"Ketika saya pertama kali membaca online bahwa meretas perusahaan tidak dituntut atas tindakanan itu, saya sangat senang dan kagum," katanya.
Tenri Gobel | Minggu, 22 November 2020 - 20:30 WIB
Cyberthreat.id – Pertama kali mendapatkan sebuah celah keamanan (bug) pada sebuah aplikasi , Kattie Paxton-Fear (@InsiderPhD) berpikir “itu sebuah keberuntungannya saja”.
Pasalnya, ia tidak memiliki pengalaman di bidang keamanan siber, dan hanya menjadi pengembang dan programmer.
Namun, perempuan yang bergelar PhD dari Cranfield University (@CranfieldDefsec) itu berhasil mendapati bug di acara yang didaftarkan oleh temannya. Acara itu suatu kali berlangsung di London, para peretas (white hat) berlomba-lomba mencari kerentanan di perangkat lunak yang disiapkan.
Acara itu memang mendorong para peretas mencari kelemahan dalam perangkat lunak. Tak jauh berbeda dengan cara peretas (black hat) melakukan serangannya, para peserta dalam acara ini juga melakukan hal yang sama dengan penyerang. Bedanya, peserta itu tidak menyebabkan kerusakan atau mencuri data seperti cara penyerang, melainkan mencari kerentanan agar pemilik sistem elektronik itu segera menambalnya.
Apa yang dilakukan Paxton itu disebut dengan bug bounty.
Paxton kini dikenal sebagai pemburu bug alias bug hunter. Tak sekadar menemukan kerentanan, Paxton juga menulis laporan tentang temuannya itu kepada pemilik sistem.
Dengan begitu, perusahaan dapat memperbaiki masalah yang ditemukan sebelum peretas menemukan kelemahan dan mengeksploitasinya.
“Ini seperti bermain layaknya Sherlock Holmes (karakter detektif karya Sir Arthur Conan Doyle, red), Anda merasa seperti detektif,” ujar dia seperti dikutip dari ZDNet, 16 November 2020.
Berita Terkait:
Ia pun kecanduan sejak pertama kali melaporkan temuannya, meski saat pertama kali menuliskan temuannya, ia mengaku tangannya gemetaran. Sejak itu, dia mengikuti bug bounty lagi dan menemukan 30 bug keamanan.
Paxton mengatakan, keterampilan besar dalam bug bounty ini yang sulit untuk diajarkan adalah intuisi. “Semua yang saya lakukan, saya mengikuti intuisi saya. Itulah yang terlihat menarik dan yang tidak terlihat benar,” katanya.
Paxton mengatakan penghasilannya dari bug bounty ini sebagai “uang jajan”. “Bagi saya ini adalah hobi, tapi saya sangat menikmatinya,” kata Paxton.
Namun, bagi sebagian lain fokus pada bug bounty adalah “profesi”. Ada perusahaan yang memang menjalankan program bug bounty secara sendiri, tapi ada yang bekerja sama dengan komunitas atau pihak ketiga.
Menurut HackerOne, perusahaan yang mengorganisasi acara bug bounty yang diikuti Paxton, di komunitasnya terdapat sembilan peretas kini telah mendapatkan lebih dari US$1 juta masing-masing sebagai imbalan untuk menemukan kerentanan. Tiga belas orang lainnya mendapatkan bayaran US$ 500.000, dan 146 peretas mendapatkan masing-masing US$ 100.000.
Mereka tergabung melalui platform HackerOne dan menghasilkan hampir US$ 40 juta pada 2019. Dengan kata lain, penghasilan dari mencari dan menemukan bug, nilainya sungguh fantastis juga, yang tidak hanya sekadar “untuk uang jajan”.
Selain Paxton ada pula Tommy DeVoss (@thedawgyg) (foto di bawah ini).
DeVoss dulu seorang peretas black hat , tapi kini beralih menjadi pemburu bug bounty.
Ia termasuk salatu hacker dengan penghasilan fantastis hingga puluhan miliaran rupiah. DeVoss mencari bug beberapa hari dalam seminggu, mencari hal-hal yang berubah pada sistem yang ditargetkannya, dan sesekali memeriksa bug lama untuk melihat apakah ada perubahan atau kekurangannya kembali.
"Tidak ada dari kami yang memiliki keahlian sama dan saya pikir itulah mengapa kami semua bisa sukses pada saat yang sama, alih-alih bertarung satu sama lain untuk bug yang sama persis," katanya.
Termotivasi karena film
Berdasarkan survei HackerOne, peneliti keamanan atau pencari bug mengatakan seluruh pendapatan mereka berasal dari peretasan. Lebih dari setengahnya atau setidaknya 50 persen dari pendapatan mereka berasal dari peretasan.
HackerOne mencatat nilai rata-rata yang dibayarkan untuk penemuan kerentanan kritis yakni US$ 3.650, sedangkan jumlah rata-rata yang dibayarkan per kerentanan adalah US$ 979.
Para pemburu itu kebanyakan berusia muda di bawah 35 tahun (80 persen) dan hanya setengah dari satu persen berusia di atas 50 tahun. Semuanya didominasi oleh laki-lak dan hanya 10 persen perempuan atau non-biner.
Berdasarkan latar belakang pendidikan, tiga perempat memiliki gelar atau kualifikasi pascasarjana dalam pemrograman komputer atau ilmu komputer. Hanya 14 persen yang tidak memiliki pelatihan sama sekali. Namun, dalam hal peretasan, hampir semuanya menggambarkan dirinya belajar secara otodidak.
Dari segi bayaran, menurut Bugcrowd, platform sejenis HackerOne, 38 persen pemburu bug lebih banyak mendapatkan bayaran pada 2019 dibandingkan tahun sebelumnya.
Data Bugcrowd juga menunjukkan bahwa peretas yang melakukan pencarian bug aktif pada malam hari lebih banyak (73 persen) ketimbang di pagi-siang hari (13 persen). Hampir setengahnya menghabiskan empat jam atau kurang untuk mengerjakan bug dan hanya 8 persen yang kerja keras di mana bekerja lebih dari 30 jam seminggu.
Motivasi dari berbagai peretas pun berbeda, seperti Santiago Lopez, salah satu kelompok elite peneliti berbayar jutaan dolar dari HackerOne, dirinya tertarik memburu bug setelah melihat film Hackers. Ia mendapatkan bug bounty pertamanya pada 2016 ketika berusia 16 tahun. Lopez pun menjadi peretas pertama pada HackerOne yang menghasilkan satu juta dolar.
"Yang terpenting, memiliki keingintahuan untuk ingin memecahkan masalah," katanya.
Ada pula pencari bug bernama Mico Fraxix yang tertarik dengan peretasan karena sebuah film The Interview.
Fraxix yang bekerja sebagai insinyur TI ketika itu semakin terpicu untuk terjun pada keamanan komputer. Fraxix pun memiliki dua pilihan saat itu untuk terjun pada keamanan komputer yakni menjadi pentester di sebuah perusahaan konsultan keamanan atau menjadi pemburu bug bounty.
Namun, menjadi pentester butuh gelar dalam keamanan siber. Untuk itu, awalnya dia memilih menjadi pemburu bug bounty, meski pada akhirnya penghasilan dari bug bounty-nya membuatnya beralih ke pentester.
"Ketika saya pertama kali membaca online bahwa meretas perusahaan tidak dituntut atas tindakanan itu, saya sangat senang dan kagum," katanya.[]
Redaktur: Andi Nugroho
Pelopornya: Netscape, perusahaan peramban web sebelum Google yang meluncurkan programnya pada 1995.
Tenri Gobel | Senin, 23 November 2020 - 09:49 WIB
Cyberthreat.id – Program bug bounty—sayembara pencarian celah keamanan (bug) berhadiah—ini sebenarnya bukan baru-baru ini saja hadir. Namun, ada sejak lama. Pelopornya: Netscape, perusahaan peramban web sebelum Google yang meluncurkan programnya pada 1995.
Mozilla, pengembang peramban Firefox, pun mengikuti jejak Netscape beberapa tahun kemudian dengan meluncurkan program serupa dan masih berjalan hingga sekarang.
Mozilla saat itu memulai dengan imbalan uang yang cukup untuk 10 hadiah. "Kami adalah penyelenggara program bug bounty keamanan tertua yang masih beroperasi," kata Daniel Veditz, insinyur keamanan staf senior di Mozilla.
"Kami sebagai perusahaan kecil, inilah tampaknya cara yang baik untuk mendorong orang-orang melihat masalah keamanan.”
Berita Terkait:
Meskipun tidak optimistis saat itu berhasil, kenyataannya program bug bounty Mozilla ini telah berkembang. Antara 2017 hingga 2019, Mozilla membayar hampir satu juta dolar, tepatnya US$ 965.750 kepada peneliti keamanan yang melaporkan 348 bug, dengan bayaran rata-rata US$ 2.775 per bug.
Mozilla akan membayar peneliti yang melihat kerentanan tingkat tinggi yang berpotensi dapat dieksploitasi sebesar US$3.000 dan US$10.000.
Menurut Veditz, program bug bounty ini menunjukkan sikap perusahaan terhadap keamanan. Itu juga memperlihatkan bahwa perusahaan menyambut baik peneliti keamanan dan melihat nilai dalam pekerjaan mereka. "Kami ingin mengirim sinyal - kami peduli, silahkan datang. Jika Anda menemukan sesuatu, itu membantu semua orang.” kata Veditz.
Setelah percobaan Netscape dan Mozilla, perusahaan-perusahaan lain pun mengikuti jejak tersebut. Kini, bug bounty ditawarkan untuk segala hal mulai dari bug di situs web hingga layanan komputasi awan, perangkat lunak bisnis, atau aplikasi seluler.
"Sepanjang jalan, banyak orang telah memutuskan bahwa itu adalah ide yang bagus dan meniru kami dan melampaui kami dalam jumlah uang yang mereka mampu untuk membayar orang.” kata Veditz.
Beberapa perusahaan raksasa teknologi yang menghabiskan uangnya untuk menggelar bug bounty ini adalah Microsoft. Dengan berbagai produknya, Microsoft menawarkan bounty kepada peneliti keamanan yang menemukan kerentanan dari Microsoft Azure hingga Xbox, Microsoft Dynamics 365 hingga peramban web Edge barunya.
Microsoft pun awal 2020 mengklaim menghabiskan US$13,7 juta dalam bug bounty 12 bulan terakhir, yang mana lebih dari tiga lipat yang dihabiskan perusahaan pada tahun sebelumnya. Biaya yang dikeluarkan perusahaan sebanding dengan kerentanan yang ditemukan.
Seperti seorang peneliti yang menemukan eksekusi kode jarak jauh yang kritis, pengungkapan informasi, atau kerentanan DoS di Microsoft Hyper-V memperoleh US$250.000, sedangkan laporan kerentanan pada layanan cloud Microsoft Azure mendapat US$40.000
Selama pandemi Covid-19, Microsoft mengklaim para pemburu bug bounty juga sibuk. Itu terlihat dari laporan bug yang meningkat selama beberapa bulan pertama pandemi di semua 15 program bug bounty Microsoft.
Selain Microsoft, Google juga mengeluarkan biaya besar program serupa; total uang yang telah dihabiskan sebesar US$21 juta sejak programnya dirilis satu dekade lalu.
Bayaran fantastis juga ditawarkan Google, seperti penemuan bug untuk "full chain remote code execution exploit with persistence" yang dapat membahayakan chip Titan M pada perangkat seluler Pixel; hadiah utamanya US$1 juta. Dan, tambahan bayaran jika ditemukan eksploitasi serupa pada versi pratinjau dari Android, ada bonus 50 persen sehingga total bisa US$1,5 juta.
Semenjak perusahaan-perusahaan raksasa teknologi ini menggelar program bug bounty ini, banyak perusahaan teknologi lain menirunya. Bahkan, beberapa tahun terakhir, bug bounty ini menyebar di perusahaan lain juga berkat Departemen Pertahanan AS. Pentagon meluncurkan Hack the Pentagon pada 2016 sebagai program bug bounty pertama pemerintah, yang memungkinkan mengidentifikasi dan memperbaiki ribuan kerentanan keamanan pada sistem yang diakses publik.
Keuntungan perusahaan
Mengapa kode memiliki kekurangan sehingga menimbulkan kerentanan ? Menurut Kattie Paxton-Fear (@InsiderPhD), seorang programmer juga bug hunter, sebagian masalahnya adalah pengembangan perangkat lunak sangat kompleks dan melibatkan banyak tim.
Juga, "Waktu pengembangan yang sering kali sangat terbatas untuk suatu fitur. Sebagai pengembang, Anda hanya ingin mengeluarkan fitur tepat waktu. Anda membagikan kode dan hal-hal kecil bisa terlewat sepanjang waktu, sayangnya beberapa di antaranya akhirnya menjadi risiko keamanan yang sangat besar,” kata perempuan yang bergelar PhD dari Cranfield University (@CranfieldDefsec).
Manfaat menjadi peneliti dan pemburu bug ini ialah kesempatan untuk melihat-lihat sistem orang lain sambil mendapatkan bayaran dan mungkin menjadi peretas populer.
Bagi perusahaan yang menggelar bug bounty, keuntungannya datang dari bisa mendapatkan banyak peretas berpengalaman untuk melihat kode mereka, tetapi tanpa risiko dan membayar jika mereka menemukan sesuatu. Berbeda dengan penyerang yang melakukan hal yang sama tetapi menimbulkan risiko karena bisa saja mengeksploitasi kode yang salah itu.
Program bug bounty ini bagi perusahaan yakni mengurangi risiko yang ditimbulkan dari kode yang seringkali salah dan memicu kerentanan yang dapat dieksploitasi penyerang.
GitLab yang meluncurkan program bug bounty pribadinya pada 2014 dan kini beralih ke HackerOne, perusahaan penyedia layanan perburuan bug, pun telah membayar US$1 juta untuk 786 pelaporan bug, juga menilai bahwa bug bounty ini dapat mengurangi risiko.
"Nilai utama yang kami peroleh darinya adalah mengurangi risiko; itulah tujuan akhirnya," kata James Ritchey, manajer keamanan aplikasi di GitLab.
"Untuk melakukan itu, kami perlu mewaspadai masalah keamanan kami... (bug bounty) ini membantu skala tim keamanan kami.”
Ritchey mengatakan bahwa setiap sistem yang terpapar ke internet pasti memiliki ancaman, itulah mengapa perlunya bantuan untuk mengatasi masalah keamanan ini.
"Kenyataannya adalah saat Anda berada di internet, Anda tetap menjadi target terbuka,” katanya.[]
Redaktur: Andi Nugroho
Bug bounty ini digunakan sebagai pengingat kepada organisasi bahwa mereka perlu memikirkan kembali bagaimana menuliskan kode pemrograman aplikasi.
Tenri Gobel | Senin, 23 November 2020 - 16:33 WIB
Cyberthreat.id – Prash Somaiya, manajer program teknis di HackerOne, mengatakan bahwa program bug bounty yang diaturnya memberikan sebuah perusahaan/organisasi akses ke keterampilan yang tidak dapat mereka akses dengan mudah.
HackerOne terkenal sebagai perusahaan yang mengorganisasi acara bug bounty yang telah bekerja sama dengan berbagai perusahaan dan lembaga pemerintah. Anggotanya dari para hacker putih dari berbagai dunia.
Perbedaan utama pun dalam menyewa konsultan untuk melakukan pengujian penetrasi dan menyiapkan bug bounty adalah bahwa peneliti tidak dibayar untuk waktu mereka, dan perusahaan/lembaga pemerintah tidak perlu membayar tarif per jam bagi mereka untuk menemukan bug.
Namun, bukan berarti pengujian penetrasi terhadap sistem elektronik yang dimiliki itu tidak dibutuhkan, melainkan bug bounty ini sebagai tambahan dari uji penetrasi itu.
Berita Terkait:
Sebab, kata Daniel Veditz, insinyur keamanan staf senior di Mozilla, ada sebagian perusahaan yang berpikir bahwa terjun ke program bug bounty adalah pengganti untuk jaminan kualitas atau pengujian atau program keamanan. Padahal, itu tidaklah benar, ujar dia,
Beberapa kritikus pun menilai bahwa bug bounty ini digunakan sebagai pengingat kepada organisasi/perusahaan bahwa mereka perlu memikirkan/mengoreksi kembali cara menuliskan kode pemrograman aplikasi yang dibikin, demikian seperti dikutip dari ZDNet, 16 November 2020.
“Untuk itu, jangan hanya mengandalkan orang luar untuk memperbaiki kesalahan dasar yang seharusnya dapat dilihat oleh tim internal.”
Intinya, dari sisi internal pun harus diperhatikan saat mengembangkan aplikasi. Dengan artian, perusahaan harus memastikan proses pengembangan internal mereka mendorong kode yang aman daripada berharap peretas eksternal memperbaiki masalah itu.
Selain itu, “memiliki program bug bounty tanpa memiliki tim pengembang internal yang dapat melacak dan memperbaiki itu juga akan sia-sia”. Bahkan, mungkin memperburuk keadaan dengan menciptakan rasa aman yang palsu.
Biaya yang dikeluarkan untuk peningkatan pengembang internal, biaya program bug bounty, dan biaya potensi pelanggaran keamanan untuk sementara waktu, akan selalu jauh lebih murah daripada biaya untuk memperbaikinya nanti.
Bug bounty memang bukanlah jawaban untuk setiap masalah. Beberapa peneliti pun banyak yang tidak ingin terlibat karena beberapa program membatasi kemampuan mereka. Bahkan ada juga yang model crowdsourcing, di mana imbalan dari penemuan kerentanan sulit didapat.
Membayar berdasarkan hasil dapat menekan biaya, tetapi juga dapat mendorong para peneliti untuk fokus pada kelemahan yang lebih mudah ditemukan, daripada mengharapkan internal yang butuh lebih banyak waktu.
Perlu juga diingat bahwa sebagian peneliti keamanan melakukannya karena hal itu menjadi hobi yang menyenangkan. Banyak peretas menunjukkan bakatnya sebagai pemburu bug, yang mengantarkan mereka menuju industri keamanan.
Peretasan adalah tim
Satu hal yang mengejutkan orang awam adalah para peretas bug bounty ini bekerja sama. Bukan dalam artian mencari bug dengan bekerja sama lalu membagi penghasilannya.
Para pemburu bug ini, kata Tommy DeVoss, mantan peretas black hat yang beralih menjadi pemburu bug bounty, saling berbagi hasil temuan bug-nya secara terbuka sesama komunitas peretas bug bounty.
DeVoss mengaku bahwa akan ada orang yang lebih pintar dan lebih tahu daripada dirinya sehingga dirinya pun melakukan hal yang sama, yakni membagikan hasil temuannya dalam bug bounty itu dengan sesama pemburu bug.
"Saya melakukan ini demi uang, tetapi saya tidak serakah, jadi saya tidak keberatan orang lain menghasilkan uang juga,” kata DeVoss.
Pemburu bug bounty lain, Kattie Paxton-Fear pun setuju dengan itu.
"Saya tahu bahwa jika saya memiliki masalah, saya dapat meminta bantuan 10 orang yang berbeda dan mengandalkan keahlian mereka, dan seringkali mereka tidak akan meminta uang kembali; mereka hanya ingin membantu. Semua orang paham bagaimana rasanya memulai," kata perempuan yang bergelar PhD dari Cranfield University (@CranfieldDefsec) itu.
Hadiah bug telah berkembang pesat sejak pelopor program ini, Netscape memulainya. Bahkan, bug bounty menjadi opsi utama industri keamanan saat ini.
Santiago Lopez, salah satu kelompok elite peneliti berbayar jutaan dolar dari HackerOne, mengatakan kesadaran bug bounty kini tumbuh sehingga jumlah pemburu bug pun semakin banyak. Artinya, lebih banyak persaingan, kata Lopez.[]
Redaktur: Andi Nugroho
Peretas manusia ialah pertahanan terbaik terhadap serangan paling canggih,” kata Lopez, salah satu kelompok elite peneliti berbayar jutaan dolar dari HackerOne.
Tenri Gobel | Senin, 23 November 2020 - 18:10 WIB
Cyberthreat.id – Jenis kerentanan yang diburu oleh para peretas bug bounty dari tahun ke tahun telah berubah. Saat program ini pertama kali diluncurkan, cloud dan ponsel pintar tidak ada. Kini, area itu adalah tempat beberapa hadiah terbesar ditemukan.
Namun, sepertinya model itu tidak cocok untuk model bisnis bug bounty karena sebagai peretas berkonsentrasi pada keamanan web daripada area yang lebih rumit yang membutuhkan keterampilan dan pengalaman tambahan.
Hal itu terlihat dalam penelitian terbaru Bugcrowd, misalnya, 70 persen peretas mencantumkan keterampilan pengujian aplikasi web, tetapi hanya tiga persen yang mencantumkan keterampilan aplikasi Android, tulis ZDNet, 16 November 2020.
Meskipun keamanan komputer terlihat meningkat, itu tidak menunjukkan tanda-tanda bahwa bug bounty ini akan berhenti.
"Saya tidak berpikir ini akan menjadi lebih sulit ... Saya pikir ini akan menjadi berbeda," kata Kattie Paxton-Fear, perempuan yang bergelar PhD dari Cranfield University (@CranfieldDefsec) juga seorang pemburu bug bounty.
Berita Terkait:
Beberapa tahun yang lalu perburuan bug oleh para hacker putih ini tentang kesalahan dalam pemrograman, seperti cross-site scripting (XSS attack) dan injeksi JavaScript, sekarang tidak lagi seperti itu, karena pengembang tahu tentang masalah ini.
Berkat Internet of Things(IoT), jumlah perangkat dengan daya komputasi yang terhubung terus bertambah; ini menjadi tantangan baru bagi peneliti untuk menemukan kerentanan.
Daniel Veditz, insinyur keamanan staf senior di Mozilla, mengatakan, peretas menemukan bug karena mereka menemukan kode dengan pendekatan orang luar, dan itu tidak akan berubah. Itulah mengapa bug bounty penting dan tidak akan punah meski akan ada robot yang didesain untuk menulis kode yang sempurna.
"Selama ada bug dalam perangkat lunak, ada bug keamanan, dan seseorang harus menemukannya. Bug bounty adalah cara yang baik untuk mendorong tampilan luar. Bug bounty sebagai sebuah konsep akan tetap ada di masa mendatang sampai kita mendapatkannya robot sempurna yang menulis kode kami yang tidak membuat kesalahan. “ kata Veditz.
Robot yang sempurna pun tidak akan menggerus pemburu bug bounty, karena sistem komputer tidak ada yang 100 aman, kecuali komputer itu dimatikan, kata Tommy DeVoss, mantan peretas black hat yang kini beralih sebagai pemburu bug bounty
Kerentanan selalu ada, meski kode yang ada kesalahan itu telah diperbaiki dengan kode yang tampaknya aman, tapi itu tidak akan menjamin aman seterusnya. Bisa saja, aman di hari ini, tapi tidak untuk esok hari, seminggu, sebulan lagi, atau setahun kemudian. Hal ini karena, perubahan akan kode untuk membuat aman itu memungkinkan timbul masalah baru di kemudian harinya.
"Selama kita masih memiliki manusia yang menulis kode, akan ada kesalahan. Dan bahkan ketika kita sampai di tempat AI mulai menulis kode dan menemukan bug, mereka akan tetap ada. Hanya karena sesuatu tampak aman hari ini tidak berarti bahwa dalam sebulan, enam bulan, satu tahun, atau lima tahun dari sekarang, ditemukan sesuatu yang benar-benar merusak semuanya ," kata DeVoss yang telah menerima miliaran rupiah dari hasil bug bounty.
Santiago Lopez, salah satu kelompok elite peneliti berbayar jutaan dolar dari HackerOne, juga memiliki pandangan yang serupa bahwa bahwa teknologi AI tidak akan membuat manusia pintar menjadi gulung tikar.
"Akan selalu ada kebutuhan untuk peretas. Bahkan, dengan AI dan keamanan yang dibangun sejak awal, akan selalu ada orang yang ingin merusak dan siapa yang akan belajar memanipulasi AI untuk melakukannya. Peretas manusia adalah pertahanan terbaik terhadap serangan paling canggih,” kata Lopez.[]
Redaktur: Andi Nugroho