PCI DSS 3.2: Anda harus berhenti menggunakan SSL 3.0 dan TLS 1.0

Menurut berita terbaru dalam industri SSL, versi PCI DSS 3.2 yang baru akan dirilis pada musim semi ini. Awalnya, tanggal rilis yang dijadwalkan adalah pada musim gugur.

Dewan Standar Keamanan PCI merevisi tanggal rilis untuk menyertakan periode perpanjangan migrasi SSL 3.0/TLS 1.0 karena lanskap ancaman yang berkembang saat ini.

PCI DSS 3.2

Versi PCI DSS 3.1 saat ini adalah yang pertama kali memperkenalkan pedoman ketat yang membahas migrasi dari SSL 3.0 dan TLS 1.0. Menurutnya, kedua protokol ini seharusnya “tidak lagi digunakan sebagai kontrol keamanan setelah tanggal 30 Juni 2016”. Ini berarti bahwa hingga tanggal yang ditetapkan, semua pemilik situs web yang memproses data pemegang kartu harus menonaktifkan versi protokol ini agar sesuai dengan persyaratan baru. Namun, Dewan Standar Keamanan PCI mengubah tanggal ini dalam “Buletin tentang Migrasi dari SSL dan TLS Awal” dari Desember 2015, dengan memperpanjang periode hingga 30 Juni 2018. Revisi ini merupakan hasil dari umpan balik pasar yang luas dari anggota PCI DSS. Namun, Dewan dengan tegas menyatakan bahwa menunggu hingga tahun 2018 tidak disarankan. Tenggat waktu yang baru akan dimasukkan ke dalam PCI DSS 3.2, yang ditargetkan untuk diterbitkan pada bulan Maret atau April 2016.

Meningkatkan keamanan situs web

Menurut buletin tersebut, pada bulan November 2015, lebih dari 67% situs web yang disurvei memiliki keamanan yang tidak memadai. Ini berarti bahwa situs-situs web ini terpapar pada serangan siber tingkat tinggi seperti “POODLE“, “FREAK“, “BEAST“, “CRIME” atau “Heartbleed“, yang mengeksploitasi kelemahan protokol SSL 3.0 dan TLS 1.0, yang dirilis pada tahun sembilan puluhan.

Serangan siber ini memungkinkan para peretas untuk melakukan “serangan di tengah-tengah“, di mana mereka dapat dengan mudah mendekripsi data pemegang kartu yang sensitif, atau mencuri kunci kriptografi yang berumur panjang. Kerentanan protokol SSL 3.0 dan TLS 1.0 tidak dapat diperbaiki. Inilah sebabnya mengapa PCI DSS memberlakukan migrasi ke versi terbaru dari protokol TLS: TLS 1.1 dan TLS 1.2, yang dirilis pada tahun 2006 dan 2008.

Setelah Google menemukan kerentanan POODLE, beberapa langkah perlindungan telah diambil untuk meningkatkan keamanan situs web. Pertama-tama, versi terbaru dari peramban yang paling populer tidak mendukung SSL 3.0 lagi. Kedua, semua webmaster telah disarankan untuk menonaktifkan opsi SSL 3.0 dan TLS 1.0 dari server mereka. Setelah opsi-opsi ini dinonaktifkan, sertifikat SSL akan melindungi koneksi dengan hanya menggunakan versi terbaru dari protokol TLS.

Meskipun persyaratan baru PCI DSS 3.2 secara langsung hanya ditujukan kepada pemilik situs web yang berurusan dengan pemegang kartu, pembayaran, catatan pribadi atau administratif,rekomendasi migrasi ke TLS 1.2 harus merujuk ke semua webmaster. Jumlah pelanggaran data terus meningkat dan Anda tidak boleh mengambil risiko keamanan online dan reputasi bisnis Anda dengan menggunakan protokol enkripsi yang sudah ketinggalan zaman. Sertifikat SSL yang tersedia mendukung semua protokol, jadi jangan ragu untuk melindungi situs web Anda dengan memperbaruinya ke TLS 1.2.

Ditulis oleh Dionisie Gitlan

Penulis konten berpengalaman yang berspesialisasi dalam Sertifikat SSL. Mengubah topik keamanan siber yang rumit menjadi konten yang jelas dan menarik. Berkontribusi untuk meningkatkan keamanan digital melalui narasi yang berdampak.