Security Audit

Implementasi prosedural dari protokol audit 4 fase pada Rule 19 Bagian 4 dan baseline Rule 05. Tujuan: menemukan celah nyata dengan nol false positive, lalu menambalnya beserta regression test.

Rule terkait: 05 (Security Baseline), 02 (Backend), 19 §4 (Audit Protocol), 18 (Auth & Session Boundaries).

Batas etika: audit hanya dilakukan pada kode dan lingkungan milik pengguna. Jangan memindai, menyerang, atau menguji sistem pihak ketiga.

Fase 1: Reconnaissance (Pemetaan Permukaan Serangan)

Kumpulkan inventaris sebelum mencari celah.

Variabel yang berawalan VITE_ atau NEXT_PUBLIC_ selalu terekspos ke browser. Secret di sana dianggap bocor.

Fase 2: Vulnerability Hunting (OWASP Top 10)

Pemeriksaan Dependensi

npm audit --omit=dev            # Node
composer audit                  # PHP
pip-audit                       # Python (pip install pip-audit di venv)

Pemeriksaan Header (Aplikasi Berjalan)

curl.exe -sI http://localhost:8000 | Select-String "content-security-policy|x-frame-options|x-content-type-options|strict-transport-security|referrer-policy"

Header minimum: Content-Security-Policy, X-Frame-Options: DENY (atau frame-ancestors di CSP), X-Content-Type-Options: nosniff, Referrer-Policy: strict-origin-when-cross-origin, dan Strict-Transport-Security di HTTPS.

Checklist per Stack

Laravel

• Semua rute admin di dalam grup auth + middleware role; prefix admin diobfuskasi (Rule 05)
• Policy/Gate dipakai untuk resource milik user
• $fillable didefinisikan; tidak ada $guarded = [] pada model sensitif
• Validasi via FormRequest; upload memakai mimes: dan max:
• APP_DEBUG=false dan APP_ENV=production untuk rilis

Node / Express / Next.js

• helmet atau header setara; CORS dengan allowlist origin
• Validasi body dengan zod/joi; query memakai parameter binding
• Server Actions dan route handler memeriksa sesi, bukan hanya UI
• Rate limit pada login, register, reset password

React / Vite SPA

• Tidak ada secret di bundle (grep folder dist/ untuk sk-, AIza, secret)
• Tidak ada dangerouslySetInnerHTML untuk data eksternal tanpa sanitasi (DOMPurify)
• Tautan target="_blank" memakai rel="noreferrer"
• Pengecekan peran di frontend hanya untuk tampilan; otorisasi tetap di server

Python (Flask / FastAPI / Streamlit)

• debug=False di produksi; SECRET_KEY dari environment
• Tidak ada eval, pickle.loads, yaml.load tanpa SafeLoader pada data pengguna
• Path file divalidasi (cegah ../); upload dibatasi ukuran dan tipe
• API key model (Gemini, OpenAI) hanya di server, tidak dikirim ke client

Fase 3: Proof Validation (Nol False Positive)

Setiap kandidat temuan wajib divalidasi sebelum dilaporkan:

1. Lacak aliran data dari source (input pengguna) ke sink (query, HTML, shell, file).
2. Periksa mitigasi di antaranya: validasi, escape otomatis framework, middleware, ORM binding.
3. Buktikan dengan salah satu: test otomatis yang mereproduksi, permintaan curl ke lingkungan lokal, atau penjelasan baris demi baris yang menunjukkan tidak ada mitigasi.
4. Bila mitigasi ada, tandai "bukan celah" dan jangan dilaporkan sebagai temuan.

Penilaian keparahan:

Fase 4: Structured Patching

1. Tambal di baris yang rentan dengan perbaikan minimal dan idiomatis untuk framework tersebut.
2. Tambahkan regression test yang gagal sebelum tambalan dan lulus sesudahnya (skill verify-and-test).
3. Jalankan diff-review sebelum commit.
4. Commit dengan fix(security): <ringkasan>; jangan mencantumkan detail eksploit di pesan commit repo publik.
5. Bila secret pernah ter-push: rotasi kunci terlebih dahulu, baru bersihkan riwayat.

Laporan

Gunakan template resources/audit-report-template.md.