Pertama Kali Tertidur di Kelas

Setelah hampir satu semester penuh saya berjuang untuk tidak tertidur di kelas, tadi pagi, tepatnya ketika mata kuliah Web based Development saya tertidur.  Dan ini berarti untuk pertama kalinya dalam semester ini saya kalah terhadap rasa ngantuk yang saya yakin tidak lebih kuasa dari diri saya sendiri.

Sebagai rasa bersalah saya karena telah tidur di kelas tadi pagi maka akan saya bagikan beberapa hal yang sepertinya diterangkan oleh dosen saya tadi pagi yakni tentang Web Security. Beruntung, topik ini cukup saya sukai sehingga saya tidak benar-benar kosong ketika bangun tidur saat kelas selesai. Mari kita mulai.

OWASP

Pembelajaran dimulai dengan adanya pengenalan tentang OWASP yakni The Open Web Application Security Project yaitu suatu organisasi non profit yang berfokus pada peningkatan security dari software^[1]. Adapun situs resmi owasp adalah www.owasp.org.

Bila rekan-rekan mencoba masuk ke situs resmi OWASP maka akan dapat rekan temui halaman untuk mendownload hasil riset dari OWASP yang terletak di https://www.owasp.org/index.php/Category:OWASP_Download. Ada banyak software yang dapat rekan-rekan dapatkan di sana seperti Joomla Vulnerability Scanner (sudah beberapa tahun yang lalu kenal Joomla, sepertinya sekarang sudah kalah pamor dengan Wordpress), SQLiX Project yang bertujuan untuk mlakukan scanning terhadap salah satu celah keamanan yang sangat populer yakni SQL Injection (teknik ini dapat dipelajari di buku 7 Hari Menjadi Jawara di Internet), dan berbagai project lain yang tentunya berguna untuk mengamankan website kita.

TOP 10 Most Critical Web Application Security Risk

Dalam melakukan serangan terhadap web application ada banyak cara yang sebenarnya dapat digunakan. Mulai dari cara paling mudah hingga yang paling susah karena membutuhkan pemahaman tentang konsep dasar bagaimana suatu sistem bekerja. Nah, OWASP sendiri memiliki statistik 10 metode yang paling rentan dalam kurun waktu 3 tahun yang dapat rekan-rekan baca di https://www.owasp.org/images/1/17/OWASP_Top-10_2013--AppSec_EU_2013_-_Dave_Wichers.pdf. Adapun metode tersebut antara lain berikut mengurut berdasarkan kerentanan:

1.       Injection

2.       Broken Authentication and Session Management

3.       Cross Site Scripting (XSS)

4.       Insecure Direct Object References

5.       Security Misconfiguration

6.       Sensitive Data Exposure

7.       Missing Function Level Access Control

8.       Cross Site Request Forgery

9.       Using Known Vulnerable Components

10.   Unvalidated Redirects and Forwards

Sejujurnya saya sama setuju bila Injection dinominasikan sebagai si nomor satu karena memang metode ini sangat mudah dipelajari terutama untuk MySQL – SQL Injection. Attacker hanya membutuhkan pemahaman dasar MySQL atau tools yang relevan untuk melakukan serangan, sangat mudah. Sayangnya tidak semua web developer aware tentang security risk ini akibatnya banyak web yang tumbang. Sebenarnya dalam buku 7 Hari Menjadi Jawara di Internet metode Injection dibahas cukup mendetil sehingga cukup disarankan rekan-rekan yang ingin belajar melindungi web yang rekan-rekan miliki untuk membeli buku tersebut.

Salam,

Aryya Dwisatya W