Pakar Keamanan Siber Indonesia Temukan Celah Keamanan pada Sistem NASA
Pakar keamanan siber Indonesia, Stephanus Sunarto Purnomo, telah berhasil menemukan celah keamanan pada sistem NASA yang memiliki potensi untuk mengungkap lebih dari 5.000 kredensial internal. Temuan ini awalnya diidentifikasi sebagai vulnerabilitas tingkat Medium-High, namun setelah dilakukan validasi manual dan analisis mendalam, dampaknya terbukti lebih luas dari yang diperkirakan.
Proses Validasi dan Pengakuan dari NASA
Stephanus melaporkan temuannya melalui mekanisme responsible disclosure dan menerima Letter of Recognition (LOR) dari NASA atas kontribusinya. Ia menekankan bahwa pentingnya menilai kerentanan tidak hanya dari segi tingkat severity, tetapi juga potensi dampak yang lebih besar yang mungkin terjadi.
Penelitian Mendalam terkait Keamanan Siber
Dalam penelitiannya, Stephanus menyoroti betapa kelemahan kecil yang tampaknya tidak signifikan secara individual dapat berdampak besar ketika dikombinasikan dan membentuk jalur serangan. Ia menekankan pentingnya melihat bagaimana security boundary pada sistem bekerja dan apakah kontrol keamanan yang ada tetap efektif dalam menghadapi skenario serangan yang realistis.
Analisis Terhadap Celah Keamanan
Lebih lanjut, dari kerentanan awal, Stephanus mampu mengembangkan analisisnya hingga ke tingkat security control bypass, pelanggaran batas akses, dan menemukan lebih dari 5.000 data credential yang terpapar. Ia juga menjelaskan bahwa risiko sebuah kerentanan tidak hanya ditentukan oleh jumlah kredensial yang terpapar, namun juga oleh jenis akun, tingkat akses, validitas kredensial, serta keterkaitannya dengan kerentanan lain.
Stephanus menggarisbawahi pentingnya melakukan analisis manual dalam pengujian keamanan, karena meskipun automated scanner dapat menemukan vulnerability, namun memahami bagaimana vulnerability tersebut bisa dieksploitasi menjadi jalur serangan membutuhkan pendekatan yang berbeda.
Dalam penelitiannya, Stephanus selalu menjaga etika dengan tidak melakukan perubahan data, gangguan layanan, penyalahgunaan akun, atau penyebaran informasi sensitif yang ditemukan. Hal ini dilakukan untuk menghindari kerusakan pada sistem yang diperiksa.
