Entri Jurnal
Cryptographic Failures adalah kegagalan dalam melindungi data sensitif akibat penggunaan kriptografi yang lemah, salah, atau tidak ada sama sekali. Kategori ini sebelumnya bernama "Sensitive Data Exposure", namun OWASP mengubah namanya di edisi 2021 untuk menekankan akar masalah (kegagalan kriptografi) bukan sekadar gejalanya (data yang terekspos).
Perubahan nama ini bukan kosmetik. Ia mencerminkan pergeseran pemahaman: data sensitif yang terekspos hampir selalu disebabkan oleh kegagalan dalam cara data tersebut dienkripsi, disimpan, ditransmisikan, atau dikelola kuncinya — dan itulah yang harus diperbaiki.
Dalam bahasa bisnis ini adalah kondisi di mana data berharga — kata sandi pelanggan, data kartu kredit, rekam medis, rahasia bisnis — dapat dibaca oleh pihak yang tidak berhak karena perlindungan kriptografisnya tidak memadai atau tidak ada.
Data dari lebih dari 175.000 CVE yang dianalisis OWASP untuk edisi 2025 menunjukkan:
Kegagalan enkripsi masih menjadi penyebab utama kebocoran data yang paling merugikan secara finansial
Rata-rata biaya insiden yang melibatkan data terenkripsi yang lemah 3–4× lebih tinggi dibanding insiden tanpa faktor kriptografi
Algoritma yang sudah dinyatakan tidak aman sejak dekade lalu — MD5, SHA-1, DES — masih aktif digunakan dalam ribuan sistem produksi
Lebih dari 60% sistem yang diaudit masih mengirimkan data sensitif melalui koneksi yang tidak terenkripsi atau menggunakan TLS versi lama
Data dikirim atau disimpan dalam format plaintext — tidak ada enkripsi sama sekali. Paling umum pada:
Koneksi HTTP (bukan HTTPS) yang masih digunakan untuk transmisi data
Database yang menyimpan password, PIN, atau nomor kartu tanpa enkripsi
File backup atau log yang mengandung data sensitif tanpa proteksi
Penggunaan algoritma yang sudah resmi dinyatakan tidak aman oleh komunitas kriptografi:
Algoritma Lemah | Pengganti yang Direkomendasikan |
|---|---|
MD5 | SHA-256 atau SHA-3 |
SHA-1 | SHA-256 atau SHA-3 |
DES / 3DES | AES-256-GCM |
RC4 | ChaCha20-Poly1305 |
RSA < 2048 bit | RSA 4096 bit atau ECC |
TLS 1.0 / 1.1 | TLS 1.3 (minimum TLS 1.2) |
Menyimpan password dalam format plaintext atau menggunakan hashing tanpa salt (MD5, SHA-1) yang rentan terhadap rainbow table attacks:
Metode Lemah | Metode yang Aman |
|---|---|
Plaintext | — |
MD5(password) | bcrypt (cost factor ≥ 12) |
SHA1(password) | Argon2id |
MD5(salt + password) | PBKDF2 (≥ 600.000 iterasi) |
API keys, database passwords, enkripsi keys, dan secrets yang ditulis langsung dalam kode sumber atau file konfigurasi — sangat umum ditemukan terutama di repositori Git yang tidak terlindungi.
Kunci yang tidak pernah dirotasi
Kunci yang disimpan di tempat yang mudah diakses
Kunci yang sama digunakan untuk banyak tujuan berbeda
Tidak ada proses pencabutan kunci saat terjadi kompromi
Sertifikat expired yang dibiarkan
Self-signed certificates pada sistem produksi
Sertifikat wildcard yang digunakan terlalu luas
Tidak ada implementasi HSTS (HTTP Strict Transport Security)
Membuat algoritma enkripsi sendiri — sekeras apapun tampaknya — hampir selalu menghasilkan implementasi yang rentan. Kriptografi yang baik membutuhkan review ribuan ahli selama bertahun-tahun.
Kebocoran Kredensial
Password yang disimpan dengan hashing lemah (MD5/SHA-1) dapat di-crack dalam hitungan menit menggunakan GPU modern dan wordlist yang tersedia bebas. Database breach yang tampaknya "hanya hash" berubah menjadi kompromi akun masif.
Pencurian Data Finansial
Data kartu kredit atau rekening bank yang tidak dienkripsi dengan benar menjadi target langsung. Pelanggaran PCI-DSS (standar keamanan kartu pembayaran) menghasilkan denda besar dan potensi pencabutan kemampuan memproses kartu.
Pelanggaran Privasi
Data medis, komunikasi pribadi, atau informasi identitas yang tidak terenkripsi dapat mengakibatkan sanksi regulatoris besar. Dalam konteks UU PDP Indonesia, kegagalan melindungi data pribadi secara teknis yang memadai adalah pelanggaran yang dapat dikenai sanksi.
Man-in-the-Middle Attack
Transmisi data tanpa enkripsi yang kuat memungkinkan penyerang yang berada di antara klien dan server untuk membaca atau memodifikasi data secara diam-diam.
Supply Chain Risk
Credentials yang hardcoded dalam kode sumber yang tersebar ke repositori publik (GitHub, GitLab) sering ditemukan oleh bot pemindai otomatis dalam hitungan menit setelah di-push.
RockYou2024 (2024)
Database terbesar dalam sejarah yang berisi 10 miliar kombinasi username-password yang dikompilasi dari ribuan breach. Mayoritas berasal dari sistem yang menyimpan password dengan hashing lemah (MD5/SHA-1) atau plaintext, memungkinkan crack massal.
Adobe (2013)
153 juta akun bocor. Investigasi menemukan password disimpan dengan enkripsi DES yang menggunakan kunci yang sama untuk semua pengguna — bukan hashing, menggunakan enkripsi dua arah yang secara fundamental salah untuk penyimpanan password.
LinkedIn (2012 → Dampak Berlanjut 2016)
117 juta password yang dicuri pada 2012 menggunakan SHA-1 tanpa salt akhirnya di-crack dan dipublikasikan pada 2016. Pelajaran: breach dari enkripsi lemah memiliki "long tail" kerusakan yang berlanjut bertahun-tahun.
Tokopedia (2020)
91 juta data pengguna terekspos. Investigasi menunjukkan sebagian data password disimpan dengan hashing yang tidak memadai, memungkinkan sebagian password di-recover.
Sertifikat Expired Layanan Publik Indonesia
Secara reguler ditemukan layanan digital pemerintah dan perusahaan yang membiarkan sertifikat TLS kedaluwarsa, memaksa pengguna mengabaikan peringatan browser atau mengakses melalui HTTP — membuka risiko intersepsi.
Klasifikasikan Data Berdasarkan Sensitivitas
Tidak semua data perlu perlakuan kriptografi yang sama. Identifikasi mana yang termasuk data sangat sensitif (kredensial, data finansial, data kesehatan, data identitas) dan terapkan perlindungan tertinggi.
Enkripsi Data in Transit
Gunakan TLS 1.3 (minimum TLS 1.2) untuk semua transmisi data. Implementasikan HSTS untuk mencegah downgrade ke HTTP. Nonaktifkan cipher suites yang lemah.
Enkripsi Data at Rest
Enkripsi database, file backup, dan storage yang mengandung data sensitif. Gunakan AES-256-GCM untuk enkripsi simetris.
Hash Password dengan Benar
Gunakan bcrypt, Argon2id, atau PBKDF2 dengan parameter yang direkomendasikan — bukan MD5 atau SHA-1. Ini bukan enkripsi tetapi one-way hashing yang tidak dapat dibalik.
Kelola Secrets dengan Tepat
Gunakan secrets management tools (HashiCorp Vault, AWS Secrets Manager, Azure Key Vault) dan jangan pernah hardcode credentials dalam kode. Implementasikan rotasi kunci otomatis.
Audit Algoritma Secara Berkala
Lakukan review tahunan terhadap semua algoritma kriptografi yang digunakan. Ganti yang sudah deprecated sebelum menjadi masalah.
Persiapkan Post-Quantum Cryptography (PQC)
NIST telah menetapkan standar PQC pada 2024 (CRYSTALS-Kyber, CRYSTALS-Dilithium). Komputer kuantum yang cukup kuat dapat memecahkan RSA dan ECC yang digunakan saat ini. Mulai inventarisasi sistem kriptografi sekarang untuk persiapan migrasi.
Standar / Regulasi | Persyaratan Terkait Kriptografi |
|---|---|
PCI-DSS v4.0 | Enkripsi wajib untuk data kartu, TLS 1.2 minimum, pengelolaan kunci yang ketat |
UU PDP Indonesia | Kewajiban melindungi data pribadi secara teknis yang memadai |
ISO 27001 | Kontrol kriptografi sebagai bagian dari Annex A |
POJK MRTI | Standar enkripsi untuk sistem perbankan digital |
NIST SP 800-111 | Panduan enkripsi data at rest |
NIST PQC Standards 2024 | Standar algoritma post-quantum resmi |
Kategori | Vendor / Solusi | Kehadiran Indonesia |
|---|---|---|
Secrets Management | HashiCorp Vault (IBM) | ✅ Established sejak diakuisisi IBM |
Secrets Management | AWS Secrets Manager | ✅ Tier 1 (AWS Indonesia) |
Secrets Management | Azure Key Vault | ✅ Tier 1 (Microsoft Indonesia) |
HSM (Hardware Security Module) | Thales HSM | ⚠️ Tier 2 |
HSM | Utimaco | ⚠️ Terbatas |
PKI / Certificate Management | DigiCert | ⚠️ via partner |
PKI / Certificate Management | Venafi (machine identity) | ❌ Belum ada |
TLS Testing | SSL Labs (Qualys) | Free online tool |
Secrets Scanning | GitGuardian | ⚠️ Terbatas |
Secrets Scanning | Trufflehog (open-source) | Self-managed |
Cryptographic Compliance | Cryptosense (Veracode) | ❌ Belum ada |
Catatan Indonesia: Adopsi HSM (Hardware Security Module) sudah cukup baik di sektor perbankan — didorong regulasi OJK dan persyaratan SWIFT CSP. Namun di luar sektor keuangan, pengelolaan kunci kriptografi masih sangat manual dan tidak terstandarisasi.
Entri Jurnal
Cryptographic Failures adalah kegagalan dalam melindungi data sensitif akibat penggunaan kriptografi yang lemah, salah, atau tidak ada sama sekali. Kategori ini sebelumnya bernama "Sensitive Data Exposure", namun OWASP mengubah namanya di edisi 2021 untuk menekankan akar masalah (kegagalan kriptografi) bukan sekadar gejalanya (data yang terekspos).
Perubahan nama ini bukan kosmetik. Ia mencerminkan pergeseran pemahaman: data sensitif yang terekspos hampir selalu disebabkan oleh kegagalan dalam cara data tersebut dienkripsi, disimpan, ditransmisikan, atau dikelola kuncinya — dan itulah yang harus diperbaiki.
Dalam bahasa bisnis ini adalah kondisi di mana data berharga — kata sandi pelanggan, data kartu kredit, rekam medis, rahasia bisnis — dapat dibaca oleh pihak yang tidak berhak karena perlindungan kriptografisnya tidak memadai atau tidak ada.
Data dari lebih dari 175.000 CVE yang dianalisis OWASP untuk edisi 2025 menunjukkan:
Kegagalan enkripsi masih menjadi penyebab utama kebocoran data yang paling merugikan secara finansial
Rata-rata biaya insiden yang melibatkan data terenkripsi yang lemah 3–4× lebih tinggi dibanding insiden tanpa faktor kriptografi
Algoritma yang sudah dinyatakan tidak aman sejak dekade lalu — MD5, SHA-1, DES — masih aktif digunakan dalam ribuan sistem produksi
Lebih dari 60% sistem yang diaudit masih mengirimkan data sensitif melalui koneksi yang tidak terenkripsi atau menggunakan TLS versi lama
Data dikirim atau disimpan dalam format plaintext — tidak ada enkripsi sama sekali. Paling umum pada:
Koneksi HTTP (bukan HTTPS) yang masih digunakan untuk transmisi data
Database yang menyimpan password, PIN, atau nomor kartu tanpa enkripsi
File backup atau log yang mengandung data sensitif tanpa proteksi
Penggunaan algoritma yang sudah resmi dinyatakan tidak aman oleh komunitas kriptografi:
Algoritma Lemah | Pengganti yang Direkomendasikan |
|---|---|
MD5 | SHA-256 atau SHA-3 |
SHA-1 | SHA-256 atau SHA-3 |
DES / 3DES | AES-256-GCM |
RC4 | ChaCha20-Poly1305 |
RSA < 2048 bit | RSA 4096 bit atau ECC |
TLS 1.0 / 1.1 | TLS 1.3 (minimum TLS 1.2) |
Menyimpan password dalam format plaintext atau menggunakan hashing tanpa salt (MD5, SHA-1) yang rentan terhadap rainbow table attacks:
Metode Lemah | Metode yang Aman |
|---|---|
Plaintext | — |
MD5(password) | bcrypt (cost factor ≥ 12) |
SHA1(password) | Argon2id |
MD5(salt + password) | PBKDF2 (≥ 600.000 iterasi) |
API keys, database passwords, enkripsi keys, dan secrets yang ditulis langsung dalam kode sumber atau file konfigurasi — sangat umum ditemukan terutama di repositori Git yang tidak terlindungi.
Kunci yang tidak pernah dirotasi
Kunci yang disimpan di tempat yang mudah diakses
Kunci yang sama digunakan untuk banyak tujuan berbeda
Tidak ada proses pencabutan kunci saat terjadi kompromi
Sertifikat expired yang dibiarkan
Self-signed certificates pada sistem produksi
Sertifikat wildcard yang digunakan terlalu luas
Tidak ada implementasi HSTS (HTTP Strict Transport Security)
Membuat algoritma enkripsi sendiri — sekeras apapun tampaknya — hampir selalu menghasilkan implementasi yang rentan. Kriptografi yang baik membutuhkan review ribuan ahli selama bertahun-tahun.
Kebocoran Kredensial
Password yang disimpan dengan hashing lemah (MD5/SHA-1) dapat di-crack dalam hitungan menit menggunakan GPU modern dan wordlist yang tersedia bebas. Database breach yang tampaknya "hanya hash" berubah menjadi kompromi akun masif.
Pencurian Data Finansial
Data kartu kredit atau rekening bank yang tidak dienkripsi dengan benar menjadi target langsung. Pelanggaran PCI-DSS (standar keamanan kartu pembayaran) menghasilkan denda besar dan potensi pencabutan kemampuan memproses kartu.
Pelanggaran Privasi
Data medis, komunikasi pribadi, atau informasi identitas yang tidak terenkripsi dapat mengakibatkan sanksi regulatoris besar. Dalam konteks UU PDP Indonesia, kegagalan melindungi data pribadi secara teknis yang memadai adalah pelanggaran yang dapat dikenai sanksi.
Man-in-the-Middle Attack
Transmisi data tanpa enkripsi yang kuat memungkinkan penyerang yang berada di antara klien dan server untuk membaca atau memodifikasi data secara diam-diam.
Supply Chain Risk
Credentials yang hardcoded dalam kode sumber yang tersebar ke repositori publik (GitHub, GitLab) sering ditemukan oleh bot pemindai otomatis dalam hitungan menit setelah di-push.
RockYou2024 (2024)
Database terbesar dalam sejarah yang berisi 10 miliar kombinasi username-password yang dikompilasi dari ribuan breach. Mayoritas berasal dari sistem yang menyimpan password dengan hashing lemah (MD5/SHA-1) atau plaintext, memungkinkan crack massal.
Adobe (2013)
153 juta akun bocor. Investigasi menemukan password disimpan dengan enkripsi DES yang menggunakan kunci yang sama untuk semua pengguna — bukan hashing, menggunakan enkripsi dua arah yang secara fundamental salah untuk penyimpanan password.
LinkedIn (2012 → Dampak Berlanjut 2016)
117 juta password yang dicuri pada 2012 menggunakan SHA-1 tanpa salt akhirnya di-crack dan dipublikasikan pada 2016. Pelajaran: breach dari enkripsi lemah memiliki "long tail" kerusakan yang berlanjut bertahun-tahun.
Tokopedia (2020)
91 juta data pengguna terekspos. Investigasi menunjukkan sebagian data password disimpan dengan hashing yang tidak memadai, memungkinkan sebagian password di-recover.
Sertifikat Expired Layanan Publik Indonesia
Secara reguler ditemukan layanan digital pemerintah dan perusahaan yang membiarkan sertifikat TLS kedaluwarsa, memaksa pengguna mengabaikan peringatan browser atau mengakses melalui HTTP — membuka risiko intersepsi.
Klasifikasikan Data Berdasarkan Sensitivitas
Tidak semua data perlu perlakuan kriptografi yang sama. Identifikasi mana yang termasuk data sangat sensitif (kredensial, data finansial, data kesehatan, data identitas) dan terapkan perlindungan tertinggi.
Enkripsi Data in Transit
Gunakan TLS 1.3 (minimum TLS 1.2) untuk semua transmisi data. Implementasikan HSTS untuk mencegah downgrade ke HTTP. Nonaktifkan cipher suites yang lemah.
Enkripsi Data at Rest
Enkripsi database, file backup, dan storage yang mengandung data sensitif. Gunakan AES-256-GCM untuk enkripsi simetris.
Hash Password dengan Benar
Gunakan bcrypt, Argon2id, atau PBKDF2 dengan parameter yang direkomendasikan — bukan MD5 atau SHA-1. Ini bukan enkripsi tetapi one-way hashing yang tidak dapat dibalik.
Kelola Secrets dengan Tepat
Gunakan secrets management tools (HashiCorp Vault, AWS Secrets Manager, Azure Key Vault) dan jangan pernah hardcode credentials dalam kode. Implementasikan rotasi kunci otomatis.
Audit Algoritma Secara Berkala
Lakukan review tahunan terhadap semua algoritma kriptografi yang digunakan. Ganti yang sudah deprecated sebelum menjadi masalah.
Persiapkan Post-Quantum Cryptography (PQC)
NIST telah menetapkan standar PQC pada 2024 (CRYSTALS-Kyber, CRYSTALS-Dilithium). Komputer kuantum yang cukup kuat dapat memecahkan RSA dan ECC yang digunakan saat ini. Mulai inventarisasi sistem kriptografi sekarang untuk persiapan migrasi.
Standar / Regulasi | Persyaratan Terkait Kriptografi |
|---|---|
PCI-DSS v4.0 | Enkripsi wajib untuk data kartu, TLS 1.2 minimum, pengelolaan kunci yang ketat |
UU PDP Indonesia | Kewajiban melindungi data pribadi secara teknis yang memadai |
ISO 27001 | Kontrol kriptografi sebagai bagian dari Annex A |
POJK MRTI | Standar enkripsi untuk sistem perbankan digital |
NIST SP 800-111 | Panduan enkripsi data at rest |
NIST PQC Standards 2024 | Standar algoritma post-quantum resmi |
Kategori | Vendor / Solusi | Kehadiran Indonesia |
|---|---|---|
Secrets Management | HashiCorp Vault (IBM) | ✅ Established sejak diakuisisi IBM |
Secrets Management | AWS Secrets Manager | ✅ Tier 1 (AWS Indonesia) |
Secrets Management | Azure Key Vault | ✅ Tier 1 (Microsoft Indonesia) |
HSM (Hardware Security Module) | Thales HSM | ⚠️ Tier 2 |
HSM | Utimaco | ⚠️ Terbatas |
PKI / Certificate Management | DigiCert | ⚠️ via partner |
PKI / Certificate Management | Venafi (machine identity) | ❌ Belum ada |
TLS Testing | SSL Labs (Qualys) | Free online tool |
Secrets Scanning | GitGuardian | ⚠️ Terbatas |
Secrets Scanning | Trufflehog (open-source) | Self-managed |
Cryptographic Compliance | Cryptosense (Veracode) | ❌ Belum ada |
Catatan Indonesia: Adopsi HSM (Hardware Security Module) sudah cukup baik di sektor perbankan — didorong regulasi OJK dan persyaratan SWIFT CSP. Namun di luar sektor keuangan, pengelolaan kunci kriptografi masih sangat manual dan tidak terstandarisasi.