Essay UAS Hash
Nama : Erilika Suhara
Nim : 2581484758
1. Dampak API yang Tidak Diamankan terhadap Kebocoran Data
Meskipun sistem menggunakan enkripsi, API yang tidak diamankan dengan baik bertindak sebagai pintu terbuka yang sah. Enkripsi melindungi data dari penyadapan saat transit atau saat disimpan, namun API berfungsi memberikan akses data kepada pengguna atau aplikasi yang meminta. Jika API tidak memiliki mekanisme pembatasan (seperti rate limiting) atau verifikasi permintaan yang ketat, pihak tidak bertanggung jawab dapat mengeksploitasi fungsi API untuk menarik data dalam skala besar secara otomatis (data scraping). Dalam hal ini, data yang keluar melalui API adalah data yang sudah didekripsi untuk penggunaan sah, sehingga enkripsi server tidak lagi berguna jika protokol akses API-nya cacat.
2. Hubungan Enkripsi dengan Kontrol Akses dan Otorisasi
Enkripsi data tidak menjamin keamanan jika kontrol akses dan otorisasi gagal karena enkripsi hanya melindungi kerahasiaan data dari pihak luar yang tidak memiliki kunci. Jika sistem otorisasi gagal, pengguna yang memiliki kredensial sah (atau aplikasi pihak ketiga yang diberi izin) dapat mengakses data yang tidak seharusnya mereka lihat. Begitu akses diberikan oleh sistem otorisasi yang cacat, sistem akan secara otomatis memberikan data dalam bentuk yang dapat dibaca kepada pengguna tersebut. Jadi, enkripsi adalah “gembok” pada data, sedangkan kontrol akses adalah “penjaga pintu”; jika penjaga pintu memberikan izin kepada orang yang salah, gembok tersebut akan dibuka secara otomatis oleh sistem.
3. Langkah Pencegahan Sisi Keamanan API dan Manajemen Akses
Implementasi Autentikasi Kuat: Menggunakan protokol seperti OAuth2 untuk memastikan hanya aplikasi dan pengguna terverifikasi yang dapat memanggil API.
Rate Limiting dan Throttling: Membatasi jumlah permintaan yang dapat dilakukan oleh satu akun atau alamat IP dalam jangka waktu tertentu untuk mencegah pengambilan data massal otomatis.
Prinsip Least Privilege: Memastikan API hanya memberikan set data minimal yang benar-benar dibutuhkan oleh aplikasi pihak ketiga, bukan seluruh profil pengguna.
Audit dan Monitoring API: Memantau aktivitas API secara real-time untuk mendeteksi pola pengambilan data yang tidak wajar atau mencurigakan.
4. Langkah Respons Insiden Awal
Setelah kebocoran terdeteksi, langkah-langkah respons awal meliputi:
Penghentian Akses (Containment): Mematikan atau mencabut akses API yang dieksploitasi untuk mencegah kebocoran lebih lanjut.
Identifikasi Celah: Melakukan investigasi teknis untuk menemukan titik lemah pada API atau fitur yang disalahgunakan.
Penilaian Dampak: Mengidentifikasi kategori data apa saja yang bocor dan berapa banyak pengguna yang terdampak.
- Notifikasi Pemangku Kepentingan: Memberitahu pihak otoritas terkait dan pengguna yang terdampak sesuai dengan regulasi perlindungan data yang berlaku untuk meminimalkan risiko lanjutan bagi pengguna.