Pada pembahasan kali ini saya tidak akan membahas dulu mengenai bug bounty writeup seperti artikel-artikel saya yang sebelumnya, namun mengenai salah satu kategori vulnerability yang termasuk dalam OWASP Top 10 yaitu A02 : 2021 Cryptographic Failures.
Bagi yang belum mengetahui apa itu OWASP (Open Web Application Security Project) adalah sebuah organisasi yang fokus pada keamanan web aplikasi. OWASP banyak menyediakan sumber daya agar kita bisa mempelajari lebih lanjut tentang keamanan web aplikasi.
Sebagai salah satu prinsipnya, OWASP memastikan bahwa semua informasi dan materi pembelajarannya bisa diakses dengan mudah dan gratis sehingga semua orang bisa meningkatkan keamanan website mereka. Materi yang mereka sediakan berupa dokumentasi, tools, video, dan forum.
Sebagai bukti dari itu semua, OWASP menyediakan beberapa dokumen untuk membantu para developer membuat website dan aplikasi yang aman. Diantaraya :
- OWASP Developer Guide
- OWASP Application Security Verification Standard (ASVS)
- Security Knowledge Framework
- Developer Cheat Sheet Series
- OWASP Top 10
Nah pada point ke-5 ini adalah salah satu resource OWASP yang paling terkenal yaitu OWASP Top 10 yang merupakan sebuah pengkategorian resiko kerentanan yang sering terjadi pada web aplikasi. Hal ini berguna untuk menjadi panduan bagi para developers dan security team mengenai kelemahan-kelemahan pada web applikasi yang rentan diserang dan harus segera disiasati. Kategori yang akan saya bahas ini adalah A02 : 2021 “Cryptographic Failures.”
Cryptographic Failures diurutkan pada posisi kedua menggantikan Sensitive Data Exposure (2017), yang kalau saya amati ini pihak OWASP sendiri memilih sebuah akar masalah sebelum adanya kebocoran data, logikanya
“Jika ada data sensitive yang ter-expose itu bisa jadi karena kegagalan kriptografi yang tidak diimplementasikan dengan benar”
Hal ini sering terjadi negri 62 ini apalagi disektor pemerintahanya, saya kerap kali menjumpai berbagai web aplikasi yang pada service data nya tidak ada implementasi kriptografi yang baik seperti tidak adanya salt (unsalt)/kunci pada databasenya, menggunakan enkripsi database otomatis, tidak menggunakan SSL/TLS pada websitenya dan yang lainya.
Contoh Skenario Serangan :
Gunakan algoritma, protokol, dan kunci standar yang up-to-date, Manfaatkan skema enkripsi yang kuat dan jika ada cacat dalam skema yang digunakan dalam aplikasi yang ada, pastikan untuk memperbaruinya. Nonaktifkan “caching” untuk respons yang berisi data sensitif. dan masih banyak cara yang lain, kalian bisa baca disini .
References :
- https://owasp.org/Top10/A02_2021-Cryptographic_Failures/
- https://muh-hidayat7799.medium.com/owasp-top-10-series-a6-vulnerable-and-outdated-components-indonesia-db40946d79ee
- https://medium.com/@shivam_bathla/a02-2021-cryptographic-failures-d3bee4fd1494
- OWASP: Standar Keamanan Web App Dunia (dewaweb.com)
List of Mapped CWEs :
- CWE-261 Weak Encoding for Password
- CWE-296 Improper Following of a Certificate’s Chain of Trust
- CWE-310 Cryptographic Issues
- CWE-319 Cleartext Transmission of Sensitive Information
- More
