OWASP Top 10: Ancaman Keamanan Aplikasi Web Paling Berbahaya

Kitab Suci Keamanan Para Software Engineer

Membangun fitur aplikasi yang bisa berjalan itu mudah, tapi memastikannya kebal dari peretasan adalah keahlian yang mahal harganya. Organisasi nirlaba keamanan siber dunia, OWASP (Open Worldwide Application Security Project), secara berkala merilis dokumen "Top 10". Ini adalah daftar sepuluh kerentanan (vulnerabilities) web paling kritis dan paling sering dimanfaatkan oleh peretas di seluruh dunia.

Sebagai *developer*, jika aplikasi buatanmu kebobolan karena salah satu dari masalah dasar ini, reputasi profesionalmu akan hancur. Mari kita bahas 3 ancaman puncaknya.

Peringkat 1: Broken Access Control (Akses Kontrol yang Rusak)

Ini adalah raja dari segala celah keamanan modern. Celah ini terjadi ketika pengguna biasa (User) bisa menyelinap melakukan tindakan yang seharusnya hanya boleh dilakukan oleh Admin, atau pengguna bisa melihat data milik pengguna lain.

• Contoh Bencana: URL untuk melihat profil adalah web.com/profil?id=10. Pengguna yang iseng mengganti angkanya menjadi id=11 di browser. Jika Backend-mu dengan polosnya langsung menampilkan profil ID 11 tanpa mengecek "Apakah orang yang sedang login ini adalah pemilik ID 11?", maka kamu terkena Insecure Direct Object Reference (IDOR). Hacker bisa menyedot seluruh data user di database-mu!
• Solusi: Terapkan konsep Deny by Default (Tolak Semua Secara Bawaan). Setiap ada permintaan API, validasi token JWT-nya, dan periksa kembali otorisasi kepemilikan datanya sebelum menyentuh perintah SELECT di *database*.

Peringkat 2: Cryptographic Failures (Kegagalan Kriptografi)

Data sensitif yang dibiarkan telanjang adalah target empuk. Kegagalan kriptografi terjadi saat data penting dikirim tanpa pelindung atau disandikan dengan cara kuno yang mudah diretas.

• Contoh Bencana: Menyimpan *password* di database menggunakan teks murni, atau menggunakan algoritma MD5/SHA1 yang sudah usang dan bisa dipecahkan *hacker* dalam hitungan jam. Atau, men-deploy aplikasi ke *domain* yang tidak menggunakan gembok HTTPS.
• Solusi: WAJIB menggunakan Bcrypt atau Argon2 untuk melakukan *hash* pada kata sandi (ditambah Salt). Pastikan semua perpindahan data di internet dibungkus dengan protokol TLS (HTTPS yang valid).

Peringkat 3: Injection (Injeksi)

Serangan klasik yang tidak pernah mati. Terjadi karena aplikasi tidak memisahkan antara Data yang diisi *user* dengan Perintah Komputer (Kode).

• Contoh Bencana: SQL Injection dan NoSQL Injection (seperti yang dibahas di artikel kita sebelumnya) di mana teks ketikan user langsung ditempel ke dalam *query* database. Ada juga Command Injection, di mana teks *user* tereksekusi secara fatal di terminal sistem operasi server (Linux Bash).
• Solusi: JANGAN PERNAH MENGGABUNGKAN STRING (Concat)! Gunakan selalu Parameterized Queries, *Prepared Statements*, atau *Object-Relational Mapping (ORM)* seperti Prisma/Sequelize. Pastikan sistem ORM-mu selalu di-update ke versi terbaru untuk menutup celah zero-day.