Praktisi keamanan siber asal Indonesia, Stephanus Sunarto Purnomo, baru-baru ini mengidentifikasi celah keamanan signifikan dalam sistem NASA, yang dapat mengakibatkan lebih dari 5.000 kredensial internal terpapar.
Awalnya, temuan ini dinilai sebagai kerentanan dengan tingkat risiko Medium–High. Namun, setelah melakukan validasi manual dan analisis kontrol keamanan serta jalur serangan, Stephanus menemukan bahwa dampaknya jauh lebih besar dari yang diperkirakan.
Setelah menyelesaikan analisis, temuan tersebut dilaporkan melalui mekanisme responsible disclosure. Sebagai penghargaan atas kontribusinya, Stephanus menerima Letter of Recognition (LOR) dari NASA. Ia menekankan bahwa kerentanan tidak selalu dapat diukur hanya berdasarkan tingkat keparahannya.
Beberapa kelemahan yang tampak tidak kritis secara individual bisa saja berkontribusi pada dampak yang lebih besar ketika digabungkan, sehingga membentuk sebuah jalur serangan yang kompleks.
Dalam proses penelitiannya, ia juga menganalisis bagaimana batas keamanan pada sistem beroperasi dan apakah kontrol yang diterapkan masih efektif ketika diuji dengan skenario realistis.
Melalui penelitian tersebut, analisis berkembang dari identifikasi kerentanan awal menjadi bypass kontrol keamanan, pelanggaran batas akses, hingga terungkapnya paparan lebih dari 5.000 data kredensial.
Stephanus menjelaskan bahwa jumlah kredensial yang terpapar bukanlah satu-satunya indikator risiko. Sebaliknya, dampak nyata juga bergantung pada jenis akun, tingkat akses, validitas kredensial, cakupan sumber daya yang dapat diakses, dan kemungkinan keterkaitannya dengan kerentanan lain.
Ia berpendapat bahwa proses ini menunjukkan betapa pentingnya analisis manual dalam pengujian keamanan. Meskipun pemindai otomatis dapat membantu mendeteksi indikasi kerentanan, mereka belum tentu memahami hubungan antar temuan yang dapat membentuk sebuah jalur serangan.
“Pemindai dapat menemukan kerentanan. Namun, untuk memahami bagaimana kerentanan itu berubah menjadi jalur serangan memerlukan pendekatan berpikir yang berbeda,” ungkap Stephanus Sunarto Purnomo.
Dalam penelitian yang dilakukan, Stephanus menekankan pentingnya menjaga etika. Validasi dilakukan untuk mengumpulkan bukti yang cukup mengenai kerentanan dan dampaknya tanpa merusak sistem yang diuji.
Ia memastikan tidak melakukan modifikasi atau penghapusan data, mengganggu layanan, menyalahgunakan akun, atau menyebarkan informasi sensitif yang ditemukan selama proses analisis.
Detail teknis seperti endpoint, token, kredensial, konfigurasi internal, dan metode bypass tidak dipublikasikan untuk mencegah penyalahgunaan yang dapat mengarah pada eksploitasi lebih lanjut.
➡️ Baca Juga: 7 HP Murah dengan Penyimpanan Besar untuk Reseller, Tahan Dipakai 3–5 Tahun
➡️ Baca Juga: Timnas Indonesia U-17 Bawa 28 Pemain untuk Uji Mental di Thailand Sebelum Turnamen 2026
