Internet Tanpa Kriptografi

HTTP (protokol transfer HyperText) dirancang pada awal 1990-an tanpa enkripsi. Setiap permintaan dan respons dikirim sebagai teks yang dapat dibaca manusia melalui jaringan.

Ini berarti router mana pun, ISP, atau penyerang di antara Anda dan server dapat membaca kredensial masuk, informasi pribadi, dan isi setiap halaman yang Anda kunjungi.

Dalam serangan perantara (MITM), penyerang menempatkan diri di antara dua pihak yang berkomunikasi lalu meneruskan lalu lintas, dan berpotensi membaca atau mengubahnya. Pada jaringan tanpa enkripsi, hal ini tidak memerlukan usaha khusus.

Penyerang dapat melihat semua data, menyisipkan konten berbahaya ke dalam respons, atau diam-diam mengubah pengiriman formulir, misalnya mengganti tujuan transfer bank.

Jaringan WiFi publik adalah media siaran bersama. Pada jaringan WiFi terbuka biasa tanpa enkripsi, setiap perangkat yang terhubung dapat menangkap paket perangkat lain menggunakan alat seperti Wireshark.

Pada masa sebelum HTTPS digunakan secara luas, duduk di kedai kopi dengan penyadap paket memungkinkan seseorang mengumpulkan sesi masuk, membaca surel, dan menangkap kata sandi dari puluhan pengguna di sekitar.

FTP (Protokol Transfer Berkas) mengirimkan nama pengguna dan kata sandi dalam bentuk teks biasa. Satu penangkapan paket saat masuk dapat mengungkapkan kredensial lengkap.

Meskipun demikian, server FTP tetap umum hingga jauh memasuki tahun 2000-an dan beberapa masih ada hingga kini. SFTP (Protokol Transfer Berkas melalui SSH) dan FTPS (FTP melalui TLS) adalah alternatif aman yang mengenkripsi kredensial dan data.

DNS menerjemahkan nama domain menjadi alamat IP. Tanpa DNSSEC (Ekstensi Keamanan DNS), respons DNS tidak diautentikasi dan dapat dipalsukan.

Penyerang dapat meracuni tembolok DNS untuk mengarahkan pengguna yang mengetik "mybank.com" ke server berbahaya yang dikendalikan penyerang, lalu mencuri kredensial sebelum meneruskannya ke bank yang sebenarnya.

SMTP, protokol untuk mengirim surel, dirancang pada 1982 tanpa keamanan sama sekali. Surel melewati beberapa server (relai surat) dalam perjalanan menuju penerima, dan setiap lompatan dapat membaca atau mengubah pesan.

Tanpa TLS pada koneksi SMTP dan enkripsi ujung ke ujung seperti PGP, surel pada dasarnya seperti kartu pos: siapa pun yang menanganinya dapat membaca apa yang tertulis.

Pada 2010, seorang pengembang merilis Firesheep, ekstensi Firefox yang mengotomatiskan pencurian kuki sesi pada jaringan WiFi terbuka. Dengan satu klik, ekstensi itu dapat masuk ke akun Facebook, Twitter, atau Amazon milik orang lain.

Tidak diperlukan pengetahuan teknis untuk menggunakan Firesheep. Program ini menangkap kuki sesi yang tidak terenkripsi dan disiarkan melalui WiFi, lalu menampilkan daftar akun yang dapat dibajak kepada penyerang.

Sebelum HTTPS menjadi standar, situs perdagangan elektronik awal mengirim nomor kartu kredit dalam permintaan HTTP POST berupa teks biasa. Penyerang yang memantau lalu lintas jaringan dapat mengumpulkan nomor kartu dalam skala besar.

Belanja daring pada masa awal mengharuskan pengguna memercayai bahwa situs tersebut sah dan tidak ada yang mengawasi. Kedua asumsi itu sering kali keliru, sehingga menyebabkan kerugian akibat penipuan yang sangat besar pada akhir 1990-an.

Pada jaringan tanpa enkripsi, penyerang dapat membaca seluruh lalu lintas, mencuri kuki sesi untuk menyamar sebagai pengguna, menyisipkan skrip berbahaya ke halaman web, menangkap kata sandi dan kredensial, serta mengarahkan pengguna ke situs pengelabuan melalui MITM.

Pengawasan berskala besar juga sangat mudah dilakukan. Penyerang yang memiliki akses ke titik pertukaran internet utama dapat memantau jutaan pengguna secara bersamaan tanpa terdeteksi.

HTTPS mengenkripsi lalu lintas menggunakan TLS, sehingga mencegah penyadapan, manipulasi, dan penyamaran. Pengumuman Google pada 2014 bahwa HTTPS akan menjadi sinyal pemeringkatan pencarian mempercepat penerapan secara drastis.

Pada 2024, lebih dari 95% lalu lintas web dienkripsi. Let's Encrypt, yang diluncurkan pada 2016, menyediakan sertifikat TLS gratis bagi setiap pemilik situs web, sehingga menghilangkan hambatan biaya untuk penerapan.

Sejarah komunikasi internet tanpa enkripsi menunjukkan mengapa keamanan memerlukan banyak lapisan. Bahkan jika satu kontrol gagal, lapisan lain harus membatasi kerusakan.

Jaringan modern menggabungkan TLS, DNSSEC, transparansi sertifikat, HSTS, dan enkripsi terautentikasi untuk membangun perlindungan yang saling tumpang tindih, sehingga kelemahan satu lapisan diimbangi oleh kekuatan lapisan lainnya.

Tanpa kriptografi, setiap komunikasi di internet dapat dilihat oleh siapa pun yang berada di jalur antara pengirim dan penerima. Serangan MITM, pembajakan sesi, pencurian kredensial, dan peracunan DNS sangat mudah dilakukan pada jaringan tanpa enkripsi.

HTTPS dan TLS mengubah internet dari media siaran menjadi sistem yang memungkinkan komunikasi pribadi. Peralihan dari HTTP ke HTTPS merupakan salah satu peningkatan keamanan terpenting dalam sejarah internet.