Peneliti Siber Indonesia Bongkar Celah Keamanan, NASA Ganjar Pengakuan LOR

Jakarta, tvOnenews.com - National Aeronautics and Space Administration (NASA) turut memberikan pengakuan Letter of Recognition (LOR) terhadap praktisi keamanan siber Indonesia, Stephanus Sunarto Purnomo.

Pengakuan itu didasari Stephanus temuan celan keamanan pada sistem yang berada dalam cakupan pengujian NASA.

Stephanus menuturkan temuan bermula dari kerentanan tahap awal yang dinilai berada pada tingkat Medium–High. 

Namun, setelah dilakukan validasi manual, analisis kontrol keamanan, dan penelusuran attack path, Stephanus menemukan potensi dampak yang lebih besar.

Dalam proses tersebut, ditemukan paparan yang berkaitan dengan lebih dari 5.000 catatan kredensial internal. 

Temuan kemudian dilaporkan melalui mekanisme responsible disclosure kepada pihak terkait dan mendapat pengakuan dari NASA.

Baca Juga

Jamin Keamanan Siber Nasional, APJII Dorong RUU KKS Segera Disahkan

Stephanus merupakan praktisi keamanan siber yang berkarier di sektor perbankan Indonesia. Ia memiliki pengalaman di bidang cyber security, IT infrastructure, security monitoring, SIEM, vulnerability management, incident response, dan information security.

Selain bekerja di industri, Stephanus juga aktif sebagai mentor Cyber Security di salah satu perguruan tinggi di Indonesia.

Dalam melakukan penelitian, Stephanus tidak hanya melihat sebuah kerentanan secara terpisah. Ia mencoba memahami apa yang dapat terjadi apabila kelemahan tersebut dikombinasikan dengan kondisi lain di dalam sistem.

Analisis dilakukan dengan melihat attack surface, perilaku aplikasi, mekanisme autentikasi dan otorisasi, hingga penerapan security boundary.

Pendekatan tersebut kemudian mengarah pada analisis attack path, yakni bagaimana sebuah celah dapat berkembang menjadi risiko yang lebih besar ketika dikombinasikan dengan kelemahan atau kondisi lainnya.

Setelah security boundary berhasil divalidasi, penelitian dilanjutkan dengan impact assessment. Pada tahap ini ditemukan paparan yang berkaitan dengan lebih dari 5.000 credential records.

Paparan kredensial dinilai memiliki risiko yang perlu diperhatikan karena dampaknya dapat bergantung pada validitas akun, jenis kredensial, tingkat hak akses, sumber daya yang terhubung, hingga kemungkinan penggunaan kembali kredensial.

Stephanus menilai perangkat pemindai keamanan otomatis (automated scanner) tetap penting dalam proses pengujian. Namun, alat tersebut tidak selalu mampu memahami konteks sebuah sistem secara menyeluruh.

Scanner dapat menemukan berbagai indikasi kerentanan, seperti exposed endpoint, kesalahan konfigurasi, kelemahan autentikasi, hingga masalah kontrol akses.

Namun, untuk mengetahui apakah sejumlah kelemahan tersebut dapat dirangkai menjadi sebuah attack path, diperlukan analisis dan penalaran manusia.

Karena itu, tingkat keparahan sebuah kerentanan secara individual belum tentu menggambarkan risiko akhirnya. 

Penilaian juga harus mempertimbangkan exploitability, tingkat paparan, hak akses, sensitivitas data, serta potensi dampaknya terhadap organisasi.

Dalam proses penelitian, Stephanus menekankan pentingnya responsible disclosure. Pengujian dilakukan untuk mendapatkan bukti yang cukup tanpa menimbulkan kerusakan terhadap sistem maupun data.

Ia menyebut tidak melakukan perubahan atau penghapusan data, mengganggu layanan, menyalahgunakan akun, maupun menyebarkan atau menjual kredensial yang ditemukan.

Informasi sensitif seperti endpoint spesifik, token, kredensial, payload, konfigurasi internal, serta metode bypass juga tidak dipublikasikan untuk mencegah penyalahgunaan.

Setelah temuan didokumentasikan dan dilaporkan melalui mekanisme yang sesuai, Stephanus memperoleh Letter of Recognition dari NASA.

Pengakuan tersebut menjadi salah satu pencapaian penting dalam aktivitasnya sebagai security researcher. 

Baginya keberhasilan dalam penelitian keamanan bukan hanya soal menemukan celah tetapi juga mampu membuktikan risikonya melaporkannya melalui jalur yang tepat, dan menjaga batas etika selama proses pengujian.

Pengalaman tersebut juga ia bawa dalam aktivitas mentoring. 

Menurutnya generasi baru praktisi keamanan siber perlu dibekali bukan hanya kemampuan menggunakan tools, tetapi juga kemampuan berpikir seperti penyerang, memahami perspektif pertahanan, serta mengetahui batas tanggung jawab ketika menemukan sebuah celah.

Temuan ini sekaligus menjadi gambaran bahwa peneliti keamanan siber Indonesia memiliki peluang untuk berkontribusi dalam ekosistem keamanan digital global.

Bagi Stephanus, pengakuan dari NASA bukanlah akhir, melainkan pengingat bahwa bidang keamanan siber terus berkembang dan membutuhkan pembelajaran berkelanjutan.

“Cybersecurity bukan tentang seberapa jauh kita dapat menembus sebuah sistem. Cybersecurity adalah tentang menemukan kelemahan sebelum dimanfaatkan pihak yang berniat buruk, membuktikan risikonya, dan membantu membuat sistem menjadi lebih aman,” ujarnya.(raa)