KEMENTERIAN KEUANGAN REPUBLIK INDONESIA
BADAN PENDIDIKAN DAN PELATIHAN KEUANGAN
POLITEKNIK KEUANGAN NEGARA STAN
TANGERANG SELATAN
OWASP TOP 10 2021
A04: 2021-INSECURE DESIGN
Oleh:
Nama
: Made Dwi Cahaya Permana
NIM
: 4132220025
Kelas
: 9 PUPR – Sistem Informasi
Program Studi
: DIV Akuntansi Sektor Publik Alih Program
Dosen
: Ade Achmad Zulfahmi
Untuk Memenuhi Kuis Infosec TKKSI
Tahun Akademik 2022/2023
1. DEFINISI
Open Web Application Security Project atau OWASP Top 10 adalah panduan penting
untuk mengatasi kerentanan dalam aplikasi web. Itu digunakan oleh pengembang dan tim
keamanan untuk mengidentifikasi dan menangani risiko keamanan umum. OWASP juga
menyediakan alat uji penetrasi berbasis web yang fokus pada kerentanan yang ada dalam
OWASP Top 10. Penggunaan alat uji penetrasi ini penting bagi perusahaan karena membantu
menguji keamanan sistem secara menyeluruh dan mengevaluasi efektivitas alat pengukur
keamanan yang digunakan (mandreel.com, n.d.).
A04:2021 Insecure Design (Kekurangan pada Desain) termasuk dalam OWASP Top
10 yang merupakan daftar ancaman keamanan web. Ini berfokus pada risiko yang terkait
dengan desain yang tidak aman. Uji penetrasi telah terbukti efektif dalam menangani
kelemahan ini. Desain yang tidak aman mencakup berbagai kelemahan yang didefinisikan
sebagai "kurang atau tidak efisiennya kontrol desain." Namun, kekurangan desain tidak
menjadi penyebab dari semua kategori risiko dalam Top 10. Perbedaan juga ada antara
desain yang tidak aman dan implementasi yang tidak aman.
Kelemahan Umum Terkemuka (CWEs):
• CWE-209: Pembuatan Pesan Kesalahan Mengandung Informasi Sensitif
• CWE-256: Penyimpanan Kredensial Tanpa Perlindungan
• CWE-501: Pelanggaran Batas Kepercayaan
• CWE-522: Kredensial yang Tidak Cukup Dilindungi
Contoh Skenario
Rantai bioskop yang memungkinkan grup diskon pemesanan memerlukan deposit
untuk kelompok lebih dari lima belas orang. Penyerang model ancaman aliran ini untuk
melihat apakah mereka dapat memesan ratusan kursi di berbagai teater di rantai, sehingga
menyebabkan ribuan dolar dalam pendapatan yang hilang.
2. MEKANISME SERANGAN / PROOF OF CONCEPT
Mekanisme Serangan
Mekanisme serangan atau Proof of Concept (POC) A04:2021 Insecure Design adalah
sebuah pendekatan yang menguji kelemahan desain yang tidak aman pada sistem atau
aplikasi. Tujuannya adalah untuk menunjukkan bagaimana kelemahan tersebut dapat
dieksploitasi dan mempengaruhi keamanan sistem secara keseluruhan.
Mekanisme serangan A04:2021 Insecure Design fokus pada identifikasi celah
keamanan yang disebabkan oleh desain yang buruk atau tidak memadai. Beberapa contoh
kelemahan yang dapat dieksploitasi melalui POC ini meliputi:
i. Desain yang tidak memperhitungkan aspek keamanan, seperti kurangnya validasi input
atau penggunaan protokol komunikasi yang rentan terhadap serangan.
ii. Penggunaan algoritma kriptografi yang lemah atau pengelolaan kunci yang tidak aman,
sehingga dapat memungkinkan serangan untuk membobol sistem.
iii. Kerentanan yang disebabkan oleh penggunaan konfigurasi default yang tidak aman, yang
dapat memungkinkan serangan terhadap sistem yang baru diimplementasikan.
iv. Kurangnya pemisahan yang memadai antara fungsi dan kewenangan sistem, sehingga
memungkinkan penyerang untuk mendapatkan akses yang tidak sah.
POC A04:2021 Insecure Design dilakukan dengan membuat skenario serangan yang
menggambarkan bagaimana celah keamanan tersebut dapat dieksploitasi. Hal ini dapat
melibatkan pengujian serangan terhadap sistem secara langsung atau analisis kode sumber
aplikasi untuk mengidentifikasi kerentanan potensial.
Dalam melakukan POC ini, penting untuk memperhatikan etika dan mengikuti
prosedur yang ditetapkan. Peneliti keamanan atau pengujian POC harus bekerja sama
dengan pemilik sistem atau aplikasi yang sedang diuji untuk memastikan keamanan dan
mengambil tindakan yang diperlukan untuk memperbaiki kelemahan yang ditemukan.
Skenario Serangan
Dalam skenario serangan berikut, penyerang mengeksploitasi API yang dirancang
dengan buruk yang tidak memfilter input dengan benar (my.f5.com, 2022).
1. Penyerang memindai API yang rentan dan mengidentifikasi API yang tidak memfilter input
dengan benar dan tidak menggunakan gateway keamanan API organisasi.
2. Penyerang menyuntikkan skrip berbahaya ke dalam API yang rentan.
3. Browser korban mengakses API melalui aplikasi.
4. Browser memuat konten dengan skrip berbahaya.
Gambar 2.1 Skenario Serangan
Identifikasi Kelemahan
Perbaikan insecure design merupakan langkah penting untuk memperkuat keamanan
sistem atau aplikasi. Melalui POC A04:2021 Insecure Design, diharapkan kelemahankelemahan tersebut dapat diidentifikasi dan diperbaiki sebelum dimanfaatkan oleh pihak yang
tidak bertanggung jawab. Insecure Design terjadi ketika pengembang, QA, atau tim keamanan
gagal dalam mengantisipasi dan mengevaluasi ancaman selama fase desain kode.
Kerentanan ini juga merupakan akibat dari tidak mematuhi praktik terbaik keamanan saat
merancang aplikasi. Seiring dengan berkembangnya ancaman yang ada, mitigasi kerentanan
desain memerlukan pemodelan ancaman yang konsisten untuk mencegah metode serangan
yang sudah diketahui (Sengupta, 2022). Tanpa desain yang aman, akan sulit mendeteksi dan
memulihkan kelemahan arsitektural seperti:
1. Penyimpanan Kredensial yang Tidak Terlindungi
Saat merancang aplikasi, tim pengembangan sering mengabaikan praktik terbaik
manajemen rahasia dan kontrol akses, yang menyebabkan kerentanan keamanan. Akibatnya,
sistem biasanya disusupi karena praktik manajemen kata sandi yang berbahaya seperti
menyimpan kata sandi pengguna sebagai teks biasa di properti aplikasi, file konfigurasi, atau
memori.
2. Pelanggaran Batas Kepercayaan
Pelanggaran batas kepercayaan terjadi ketika antarmuka menerima dan menyimpan
input data tepercaya dan tidak tepercaya dalam penyimpanan data yang sama. Pengembang
sering gagal membedakan antara sumber tepercaya dan tidak tepercaya, memungkinkan
pertukaran data dan perintah berbahaya.
3. Pembuatan Pesan Kesalahan yang Berisi Informasi Sensitif
Pesan kesalahan ini bertele-tele dan berisi informasi sensitif seperti id pengguna, kata
sandi, lingkungan aplikasi, atau data terkait lainnya yang dapat diakses penyerang.
Penyerang dapat menggunakan data yang terbuka untuk meluncurkan serangan lain seperti
serangan transversal jalur dan injeksi SQL.
3. DAMPAK
Dampak
Dampak A04:2021 "Insecure Design" merujuk pada kerentanan dalam desain sistem
atau perangkat lunak yang dapat dieksploitasi oleh pihak yang tidak berwenang untuk
mendapatkan akses yang tidak sah atau merusak sistem tersebut. Dampak dari
ketidakamanan desain ini dapat sangat berbahaya dan memiliki konsekuensi serius, terutama
dalam hal keamanan data dan privasi pengguna. Beberapa dampak yang mungkin terjadi
akibat A04:2021 Insecure Design adalah sebagai berikut:
i. Penyusupan sistem: Serangan ini memanfaatkan celah keamanan dalam desain sistem
untuk memperoleh akses tidak sah. Penyusup dapat mengambil alih kendali sistem,
mengubah atau menghapus data, atau melakukan tindakan yang merugikan.
ii. Pencurian data: Jika desain sistem tidak aman, data pengguna dapat menjadi sasaran
empuk bagi peretas. Mereka dapat mencuri informasi pribadi, seperti nomor kartu kredit,
kata sandi, atau data sensitif lainnya yang dapat disalahgunakan untuk tujuan jahat.
iii. Kerentanan terhadap serangan malware: Desain sistem yang tidak aman dapat
memberikan celah bagi peretas untuk memasukkan dan menjalankan perangkat lunak
berbahaya seperti malware. Ini dapat menginfeksi sistem dan merusak data,
menghancurkan atau mencuri informasi yang berharga.
iv. Pengabaian privasi pengguna: Desain sistem yang tidak mempertimbangkan privasi
pengguna dapat mengakibatkan pelanggaran privasi yang serius. Data pribadi pengguna
mungkin tidak terlindungi dengan baik dan dapat diakses oleh pihak yang tidak
berwenang.
v. Gangguan layanan: Serangan terhadap desain sistem yang tidak aman dapat
menyebabkan gangguan layanan yang signifikan. Peretas dapat melumpuhkan sistem
atau menghentikan akses pengguna ke layanan tersebut, yang dapat berdampak negatif
pada produktivitas atau kinerja bisnis.
Untuk mengatasi dampak A04:2021 Insecure Design, penting untuk melakukan audit
keamanan secara berkala, menerapkan praktik pengembangan perangkat lunak yang aman,
dan menjaga sistem dan perangkat lunak tetap diperbarui dengan patch keamanan terbaru.
Selain itu, pelibatan ahli keamanan informasi dapat membantu mengidentifikasi celah
keamanan dan merancang solusi yang tepat.
Langkah Pencegahan
Berdasarkan Buku The OWASP Top 10 dari Office of Information Security- Securing
One HHS dan Health Cybersecurity Coordination Center – HC3 (The OWASP Top 10, 2022)
adapun langkah pencegahan yang dapat dilakukan antara lain:
1. Menentukan dan menggunakan siklus hidup pengembangan yang aman dengan para
profesional AppSec untuk membantu mengevaluasi dan merancang kontrol mengenai
keamanan dan privasi.
2. Membangun dan menggunakan perpustakaan pola desain yang aman atau jalan
beraspal, komponen siap pakai.
3. Gunakan pemodelan ancaman untuk autentikasi penting, kontrol akses, logika bisnis, dan
aliran kunci.
4. Mengintegrasikan pemeriksaan akal sehat di setiap tingkat aplikasi Anda (dari frontend
ke backend).
5. Tulis pengujian unit dan integrasi untuk memvalidasi bahwa semua aliran kritis kuat
terhadap model ancaman. Menyusun kasus penggunaan dan kasus penyalahgunaan
untuk setiap level aplikasi Anda.
6. Tingkatan sistem dan lapisan jaringan yang terpisah tergantung pada persyaratan
pemaparan dan perlindungan.
7. Batasi konsumsi sumber daya oleh pengguna atau layanan
Langkah Defensif
Segala jenis ketidaksempurnaan desain, jika tidak ditangani dengan benar, dapat
membahayakan banyak hal. Inilah sebabnya mengapa pendekatan pencegahan proaktif
harus diterapkan sejak dini (wallarm.com, n.d.). Langkah-langkah defensif yang
direkomendasikan para ahli adalah sebagai berikut.
1. Ambil bantuan ahli AppSec yang terampil untuk menerapkan siklus pengembangan
aplikasi/perangkat lunak yang benar-benar aman. Ini akan mengurangi kemungkinan
cacat desain dan meningkatkan kinerja.
2. Selalu gunakan komponen desain dari pustaka pola desain yang aman.
3. Pemodelan ancaman sangat efektif dalam hal kontrol akses, aliran kunci, otentikasi, dan
kerentanan terkait logika bisnis.
4. Bahasa keamanan harus terintegrasi dengan baik ke dalam cerita konsumen.
5. Untuk memastikan bahwa alur yang bijaksana memiliki resistensi yang besar terhadap
pemodelan ancaman, gunakan pengujian unit dan integrasi.
6. Pemisahan lapisan tingkat dan penyewa harus dilakukan sesuai dengan perlindungan
tertinggi yang diperlukan dan paparan yang dialami aplikasi
4. REFERENSI JURNAL
a
Judul
Pengujian Keamanan Learning Management System Tutor LMS
terhadap Kerentanan Insecure Design dan Broken Access Control
Penulis
Stefanus Eko Prasetyo, Nafisatul Hasanah, Gautama Wijaya
(Universtas Internasional Batam)
Abstrak
Menjual kursus digital merupakan ide kreatif yang dapat dilakukan
dimasa pandemi COVID - 19. Melalui video yang interaktif maka
peluang
untuk mendapatkan penghasilan
lebih
besar.
Untuk
menjual kursus digital seseorang
atau
perusahaan
memerlukan
sebuah sistem informasi yang dapat mengelolah administrasi,
pendaftaran
keanggotaan,
pembayaran
dan
manajemen
isi
pembelajaran. Learning Management System (LMS) terintegrasi dapat
digunakan untuk menjual kursus digital. Salah satu LMS yang dapat
digunakan adalah TutorLMS, saat ini TutorLMS sudah digunakan
lebih dari 60.000 pengguna. Pengujian Insecure Design dan Broken
Access Control digunakan untuk mengetahui seberapa aman
penggunaan
TutorLMS
dalam
menjual kursus online.
Dengan
pengujian ini diharapkan penjual bisa berjualan kursus online
dengan aman. Pengujian dilakukan menggunakan metode action
research dimana langsung melakukan pengujian pada objek, disini
penulis menggunakan demo website TutorLMS untuk melakukan
pengujian.
Kesimpulan Dari hasil pengujian kursus online berbayar dapat diakses dengan
mudah oleh pengunjung yang tidak melakukan pembelian bahkan
pendaftaran. Desain REST API yang ada pada dokumentasi, tidak
memerlukan autentikasi untuk membaca isi dari kursus online,
menyebabkan pengunjung dapat dengan mudah untuk mengambil
isi
pembelajaran,
video
dan
lainnya. Pengunjung juga dapat
mendapatkan pertanyaan quiz dan jawaban, serta mendapatkan
informasi author pembuat kursus
b
Judul
Web Application Security Threats and Mitigation Strategies when
Using Cloud Computing as Backend
Penulis
Asma Yamani; Khawlah Bajbaa; Reem Aljunaid
Abstrak
Cloud computing plays an important role in businesses' digital
transformation as they offer easy-to-use services that save time and
effort. Despite incredible features that are provided by cloud computing
platforms, these platforms become the desirable target of attackers.
This study aims to survey the literature for security threats related to
web applications that have been developed using cloud computing
services and then provide a set of recommendations to mitigate these
threats. In this study, we first surveyed the literature for documented
cases of threats faced while relying on cloud computing, then an online
survey was sent to Computer Science students and web developers.
The survey's questions were related to web threats whether they are
aware of these threats or not and whether they have already applied
any prevention measures for these threats. Then, a set of
recommendations were provided that can help them to mitigate these
threats. Finally, a tool was designed for generating security policies for
the Broken Access Control threat for Firebase. Eighty-five responses
were considered for this study. The average participants' awareness of
all threats is 61 % despite 92% of participants having taken at least one
security course. The main causes for neglecting to implement
mitigation techniques was the lack of training and that developers are
relying on the web services to provide security measures, then comes
the process being time-consuming. The designed tool for mitigating
Broken Access control showed promising results to ease the
implementation of mitigation techniques.
Kesimpulan We conclude that due to the lack of awareness and negligence in
implementing mitigation techniques, many present web apps may be
compromised. Developing security tools for novice users, whenever
possible, provides a solution for the main causes of the neglect to
implement such measures and should be investigated further.
c
Judul
Blackbox Testing Sistem Informasi Absensi Pegawai Karawang
Dengan Metode Top 10 Owasp Attack
Penulis
Rona Febriana
Abstrak
Website-based applications have recently been widely used by the
public. As a result, there are more and more data leaks in several
website-based applications. In 2021 alone, there have been
several cases, such as BPJS Kesehatan which experienced a
population data leak of 279 million. Data leaks can occur due to various
factors such as Human Error or lack of knowledge of company
staff on data privacy. Then another factor is malicious software or
what we usually call malware. A software that is inserted into the
system to damage and steal important data. Entering malware into
the system is very difficult if done manually, therefore usually this
malware is entered through the internet network. In this study, the
methodology used is Penetration Testing from OWASP with a
specific method, namely Penetration Testing Execution Standard
(PTES) which was adapted from a group of information
security
practitioners.
Kesimpulan After conducting
tests
to
find vulnerabilities in the Employee
Attendance information System using the OWASP TOP 10 (2021)
method,
3
categories
of
vulnerabilities were
found,
namely
Identification and Authentication Failures with medium severity,
Insecure Design with low severity, and Security Misconfiguration
with critical severity. It is recommended that in the future attack
techniques
are
applications/tools
carried
open
out
other
than
source/official
using
tools),
available
namely
social
engineering, email spamming, etc
d
Judul
Penetration Testing pada Website Universitas ARS Menggunakan
Open Web Application Security Project (OWASP)
Penulis
Syarif Hidayatulloh, Desky Saptadiaji (Sekolah Tinggi Teknologi Garut)
Abstrak
Universitas ARS adalah perguruan tinggi
website
dalam
melakukan
kegiatan
yang
memanfaatkan
perkuliahannya.
Seluruh
informasiyang berkaitan dengan perkuliahan dimuat di website
Universitas ARS. Banyak resiko yang akan terjadi apabila web server
yang digunakan oleh website Universitas ARS tidak memiliki
keamanan yang baik, banyak ancaman dari
bertanggung
jawab
memanfaatkan
celah
pihak
yang
keamanan
tidak
untuk
merugikan Universitas ARS. Tujuan penelitian ini adalah melakukan
identifikasi kerentanan yang terdapat dalam website Universitas ARS
dan melakukan pengujian serta analisis untuk mengetahui kondisi
kerentanan website Universitas ARS menggunakan Open Web
Application Security
Project (OWASP). Metode penelitian yang
digunakan sebagai parameter keamanan website adalah OWASP
Top - 10 2017. Jumlah subdomain yang diuji adalah 5 subdomain yang
teridentifikasi dengan melakukan scanning menggunakan tool
TheHarvester.
Hasil
dari
penelitian
ini
adalah
ditemukannya
kerentanan website Universitas ARS yang berhasil dipindai adalah 13
kerentanan.
Dari 13 kerentanan tersebut ada 1 kerentanan yang
berada pada tin gkat ancaman yang sedang dan 12 berada pada
tingkat ancaman yang rendah
Kesimpulan Website Universitas ARS memiliki keamanan yang sangat baik,
memenuhi ketiga aspek keamanan informasi, memiliki web server dan
software sistem informasi akademik yang aman
DAFTAR PUSTAKA
(n.d.). Retrieved from mandreel.com: https://www.mandreel.com/indonesia/owasp/
(n.d.). Retrieved from wallarm.com: https://www.wallarm.com/what/a04-2021-the-insecuredesign#threat_modeling_and_insecure_design
(2022, Februari 2). Retrieved from my.f5.com: https://my.f5.com/manage/s/article/K39707080
Febriana, R. (2022). Blackbox Testing Sistem Informasi Absensi Pegawai Karawang Dengan
Metode Top 10 Owasp Attack. Jurnal Ilmiah Wahana Pendidikan, 8(12), 327-334.
Hidayatulloh, S. &. (2021). Penetration Testing pada Website Universitas ARS Menggunakan
Open Web Application Security Project (OWASP). Jurnal Algoritma, 18(1), 77-86.
Prasetyo, S. E. (2022). Pengujian Keamanan Learning Management System TutorLMS
Terhadap Kerentanan Insecure Design dan Broken Access Control. . Telcomatics 7(2),
53-60.
Sengupta, S. (2022, Mei 23). Retrieved from crashtest-security.com: https://crashtestsecurity.com/insecure-design-vulnerability/
The OWASP Top 10. (2022). California: Office of Information Security- Securing One HHS
dan Health Cybersecurity Coordination Center – HC3.
Yamani, A. B. (2022). Web Application Security Threats and Mitigation Strategies when Using
Cloud Computing as Backend. In 2022 . 14th International Conference on
Computational Intelligence and Communication Networks (CICN), 811-818.