Let’s Encrypt melarang penggunaan sertifikat di wilayah yang menjadi sasaran sanksi AS [PDF]
(letsencrypt.org)- Sertifikat Let’s Encrypt adalah sertifikat digital SSL/TLS yang diterbitkan oleh ISRG, dan pelanggan harus mengikuti hak serta kewajiban dalam perjanjian ini saat meminta, menerima, dan menggunakan sertifikat
- Pelanggan harus menjamin kewenangan atas identifier sertifikat, keakuratan informasi, serta kepemilikan dan perlindungan kunci privat, dan wajib mematuhi aturan sanksi dan kontrol ekspor AS
- Orang atau organisasi yang berada di negara/wilayah yang dikenai sanksi komprehensif AS, didirikan berdasarkan hukum wilayah tersebut, atau biasanya bertempat tinggal di sana tidak dapat menggunakan sertifikat maupun layanan yang disediakan ISRG
- Dalam kondisi tertentu seperti kebocoran kunci, kesalahan informasi sertifikat, penyalahgunaan, kedaluwarsa/pencabutan, atau penggunaan untuk aktivitas ilegal, pelanggan atau ISRG harus melakukan pencabutan sertifikat
- Perjanjian ini membatasi jaminan ISRG untuk sertifikat yang disediakan sebagai layanan publik gratis, serta menetapkan batas tanggung jawab, hukum yang berlaku, yurisdiksi, dan prosedur perubahan perjanjian
Sifat perjanjian dan definisi dasar
- Let’s Encrypt Subscriber Agreement adalah perjanjian yang mengikat secara hukum antara pelanggan dan Internet Security Research Group (ISRG)
- Perjanjian ini mencakup hak dan kewajiban kedua pihak terkait perolehan dan penggunaan sertifikat digital SSL/TLS yang diterbitkan oleh ISRG
- Jika bertindak atas nama perusahaan, organisasi, atau entitas lain, harus menjamin bahwa Anda memiliki kewenangan untuk mengikat entitas tersebut pada perjanjian ini
- ACME Client Software adalah aplikasi perangkat lunak yang menggunakan protokol ACME untuk meminta, menerima, menggunakan, dan mengelola sertifikat Let’s Encrypt
- Certificate adalah catatan berbasis komputer atau pesan elektronik yang mengaitkan kunci publik dengan satu atau lebih identifier dan ditandatangani secara digital oleh pihak penerbit
Keberlakuan perjanjian, masa berlaku, dan ketentuan yang tetap berlaku
- Perjanjian berlaku sejak saat meminta ISRG menerbitkan sertifikat Let’s Encrypt
- Setiap sertifikat berlaku selama masa berlaku yang tertera pada sertifikat, dan dapat dicabut lebih awal
- Perjanjian tetap berlaku selama keseluruhan periode ketika memiliki sertifikat yang masih valid, termasuk periode perpanjangan seperti perpanjangan otomatis
- Jika tidak lagi memiliki sertifikat Let’s Encrypt yang masih valid, maka perjanjian berakhir
- Ketentuan tentang privasi, pembebasan tanggung jawab, penafian jaminan, pembatasan tanggung jawab, hukum yang berlaku, pilihan yurisdiksi, pembatasan klaim terhadap ISRG, serta larangan penggunaan sertifikat yang diperoleh secara tidak sah dan sertifikat kedaluwarsa tetap berlaku setelah pengakhiran atau berakhirnya perjanjian
Jaminan dan tanggung jawab pelanggan
- Pelanggan harus menjamin bahwa mereka adalah pendaftar, penerima pengalihan, atau agen resmi yang sah dari identifier yang menjadi subjek setiap sertifikat
- Pelanggan harus menjamin bahwa mereka tidak memperoleh kendali atas identifier sebagai hasil penyitaan, atau bahwa pada saat penyitaan tidak ada penggunaan sah yang masih berlangsung atas identifier tersebut
- Pelanggan harus menjamin bahwa informasi pelanggan dan identifier dalam sertifikat, serta semua informasi yang diberikan kepada ISRG, akurat, mutakhir, dapat diandalkan, lengkap, dan tidak menyesatkan
- Pelanggan harus secara sah memiliki kunci privat yang berpasangan dengan kunci publik pada sertifikat, serta mengendalikan, mengamankan, melindungi, dan menjaga kerahasiaan kunci privat tersebut beserta data atau perangkat aktivasi terkait
- Pelanggan tidak boleh merupakan orang atau organisasi yang berada di negara/wilayah yang dikenai sanksi komprehensif AS, didirikan berdasarkan hukumnya, atau biasanya bertempat tinggal di sana
- Pelanggan tidak boleh termasuk pihak yang dilarang atau dibatasi berdasarkan hukum sanksi atau kontrol ekspor AS maupun hukum lain yang berlaku
- Pelanggan tidak boleh merupakan orang atau organisasi yang dimiliki atau dikendalikan oleh pihak yang dikenai sanksi atau pihak yang dilarang/dibatasi, atau yang bertindak atas nama mereka
- Pelanggan harus menggunakan sertifikat Let’s Encrypt dan layanan yang disediakan oleh atau atas nama ISRG sesuai dengan aturan kontrol ekspor dan sanksi AS yang berlaku
Penerbitan sertifikat, penggunaan, dan kewajiban pencabutan
- Isi sertifikat didasarkan pada informasi yang dikirim pelanggan atau ACME Client Software kepada ISRG
- Jika ISRG menerima permintaan sertifikat, ISRG akan membuat sertifikat dan menyediakannya kepada pelanggan melalui protokol ACME
- Jika ISRG tidak dapat memverifikasi validitas permintaan, permintaan dapat ditolak
- ISRG dapat menolak permintaan sertifikat atas kebijakan tunggalnya sendiri, termasuk untuk alasan sah yang disebutkan maupun yang tidak disebutkan dalam perjanjian
- Pasangan kunci dibuat oleh pelanggan atau ACME Client Software di sistem pelanggan, dan ISRG tidak memiliki akses ke kunci privat
- ISRG memverifikasi kendali atas identifier target melalui metode dan protokol teknis, dan verifikasi ini merupakan prosedur untuk membantu menentukan apakah sertifikat akan diterbitkan
- Pelanggan harus segera memeriksa isi sertifikat, dan jika mengetahui adanya ketidakakuratan, kesalahan, cacat, atau masalah lain, harus segera meminta pencabutan
- Saat pertama kali menggunakan sertifikat atau pertama kali menggunakan kunci privat yang bersesuaian, pelanggan dianggap telah menerima sertifikat
- Pelanggan juga dianggap telah menerima sertifikat jika tidak segera meminta pencabutan setelah pemeriksaan awal
- ISRG memberikan lisensi non-eksklusif dan bebas royalti untuk menyalin dan mendistribusikan seluruh sertifikat dengan syarat mematuhi perjanjian
- Tujuan sertifikat adalah untuk mengautentikasi dan mengenkripsi komunikasi internet
- Pelanggan hanya boleh memasang sertifikat pada server yang tercantum dalam subjectAltName sertifikat, dan harus menggunakannya sesuai semua hukum dan perjanjian yang berlaku
- Pelanggan tidak boleh menggunakan sertifikat dalam arsitektur perangkat lunak atau perangkat keras yang menyediakan fungsi untuk mengganggu komunikasi terenkripsi
- Contoh yang dilarang meliputi penyadapan aktif, serangan man-in-the-middle, dan pengelolaan trafik nama domain atau alamat IP yang tidak dimiliki atau dikendalikan
- Jika penyalahgunaan kunci privat atau kebocoran kunci benar-benar terjadi atau dicurigai, pencabutan sertifikat terkait harus segera diminta
- Jika informasi sertifikat menjadi menyesatkan, tidak akurat, atau salah, pencabutan sertifikat terkait harus segera diminta
- Sebelum memberikan kode alasan pencabutan, harus meninjau petunjuk “Revoking Certificates” dalam dokumentasi Let’s Encrypt
- ISRG dapat mengubah kode alasan pencabutan yang diberikan pelanggan jika menilai kode alasan lain lebih tepat atau diperlukan menurut standar industri
- Jika informasi sertifikat menyesatkan, tidak akurat, atau salah, atau jika sertifikat telah dicabut atau kedaluwarsa, penggunaan sertifikat tersebut harus segera dihentikan
- Jika sertifikat dicabut karena diketahui atau dicurigai terjadi kebocoran kunci, semua penggunaan kunci privat yang bersesuaian dengan kunci publik tersebut harus segera dihentikan
Hak ISRG, pembatasan tanggung jawab, dan ketentuan tambahan
- Informasi yang dikirim pelanggan kepada ISRG dan sertifikat dapat menjadi catatan publik
- Pengumpulan, penyimpanan, penggunaan, dan pengungkapan informasi oleh ISRG tunduk pada Kebijakan Privasi Let’s Encrypt
- ISRG dapat segera mencabut sertifikat jika menerima pemberitahuan bahwa sertifikat tersebut tidak valid atau telah dikompromikan
- ISRG menentukan apakah sertifikat akan dicabut sepenuhnya atas kebijakan tunggalnya sendiri
- Jika pelanggan atau agennya meminta pencabutan sertifikat, ISRG akan mencabut sertifikat tersebut secepat yang dapat dilaksanakan
- Permintaan pencabutan yang ditandatangani dengan kunci privat otomatis dianggap sebagai permintaan yang sah
- ISRG dapat segera mencabut sertifikat tanpa pemberitahuan sebelumnya jika sertifikat diterbitkan secara tidak semestinya atau diperoleh melalui pernyataan palsu, penyembunyian, atau penipuan
- ISRG dapat segera mencabut sertifikat tanpa pemberitahuan sebelumnya jika sertifikat menjadi, atau tampak menjadi, tidak dapat dipercaya
- ISRG dapat segera mencabut sertifikat tanpa pemberitahuan sebelumnya jika keamanan kunci privat mungkin telah dicuri, hilang, dirusak, atau menjadi sasaran penggunaan tanpa izin
- ISRG dapat segera mencabut sertifikat tanpa pemberitahuan sebelumnya jika sertifikat digunakan atau telah digunakan untuk memfasilitasi aktivitas kriminal seperti phishing, penipuan, atau distribusi malware
- ISRG dapat segera mencabut sertifikat tanpa pemberitahuan sebelumnya jika sertifikat digunakan atau telah digunakan untuk mencegat trafik milik pihak lain
- Sertifikat Let’s Encrypt dan layanan yang disediakan ISRG diberikan “sebagaimana adanya” kecuali jika dinyatakan lain, dan ISRG menafikan jaminan tersirat terkait hak milik, non-pelanggaran, kelayakan jual, dan kesesuaian untuk tujuan tertentu
- Karena sertifikat Let’s Encrypt diterbitkan sebagai layanan publik gratis, ISRG tidak menanggung tanggung jawab atas kerugian, kerusakan, klaim, atau biaya pengacara yang terkait dengan sertifikat
- Hukum yang berlaku untuk perjanjian ini adalah hukum negara bagian California, dan klaim, gugatan, atau proses hukum terkait perjanjian harus diajukan di pengadilan negara bagian atau federal di San Jose, California
- Klaim, gugatan, atau proses hukum terkait perjanjian terhadap ISRG harus dimulai dalam waktu 1 tahun sejak tanggal terjadinya kerusakan, kerugian, atau perbuatan melawan hukum yang diklaim
- ISRG dapat mengubah perjanjian dari waktu ke waktu, dan perjanjian yang telah diubah akan dipublikasikan di letsencrypt.org setidaknya 14 hari sebelum mulai berlaku
- Perubahan material akan ditandai di protokol ACME dengan nomor versi Subscriber Agreement yang baru, dan ACME Client Software dapat dikonfigurasi untuk memberi tahu tentang perubahan tersebut
- Saat meminta sertifikat, ISRG dapat mengirim email terkait permintaan dan penggunaan sertifikat, pencabutan sertifikat, serta penghentian layanan
- Jika alamat email diberikan melalui ACME API, ISRG dapat mengirim satu email yang menawarkan opsi berlangganan komunikasi tambahan
1 komentar
Pendapat Hacker News
Misi Let’s Encrypt adalah membuat web yang lebih aman dan menghormati privasi, tetapi tampaknya orang-orang yang tinggal di negara yang paling membutuhkannya justru dikecualikan
Namun, ini tampaknya berasal dari tuntutan hukum AS yang absurd agar tidak mengekspor teknologi SSL ke negara musuh. Mungkin ada yang masih ingat masa ketika browser web dibagi menjadi versi “ramah internasional” yang hanya mendukung enkripsi 40-bit dan versi “keamanan tingkat lanjut” yang mendukung enkripsi 128-bit
Sebagian besar pemblokiran terkait sanksi hanya berlaku untuk pemerintah di negara tertentu yang dikenai sanksi, bukan untuk warga sipil biasa
Pembaruan perjanjian pelanggan kali ini dimaksudkan untuk lebih mencerminkan persyaratan hukum, bukan perubahan besar pada layanan yang disediakan. Program kepatuhan berubah seiring waktu, dan menyampaikan hal itu dengan lebih baik dalam ketentuan layanan juga merupakan bagian darinya. Dari komentar di sini, jelas terlihat bahwa kalimatnya perlu dibuat lebih mudah dipahami, dan bagian itu akan kami perbaiki
Dan ini bukan karena “hukum AS yang melarang ekspor teknologi SSL ke negara musuh”
Di luar negeri, orang memindai hasil cetakan itu, memulihkan source code-nya, lalu membangun PGP secara legal
https://ofac.treasury.gov/ofac-license-application-page
Banyak distro Linux berbasis AS juga sudah lama mengambil jalur seperti ini, dan RedHat pun telah memberi pemberitahuan yang sangat mirip dengan Let’s Encrypt
Jika sebuah proyek open source cukup berarti, tampaknya pada akhirnya harus memilih jalur seperti RISC-V, yaitu pindah, atau seperti Let’s Encrypt dan proyek lainnya, yaitu menegakkan pemisahan
http://www.cypherspace.org/adam/uk-shirt.html
Itu adalah kaus dengan skrip Perl yang mengimplementasikan enkripsi RSA cukup kuat hingga secara teknis ilegal untuk diekspor dari AS
Sayangnya, di akhir 1990-an saya tidak cukup nekat atau cukup berani untuk mengenakannya saat pergi ke AS
Bukankah Let’s Encrypt bisa membuka kantor cabang di luar Eropa atau AS dan wilayah aliansi bawahannya?
Ini bertentangan dengan tujuan yang mereka nyatakan di halaman About. Mereka bilang “layanan yang dijalankan untuk kepentingan publik”, “siapa pun yang memiliki nama domain bisa mendapatkan sertifikat tepercaya secara gratis”, dan “upaya bersama untuk memberi manfaat kepada komunitas di luar kendali satu organisasi”, tetapi sekarang mereka pada dasarnya mengakui bahwa mereka berada di bawah kendali organisasi politik
Kalimat yang ditambahkan ke perjanjian pelanggan pada 2026-06-04 menyatakan bahwa pengguna tidak boleh merupakan orang atau entitas yang berada di negara atau wilayah yang dikenai sanksi komprehensif AS, didirikan berdasarkan hukum negara atau wilayah tersebut, atau biasanya bertempat tinggal di sana; tidak boleh termasuk pihak yang dilarang atau dibatasi berdasarkan hukum sanksi atau kontrol ekspor AS atau hukum lain yang berlaku; juga tidak boleh dimiliki, dikendalikan, atau diwakili oleh pihak semacam itu; serta harus menggunakan sertifikat Let’s Encrypt dan layanan ISRG sesuai dengan hukum kontrol ekspor dan sanksi AS
Lebih baik pindah ke negara netral seperti Singapore atau Uruguay
Teknologi untuk membuat root alternatif sendiri nyaris sepele, mirip seperti sistem nama domain atau alamat IP, tetapi jauh lebih sulit membuat root alternatif itu memperoleh kepercayaan agar diterima oleh peserta lain di seluruh dunia
Misalnya, bayangkan seseorang membuat Let’s Encrypt versi Rusia. Dari sisi teknis, meminta dan menerima sertifikat melalui challenge ACME bisa saja sama seperti LE yang ada sekarang. Namun, tidak ada browser yang akan menganggapnya valid, dan tidak ada sistem operasi yang akan menganggapnya valid. Pemerintah Rusia mungkin bisa menambahkan LE baru itu sebagai pihak tepercaya di komputer pemerintah, tetapi pekerjaan sebenarnya adalah membuat peserta lain di dunia melakukan hal yang sama. Ini bukan masalah teknis, melainkan masalah sosial yang dibangun di atas kepercayaan
Ketika Rusia menginvasi Ukraina, sempat ada perdebatan besar apakah IANA/ICANN harus memutus Rusia dari nama domain dan alamat IP. Kesimpulannya adalah jangan dilakukan, karena manfaat simbolisnya kecil sementara kerusakan pada keseluruhan sistem, terutama setelah perang berakhir, akan terlalu besar. Jika ada dua root, nama domain atau alamat IP bisa tiba-tiba memiliki dua lokasi, dan kalau nanti ingin diperbaiki, rasa sakitnya akan luar biasa. Otoritas sertifikat tidak memiliki sifat ini, sehingga jumlah root yang nyaris tak terbatas bisa hidup berdampingan, dan dengan asumsi tidak ada tabrakan hash, root-root itu tidak saling bertabrakan. Jika Rusia meluncurkan otoritas sertifikat baru, siapa pun yang mau bisa memakainya mulai hari ini, dan tetap bisa memakainya setelah perang selesai
Iran sudah berbulan-bulan memutus internet, dan Amerika malah melarang pembuatan koneksi aman; benar-benar “efektif”
Organisasi kuasi-pemerintah Rusia menghabiskan rubel dalam jumlah astronomis untuk TSPU, sistem sensor yang dipakai untuk mengawasi penduduk Rusia, dan Amerika justru membantu mereka dengan melarang enkripsi yang dapat diakses sehingga lalu lintas yang saat ini terenkripsi pun bisa diintip
Ini hanya pembaruan syarat layanan untuk memperjelas bahwa mereka telah mematuhi hukum terkait, bukan perubahan yang mengubah situasi di dua negara itu
Akibatnya, orang-orang dan perusahaan pindah ke layanan cloud lokal yang didukung pemerintah, dan pemerintah jadi jauh lebih mudah memutus akses internet kapan saja tanpa menghentikan layanan penting seperti perbankan, e-commerce, taksi online, dan pengantaran makanan
Dan Roskomnadzor jelas merupakan bagian dari pemerintah
Ini memperkuat intuisi bahwa sertifikat digital pada akhirnya adalah alat untuk memaksakan pengecualian atas nama pemilik otoritas sertifikat
Baik perangkat lunak, firmware, perangkat keras, maupun SSL/TLS seperti kali ini, semuanya adalah alat yang membuat orang tidak bisa memiliki kepemilikan dan kendali penuh atas hal-hal yang terdampak oleh sertifikat digital. Ini adalah tirani digital yang menyamar
Pengguna juga setidaknya untuk saat ini masih bisa menambah atau menghapus otoritas sertifikat. Pada perangkat seperti ponsel pintar, kendali itu memang sedikit kurang jelas
Sertifikat digital untuk menandatangani paket perangkat lunak dipakai oleh sebagian produsen untuk memaksakan pengecualian. Sepengetahuan saya, Let’s Encrypt tidak berada di ranah itu, tetapi dalam kasus tersebut pemilik tidak punya hak menentukan otoritas sertifikat mana yang akan dipercaya, dan biasanya hanya produsen yang masuk daftar tepercaya. Secara teknis, meskipun pihak itu adalah pemilik sertifikat akar yang menandatangani paket, masih bisa diperdebatkan apakah mereka seharusnya disebut otoritas sertifikat
Banyak layanan sederhana mungkin tidak memerlukan TLS, tetapi ketika ISP mengintip komunikasi, kita tetap butuh cara berkomunikasi yang aman, dan solusi terbaik saat ini adalah membangun rantai kepercayaan
Jika yang diinginkan hanya enkripsi tanpa kepercayaan, gunakan saja sertifikat yang ditandatangani sendiri
Begitu bertransaksi dengan pihak yang terkena sanksi, tampaknya seluruh perjanjian dilanggar dan semua sertifikat berisiko dicabut, termasuk sertifikat di negara yang tidak terkena sanksi
Sejak awal dokumen ini disebut “Subscriber Agreement”, nama yang tidak menyiratkan cakupannya hanya satu sertifikat. Selain itu, ini juga disebut sebagai perjanjian yang mengatur hak dan kewajiban atas “Certificates” dalam bentuk jamak
Pada 2.1 “Term”, tertulis bahwa perjanjian berlaku selama “seluruh masa berlakunya salah satu sertifikat Anda”, dan pada 3.1 “Warranties” tertulis “dengan meminta, menerima, atau menggunakan satu sertifikat Let’s Encrypt”, jadi cakupannya tampak luas
Ini benar-benar buruk. Hampir yang terburuk. Jika semua layanan lokal mulai berhenti di negara-negara yang terkena sanksi, pemerintah negara itu akan memaksa semua pengguna untuk memasang sertifikat akar atau memutus akses ke layanan dan situs web lokal
Dengan begitu sertifikat akar itu bisa dipakai untuk serangan man-in-the-middle. Dalam skenario terburuk, setelah mayoritas pengguna memasang sertifikat akar, perangkat inspeksi paket mendalam milik negara bisa melakukan serangan man-in-the-middle pada semua lalu lintas dan memblokir seluruh lalu lintas yang tidak bisa diserang dengan cara itu
Apakah ini kanari?
Kalau mulai menggunakan atau terus memakai satu sertifikat Let’s Encrypt di tempat seperti Greenland, Kuba, atau EU, apa yang akan terjadi?
Apakah Let’s Encrypt menerima surat panggilan?
Hal yang diberitahukan kepada mereka adalah informasi yang tercatat dalam log publik agar bisa dilihat siapa saja, bahkan oleh orang yang tidak tahu cara mengeja “subpoena” atau menerbitkannya
Sebagian orang membayangkan otoritas sertifikat menyimpan rahasia, lalu pengguna membuat rahasia itu dan mengirimkannya ke otoritas sertifikat, atau otoritas sertifikat yang membuatnya lalu memberi salinannya, sehingga pemerintah AS bisa memperoleh rahasia itu lewat surat panggilan. Tetapi inti dari infrastruktur kunci publik adalah penggunaan kriptografi kunci publik. Kalau ternyata tidak masalah semua orang di mana-mana memegang rahasia itu, seluruh struktur ini tidak akan dibutuhkan
Apakah ini benar-benar hal baru? Buat saya ini tampak seperti pembatasan ekspor AS yang standar terhadap teknologi enkripsi. Pembatasan seperti ini sudah ada sejak 1990-an
Jika Let’s Encrypt adalah perusahaan Amerika, atau Anda mengunggah sesuatu ke GitHub, atau menerbitkan sesuatu di toko aplikasi besar, Anda akan terkena pembatasan ekspor AS terkait kriptografi. Setiap kali saya mengunggah aplikasi ke Google Play, saya harus mengirim formulir ke pemerintah AS yang menjelaskan bagaimana aplikasi itu menggunakan enkripsi
Pembatasan seperti ini sudah diberlakukan sejak akhir 1950-an dan punya sejarah panjang serta rumit terkait enkripsi komputer. Kalimat ini tampak seperti rumusan komersial standar yang diperlukan untuk mematuhi persyaratan ekspor EAR Amerika
Tidak ada hal yang secara teknis istimewa pada angka itu; ini berada di ranah kontrak sosial bahwa rantai kepercayaan telah memberi restu
Kata “sanction” memang menarik. Itu adalah antonim bagi dirinya sendiri
Dalam “The committee sanctioned the new policy.” artinya menyetujui, sedangkan dalam “The committee sanctioned the rogue nation.” artinya menjatuhkan sanksi
cleaveMungkin adalah sebuah kesalahan menumpukkan sekitar 60% sertifikat web pada satu penyedia tunggal