu menyebut sejumlah universitas dan perguruan tinggi, sebuah county, serta organisasi lain.

Sertifikat terbaru dalam daftar diterbitkan pekan lalu, hanya beberapa hari sebelum CA-nya dicabut. Perusahaan menyatakan seluruh pemegang sertifikat sudah dipindahkan ke sertifikat baru.

Analisis The Hacker News berhasil menurunkan seluruh 8 kunci dari sertifikat publiknya. Kunci terkecil, untuk EM OV TLS CA - G3C, bernilai 4, sedangkan yang terbesar 237.

Perusahaan menyebut proses wrap-and-unwrap hanya dipakai sekali itu, dan seluruh key ceremony lain membuat kunci langsung di tempat. Peserta thread bug juga meminta skrip tersebut dipublikasikan, dan sebagian mempertanyakan bagaimana kunci privat bisa keluar dari HSM sama sekali.

Untuk memudahkan pemegang sertifikat, berikut hal-hal yang perlu diperiksa:

• Mencari sertifikat terdampak di daftar resmi yang dirilis eMudhra.
• Menelusuri Certificate Transparency log untuk issuer TLS G2C yang dicabut.
• Memastikan sertifikat pengganti sudah terpasang sebelum tenggat pencabutan root.
• Memeriksa apakah perangkat lunak atau sistem internal masih memercayai root lama.

Jadwal Pensiun eMudhra dan Dampaknya bagi Pengguna Windows

eMudhra, yang menjual sertifikat dengan merek emSign, sedang keluar dari bisnis TLS yang dipercaya publik menyusul pengumuman 22 Oktober. Seluruh penerbitan dari hierarki G1 perusahaan dijadwalkan berhenti sebelum 16 November, saat pelanggan tersisa, terutama federasi universitas di Amerika Utara, pindah ke penyedia lain.

Microsoft akan mulai menghapus 10 root eMudhra yang tersisa, termasuk emSign Root CA - G1, pada 16 November, menurut pembaruan pada posting respons keamanan perusahaan pekan ini. Sertifikat yang berantai ke root tersebut akan kehilangan kepercayaan bawaan di Windows dan Edge, serta di sejumlah produk Microsoft lain sesuai jadwal masing-masing.

Menurut jadwal penghentian bertahap perusahaan India itu, Chrome dan Firefox tidak akan memercayai sertifikat G1 yang diterbitkan setelah 16 November. Apple akan mengakhiri kepercayaan pada seluruh sertifikat G1, termasuk yang lebih lama, pada 30 November.

Apple juga menyatakan macOS 27.2.1, 26.7.3, dan 15.8.3 menghentikan alat baris perintah bawaan seperti curl dan git dari menerima sertifikat CA TLS yang terkompromi. Versi-versi itu juga menghapus 5 root, termasuk emSign Root CA - G1, dari /etc/ssl/cert.pem, sehingga alat yang bergantung pada berkas tersebut mungkin gagal memverifikasi sebagian situs.

KPMG, yang ditunjuk sebagai peninjau independen, dijadwalkan menyelesaikan kajiannya paling lambat 4 Desember. Inventarisasi seluruh kunci CA perusahaan jatuh tempo 30 November. Perusahaan menyatakan belum mengetahui adanya penyalahgunaan kunci.

Namun menurut situs pengungkapan yang dikelola Dennis Jackson, peneliti yang menginvestigasi kunci-kunci itu untuk Mozilla, siapa pun yang memegang salah satu kunci Oktober bisa menyamar sebagai situs web mana pun. Browser yang menerapkan Certificate Transparency tidak bisa dikelabui. Apakah kunci itu dipakai menyerang perangkat lunak yang melewati pemeriksaan tersebut, belum diketahui.

Analisis Redaksi

Yang paling mengganggu dari kasus ini bukan satu baris kode yang memotong kunci ECDSA menjadi satu byte. Itu kesalahan teknis yang memalukan, tetapi masih bisa dijelaskan. Persoalan yang jauh lebih serius adalah bagaimana eMudhra menilai risikonya sendiri secara keliru selama hampir sebulan.

Perusahaan menyatakan 8 CA RSA tidak terdampak pada 19 Oktober berdasarkan pembacaan kode. Kesimpulan itu bertahan sampai awal November, ketika diskusi dengan program root browser memaksa peninjauan ulang. Artinya, auditor internal dan proses penilaian risiko perusahaan baru bergerak setelah pihak luar menekan. Bagi otoritas sertifikat yang tugasnya justru menjadi jangkar kepercayaan, urutan itu terbalik.

Pilihan kode alasan cessationOfOperation alih-alih keyCompromise juga layak dipertanyakan. Secara teknis, kunci RSA tidak dipendekkan dan tanda tangannya tetap valid. Tetapi materi privatnya sempat berada di memori proses yang tidak bisa diaudit. Perbedaan kode alasan bukan sekadar urusan administratif, karena di situlah tercermin seberapa serius perusahaan memandang insidennya sendiri.

Keputusan keluar dari bisnis TLS yang dipercaya publik tampaknya sudah tidak terhindarkan. Yang tersisa kini adalah ujian transparansi: publikasi skrip, hasil audit KPMG, dan inventarisasi kunci CA yang jatuh tempo 30 November. Tanpa itu, kepercayaan yang hilang tidak akan kembali hanya karena jadwal pencabutan dipatuhi.