Gambar Getty
Sistem pencatatan publik yang diandalkan oleh pengadilan dan pemerintah untuk mengelola pendaftaran pemilih dan pengajuan dokumen hukum telah dipenuhi dengan kerentanan yang memungkinkan penyerang memalsukan basis data pendaftaran dan menambah, menghapus, atau mengubah dokumen resmi.
Selama setahun terakhir, pengembang perangkat lunak yang menjadi peneliti keamanan Jason Parker telah menemukan dan melaporkan lusinan kerentanan kritis di tidak kurang dari 19 platform komersial yang digunakan oleh ratusan pengadilan, lembaga pemerintah, dan departemen kepolisian di seluruh negeri. Sebagian besar kerentanan bersifat kritis.
Salah satu kelemahan yang dia temukan dalam portal pembatalan pendaftaran pemilih untuk negara bagian Georgia, misalnya, mengizinkan siapa pun yang mengunjunginya untuk membatalkan pendaftaran pemilih mana pun di negara bagian tersebut ketika pengunjung tersebut mengetahui nama, tanggal lahir, dan wilayah tempat tinggal pemilih. Dalam kasus lain, sistem pengelolaan dokumen yang digunakan di gedung pengadilan lokal di seluruh negeri mengandung banyak kelemahan yang memungkinkan orang yang tidak berwenang mengakses berkas sensitif seperti evaluasi psikiatris yang dirahasiakan. Dan dalam satu kasus, orang yang tidak berwenang dapat memberikan hak istimewa yang seharusnya hanya tersedia bagi panitera pengadilan dan, dari sana, membuat, menghapus, atau mengubah pengajuan.
Gagal pada tingkat yang paling mendasar
Sulit untuk melebih-lebihkan peran penting sistem ini dalam penyelenggaraan peradilan, hak memilih, dan fungsi integral pemerintahan lainnya. Banyaknya kerentanan—sebagian besar berasal dari kontrol izin yang lemah, validasi masukan pengguna yang buruk, dan proses autentikasi yang salah—menunjukkan kurangnya kehati-hatian dalam memastikan sistem yang diandalkan oleh jutaan warga setiap hari dapat dipercaya.
“Platform-platform ini seharusnya menjamin transparansi dan keadilan, namun gagal pada tingkat keamanan siber yang paling mendasar,” tulis Parker baru-baru ini dalam postingan yang ditulisnya dalam upaya untuk meningkatkan kesadaran. “Jika pendaftaran pemilih dapat dibatalkan dengan sedikit usaha dan dokumen hukum rahasia dapat diakses oleh pengguna yang tidak berwenang, apa artinya bagi integritas sistem ini?”
Kerentanan dalam database pendaftaran pemilih di Georgia, misalnya, tidak memiliki cara otomatis untuk menolak permintaan pembatalan yang menghilangkan informasi pemilih yang diperlukan. Alih-alih menandai permintaan tersebut, sistem malah memprosesnya tanpa menandainya. Demikian pula, platform Granicus GovQA yang digunakan ratusan lembaga pemerintah untuk mengelola catatan publik dapat diretas untuk mengatur ulang kata sandi dan mendapatkan akses ke nama pengguna dan alamat email hanya dengan sedikit mengubah alamat Web yang ditampilkan di jendela browser.
Dan kerentanan dalam sistem eFiling C-Track Thomson Reuters memungkinkan penyerang meningkatkan status penggunanya menjadi administrator pengadilan. Eksploitasi hanya memerlukan manipulasi bidang tertentu selama proses registrasi.
Tidak ada indikasi bahwa kerentanan tersebut dieksploitasi secara aktif.
Kabar tentang kerentanan ini muncul empat bulan setelah ditemukannya pintu belakang berbahaya yang diam-diam ditanam di komponen JAVS Suite 8, sebuah paket aplikasi yang digunakan oleh 10.000 ruang sidang di seluruh dunia untuk merekam, memutar, dan mengelola audio dan video dari proses hukum. Seorang perwakilan perusahaan mengatakan pada hari Senin bahwa penyelidikan yang dilakukan bekerja sama dengan Badan Keamanan Siber dan Infrastruktur menyimpulkan bahwa malware tersebut diinstal hanya pada dua komputer dan tidak mengakibatkan informasi apa pun disusupi. Perwakilan tersebut mengatakan malware tersebut tersedia melalui file yang diposting oleh pelaku ancaman ke situs pemasaran publik JAVS.
Parker mulai memeriksa sistem tersebut tahun lalu sebagai pengembang perangkat lunak yang murni atas dasar sukarela. Dia telah bekerja dengan Electronic Frontier Foundation untuk menghubungi vendor sistem dan pihak lain yang bertanggung jawab atas platform yang dia anggap rentan. Hingga saat ini, semua kerentanan yang dia laporkan telah diperbaiki, dalam beberapa kasus hanya dalam sebulan terakhir. Baru-baru ini, Parker mengambil pekerjaan sebagai peneliti keamanan yang berfokus pada platform tersebut.
“Memperbaiki masalah ini memerlukan lebih dari sekedar menambal beberapa bug,” tulis Parker. “Hal ini memerlukan perombakan total terhadap cara penanganan keamanan di pengadilan dan sistem pencatatan publik. Untuk mencegah penyerang membajak akun atau mengubah data sensitif, kontrol izin yang kuat harus segera diterapkan, dan validasi input pengguna yang lebih ketat harus diterapkan. Audit keamanan rutin dan pengujian penetrasi harus menjadi praktik standar, bukan hanya sekedar renungan, dan mengikuti prinsip Secure by Design harus menjadi bagian integral dari setiap Siklus Hidup Pengembangan Perangkat Lunak.”
19 platform yang terkena dampak adalah:
Parker mendesak vendor dan pelanggan untuk meningkatkan keamanan sistem mereka dengan melakukan pengujian penetrasi dan audit perangkat lunak serta melatih karyawan, khususnya di departemen TI. Dia juga mengatakan bahwa otentikasi multifaktor harus tersedia secara universal untuk semua sistem tersebut.
“Serangkaian pengungkapan ini merupakan peringatan bagi semua organisasi yang mengelola data publik yang sensitif,” tulis Parker. “Jika mereka gagal bertindak cepat, konsekuensinya bisa sangat buruk—tidak hanya bagi institusi itu sendiri tetapi juga bagi individu yang privasinya harus mereka lindungi. Untuk saat ini, tanggung jawab ada pada lembaga dan vendor di balik platform ini untuk mengambil tindakan segera, memperkuat pertahanan mereka, dan memulihkan kepercayaan pada sistem yang diandalkan oleh banyak orang.”
