SSL stripping attack (juga dikenal sebagai SSL downgrade atau HTTP downgrade attack) adalah jenis serangan cyber di mana peretas menurunkan koneksi web dari HTTPS yang lebih aman ke HTTP yang kurang aman. Hal ini membuat semua komunikasi tidak terenkripsi dan mengatur panggung untuk serangan man-in-the-middle, di mana peretas duduk di tengah percakapan mendengarkan atau mencegat informasi. Stripping SSL dapat menyebabkan risiko keamanan seperti peretas menguping informasi pribadi atau bahkan mengubah data atau komunikasi tanpa sepengetahuan pengguna yang sah.
Apa itu SSL Stripping Attack?
SSL Stripping, juga dikenal sebagai serangan SSL Downgrade, secara sederhana adalah penyadapan berteknologi tinggi dan tidak terdeteksi. Tujuan serangan SSL Stripping selalu untuk mematikan komunikasi yang aman tanpa disadari oleh korban. Ini semua tentang pengumpulan dan manipulasi data.
SSL Stripping memungkinkan penyerang menurunkan versi koneksi Anda dari HTTPS yang aman ke HTTP yang tidak aman. Ini, pada gilirannya, membuat Anda rentan terhadap mata-mata dan manipulasi data. Ini agak mirip dengan penyadapan, hanya sedikit lebih teknis.
Namun, baik penyadapan dan Pengupasan SSL memiliki ‘man-in-the-middle’ – orang yang melakukan penyadapan. Dalam hal ini, hacker-lah yang membuat server proxy yang memotong dan mengalihkan lalu lintas dari komputer korban ke komputer mereka. Mereka kemudian dapat menggunakan informasi yang dicegat untuk melakukan apa saja yang mereka inginkan.
Pengguna seringkali tidak menyadari informasi mereka sedang atau telah disusupi karena mereka akan berakhir di halaman yang terlihat hampir sama dengan yang mereka cari.
Begitulah cara SSL Stripping menipu pengguna agar percaya bahwa koneksi mereka aman dan data mereka dienkripsi, tetapi koneksi tidak aman dan data dikirim dalam teks biasa karena enkripsi akan dihapus darinya. Itu sebabnya ini disebut ‘strip’ SSL.
Cara kerja SSL Stripping Attack
Saat pengguna mengunjungi situs web, mereka terlebih dahulu terhubung dengan versi HTTP sebelum dialihkan ke versi HTTPS. Dalam serangan stripping SSL, peretas melompat ke jendela ini untuk bertindak sebagai pria di tengah dan mencegah pengguna terhubung dengan versi HTTPS situs.
Memecah ini lebih jauh, setiap koneksi internet dimulai sebagai tidak aman. Pengguna perlu mengunjungi situs web dengan versi HTTP sebelum mereka dapat membuat autentikasi untuk beralih ke versi HTTPS yang aman. Langkah-langkah ini dimaksudkan untuk memastikan privasi dan memverifikasi legitimasi mereka yang terlibat dalam koneksi.
Peretas dapat “menghapus” koneksi SSL dengan memasukkan diri mereka sendiri ke dalam proses ini. Ketika mereka melakukannya, mereka bertindak sebagai seorang pria di tengah dengan membangun koneksi HTTPS mereka dengan situs web (menyamar sebagai pengguna) dan memelihara koneksi HTTP dengan pengguna (menyamar sebagai situs web).
Begitu mereka membuat koneksi itu, mereka dapat duduk di tengah percakapan dan mendapatkan semua yang dikirimkan pengguna di situs web dalam bentuk teks biasa. Ketika ini terjadi, pengguna tidak hanya berbagi informasi dengan sumber yang tidak sah dalam teks biasa, tetapi mereka juga dapat menerima tanggapan yang diubah sebagai balasannya (karena peretas dapat mengubah komunikasi kembali dari situs web yang sah).
Umumnya ada tiga cara peretas dapat memperoleh akses yang diperlukan untuk mengeksekusi serangan stripping SSL:
- Server proxy: Peretas dapat secara manual mengatur proxy browser pengguna untuk merutekan semua lalu lintas ke server eksternal mereka. Ini berarti setiap permintaan web yang dibuat pengguna akan diserahkan kepada peretas, yang kemudian dapat mengambil alih dan membuat koneksi manipulatif berdasarkan setiap permintaan.
- Spoofing ARP: Peretas terhubung ke alamat IP pengguna melalui pesan protokol resolusi alamat palsu (ARP). Setelah terhubung dengan cara ini, mereka dapat menerima data apa pun yang ditujukan untuk alamat IP pengguna yang sah.
- Akses jaringan: Peretas dapat membuat jaringan wifi publik palsu dan begitu pengguna terhubung ke jaringan itu, mereka dapat mengontrol semua komunikasi yang terjadi di dalamnya. Jika peretas dapat memperoleh akses ke jaringan aman apa pun, mereka juga dapat melakukan serangan dengan cara yang sama.
Apa ancaman serangan stripping SSL?
Setelah keberhasilan implementasi serangan stripping SSL, informasi korban ditransfer dalam format teks biasa dan dapat dengan mudah disadap oleh siapa saja, termasuk penyerang. Hal ini mengakibatkan pelanggaran integritas dan kerahasiaan informasi identitas pribadi (PII) seperti kredensial login, rekening bank, data bisnis yang sensitif, dll. Oleh karena itu, ancaman kerentanan ini mudah dipahami dan mungkin memiliki implikasi yang berbeda-beda terhadap kehadiran digital Anda.
Bisnis Anda bergantung pada komunikasi terenkripsi untuk bertransaksi dengan aman dari ujung ke ujung. Tetapi bagaimana jika Anda tidak dapat mempercayai sertifikat pengenal di setiap ujung saluran? Tanpa kepercayaan ini, Anda tidak dapat terlibat dalam transaksi web e-niaga dan perbankan online yang kini diandalkan oleh konsumen Anda tanpa berpikir dua kali tentang keamanan.
Serangan stripping SSL hanya dapat bekerja di situs web yang hanya mengenkripsi halaman login mereka. Oleh karena itu, situs web yang menggunakan HTTP dan HTTPS dalam penyiapannya rentan terhadap serangan stripping SSL. Pertanyaan yang harus dijawab sekarang adalah: apa yang dapat kita lakukan untuk keamanan data diri kita dari ancaman ini? Apakah adopsi HTTPS dan pembaruan Chrome merupakan obat mujarab?
Bagaimana mencegah bentuk serangan ini?
Sertifikat SSL
Sertifikat SSL saja tidak akan melindungi Anda, tetapi Anda perlu mengenkripsi semua koneksi Anda dengan sertifikat SSL yang dikonfigurasi HTTPS. Dan Anda perlu mengenkripsi semua elemen situs Anda, bukan hanya halaman login. Gambar, tautan – semuanya.
Saat membeli sertifikat SSL, Anda dapat (dengan biaya tambahan) menambahkan opsi Wildcard yang memungkinkan Anda menggunakan SSL pada subdomain dan server dalam jumlah tak terbatas untuk keamanan yang lebih besar.
Sertifikat SSL Organization Validation (OV) atau Extended Validation (EV) akan semakin meningkatkan tingkat keamanan situs Anda dan mengonfirmasi keasliannya. Sertifikat SSL EV menunjukkan nama perusahaan Anda di bilah URL hijau sebagai bukti bahwa situs Anda sah. Bandingkan sertifikat SSL untuk menemukan yang paling sesuai dengan kebutuhan Anda.
Daftar Pramuat HSTS
Daftar pramuat HSTS adalah inventaris global situs web yang hanya menggunakan koneksi HTTPS. Ini memberikan tingkat keamanan lain ke situs Anda dan pemilik situs web didesak untuk mendidik diri mereka sendiri dalam daftar dan bagaimana mereka dapat melindungi situs web mereka dari serangan Stripping SSL.
Daftar Pramuat HSTS harus disiapkan untuk menyajikan header HSTS di domain dasar untuk semua permintaan HTTPS. Ini kemudian akan menunjukkan kepada semua browser bahwa situs hanya boleh dimuat di bawah protokol HTTPS. Semua variasi lainnya ditolak.
Dengan kata lain, Daftar Pramuat HSTS bekerja dengan menolak untuk terhubung ke situs web jika browser mendeteksi HTTP. Rata-rata pengguna mungkin tidak dapat mengetahui apakah sebuah situs web menggunakan HSTS, HSTS Preload List, atau memiliki kelemahan lainnya.
Didik pengguna Anda
Terakhir, namun tidak kalah pentingnya, beri tahu pengguna Anda tentang beberapa tindakan pencegahan dasar yang dapat mereka ambil untuk menghindari menjadi korban stripping SSL.
- HTTPS Everywhere: Dorong pengguna untuk mengunduh ekstensi browser HTTPS Everywhere yang akan memaksa browser mereka untuk hanya mengirim informasi melalui situs web HTTPS.
- Virtual Private Networks (VPN) : VPN memberi pengguna lapisan enkripsi aman di situs mana pun mereka berada. Bahkan jika situs diturunkan ke HTTP, data akan tetap dienkripsi.
- Wi-Fi: Hindari menggunakan jaringan Wi-Fi publik, terutama saat mengirim data sensitif (seperti informasi kartu kredit saat melakukan pembelian)
- HTTPS: Jika LIMA huruf – HTTPS – tidak ada di depan URL, jangan klik.
- Tautan: Jangan klik tautan atau email yang tampak berbahaya.
Kesimpulan
Dalam posting blog ini, kami telah membahas mekanisme sederhana namun berbahaya dari serangan stripping SSL dan memberikan gambaran umum tentang solusi yang diusulkan untuk menggagalkan serangan ini. Peretas memanfaatkan jendela serangan tunggal yang disebabkan oleh pengguna yang membuat permintaan awal dalam HTTP alih-alih protokol HTTPS yang aman.
Sebagai mitigasi, HTTP Strict Transport Security (HSTS) dapat diimplementasikan di sisi server, serta HSTS Preload Lists yang dapat di-hardcode di browser. Ekstensi browser seperti HTTPS Everywhere dapat diinstal pada browser untuk mencegah pengguna membuat koneksi HTTP sejak awal. Terakhir, upaya untuk meningkatkan visibilitas peringatan browser pada koneksi HTTP yang tidak aman dapat membantu pengguna untuk menghindari jatuhnya korban serangan stripping SSL.
