Kategori yang sebelumnya dalam top 10 OWASP dikenal sebagai Broken Authentication kini diperluas menjadi Identification and Authentication Failures. Identifikasi dan manajemen sesi yang tidak tepat dapat menyebabkan aplikasi rentan terhadap serangan autentikasi, termasuk credential stuffing, brute force, dan penggunaan token yang tidak valid. Artikel ini akan membahas penyebab, dampak, dan langkah pencegahan terkait kegagalan identifikasi dan autentikasi.
Kegagalan Identifikasi dan Autentikasi terjadi saat proses verifikasi identitas pengguna dan pengelolaan sesi tidak dilakukan dengan benar, sehingga aplikasi rentan terhadap serangan. Kategori ini menekankan pentingnya memastikan pengguna yang mengakses sistem benar-benar terautentikasi dengan aman serta menjaga sesi agar tidak disalahgunakan.
Faktor-Faktor Kegagalan Identifikasi dan Autentikasi
| Faktor | Deskripsi |
|---|---|
| Serangan otomatis | Aplikasi mengizinkan serangan seperti credential stuffing dengan menggunakan daftar username dan password yang valid. |
| Password default dan lemah | Penggunaan password umum seperti "admin/admin" atau "Password1" meningkatkan risiko. |
| Pemulihan kredensial lemah | Proses "lupa password" menggunakan pertanyaan berbasis pengetahuan (knowledge-based) yang tidak aman. |
| Data password tidak aman | Penyimpanan password dalam teks biasa atau dengan enkripsi lemah. |
| Tidak ada autentikasi multi-faktor (MFA) | Aplikasi hanya mengandalkan satu lapisan autentikasi, seperti password, tanpa MFA. |
| Token sesi tidak aman | Session ID ditampilkan di URL dan tidak diubah setelah login atau logout. |
| Tidak ada invalidasi sesi | Token atau session ID tetap aktif meski sudah logout atau setelah periode tidak aktif. |
Data dan Statistik Kegagalan Identifikasi dan Autentikasi
| CWEs Terpetakan | Max Incidence Rate | Avg Incidence Rate | Total Insiden | Total CVEs | Rata-Rata Bobot | Eksploitasi | Dampak | Max Coverage | Avg Coverage |
|---|---|---|---|---|---|---|---|---|---|
| 22 | 14,84% | 2,55% | 132.195 | 3.897 | 7,40 | 6,50 | 79,51% | 45,72% |
Apa Itu Identification and Authentication Failures?
Ini mencakup kesalahan pada dua aspek utama:
- Identifikasi – Menentukan siapa pengguna yang berusaha mengakses aplikasi.
- Autentikasi – Proses verifikasi bahwa pengguna benar-benar memiliki otorisasi untuk mengakses sistem, sering kali melalui password atau token.
Jika proses ini gagal atau salah diterapkan, aplikasi bisa terkena serangan seperti credential stuffing, brute force, atau session hijacking, yang dapat berakibat fatal pada data dan privasi pengguna.
Contoh Kasus Serangan
- Credential Stuffing
Seorang penyerang menggunakan daftar username dan password yang bocor. Tanpa perlindungan otomatis, aplikasi bisa dijadikan alat untuk memverifikasi kredensial curian. - Rotasi Password dan Kerumitan
Organisasi yang masih menerapkan kebijakan rotasi dan kompleksitas password berisiko mendorong pengguna untuk membuat dan menggunakan ulang password lemah. Sesuai rekomendasi NIST 800-63b, penggunaan MFA kini lebih dianjurkan daripada sekadar bergantung pada rotasi password. - Timeout Sesi Tidak Tepat
Seorang pengguna mengakses aplikasi di komputer umum dan hanya menutup tab browser tanpa logout. Seorang penyerang menggunakan komputer tersebut setelah beberapa waktu dan mendapati sesi pengguna masih aktif.
Cara Pencegahan
| Langkah Pencegahan | Deskripsi |
|---|---|
| Implementasi MFA | Mencegah serangan seperti credential stuffing dan penggunaan ulang kredensial yang dicuri. |
| Hindari Kredensial Default | Jangan rilis aplikasi dengan akun admin menggunakan username dan password bawaan. |
| Pengecekan Password Lemah | Uji password terhadap daftar 10.000 password terburuk untuk memastikan keamanan. |
| Kebijakan Sesuai NIST 800-63b | Terapkan aturan panjang dan kompleksitas password modern berdasarkan standar NIST. |
| Pengamanan API dan Pemulihan Akun | Berikan respons seragam untuk menghindari serangan enumerasi akun. |
| Batas Percobaan Login | Batasi dan tambahkan penundaan login untuk mengurangi risiko brute force tanpa menyebabkan serangan DDoS. |
| Manajemen Sesi yang Aman | Gunakan session manager di server yang menghasilkan session ID dengan entropi tinggi dan mengganti ID setelah login. Pastikan sesi diakhiri saat logout atau setelah timeout. |
Kegagalan identifikasi dan autentikasi sering terjadi karena penerapan autentikasi yang lemah dan manajemen sesi yang buruk. “Penggunaan MFA adalah langkah penting yang harus diambil oleh semua organisasi untuk mengurangi risiko serangan credential stuffing dan brute force,” kata seorang ahli keamanan.
Selain itu, kami menyarankan agar organisasi mengadopsi kebijakan autentikasi yang modern dan tidak hanya bergantung pada password. Ia menekankan pentingnya manajemen sesi yang aman dengan mengganti session ID setiap login dan memastikan token sesi segera diakhiri saat logout atau setelah waktu idle.
Selain itu, proses pembatasan percobaan login harus diterapkan dengan hati-hati untuk mencegah serangan denial of service (DoS). Solusi seperti penundaan bertahap pada percobaan login yang gagal dapat menyeimbangkan antara keamanan dan kegunaan sistem.
Kegagalan identifikasi dan autentikasi merupakan salah satu ancaman keamanan paling umum namun bisa dicegah dengan langkah yang tepat. Contoh seperti credential stuffing dan manajemen sesi yang buruk menunjukkan betapa pentingnya penerapan MFA dan manajemen token yang aman.
Untuk mengatasi ancaman ini, organisasi harus menghindari kredensial default, menerapkan kebijakan password modern, dan menggunakan MFA. Selain itu, manajemen sesi yang baik dengan invalidasi token dan batas login akan mengurangi risiko serangan. Dengan langkah-langkah ini, organisasi dapat memastikan bahwa sistem mereka tetap aman dari serangan yang berkaitan dengan autentikasi.
Kegagalan identifikasi dan autentikasi merupakan ancaman serius bagi keamanan aplikasi. Risiko serangan seperti credential stuffing, brute force, dan session hijacking dapat diminimalkan dengan langkah-langkah pencegahan yang tepat, seperti penerapan MFA, manajemen sesi yang aman, dan kebijakan password yang kuat.
Organisasi perlu berinvestasi dalam penerapan kebijakan autentikasi yang modern dan komprehensif untuk melindungi aplikasi dan data pengguna dari serangan. Dengan langkah yang tepat, sistem dapat terlindungi dari risiko yang ditimbulkan oleh kelemahan identifikasi dan autentikasi.
Comments are closed