Seiring perkembangan teknologi dan perubahan SSL, kerentanan gres mulai mengakibatkan masalah. Teknologi secure socket layer (SSL) telah berubah dalam beberapa tahun terakhir, dan kerentanan gres juga telah ditemukan.
Kali ini kita akan membahas lanskap keamanan SSL yang gres dan menguraikan problem keamanan yang muncul.
Baca terus untuk mengetahui hal terbaru perihal problem keamanan SSL dan langkah-langkah yang sanggup dilakukan perusahaan untuk mengatasinya dan menerapkan SSL dengan aman:
Sertifikat SSL
Sertifikat SSL yaitu komponen kunci keamanan SSL dan memperlihatkan kepada pengguna bahwa situs web tersebut sanggup dipercaya.
Dengan pemikiran ini, harus diperoleh dari otoritas akta yang ahli (CA) - semakin besar pangsa pasar semakin baik, sebab berarti semakin kecil kemungkinan akta tersebut akan dicabut.
Organisasi dihentikan mengandalkan akta yang ditandatangani sendiri. Sertifikat idealnya memakai algoritma hashing SHA-2, sebab dikala ini tidak ada kerentanan yang diketahui dalam algoritma ini.
Sertifikat validasi perpanjangan (EV) memperlihatkan cara lain untuk meningkatkan kepercayaan terhadap keamanan situs web.
Sebagian besar browser menampilkan situs web yang mempunyai akta EV dalam warna hijau yang aman, memperlihatkan petunjuk visual yang berpengaruh kepada pengguna simpulan bahwa situs web tersebut sanggup dianggap kondusif untuk digunakan.
Nonaktifkan santunan untuk ciphers lemah
Hampir semua server web mendukung enkripsi enkripsi yang berpengaruh (128 bit) atau sangat berpengaruh (256 bit), namun banyak juga mendukung enkripsi lemah, yang sanggup dimanfaatkan oleh hacker untuk membahayakan keamanan jaringan perusahaan.
Tidak ada alasan untuk mendukung ciphers lemah, dan mereka sanggup dinonaktifkan dalam beberapa menit dengan mengkonfigurasi server kaliandengan garis seperti:
SSLCipherSuite RSA:! EXP:! NULL: + HIGH: + MEDIUM: -LOW
Pastikan server Kalian tidak mendukung renegosiasi yang tidak aman
Kerentanan SSL dan TLS Authentication Gap memungkinkan seorang laki-laki di Amerika untuk memakai renegosiasi untuk menyuntikkan konten otoriter ke dalam fatwa data terenkripsi.
Sebagian besar vendor besar telah mengeluarkan patch untuk kerentanan ini, jadi kalau kalian belum melakukannya, pastikan prioritas untuk menerapkan renegosiasi yang kondusif atau nonaktifkan renegosiasi yang tidak kondusif (lakukan perubahan yang dibutuhkan pada situs kalian) paling tidak.
Baca Juga :
- Tips Mengamankan Password Untuk Melindungi Data
- Mengenal Beberapa Fitur Baru yang Terdapat Dalam Laravel 5.5
- Cara Mengatasi "Missing File Error - Unable to Find Locale Data Files - Please Reinstall" Pada Google Chrome
Pastikan semua tahap otentikasi dilakukan melalui SSL
Melindungi kredensial pengguna kalian yaitu kunci, dan itu berarti mengirim pengguna formulir login kalian melalui koneksi SSL dan juga melindungi kredensial mereka dengan SSL dikala dikirimkan kepada kalian.
Kegagalan untuk melaksanakan hal ini memungkinkan hacker untuk mencegat formulir kalian dan menggantinya dengan yang tidak aman.
Jangan mencampur konten dan plaintext yang dilindungi SSL di halaman web kalian.
Konten gabungan sanggup mengakibatkan situs kalian dikompromikan sebab satu sumber yang tidak dilindungi menyerupai Javascript sanggup dipakai untuk menyuntikkan arahan berbahaya atau mengakibatkan serangan man-in-the-middle.
Gunakan HTTP Ketat Transport Security (HSTS) untuk melindungi domain (termasuk sub-domain)
Saat situs web dilindungi memakai HSTS, sesudah kunjungan pertama semua tautan ke situs web dikonversi dari http ke https secara otomatis, dan pengunjung tidak sanggup mengakses situs ini lagi kecuali kalau diverifikasi oleh akta yang valid dan tidak ditandatangani sendiri.
Itu berarti bahwa peretas tidak sanggup mengalihkan pengguna kalian ke situs phishing yang mereka kontrol atas tautan yang tidak kondusif (menggunakan pengupasan SSL) atau mencuri cookie sesi tanpa jaminan (menggunakan Firesheep.)
Lindungi cookies dengan memakai bendera HttpOnly and Secure
Cookie yang dipakai untuk otentikasi selama sesi SSL sanggup dipakai untuk mengkompromikan keamanan SSL sesi.
Flag HttpOnly menciptakan cookie yang kalian catat tidak terlihat oleh skrip sisi klien, sehingga tidak sanggup dicuri melalui eksploitasi skrip lintas situs, sedangkan flag kondusif berarti cookie hanya sanggup dikirim melalui koneksi SSL terenkripsi dan oleh sebab itu tidak sanggup dicega.
Mengkonfigurasi server web untuk mengeluarkan cookie dengan kedua atribut HttpOnly and Secure melindungi terhadap kedua jenis serangan ini.
Gunakan akta Extended Validation (EV)
Meskipun ini tidak penting untuk keamanan situs, akta EV memperlihatkan konfirmasi visual yang terang di kebanyakan bilah alamat browser yang menciptakan sambungan SSL kondusif ke situs yang benar-benar milik kalian, dan belum dialihkan ke situs phishing.
Sertifikat EV hanya dikeluarkan sesudah otoritas akta telah mengambil langkah tegas untuk mengkonfirmasi identitas dan bahwa kau mempunyai atau mengendalikan nama domain yang dikeluarkan sertifikatnya.
Pastikan akta kalian termasuk subdomain
Untuk menghindari pengunjung situs mendapat kesalahan akta pastikan bahwa keduanya https://www.yourdomain dan https://yourdomain dilindungi oleh akta SSL kamu.
kau sanggup melakukannya dengan memakai akta SSL multi-domain yang biasanya memungkinkan kau memilih sampai tiga Nama Alternatif Subjek (Subjek)
Jalankan tes SSL Server online
Kalian sanggup mengusut keseluruhan postur keamanan SSL, termasuk konfigurasi server SSL, rantai sertifikat, dan santunan protokol dan cipher suite, serta mencari kelemahan yang diketahui menyerupai kerentanan renegosiasi, dengan memakai Uji SSL Server SSL Qualys SSL gratis.