Layanan perbankan online dan layanan e-government Korea sejak lama terkenal buruk karena berbagai program yang harus dipasang. Dulu itu adalah ActiveX, dan sekarang berubah menjadi berkas pemasangan plugin keamanan, tetapi hakikatnya tidak berubah. Meski belakangan ini situasinya agak membaik dibanding dulu, seperti munculnya sarana verifikasi identitas pengganti sertifikat digital resmi dan adanya layanan online yang disediakan tanpa pemasangan plugin .exe, kenyataan bahwa hingga tahun 2023 masih ada situs web yang terang-terangan memaksa pengguna memasang hal-hal semacam ini benar-benar memprihatinkan.
Wladimir Palant, yang terkenal lewat Adblock Plus, menulis di blognya bahwa sejak September lalu ia telah menyelidiki kondisi keamanan online Korea seperti ini. (Bahasa Inggris) Ia mengulas dengan tepat mulai dari latar belakang historis bahwa ActiveX mulai digunakan untuk mewujudkan layanan internet banking dengan algoritma SEED, yang dikembangkan sendiri di Korea akibat pembatasan ekspor algoritma kriptografi oleh Amerika Serikat pada 1990-an, hingga kondisi pemasangan plugin keamanan yang diketahui oleh siapa pun yang pernah memakai internet banking di Korea, serta bahwa “perangkat lunak keamanan” semacam ini sebenarnya hanyalah kepalsuan yang sama sekali tidak membantu keamanan, dan situasi sekarang sengaja dirancang demikian karena adanya kepentingan para pihak terkait.
Tampaknya dalam proses penyelidikan ini ia menemukan dan melaporkan sejumlah kerentanan keamanan pada produk plugin keamanan, tetapi ia juga tentu memahami bahwa hal itu saja tidak akan menyelesaikan masalah yang sesungguhnya. Bagaimanapun, sesuai kebiasaan untuk mengungkap rincian spesifik kerentanan 90 hari setelah pelaporan, rincian temuan itu akan dipublikasikan masing-masing pada 9 Januari 2023, 23 Januari, dan 6 Maret di blog penulis tersebut.
Selain itu, dalam proses mencari kerentanan keamanan, ia juga menemukan masalah kualitas perangkat lunak seperti berikut. Isinya terasa sangat familiar.
- Pengembang yang membuat ini tampaknya kurang memahami masalah keamanan memori seperti buffer overflow meskipun menggunakan bahasa C
- Dikompilasi dengan Visual Studio berusia 15 tahun alih-alih compiler modern yang menyediakan berbagai mekanisme mitigasi masalah
- Meski mengaku sebagai program keamanan, bahkan fitur keamanan dasar dan lama seperti ASLR atau DEP dinonaktifkan
- Menggunakan versi lama pustaka open source, dalam beberapa kasus sudah berumur lebih dari 10 tahun
- Dalam sebagian besar kasus, enkripsi tampaknya hanya digunakan sebagai obfuscation untuk menghambat reverse engineering
- Masih menggunakan parameter algoritma kriptografi yang sudah lama dihentikan penggunaannya (
deprecated)
15 komentar
Pada 2 Juni 2025, kalangan akademik keamanan di Korea merilis makalah dan materi lain yang melengkapi isi ini.
Baru-baru ini diumumkan bahwa telah terjadi serangan peretasan yang memanfaatkan INITECH INISAFE CrossWeb EX V3.
Rekomendasi pembaruan keamanan untuk INITECH INISAFE CrossWeb EX V3
NIS: "Korea Utara meretas dengan mengeksploitasi kerentanan INISAFE… patch keamanan direkomendasikan" (lengkap)
Sudah jelas, tidak mungkin hanya produk ini saja yang bermasalah. Setidaknya sepengetahuan saya, belakangan ini ada sedikitnya dua kabar lain tentang kerentanan keamanan yang ditemukan pada program sertifikat resmi domestik. Bahkan salah satunya disebut sudah disentuh oleh tangan para pejuang perang informasi dari utara.
Akhirnya, isi mengenai kerentanan yang sebenarnya mulai dipublikasikan.
Yang pertama adalah program keamanan keyboard TouchEn nxKey dari RaonSecure.
Kerentanannya sendiri sudah bermasalah, tetapi yang benar-benar mengesankan adalah betapa cerobohnya mereka bahkan dalam proses menangani kerentanan tersebut. (?)
Angsa yang bertelur emas
Saya sudah merangkum komentar-komentar di HackerNews
Karena isinya jadi sangat panjang, saya merangkumnya di blog
https://soulee.dev/2023/01/05/korean-bogus-security
Semoga ada sedikit rasa malu di mata internasional sehingga keadaan ini bisa membaik.
Banyak komentar yang mengatakan mereka terkejut mendengar bahwa metode seperti itu saat ini digunakan sebagai sarana perusahaan untuk menghindari tanggung jawab.
Ada meme asing berbunyi
disappointed but not surprised, dan itu yang langsung terlintas di benak saya.Sepertinya memang tepat disebut sebagai aplikasi keamanan palsu untuk menghindari tanggung jawab...
Thread Hacker News yang diunggah oleh penulis asli:
https://news.ycombinator.com/item?id=34231364
Terjemahan bahasa Korea dari artikel asli yang diunggah oleh orang lain:
https://www.woojinkim.org/wiki/spaces/me/pages/733085820
Memalukan.
Di Korea, saya merasa dalam banyak kasus tujuan regulasi pada akhirnya bukanlah "melindungi pengguna", melainkan "agar tidak perlu bertanggung jawab", dan contoh yang paling mewakili tampaknya adalah plugin keamanan yang harus diinstal di komputer pengguna. Karena setiap kali terjadi insiden selalu ditambahkan satu hal lagi, cukup bikin tercengang bahwa situasinya sampai pada titik kita bahkan harus memasang plugin hanya untuk bisa melakukan instalasi. haha
Benar. Tulisan yang diperkenalkan itu juga langsung menyoroti poin tersebut dengan sangat tepat.
Dan ketika melihat mereka bahkan merekomendasikan pengguna untuk memasang program tambahan secara terpisah demi menginstal beberapa plugin keamanan, ada juga yang menyebutnya sebagai “mengelola kebun binatang aplikasi” (manage this application zoo) wkwkwk
Ternyata saya kira cuma kita yang tahu, eh semua orang juga tahu huhu huhu
Saat sedang makan malam dan melihat artikelnya, saya hanya berpikir besok harus merangkumnya lalu mengunggahnya, tapi ternyata sudah dirapikan dengan baik. Terima kasih!!
Ungkapan bahwa ini telah menciptakan “pasar aplikasi keamanan palsu (bogus)” benar-benar terasa mengena.