Software or Data Integrity Failures: keutuhan perangkat lunak atau data tidak diperiksa

Apa yang dimaksud Software or Data Integrity Failures?

Masalah ini muncul ketika perangkat lunak atau data diperlakukan sebagai sah tanpa pemeriksaan keutuhan dan sumber yang memadai. Format yang terlihat benar belum membuktikan siapa pembuatnya atau apakah isinya berubah. OWASP menempatkannya pada kategori A08:2025 dalam daftar risiko aplikasi web 2025.

Contoh di pekerjaan tim

Contoh berikut fiktif, menggunakan alur dan data buatan.

Aplikasi fiktif menerima pemberitahuan transaksi dari luar. Tim memeriksa bahwa isinya berbentuk JSON, lalu langsung menandai pesanan lunas. Mereka belum memverifikasi pengirim maupun memastikan pesan lama tidak diproses ulang. Pemeriksaan format dan kepercayaan terhadap pesan adalah dua pekerjaan berbeda.

Hal yang sering keliru dipahami

A08 berfokus pada artefak atau data saat melintasi batas kepercayaan. A03 meninjau rantai pasok yang menghasilkan dan mengirim perangkat lunak. Checksum yang disediakan bersama berkas oleh pihak yang sama-sama tidak dipercaya belum membuktikan asal berkas.

Apa yang dapat dilakukan tim?

• Verifikasi keutuhan dan asal artefak dengan mekanisme yang sesuai, misalnya tanda tangan yang diverifikasi terhadap kunci tepercaya.
• Jangan langsung mempercayai objek atau data terstruktur dari luar; batasi apa yang boleh diterima.
• Lindungi jalur build dan perubahan konfigurasi dengan peninjauan serta pembatasan akses.

Bukti apa yang perlu diperiksa?

Pada contoh pesan transaksi, minta bukti penolakan pesan yang tidak sah dan pengiriman ulang yang tidak boleh menimbulkan tindakan ganda. Catat sumber kepercayaan, pengelola kunci, dan perilaku saat verifikasi gagal.

Lanjutkan ke langkah penerapan

Buka pengamanan CI/CD dan pengamanan akses API. Kembali ke daftar OWASP Top 10 2025 untuk membandingkan kategori. Nomor kategori tidak menentukan prioritas perbaikan pada semua sistem.

Penjelasan kategori diadaptasi dari OWASP Top 10 Team — A08:2025, berlisensi CC BY 3.0. Ringkasan Indonesia dan contoh kerja disusun Kompli; bukan terjemahan resmi OWASP.