Seorang pegawai meminta aplikasi mengekspor laporan pelanggan. Permintaan diterima, lalu masuk antrean karena sistem sedang menangani pekerjaan lain.

Beberapa menit kemudian, administrator mencabut akses pegawai tersebut. Halaman laporan tidak lagi dapat dibuka. Namun, ketika proses ekspor selesai, aplikasi tetap mengirimkan berkas kepadanya.

Dalam ilustrasi ini, pencabutan akses berhasil menghentikan permintaan baru melalui halaman aplikasi. Sementara itu, pekerjaan yang diajukan sebelumnya terus berjalan dengan keputusan izin yang lama.

Bagi perusahaan, hasil akhirnya tetap sama: informasi diterima oleh pengguna yang sudah kehilangan kewenangan.

Pemeriksaan izin saat permintaan diterima belum cukup apabila tindakan baru dilakukan setelah keadaan berubah. Aplikasi perlu memastikan bahwa dasar kewenangan masih berlaku ketika pekerjaan membaca data, melakukan perubahan, atau menyerahkan hasil.

Antrean Memperpanjang Umur Sebuah Keputusan Akses

Pemrosesan melalui antrean memungkinkan aplikasi menangani pekerjaan berat tanpa membuat pengguna menunggu pada halaman yang sama. Ekspor laporan, pengiriman dokumen, dan pembaruan massal dapat dilaksanakan secara bertahap oleh komponen pemroses di latar belakang.

Selama pekerjaan menunggu, keadaan bisnis tetap bergerak. Pengguna dapat berpindah divisi, dikeluarkan dari grup, atau kehilangan akses ke objek tertentu. Dokumen yang semula terbuka bagi satu tim juga dapat berubah menjadi terbatas.

Jika aplikasi hanya menyimpan hasil pemeriksaan awal, perubahan tersebut mungkin tidak memengaruhi pekerjaan yang sudah diterima.

Antrean akhirnya mempertahankan sebuah keputusan lebih lama daripada masa berlakunya. Sistem mengetahui bahwa pengguna pernah berwenang, tetapi belum memastikan apakah kewenangan itu masih berlaku.

Persoalan ini mudah terlewat karena setiap komponen dapat terlihat bekerja sesuai fungsi. API menerima permintaan yang sah, antrean menyimpan pekerjaan, dan pemroses menyelesaikannya. Kelemahannya baru terlihat ketika seluruh rangkaian diperiksa bersama dengan perubahan hak akses.

Izin Mengajukan Belum Menjamin Izin Menjalankan

MITRE menjelaskan kelemahan Time-of-check Time-of-use atau TOCTOU sebagai keadaan ketika kondisi sumber daya berubah di antara pemeriksaan dan penggunaannya, sehingga hasil pemeriksaan tidak lagi sesuai.

Pekerjaan antrean dapat menghadapi pola serupa. Pemeriksaan dilakukan ketika pengguna mengajukan permintaan, sedangkan penggunaan data terjadi setelah izin berubah.

Namun, penilaian kerentanan tetap harus mempertimbangkan kebijakan aplikasi. Tidak setiap pekerjaan yang berlanjut setelah perubahan peran merupakan kesalahan. Yang perlu dibuktikan adalah apakah tindakan tersebut masih memiliki dasar kewenangan yang sah.

Sebagai contoh, permintaan ekspor data pribadi biasanya bergantung pada akses pengguna terhadap data itu. Apabila akses dicabut sebelum pemrosesan dimulai, aplikasi perlu mengevaluasi kembali kelayakan permintaannya.

Berbeda halnya dengan proses organisasi yang telah memperoleh persetujuan resmi dan memiliki mandat pelaksanaan tersendiri. Perbedaan tersebut harus ditetapkan dalam aturan bisnis, kemudian diterapkan secara konsisten.

Tanpa aturan yang jelas, status “sudah masuk antrean” dapat berubah menjadi alasan untuk melanjutkan hampir semua pekerjaan.

Empat Titik yang Memerlukan Pemeriksaan Izin

OWASP menekankan pemeriksaan otorisasi pada setiap permintaan. Untuk pekerjaan asinkron, prinsip tersebut perlu diterapkan pada batas tindakan yang relevan sepanjang proses.

Rancangan berikut dapat digunakan sebagai dasar evaluasi, dengan penyesuaian terhadap risiko dan arsitektur aplikasi.

Ketika permintaan diterima

Pemeriksaan awal memastikan pengguna boleh mengajukan tindakan terhadap objek yang dimaksud.

Akses ke fitur ekspor belum tentu memberikan hak untuk mengekspor seluruh data. Pengguna mungkin hanya berwenang atas pelanggan pada cabang tertentu atau dokumen milik timnya.

Karena itu, pemeriksaan perlu mencakup tindakan sekaligus lingkup objek. Identitas pengguna yang sah tetap dapat mengajukan permintaan di luar kewenangannya.

Sebelum tindakan sensitif dijalankan

Ketika pekerjaan diambil dari antrean, pemroses perlu memeriksa dasar kewenangan sebelum membaca informasi terbatas atau melakukan perubahan berdampak.

Pemeriksaan ini membutuhkan identitas peminta dan konteks pekerjaan yang dapat dipercaya. Hak teknis akun layanan untuk mengakses basis data tidak otomatis menjadi hak pengguna untuk menerima seluruh isinya.

Jika kewenangan yang menjadi dasar pekerjaan sudah berakhir, aplikasi perlu menghentikan atau menunda proses sesuai kebijakan.

Ketika pekerjaan dicoba kembali

Percobaan ulang dapat berlangsung setelah jeda yang panjang. Selama waktu tersebut, akun mungkin dinonaktifkan atau objek berpindah kepemilikan.

Keputusan izin pada upaya pertama tidak seharusnya otomatis membenarkan upaya berikutnya.

Aplikasi juga perlu memastikan percobaan ulang tidak menggandakan tindakan yang sebenarnya sudah berhasil. Pemeriksaan otorisasi menentukan apakah tindakan diperbolehkan, sedangkan pengendalian duplikasi memastikan tindakan tidak dilaksanakan berulang secara keliru.

Keduanya perlu berjalan bersama.

Sebelum hasil diserahkan

Laporan dapat selesai dibuat ketika pengguna masih berwenang, lalu baru diunduh setelah akses dicabut.

Untuk hasil yang sensitif, aplikasi perlu memeriksa izin pada tahap penyerahan. Menjadi pemohon awal tidak semestinya memberikan akses tanpa batas waktu.

Cara distribusi ikut menentukan kemampuan pengendalian. Berkas yang tersedia melalui portal masih dapat dilindungi dengan pemeriksaan akses. Lampiran yang sudah dikirim melalui surel memiliki keterbatasan pencabutan yang berbeda.

Kewenangan Pengguna dan Mandat Organisasi Harus Dibedakan

Ada pekerjaan yang memang harus tetap berjalan meskipun peran pengajunya berubah.

Misalnya, proses pembayaran yang telah melewati persetujuan resmi dapat memiliki mandat organisasi yang terpisah dari kewenangan pegawai yang pertama kali mengajukannya.

Dalam keadaan tersebut, aplikasi perlu memverifikasi mandat pelaksanaan: siapa yang menyetujui, tindakan apa yang diizinkan, objek mana yang tercakup, dan kondisi apa yang membatalkannya.

Sebaliknya, pekerjaan yang dijalankan atas nama pengguna perlu mengikuti kewenangan pengguna sesuai kebijakan yang berlaku.

Pembedaan ini mencegah dua kesalahan sekaligus. Pekerjaan yang kehilangan dasar izin tidak terus berjalan, sementara proses organisasi yang sah tidak dibatalkan hanya karena perubahan administratif yang tidak relevan.

Dasar pelaksanaannya harus dapat dijelaskan melalui kebijakan dan bukti persetujuan. Keberadaan pesan dalam antrean saja belum membuktikan bahwa mandat tersebut masih berlaku.

Pemeriksaan Ulang Bisa Tetap Menghasilkan Keputusan Lama

Menambahkan pemeriksaan sebelum eksekusi merupakan langkah penting. Namun, hasilnya bergantung pada informasi yang digunakan.

Cache izin, data peran dalam token, atau salinan keanggotaan grup dapat tertinggal dari perubahan terbaru. Akibatnya, pemroses melakukan pemeriksaan ulang tetapi memperoleh keputusan yang sama dari sumber yang sudah kedaluwarsa.

Makalah “Zanzibar: Google’s Consistent, Global Authorization System”, yang diterbitkan pada USENIX Annual Technical Conference 2019, membahas pentingnya konsistensi keputusan akses di tengah perubahan izin dan isi objek.

Relevansinya bagi pekerjaan antrean terletak pada kebutuhan menghormati urutan perubahan. Sistem perlu mengetahui apakah keputusan akses telah memperhitungkan pencabutan yang terjadi sebelumnya.

Perusahaan juga perlu menetapkan batas waktu penerapan perubahan izin berdasarkan sensitivitas tindakan. Batas tersebut harus diuji, termasuk ketika layanan mengalami keterlambatan atau gangguan.

Masih ada persoalan lain: izin dapat berubah sesaat setelah pemeriksaan dilakukan. Untuk operasi kritis, pemeriksaan dan pelaksanaan perlu dikoordinasikan agar perubahan di antaranya tidak menghasilkan tindakan yang melanggar kebijakan.

Pendekatannya bergantung pada arsitektur, misalnya melalui transaksi atau pemeriksaan versi yang dirancang bersama mekanisme pembaruan izin. Mengurangi jeda pemeriksaan saja belum memberikan jaminan bahwa celah tersebut telah tertutup.

Pekerjaan Panjang Membutuhkan Batas Penghentian

Pekerjaan yang memproses ribuan objek dapat berjalan cukup lama. Pemeriksaan pada awal eksekusi belum menjawab perubahan izin yang terjadi ketika sebagian data sudah diproses.

Aplikasi perlu memiliki titik pemeriksaan lanjutan yang sesuai dengan dampaknya. Titik tersebut dapat ditempatkan sebelum kelompok pemrosesan berikutnya, sebelum perubahan akhir, atau sebelum hasil dipublikasikan.

Kebijakan juga harus mengatur hasil sementara. Apakah berkas sebagian dihapus, disimpan untuk peninjauan, atau hanya dapat diakses oleh administrator yang berwenang?

Untuk tindakan yang sudah berdampak pada sistem eksternal, penghentian pekerjaan tidak otomatis membatalkan akibatnya. Perusahaan mungkin memerlukan prosedur koreksi atau pemulihan yang terpisah.

Aturan ini membantu tim operasional mengambil tindakan yang konsisten ketika kewenangan berubah di tengah proses.

Pengujian Harus Mengubah Izin di Tengah Proses

Pengujian kontrol akses perlu mencakup perpindahan keadaan: pengguna semula berwenang, kemudian kehilangan kewenangan sebelum tindakan selesai.

Analisis ini sering kami temukan saat melakukan penetration testing pada perusahaan di Indonesia.

Dalam konteks pekerjaan antrean, pengujian dapat dilakukan dengan menahan proses setelah permintaan diterima, mengubah hak akses, lalu melanjutkan eksekusi menggunakan data uji yang terkendali.

Skenario yang perlu dievaluasi mencakup:

• Pencabutan izin sebelum pemroses mengambil pekerjaan.
• Penghapusan keanggotaan grup saat pekerjaan menunggu.
• Perubahan kepemilikan objek sebelum tindakan dijalankan.
• Percobaan ulang setelah akun dinonaktifkan.
• Perubahan izin ketika sebagian pekerjaan sudah selesai.
• Pengambilan hasil setelah kewenangan berakhir.
• Gangguan layanan otorisasi menjelang tindakan sensitif.

Hasil pengujian perlu dibandingkan dengan kebijakan yang telah disepakati. Jika kewenangan tidak dapat dipastikan, aplikasi harus memiliki perilaku penundaan atau penolakan yang jelas untuk tindakan sensitif.

Bukti pemeriksaan sebaiknya mencatat identitas peminta, objek sasaran, waktu perubahan izin, keputusan otorisasi, dan hasil pekerjaan. Pencatatan tetap perlu dibatasi agar tidak menyalin data sensitif secara berlebihan.

Pekerjaan Selesai Belum Tentu Berarti Sistem Aman

Keberhasilan memproses antrean biasanya diukur melalui kecepatan, jumlah pekerjaan yang selesai, dan tingkat kegagalan. Keamanan menambahkan ukuran lain: apakah setiap tindakan masih memiliki dasar kewenangan ketika dilaksanakan?

Perusahaan perlu menyepakati aturan antara pemilik proses bisnis, pengembang, pengelola identitas, dan tim keamanan. Aturan tersebut harus menjelaskan kapan izin diperiksa ulang, pekerjaan mana yang berhenti, serta mandat apa yang memungkinkan proses tetap dilanjutkan.

Dengan dasar itu, aplikasi dapat mempertanggungjawabkan keputusan ketika hak akses berubah.

Pekerjaan yang telah diterima tetap perlu tunduk pada batas kewenangan yang mengatur pelaksanaannya.

Evaluasi Kontrol Akses Aplikasi Bersama Fourtrezz

Fourtrezz menyediakan layanan Penetration Testing dan Vulnerability Assessment untuk aplikasi web, API, jaringan, serta server. Layanan tersebut dapat digunakan untuk mengevaluasi keamanan komponen yang mendukung pemrosesan pekerjaan di latar belakang.

Diskusikan kerja sama dengan Fourtrezz untuk menyusun ruang lingkup pengujian sesuai kebutuhan perusahaan Anda. Masukkan perubahan hak akses, hubungan antara API dan pemroses antrean, percobaan ulang, serta distribusi hasil sebagai skenario yang perlu dibahas.

Melalui ruang lingkup yang terarah, perusahaan dapat memperoleh bukti pengujian untuk menentukan prioritas perbaikan kontrol akses.

Hubungi Fourtrezz:

Website: www.fourtrezz.co.id
Telepon/WhatsApp: +62 857-7771-7243
Email: [email protected]