Mungkin ada antara pengikut lama blog ini yang tiba-tiba terkejut, tercangak-bangak, atau tertanjat boboi akibat angin perubahan yang melanda. Bukan sengaja untuk saya menukar dari bahasa ibunda kepada bahasa penjajah, tapi semuanya dilakukan atas usaha untuk memperkenalkan blog ni di persada antarabangsa.
Tapi dek kerana ramai juga yang mahukan saya menulis dalam bahasa Melayu, maka setelah lama saya berfikir dalam satu bilik gelap di pejabat, saya pun mengalah lah jua.
Asalnya saya hendak masukkan artikel dalam aplikasi/web Drippler. Tetapi admin app/web tersebut telah menolak secara baik blog ini atas alasan artikel di sini terlalu teknikal. Heh, ye ke? Rasa macam tak je. Tapi tak mengapalah, barulah saya tahu artikel dalam Drippler semuanya noob-proof belaka. Kan…
Nak menulis blog IT dalam Bahasa Melayu adalah sangat sukar sebenarnya, disebabkan istilah-istilah yang digunakan dalam dunia IT perlu diterjemahkan. Apa yang menjadi kesukaran ialah bagaimana cara untuk kami di sini cuba buatkan pembaca untuk faham isi kandungan sesebuah entri.
Apa Itu Shellshock?
Serius, artikel ini agak susah untuk ditulis meskipun dalam bahasa Inggeris kerana ia sememangnya teknikal. Buat yang baru hendak berjinak dalam dunia IT, Mr. Hac sarankan agar anda cuba untuk buka mana-mana blog, laman web, atau forum yang ada menjelaskan secara teperinci mengenai kelemahan (vulnerability) ini.
Shellshock, secara terma mudah fahamnya ialah kelemahan dalam Bash. Perisian sistem yang telah digunakan oleh berjuta-juta mesin/PC/Mac/Bla-Bla-Bla yang akan memberi jalan kepada penggodam untuk menjalankan perintah (command) dengan sewenang-wenangnya.
Masalahnya ialah terdapat kelemahan utama yang berlaku apabila karakter-karakter tertentu dimasukkan sebagai sebahagian daripada definisi pembolehubah.
Jika karakter “{:;};” dimasukkan sebagai definisi fungsi, mana-mana kod yang dimasukkan selepas definisi tersebut akan terus diproses. Ini tidak sepatutnya berlaku.
Dalam bahasa mudah, jika seseorang penyerang dapat membuat mana-mana karakter tampil seperti fungsi normal dan kemudian menambah beberapa baris berintah di akhir definisi, diakhirnya Bash akan terus menjalankan baris perintah tersebut.
Ini bermakna mana-mana pelayan yang terdedah kepada kelemahan ini tidak memerlukan kepada penggodam untuk memasukkan kod injeksi ke dalam baris perintah. Seseorang hanya perlu mencipta skrip yang akan menggunakan baris perintah Bash untuk dapat menjalankan kod tersebut.
Mendapat akses kepada baris perintah adalah apa yang penggodam sentiasa mahu lakukan kerana ia boleh memberikan mereka akses kepada persekitaran sistem operasi secara keseluruhan. Dengan cara itu, mereka boleh mencipta dan menjalankan kod-kod berniat jahat mereka sendiri, mula mengakses data dalaman, menyusun semula persekitaran bagi kes-kes penggunaan mereka sendiri dan banyak lagi.
Shellshock akan menjadi lebih buruk lagi sekiranya ia bertukar menjadi worm. Apa itu Worm? Worms atau cecacing adalah hampir serupa dengan virus komputer cuma satu-satunya perbezaan jika hendak dibandingkan dengan virus komputer ialah ia tidak memerlukan perumah lain untuk melampirkan dirinya bagi menjangkiti komputer. Sekali worm menginfeksi komputer itu ia akan melakukan ulangan dan menyalin dirinya itu sendiri. Cecacing komputer adalah ancaman utama untuk rangkaian besar.
Sebuah Ancaman Besar
Walaupun Microsoft Windows tidak menyediakan Bash, tetapi anda perlu tahu Bash selalunya dipasang bersama dengan program lain, jadi Windows juga adalah terdedah kepada ancaman ini. Sasaran utama buat masa sekarang ialah pelayan-pelayan web.
Bagi pengguna sistem operasi Windows, sila kemaskini sistem operasi anda untuk mendapatkan tampalan lebih awal. Pengguna Linux, anda boleh semak kemaskini melalui system updater untuk sebarang tampalan pada Bash. Juga sama buat pengguna Apple OS X, anda boleh nantikan kemaskini sekuriti dari Apple.
Apa yang menjadi kebimbangan pada waktu ini ialah, cuba kita jujur dengan diri sendiri, ada berapa banyak sistem operasi, pelayan-pelayan yang mungkin tidak dikemaskini buat suatu waktu yang lama. Ambil contoh pejabat-pejabat kerajaan. Bukan semua staf adalah ‘Techsavvy’ seperti anda yang sedang membaca artikel ini. Mereka pengguna akhir ini kebiasaannya hanya bergantung kepada ‘apa yang mereka dapat’ sahaja, dan tidak pernah mengambil tahu soal lain.
Bayangkan dalam skala yang besar, apa yang mampu Shellshock lakukan. System Admin, mohon lakukan kerja anda.
