Celah Keamanan NASA Ditemukan Pakar Siber Indonesia

• 

• Lifestyle

• Digilife

Jumat, 4 September 2026 - 05:34 WIB

VIVA - Praktisi keamanan siber Indonesia, Stephanus Sunarto Purnomo, menemukan celah keamanan pada sistem NASA yang dalam proses validasinya menunjukkan potensi paparan terhadap lebih dari 5.000 kredensial internal.

Temuan tersebut bermula dari sebuah vulnerability yang pada penilaian awal berada pada tingkat Medium–High. Namun, melalui validasi manual, analisis security control, dan attack-path analysis, Stephanus menemukan bahwa dampak kerentanan tersebut berpotensi lebih besar.

Temuan kemudian dilaporkan melalui mekanisme responsible disclosure. Atas kontribusinya, Stephanus memperoleh Letter of Recognition (LOR) dari NASA. Ia juga mengatakan, sebuah kerentanan tidak selalu dapat dinilai hanya berdasarkan tingkat severity.

Sejumlah kelemahan yang terlihat tidak terlalu kritis secara individual dapat memiliki dampak lebih besar ketika dikombinasikan dan membentuk sebuah attack path.

Dalam proses penelitian, ia menganalisis bagaimana security boundary pada sistem bekerja dan apakah kontrol keamanan tersebut tetap efektif ketika diuji melalui skenario yang realistis.

Dari proses tersebut, analisis berkembang dari kerentanan awal menuju security control bypass, pelanggaran batas akses, hingga ditemukannya paparan lebih dari 5.000 credential records.

Menurut Stephanus, jumlah kredensial yang terpapar bukan satu-satunya indikator risiko. Dampaknya juga bergantung pada jenis akun, tingkat hak akses, validitas kredensial, cakupan sumber daya yang dapat diakses, serta kemungkinan keterkaitannya dengan kerentanan lain.

Ia menilai proses tersebut menunjukkan pentingnya analisis manual dalam pengujian keamanan. Automated scanner dapat membantu menemukan berbagai indikasi kerentanan, tetapi belum tentu mampu memahami hubungan antartemuan hingga membentuk sebuah attack path.

“Scanner bisa menemukan vulnerability. Tetapi memahami bagaimana vulnerability tersebut berubah menjadi attack path membutuhkan cara berpikir yang berbeda,” ujar Stephanus Sunarto Purnomo.

Dalam melakukan penelitian, Stephanus menekankan pentingnya menjaga batas etika. Validasi dilakukan untuk memperoleh bukti yang cukup mengenai kerentanan dan dampaknya tanpa menyebabkan kerusakan terhadap sistem.

Ia tidak melakukan perubahan atau penghapusan data, mengganggu layanan, menyalahgunakan akun, maupun menyebarluaskan informasi sensitif yang ditemukan.

Detail teknis seperti endpoint, token, kredensial, konfigurasi internal, dan metode bypass juga tidak dipublikasikan karena berpotensi disalahgunakan untuk mengulangi eksploitasi.