TOP 10 OWASP - A02:2025 — Cryptographic Failures

Apa itu Cryptographic Failures?

Cryptographic Failures adalah kegagalan dalam melindungi data sensitif akibat penggunaan kriptografi yang lemah, salah, atau tidak ada sama sekali. Kategori ini sebelumnya bernama "Sensitive Data Exposure", namun OWASP mengubah namanya di edisi 2021 untuk menekankan akar masalah (kegagalan kriptografi) bukan sekadar gejalanya (data yang terekspos).

Perubahan nama ini bukan kosmetik. Ia mencerminkan pergeseran pemahaman: data sensitif yang terekspos hampir selalu disebabkan oleh kegagalan dalam cara data tersebut dienkripsi, disimpan, ditransmisikan, atau dikelola kuncinya — dan itulah yang harus diperbaiki.

Dalam bahasa bisnis ini adalah kondisi di mana data berharga — kata sandi pelanggan, data kartu kredit, rekam medis, rahasia bisnis — dapat dibaca oleh pihak yang tidak berhak karena perlindungan kriptografisnya tidak memadai atau tidak ada.

Mengapa Berada di Posisi #2?

Data dari lebih dari 175.000 CVE yang dianalisis OWASP untuk edisi 2025 menunjukkan:

• Kegagalan enkripsi masih menjadi penyebab utama kebocoran data yang paling merugikan secara finansial

• Rata-rata biaya insiden yang melibatkan data terenkripsi yang lemah 3–4× lebih tinggi dibanding insiden tanpa faktor kriptografi

• Algoritma yang sudah dinyatakan tidak aman sejak dekade lalu — MD5, SHA-1, DES — masih aktif digunakan dalam ribuan sistem produksi

• Lebih dari 60% sistem yang diaudit masih mengirimkan data sensitif melalui koneksi yang tidak terenkripsi atau menggunakan TLS versi lama

Jenis-Jenis Utama Cryptographic Failures

1. Data Sensitif Tanpa Enkripsi

Data dikirim atau disimpan dalam format plaintext — tidak ada enkripsi sama sekali. Paling umum pada:

• Koneksi HTTP (bukan HTTPS) yang masih digunakan untuk transmisi data

• Database yang menyimpan password, PIN, atau nomor kartu tanpa enkripsi

• File backup atau log yang mengandung data sensitif tanpa proteksi

2. Algoritma Kriptografi yang Usang atau Lemah

Penggunaan algoritma yang sudah resmi dinyatakan tidak aman oleh komunitas kriptografi: