LOGO KEMENKUMHAM

Pendahuluan

Keamanan siber adalah salah satu fondasi utama dalam era digital, terutama untuk aplikasi pemerintah yang memproses data sensitif. Salah satu aplikasi tersebut adalah SUMAKER (Sistem Manajemen Surat Masuk dan Surat Keluar) yang dikembangkan oleh Pusdatin Kemenkumham.

Sebagai seorang pelajar dengan minat di bidang cybersecurity, saya menemukan celah pada mekanisme login aplikasi SUMAKER. Celah ini berpotensi memungkinkan serangan brute-force akibat ketiadaan mekanisme rate limiting. Setelah mengidentifikasi masalah tersebut, saya segera melaporkan temuan ini kepada pihak terkait untuk ditindaklanjuti.

Artikel ini bertujuan untuk mendokumentasikan pengalaman saya, menjelaskan celah keamanan yang ditemukan, dan memberikan saran untuk memperbaiki sistem tanpa memaparkan detail eksploitasi yang dapat disalahgunakan.

Awal Perjalanan

Sebagai seorang siswa kelas 11 SMA yang memiliki minat mendalam pada dunia cybersecurity, saya sering melatih kemampuan dengan melakukan hunting terhadap celah keamanan di aplikasi-aplikasi yang digunakan publik. Tujuan utama saya bukan untuk merusak, melainkan untuk membantu meningkatkan keamanan sistem melalui pendekatan ethical hacking dan prinsip Responsible Disclosure.

Salah satu pengalaman menarik saya adalah ketika menemukan celah keamanan di SUMAKER, sebuah aplikasi yang dikembangkan oleh Kemenkumham untuk mengelola surat masuk dan keluar secara digital. Proses hunting ini memberikan banyak pelajaran, baik dari sisi teknis maupun etika sebagai seorang BugHunter.

Menemukan Target

Berawal dari eksplorasi terhadap aplikasi-aplikasi pemerintah, saya menemukan SUMAKER yang terlihat menarik untuk diuji. Platform ini memiliki peran penting dalam pengelolaan administrasi, yang artinya data yang ditangani cukup sensitif. Fokus utama saya saat itu adalah menguji mekanisme login aplikasi, sebuah komponen yang sering kali menjadi titik awal serangan siber.

Setelah mengidentifikasi endpoint login, saya mulai memetakan bagaimana sistem menangani permintaan autentikasi. Pengamatan awal menunjukkan bahwa sistem tidak memiliki mekanisme pembatasan jumlah percobaan login, sebuah celah yang sering disebut sebagai

kekurangan rate limiting.

Eksplorasi Teknis

Proses selanjutnya adalah memvalidasi temuan ini. Sebagai seorang ethical hacker, saya memastikan untuk tidak melakukan tindakan yang merusak sistem atau melanggar hukum. Berikut langkah-langkah yang saya lakukan:

1. Menguji Respon Sistem Saya mengirimkan beberapa permintaan login menggunakan kombinasi username dan password yang salah. Sistem merespons dengan pesan error, tetapi tidak memberikan tanda-tanda pembatasan seperti delay atau blokir.

2. Mensimulasikan Percobaan Login Massal Menggunakan skrip sederhana, saya mencoba mengirimkan permintaan login secara berturut-turut untuk melihat apakah server akan membatasi jumlah permintaan. Hasilnya, server tetap merespons semua permintaan tanpa ada mekanisme seperti CAPTCHA atau blokir IP.

3. Memastikan Validitas Temuan Setelah beberapa kali pengujian, saya menyimpulkan bahwa celah ini dapat dieksploitasi untuk melakukan brute-force attack, di mana penyerang dapat mencoba berbagai kombinasi username dan password hingga menemukan yang benar.

Melaporkan Temuan

Sebagai langkah etis, saya segera melaporkan temuan ini kepada tim pengelola aplikasi SUMAKER melalui jalur resmi. Saya menjelaskan masalah yang ditemukan, potensi risikonya, serta memberikan saran mitigasi, seperti:

1. Menambahkan Rate Limiting

untuk membatasi jumlah percobaan login dalam waktu tertentu. 2. Mengintegrasikan CAPTCHA

untuk memverifikasi bahwa pengguna adalah manusia. 3. Mengaktifkan Autentikasi Dua Faktor (2FA)

untuk menambah lapisan keamanan akun.

Pelajaran yang Didapat

Dari pengalaman ini, saya belajar banyak hal, antara lain:

1. Pentingnya Etika dalam Hacking Menemukan celah keamanan adalah tanggung jawab besar. Sebagai hacker, kita harus memastikan temuan digunakan untuk memperbaiki sistem, bukan merugikan.

2. Kolaborasi dengan Pengelola Sistem Pelaporan yang jelas dan konstruktif akan membantu pengelola sistem memahami masalah dan memperbaikinya lebih cepat.

3. Keamanan Siber Itu Dinamis Tidak ada sistem yang benar-benar aman. Oleh karena itu, penting untuk selalu menguji dan memperbarui keamanan aplikasi secara berkala.

Penutup

Perjalanan ini mengajarkan saya bahwa menjadi seorang ethical hacker bukan hanya tentang kemampuan teknis, tetapi juga tentang tanggung jawab dan kolaborasi. Saya berharap temuan ini dapat membantu SUMAKER meningkatkan keamanannya dan melindungi data yang dikelolanya.

Dunia cybersecurity adalah tentang membuat internet menjadi tempat yang lebih aman. Dengan semangat itu, saya akan terus belajar dan berkontribusi dalam membangun ekosistem digital yang lebih kuat.

Mario Putra Gunawan adalah seorang siswa kelas 11 SMA yang mendalami dunia cybersecurity dengan pendekatan ethical hacking. Dia percaya bahwa keamanan siber adalah tanggung jawab bersama