'Lubang Tikus' di Internet Explorer 5.5

GEORGI Guninski dulunya seorang penyamun digital. Hobi pria asal Bulgaria ini menyusup dan mengacakacak sistem komputer seseorang atau sebuah lembaga. Belakangan, ia insaf. Tapi kepintarannya itu tak disia-siakannya. Ia ganti profesi menjadi seorang konsultan di sebuah perusahaan perangkat lunak sistem keamanan komputer.

Setelah punya pekerjaan yang "lurus", Guninski rajin mengevaluasi perangkat-perangkat lunak yang beredar di pasar, demi menguji kelebihan ataupun kelemahan masing-masing. Hasil evaluasinya itu diposkan ke forum diskusi di internet (mailing list), Bugtraq, seperti yang dilakukannya dua pekan silam. Kali ini Guninski mengumumkan adanya celah berbahaya di dalam peranti lunak penjelajah (browser) Microsoft terbaru, Internet Explorer 5.5. Temuan ini yang kedua setelah sepekan sebelumnya ia juga mendapai adanya cacat lain di program yang sama.

Menurut Guninski, para pengguna Internet Explorer 5.5 mesti berhati-hati karena aplikasi ini mempunyai "celah" yang bisa ditembus para penyamun digital, sehingga mereka dapat mengacak-acak seluruh isi komputer. "Penyusup bukan hanya dapat membaca dokumen, melainkan juga menulis ulang dan menjalankan suatu program di dalam komputer seseorang," tutur Elias Levy, analis di SecurityFocus.com, kepada situs CNET.

Kelemahan penjelajah itu berhubungan dengan kompleksitas dua subsistem. Ia tak menjelaskan secara detail, apa yang dimaksud dengan kompleksitas itu. Guninski hanya mengungkapkan bahwa ia menemukan celah itu setelah menjalankan teknologi ActiveX buatan perusahaan yang sama. ActiveX berfungsi mengelola pengiriman dan penerimaan dokumen. Bila dikombinasikan dengan Java, teknologi ini memungkinkan seorang hacker memperoleh akses ke dalam komputer korban—sesuatu yang tak akan terjadi seandainya sistem dijalankan secara independen.

Pada laporan temuan sebelumnya, Guninski menunjukkan adanya kemungkinan seorang hacker dapat mencontek catatan komputer seseorang—termasuk cookies, yakni jejak elektronik yang berisi catatan informasi identitas seorang pengakses—melalui teknologi ActiveX Microsoft.

Konsekuensi cacat itu cukup serius, kata Levy. Sebagai misal, seorang pencuri elektronik bisa memalsukan cookies seorang pelanggan situs lelang eBay, lalu menggunakannya sebagai jalan masuk ke rekening si korban di situs tersebut. Jika berhasil, suatu saat si hacker bisa saja masuk ke eBay kemudian melakukan transaksi menggunakan rekening korban.

Kepada CNET, seorang juru bicara Microsoft menyatakan bahwa salah satu divisi perusahaannya yang bertanggung jawab atas soal tersebut, Security Response Center (SRC), telah menyelidiki kelemahan itu. SRC, yang baru saja merekrut bekas direktur SecurityFocus, Eric Schultze, telah menerima sekitar 5.000 nota peringatan sejak awal tahun ini. Dari jumlah itu, hanya 400 di antaranya yang benar-benar diselidiki, dan sejauh ini dapat dideteksi 70 kelemahan dalam pelbagai sistem keamanan.

Sebelum mengeposkan temuannya ke situs diskusi di internet, dan semua orang mengetahui adanya cacat di sebuah program, Guninski biasanya memberi kesempatan selama 24 jam kepada perusahaan yang bersangkutan untuk memperbaikinya terlebih dahulu. Tujuannya jelas: masalah terselesaikan sebelum publik panik.

Pada kasus ini, info keburu bocor karena Microsoft sendiri belum punya solusi jitu menutup celah rawan itu dalam waktu sehari. "Kami kekurangan waktu," ujar juru bicara Microsoft itu. Kendati demikian, ia menambahkan, Microsoft sangat peduli pada risiko yang mungkin mengancam konsumen seandainya seluruh informasi di dalam sebuah komputer jadi terbuka dan para penjahat dapat mengaksesnya. Karena itu, pihaknya segera mengeluarkan kode dan program penambal celah itu.

Namun, Levy menyatakan solusi cacat itu sebetulnya lebih dari sekadar urusan tambal-menambal program. Sangat jelas bahwa pendekatan masalah yang selama ini dilakukan Microsoft—yakni mengeluarkan kode dan program "penambal"—ternyata gagal atau tak berfungsi sebagaimana diharapkan. Cacat itu tetap ada. Artinya, teknologi keamanan sistem operasi buatan anak buah Bill Gates itu ternyata kurang andal. Sekarang terpulang ke Microsoft, mampukah mereka menciptakan program yang lebih aman?

Wicaksono