Ada Kerentanan di Chromebook, Google Minta Perbarui Firmware

Andi Nugroho
 Kamis, 12 September 2019 - 21:53 WIB   2099

Acer Chromebook | Foto: Google.com/chromebook

Cyberthreat.id – Anda pengguna laptop Chromebook?

Google meminta Anda untuk segera memperbarui (update) perangkat karena terdapat kerentanan (vulnerability) kritis dalam fitur Chrome OS eksperimental yang menangani prosedur otentikasi dua langkah (2FA).

Kerentanan itu berdampak pada fitur Chrome OS yang dikenal sebagai "kunci keamanan bawaan” (built-in security key). Fitur ini memungkinkan pengguna menggunakan perangkat Chromebook yang mirip dengan kunci keamanan USB/NFC/Bluetooth berbasis perangkat keras.

Fitur tersebut dapat digunakan saat mendaftar atau masuk ke situs web. Pengguna dapat menekan tombol daya Chromebook, yang akan mengirim token kriptografi ke situs web.

“Mirip dengan bagaimana kunci perangkat keras klasik biasanya bekerja. Perbedaannya adalah pengguna menggunakan Chromebook sebagai bukti kepemilikan dan identitas, bukan kunci berbasis USB, NFC, atau Bluetooth,” demikian tulis ZDNet, Kamis (12 September 2019).

Awal tahun ini, teknisi Google menemukan kerentanan dalam firmware chip H1 yang digunakan untuk memproses bagian operasi kriptografi dari fitur "kunci keamanan bawaan".

Google menemukan bahwa firmware chip tersebut salah menangani beberapa operasi, dan secara tidak sengaja memotong panjang beberapa tanda tangan kriptografi, sehingga membuatnya lebih mudah rusak.

Efek buruknya adalah penyerang yang memperoleh "tanda tangan dan data yang ditandatangani" dapat memalsukan kunci keamanan pengguna tanpa harus memiliki akses ke perangkat Chrome OS pengguna.

"Kami tidak berharap tanda tangan rentan telah terekspos secara luas karena mereka biasanya akan melewati koneksi HTTPS," kata Google.

Namun, Google juga mengatakan, kejadian tersebut tidak perlu disikapi dengan kepanikan. Jika penyerang mendapatkan tanda tangan dan mendapatkan kunci pribadi untuk membuat tanda tangan lainnya, mereka hanya akan merusak langkah kedua dalam proses otentikasi dua langkah klasik.

Penyerang masih perlu tahu atau memiliki kata sandi pengguna untuk masuk ke akun. Namun demikian, Google menyarankan pengguna untuk mengambil langkah-langkah perbaikan seperti berikut ini:

  • Perbarui ke Chrome OS 75 atau lebih baru untuk menerima perbaikan untuk firmware chip H1. Versi 0.3.15 dan yang lebih baru tidak rentan.
  • Buat daftar akun Anda di situs web tempat Anda mendaftarkan kunci keamanan yang dihasilkan oleh fitur kunci keamanan internal Chrome OS.
  • Batalkan registrasi kunci keamanan bawaan Chrome OS dari semua layanan ini. Tidak perlu mengubah kata sandi atau pengaturan keamanan akun lainnya.
  • (pilihan) Tinjau login yang berhasil baru-baru ini ke layanan untuk menentukan apakah ada sesuatu yang mencurigakan.
  • Jika Anda menerima pemberitahuan "kunci keamanan internal memerlukan pengaturan ulang", klik "Setel Ulang" pada pemberitahuan untuk mencegahnya muncul kembali.

Google mengatakan bahwa hanya versi Chromebook yang mendukung chip H1 dan fitur kunci keamanan bawaan yang terpengaruh. Namun, jika pengguna tidak pernah menggunakan fitur ini, mereka tidak terpengaruh.

Google merilis Chrome OS 75 pada akhir Juni dan baru mengetahui kerentananyang berdampak pada chip H1 pada awal Juli. “Satu-satunya kritik adalah bahwa perusahaan tidak secara luas mengiklankan masalah ini, hanya menerbitkan saran pada halaman penasihat keamanan (security advisories page) OS Chromium.

Pengguna dapat mengunjungi Chrome OS: chrome://version untuk melihat model/nama kode perangkat mereka dan membandingkannya daftar di bawah ini:

  1. akali360 - Acer Chromebook Spin 13 (CP713-1WN)
  2. akali - Acer Chromebook 13  (CB713-1W)
  3. alan - HP Chromebook 11 G6 EE
  4. aleena - Acer Chromebook 315
  5. ampton - ASUS Chromebook Flip C214
  6. apel - ASUS Chromebook C204
  7. astronaut - Acer Chromebook 11 (C732)
  8. babymako - ASUS chromebook C403
  9. babymega - ASUS Chromebook C223
  10. babytiger - ASUS Chromebook C523
  11. barla - HP Chromebook 11A G6 EE
  12. basking - ASUS Chromebook C213NA/C213SA
  13. bigdaddy - HP Chromebook 14 / HP Chromebook 14 G5
  14. blacktip360 - CTL chromebook NL7T-360
  15. blacktip - CTL chromebook NL7
  16. blacktiplte - CTL Chromebook NL7 LTE
  17. blue - Acer Chromebook 15 CB315-1H / 1HT
  18. bobba360 - Acer Chromebook Spin 511
  19. bobba - Acer Chromebook 311
  20. bob - ASUS Chromebook Flip C101PA
  21. bruce - Acer Chromebook Spin 15 CP315-1H / 1HT
  22. careena - HP Chromebook 14 db0000-db0999
  23. dru - Acer Chromebook Tab 10 (D651N / D650N)
  24. druwl - CTL Chromebook Tab Tx1
  25. dumo - ASUS Chromebook Tablet CT100
  26. electro - Acer Chromebook Spin 11 (R751T / CP511)
  27. epaulette - Acer Chromebook 514
  28. eve - Google Pixelbook
  29. fleex - Dell Chromebook 3100
  30. grabbiter - Dell Chromebook 3100 2in1
  31. kasumi360 - Chromebook Spin 311 (R721T)
  32. kasumi - Chromebook 311 (C721)
  33. kench - HP Chromebox G2
  34. lava - Acer Chromebook Spin 11 (CP311-1H & CP311-1HN)
  35. liara - Lenovo 14e Chromebook
  36. meep - HP Chromebook x360 11 G2 EE
  37. mimrock - HP Chromebook 11 G7 EE
  38. nasher360 - Dell Chromebook 11 2-in-1 5190
  39. nasher - Dell Chromebook 11 5190
  40. nautiluslte - Samsung Chromebook Plus (LTE)
  41. nautilus - Samsung Chromebook Plus (V2)
  42. nocturne - Pixel Slate
  43. orbatrix - Dell Chromebook 3400
  44. pantheon - Yoga C630 Chromebook
  45. phaser360 - Lenovo 300e/500e Chromebook 2nd Gen

Tags