Bidang Unit Organisasi yang Akan Dihapus dari Sertifikat SSL

Sejak diperkenalkannya SSL oleh Netscape pada tahun 1994, sertifikat digital telah berkembang bersama dengan seluruh Web. Melalui uji coba dan kesalahan, inovasi, dan penyesuaian, sertifikat SSL terus disempurnakan untuk memenuhi kebutuhan keamanan yang paling ketat.

Pengurangan masa berlaku SSL menjadi hanya satu tahun dan penghapusan bilah alamat hijau dari sertifikat Validasi Diperpanjang hanyalah beberapa modifikasi terbaru yang telah diterapkan oleh CA/Browser Forum untuk tetap berada di depan ancaman dunia maya dan membuat enkripsi digital lebih dapat diprediksi. Dalam dunia Otoritas Sertifikat, perubahan adalah satu-satunya hal yang konstan.

Bidang Unit Organisasi (OU) bukanlah sesuatu yang secara langsung Anda kaitkan dengan keamanan SSL, terutama karena bidang ini telah menjadi bagian dari proses pemesanan SSL sejak awal. Tapi sekarang, waktu bidang OU akan segera berakhir, dan CA akan menghapusnya pada akhir Agustus 2022. Jadi, apa alasan di balik penghapusan bidang yang tampaknya tidak berbahaya ini? Untuk mendapatkan gambaran lengkapnya, mari kita cari tahu apa tujuan awal dari ladang OU.

Bidang Unit Organisasi – tinjauan singkat

Setiap kali Anda memesan sertifikat SSL, Anda harus membuat Permintaan Penandatanganan Sertifikat (CSR) dan mengisi kolom dengan data kontak Anda sebagai bagian dari proses validasi. CSR mencakup detail tentang perusahaan Anda, negara tempat tinggal, dan nama domain yang ingin Anda amankan. Di antara kolom yang harus Anda lengkapi adalah kolom Unit Organisasi. Anda bisa memasukkan hampir semua data yang Anda inginkan di dalamnya, dan justru itulah yang membuatnya tidak jelas dan menyesatkan.

Tujuan awal bidang OU adalah untuk bertindak sebagai bidang penampung di mana perusahaan dapat menempatkan data yang relevan tentang sertifikat dan bagaimana sertifikat tersebut digunakan. Praktik yang umum dilakukan adalah menyertakan data referensi untuk penagihan sehingga departemen keuangan mengetahui siapa yang membeli sertifikat tersebut.

Jika Anda mengikuti contoh ini, Anda akan menulis sesuatu seperti “IT” atau “Security” pada bidang OU. Tetapi tidak ada yang menghalangi Anda untuk memasukkan apa pun yang Anda inginkan, mulai dari nama negara hingga karakter kartun. Jika perusahaan Anda berkantor pusat di AS tetapi cabang internasional mengelola sertifikat, Anda dapat menulis sesuatu seperti “Prancis” atau “luar negeri”. Dan di sinilah ambiguitas pengajuan OU dapat membingungkan pengguna.

Katakanlah salah satu klien perusahaan Anda adalah Delta Air Lines. Jika Anda memasukkannya ke dalam bidang OU, beberapa pengguna akan mengira bahwa sertifikat itu milik Delta Air Lines, bukan organisasi Anda. Dan meskipun ini mungkin tampak sebagai contoh yang ekstrem, sifat opsional bidang OU membuatnya rentan terhadap kebingungan dan salah tafsir – hal-hal yang tidak dapat diterima dalam keamanan siber modern.

Celah keamanan potensial

Sertifikat SSL sekarang menjadi persyaratan untuk semua jenis situs web. Perusahaan menggunakan ratusan sertifikat untuk memenuhi kebutuhan keamanan mereka, tetapi tidak semua orang mengikuti praktik manajemen SSL terbaik. Menurut laporan Detectify Labs laporannya.bahwa ada bahaya dalam penerapan sertifikat ini yang “dapat menyebabkan data perusahaan terekspos atau dikompromikan oleh pihak-pihak yang berniat jahat.”

Detectify telah menganalisis lebih dari 900 juta sertifikat SSL dan menekankan risiko utama yang terkait dengan SSL. Dalam konteks bidang OU, kesimpulan berikut ini relevan:

“Para analis menemukan bahwa sebagian besar domain yang baru disertifikasi telah diberi nama deskriptif. Hal ini mungkin terdengar tidak berbahaya, namun sebenarnya bisa menjadi risiko informasi bisnis.”

Jika sertifikat dikeluarkan pada tahap pengembangan, pesaing mungkin memiliki cukup waktu untuk melemahkan perusahaan atau produk baru sebelum mencapai pasar. Namun, meskipun Anda memilih string acak daripada produk deskriptif, sedikit informasi acak dalam bidang OU yang dikirimkan selama proses pemesanan berpotensi membocorkan beberapa rahasia Anda.

Saatnya mengucapkan selamat tinggal

Dengan ancaman dunia maya yang semakin meningkat dari hari ke hari, CA bekerja lembur untuk menyempurnakan dan memperkuat protokol keamanan yang mengatur sertifikat SSL. Ketika konsep dan elemen lama menjadi usang, pendekatan “lebih sedikit lebih baik” adalah cara yang efisien untuk menghilangkan kebingungan dan celah potensial untuk dieksploitasi oleh peretas.

Pada akhir tahun sembilan puluhan dan awal tahun sembilan puluhan, hanya ada beberapa CA yang ada di pasaran, dan jumlah perusahaan yang meminta SSL jauh lebih kecil. Tujuan awalnya adalah beberapa CA yang ada akan diperiksa secara manual oleh browser, sehingga meningkatkan keyakinan bahwa CA melakukan segala sesuatu seaman mungkin. Tetapi dengan munculnya sertifikat SSL, tugas ini menjadi semakin sulit.

Masalah dengan bidang OU adalah bahwa otoritas sertifikat harus memverifikasi dan menegaskan identitas subjek sertifikat dalam nama subjek sertifikat. Bidang OU, di sisi lain, bukanlah deskripsi yang akurat, meskipun merupakan bagian yang lebih kecil dari organisasi. CA tidak memiliki metode untuk memverifikasi bagian yang lebih kecil dari organisasi secara konsisten dan menegaskan identitasnya.

Kehidupan setelah pemindahan ladang OU

Jadi, bagaimana penghapusan bidang OU akan memengaruhi perusahaan? Berikut ini semua yang perlu Anda ketahui tentang perubahan yang akan datang:

• Untuk mematuhi standar industri, otoritas sertifikat akan menghapus bidang Unit Organisasi (OU) untuk semua sertifikat SSL publik pada akhir Agustus 2022.
• Perubahan ini tidak akan memengaruhi sertifikat yang telah diterbitkan sebelumnya dengan bidang OU yang valid.
• Ini tidak memengaruhi sertifikat SSL pribadi atau jenis sertifikat non-SSL lainnya.

Kesimpulan

Teknologi web berkembang dengan sangat cepat, dan bersamaan dengan itu, ancaman dunia maya menjadi lebih canggih. Dalam hal enkripsi web, badan pengatur harus proaktif dan mengantisipasi kerentanan dalam sistem yang mereka atur.

Bidang Unit Organisasi bukanlah bagian penting dari keseluruhan proses pemesanan SSL, dan dengan demikian, menjadi ancaman potensial. Menghapusnya adalah cara mudah untuk menghindari kebingungan dan meningkatkan waktu validasi.