Latar Belakang
Facebook (Meta) pernah mengalami kebocoran data pengguna dalam skala besar.
Dalam salah satu kasus, data diperoleh melalui penyalahgunaan fitur dan API, bukan dari peretasan server secara langsung.
Pertanyaan
1. Jelaskan bagaimana API yang tidak diamankan dengan baik dapat menyebabkan kebocoran data meskipun sistem menggunakan enkripsi.
Jawab:
API yang tidak diamankan dengan baik dapat menyebabkan kebocoran data meskipun sistem sudah menggunakan enkripsi karena API berfungsi sebagai pintu masuk untuk mengakses data. Enkripsi hanya melindungi data saat disimpan atau dikirim, tetapi jika API tidak memiliki autentikasi dan otorisasi yang kuat, sistem tetap bisa memberikan data dalam bentuk terbuka kepada pihak yang tidak berhak.
2. Analisis mengapa enkripsi data tidak menjamin keamanan apabila kontrol akses dan otorisasi gagal.
Jawab:
Enkripsi data juga tidak menjamin keamanan apabila kontrol akses dan otorisasi gagal, karena enkripsi tidak menentukan siapa yang boleh mengakses data tersebut. Jika sistem salah mengenali pengguna atau memberikan hak akses yang berlebihan, maka data akan tetap didekripsi dan diberikan secara sah oleh sistem kepada pihak yang seharusnya tidak berwenang. Dalam kondisi ini, kebocoran terjadi bukan karena enkripsinya rusak, tetapi karena sistem memberikan kepercayaan yang salah kepada pengguna atau aplikasi yang mengakses data.
3. Rancang langkah pencegahan dari sisi keamanan API dan manajemen akses.
Jawab:
Langkah pencegahan yang efektif:
- Autentikasi kuat (token, OAuth, API key yang aman)
- Otorisasi berbasis peran (RBAC) → setiap role hanya boleh mengakses data yang diperlukan
- Validasi input API → mencegah manipulasi parameter
- Rate limiting dan throttling → mencegah pengambilan data massal
- Logging dan monitoring API → mendeteksi pola akses mencurigakan
- Prinsip least privilege → jangan beri akses berlebihan.
4. Jelaskan langkah respons insiden awal yang seharusnya dilakukan setelah kebocoran terdeteksi.
Jawab:
Langkah awal yang seharusnya dilakukan:
- Isolasi sumber kebocoran → nonaktifkan API atau akses yang bermasalah
- Cabut atau rotasi kredensial → API key, token, atau akun yang disalahgunakan
- Amankan bukti log → untuk analisis penyebab (forensik)
- Identifikasi data yang terdampak → jenis dan jumlah data
- Perbaiki celah keamanan sebelum sistem dibuka kembali
- Komunikasi transparan kepada pihak terkait (internal maupun pengguna jika perlu)