TOP 10 OWASP - A07:2025 — Identification and Authentication Failures — Series Referensi Cybersecurity 2025 -2026

Apa itu Identification and Authentication Failures?

Identification and Authentication Failures adalah kegagalan dalam memastikan bahwa identitas pengguna yang mengakses sistem benar-benar valid — dan bahwa sesi yang berjalan sesudah autentikasi tetap terlindungi dari kompromi.

Perluasan nama dari "Broken Authentication" menjadi "Identification and Authentication Failures" mencerminkan pemahaman yang lebih luas: ancaman bukan hanya pada mekanisme autentikasi (membuktikan siapa kamu) tetapi juga pada identifikasi (mengklaim siapa kamu) dan manajemen sesi (mempertahankan keamanan setelah login berhasil).

Dalam bahasa bisnis: ini adalah kondisi di mana siapapun dapat berpura-pura menjadi orang lain dalam sistem Anda — baik dengan menebak password, mencuri session token, memanfaatkan alur reset password yang lemah, atau mengeksploitasi implementasi autentikasi yang cacat.

Mengapa Turun dari Posisi 2 ke Posisi 7?

Di edisi 2017, Broken Authentication berada di posisi 2 — mencerminkan betapa prevalennya masalah ini. Penurunan ke posisi 7 di 2021 dan 2025 mencerminkan dua hal yang saling bertentangan:

Kabar Baik: Adopsi framework autentikasi yang mature (OAuth 2.0, OpenID Connect) dan password manager telah mengurangi prevalensi implementasi autentikasi yang paling naif. Kesadaran industri tentang pentingnya MFA juga meningkat signifikan.

Kabar Buruk: Penurunan posisi TIDAK berarti ancaman berkurang. Data menunjukkan:

Credential stuffing attack meningkat 300% dalam 3 tahun terakhir
80%+ dari insiden hacking melibatkan penggunaan kredensial yang lemah atau dicuri
Serangan berbasis identitas — identity-based attacks — adalah vektor serangan nomor 1 yang dilaporkan dalam insiden enterprise global 2024–2025
Adopsi MFA masih rendah di banyak sektor — terutama di Indonesia

Posisi 7 lebih mencerminkan bahwa ancaman lain lebih universal, bukan bahwa authentication failures lebih jarang terjadi.

Jenis-Jenis Utama Authentication Failures

1. Password yang Lemah dan Tidak Dilindungi

Kebijakan password yang tidak memadai memungkinkan pengguna menggunakan password yang mudah ditebak — "123456", "password", nama sendiri, tanggal lahir. Data dari berbagai breach menunjukkan bahwa password yang paling umum hampir tidak berubah dari tahun ke tahun.

Top 10 password paling umum di 2024 (NordPass):

123456, password, 123456789, 12345678, 12345, 111111, 1234567890, 1234567, qwerty, abc123

Password-password ini dapat di-crack dalam hitungan detik menggunakan tools brute force.

2. Credential Stuffing

Penyerang menggunakan database credential yang dicuri dari breach sebelumnya (tersedia di dark web) dan secara otomatis mencoba kombinasi tersebut pada layanan lain. Karena banyak pengguna menggunakan password yang sama di banyak layanan (password reuse), tingkat keberhasilan serangan ini mengejutkan — rata-rata 0,1–2% dari credential yang dicoba.

Dengan database breach yang mengandung miliaran credential, bahkan 0,1% success rate berarti jutaan akun berhasil dikompromikan.

3. Brute Force dan Password Spraying

Brute Force: Mencoba semua kombinasi password yang mungkin untuk satu akun target
Password Spraying: Mencoba satu password yang umum (misal: "Password123!") terhadap ribuan akun — menghindari account lockout dengan menyebarkan percobaan

4. Broken Authentication Logic

Implementasi autentikasi yang secara fundamental cacat:

Pengecekan password yang case-insensitive
Token sesi yang dapat ditebak atau memiliki entropi rendah
Kondisi race dalam proses login
Bypass autentikasi melalui manipulasi parameter

5. Weak atau Missing MFA

Multi-Factor Authentication (MFA) adalah lapisan pertahanan paling efektif terhadap kompromi akun. Namun tidak semua MFA sama kuatnya:

Tipe MFA	Keamanan	Rentan Terhadap
SMS OTP	Lemah	SIM swapping, SS7 attack
Email OTP	Lemah-Sedang	Kompromi email
Authenticator App (TOTP)	Sedang	Phishing real-time (AiTM)
Push notification	Sedang	MFA fatigue attack
Hardware token (FIDO2)	Kuat	Tidak rentan phishing
Passkeys	Sangat Kuat	Tidak rentan phishing

6. Insecure Session Management

Sesi yang dikelola dengan buruk adalah pintu masuk bagi penyerang yang sudah mendapatkan session token:

Session token yang tidak diinvalidasi saat logout
Session token yang tidak expire setelah periode tidak aktif
Session token yang dikirim melalui URL (rentan terhadap log exposure)
Session fixation: penyerang memaksakan session ID yang mereka ketahui kepada korban

7. Broken Password Reset

Alur pemulihan password yang tidak aman:

Link reset yang valid terlalu lama (seharusnya 15–30 menit, bukan berhari-hari)
Pertanyaan keamanan yang mudah ditebak ("nama ibu sebelum menikah?")
Token reset yang dapat ditebak berdasarkan timestamp atau pola tertentu
Tidak ada notifikasi ke pengguna ketika ada permintaan reset password

8. Default atau Hard-coded Credentials

Akun dengan kredensial default (admin/admin) yang tidak diubah, atau kredensial yang hard-coded dalam kode sumber yang tidak pernah diubah.

9. Insecure "Remember Me" Functionality

Token "remember me" yang disimpan sebagai cookie dengan masa berlaku terlalu panjang, tidak dirotasi secara berkala, atau tidak diinvalidasi saat ada kejadian keamanan (change password, suspicious login).

Serangan Modern: MFA Fatigue dan AiTM Phishing

Seiring adopsi MFA yang meningkat, penyerang mengembangkan teknik baru untuk mengatasinya:

MFA Fatigue Attack (Push Bombing)

Penyerang mengetahui username dan password korban (dari credential stuffing), kemudian memicu permintaan MFA push notification berulang kali — puluhan hingga ratusan kali. Korban yang frustrasi atau bingung akhirnya menekan "Approve" untuk menghentikan notifikasi.

Kasus nyata: Uber (2022) — karyawan Uber menyetujui push MFA setelah penyerang mengirimkannya terus-menerus sambil berpura-pura sebagai Uber IT Support melalui WhatsApp.

AiTM (Adversary-in-the-Middle) Phishing

Teknik phishing yang lebih canggih menggunakan proxy server untuk merelay autentikasi secara real-time — termasuk MFA code berbasis TOTP. Penyerang menempatkan diri di antara pengguna dan situs yang sah, mencuri session cookie yang sudah ter-autentikasi (termasuk MFA) secara langsung.

Framework seperti Evilginx2, Modlishka, dan Muraena mengotomasi serangan AiTM — hanya MFA berbasis hardware (FIDO2/Passkeys) yang tahan terhadap serangan jenis ini.

Passkeys: Masa Depan Autentikasi

Passkeys adalah standar autentikasi baru yang didukung oleh Apple, Google, dan Microsoft yang menggantikan password dengan kriptografi kunci publik-privat. Karakteristik utama:

Tidak ada password yang bisa dicuri atau di-phish
Tahan phishing secara kriptografis — hanya valid untuk domain yang spesifik
Biometrik sebagai verifikasi — sidik jari atau face recognition untuk unlock kunci privat lokal
Tidak ada server-side password storage yang bisa bocor

Adopsi passkeys sedang tumbuh pesat: Apple mengintegrasikan passkeys di seluruh ekosistem iOS/macOS, Google di Android dan Chrome, dan Microsoft di Windows Hello. Beberapa layanan besar — GitHub, PayPal, Shopify — sudah mendukung passkeys.

Di Indonesia, adopsi masih sangat awal — sebagian besar layanan digital masih mengandalkan kombinasi username/password dengan OTP SMS.

Dampak Bisnis

Account Takeover (ATO)

Kompromi akun pengguna atau administrator yang menghasilkan akses tidak sah ke data, fungsi, dan sistem. Dalam konteks e-commerce atau perbankan, ATO dapat langsung berarti kerugian finansial.

Credential-based Lateral Movement

Dalam lingkungan enterprise, kompromi satu akun dapat digunakan untuk bergerak ke sistem lain menggunakan teknik pass-the-hash, pass-the-ticket, atau credential reuse.

Regulatory Non-Compliance

Regulasi seperti UU PDP, PCI-DSS, dan POJK mensyaratkan kontrol autentikasi yang memadai. Kegagalan autentikasi yang mengakibatkan breach dapat diinterpretasikan sebagai kegagalan kepatuhan.

Brand Damage

Insiden account takeover yang ter-publisitas dapat merusak kepercayaan pengguna secara signifikan — terutama untuk layanan keuangan dan layanan yang menyimpan data sensitif.

Kasus Nyata

Rockstar Games (2022)

Penyerang berusia 17 tahun mendapatkan akses ke sistem internal Rockstar Games dan mencuri footage Grand Theft Auto VI yang belum dirilis menggunakan teknik social engineering yang memanfaatkan kelemahan dalam proses autentikasi dukungan teknis.

Uber (2022)

Kompromi lengkap infrastruktur internal Uber oleh remaja 18 tahun menggunakan kombinasi credential stuffing, social engineering, dan MFA fatigue attack. Pelaku mendapatkan akses ke Slack, AWS, Google Workspace, dan sistem kritis lainnya.

LastPass (2022)

Penyerang berhasil mendapatkan akses ke lingkungan development LastPass melalui akun developer yang dikompromikan, kemudian melakukan lateral movement ke backup vault pelanggan.

Layanan Perbankan Digital Indonesia

Secara reguler dilaporkan kasus nasabah yang kehilangan uang melalui rekayasa sosial yang memanfaatkan kelemahan proses verifikasi identitas dan reset PIN via call center — yang pada dasarnya adalah kegagalan dalam proses identifikasi.

Cara Mitigasi: Prinsip Utama

Wajibkan MFA untuk Semua Akun

Terutama untuk akun administrator, akun dengan akses ke data sensitif, dan semua akun yang dapat diakses dari internet. Prioritaskan MFA yang tahan phishing (FIDO2/Passkeys) untuk akun dengan hak istimewa tinggi.

Implementasikan Password Policy yang Kuat

Panjang minimum 12 karakter, cek terhadap database password yang sudah diketahui bocor (Have I Been Pwned database), dan hindari kebijakan "ganti password setiap 90 hari" yang mendorong password yang lemah dan prediktif.

Rate Limiting dan Account Lockout

Batasi percobaan login yang gagal. Implementasikan progressive delay atau lockout sementara. Gunakan CAPTCHA setelah beberapa kali gagal.

Secure Session Management

Invalidasi session saat logout. Regenerasi session ID setelah login berhasil. Gunakan secure, httpOnly, SameSite cookies. Set session timeout yang reasonable.

Pantau dan Detect Anomali Login

Alert untuk login dari lokasi baru, login di jam tidak biasa, multiple failed attempts, atau simultaneous sessions dari lokasi berbeda.

Migrasi ke Passkeys

Mulai roadmap migrasi dari password+OTP ke passkeys untuk layanan yang menghadap konsumen — standar yang secara fundamental mengeliminasi phishing credential.

Secure Password Storage

Gunakan bcrypt, Argon2, atau PBKDF2 dengan parameter yang direkomendasikan (dibahas di A02).

Framework dan Standar

Framework / Standar	Relevansi
NIST SP 800-63B	Panduan komprehensif digital identity dan autentikasi
FIDO2 / WebAuthn	Standar autentikasi passwordless yang tahan phishing
OAuth 2.0 / OIDC	Standar federasi identitas dan delegasi otorisasi
OWASP Authentication Cheat Sheet	Panduan implementasi praktis
OWASP Session Management Cheat Sheet	Panduan manajemen sesi yang aman

Vendor & Solusi Relevan di Indonesia

Kategori	Vendor / Solusi	Kehadiran Indonesia
IAM / SSO / MFA	Microsoft Entra ID	✅ Tier 1
IAM / SSO / MFA	IBM Security Verify	✅ Tier 1
IAM / SSO / MFA	Okta	⚠️ Tier 3
Hardware MFA Token	Thales SafeNet	⚠️ Tier 2
Hardware MFA Token	Yubico YubiKey	⚠️ Terbatas (self-service)
Passwordless / Passkeys	Microsoft Entra ID	✅ Tier 1
Passwordless / Passkeys	Beyond Identity	❌ Belum ada
CIAM	Microsoft Entra External ID	✅ Tier 1
CIAM	Okta Customer Identity	⚠️ Tier 3
Identity Threat Detection	Microsoft Entra ID Protection	✅ Tier 1
Credential Monitoring	Have I Been Pwned API	Free / Self-service
Bot / Credential Stuffing Protection	Akamai Bot Manager	✅ Tier 1
Bot / Credential Stuffing Protection	Cloudflare Bot Management	⚠️ Tier 2

Catatan Indonesia: Adopsi MFA di Indonesia masih rendah di luar sektor perbankan dan enterprise multinasional. OTP via SMS masih dominan — padahal ini adalah metode MFA paling lemah. Transisi ke authenticator app atau passkeys adalah prioritas yang mendesak untuk semua layanan digital yang menyimpan data atau aset bernilai.