# BAB 35: MITIGASI KERENTANAN OWASP TOP 10
Bab ini membedah pertahanan keamanan siber tingkat tinggi pada portal berita NusantaraNews dalam menangkal 10 kerentanan paling kritis menurut Open Web Application Security Project (OWASP Top 10): mitigasi injeksi SQL (SQLi), Cross-Site Scripting (XSS), Server-Side Request Forgery (SSRF), Cross-Site Request Forgery (CSRF), pembatasan Content Security Policy (CSP), serta enkripsi rahasia terintegrasi.
---
## 35.1 Taksonomi Kerentanan OWASP & Vektor Serangan Portal Berita
Portal berita dengan jutaan pengunjung harian adalah sasaran empuk serangan peretasan untuk defacement politik, penyebaran hoaks, atau penambangan data pelanggan. WidyaWeb menetapkan pendekatan *Security by Design* yang secara aktif menolak vektor serangan umum pada tingkat kompilator dan middleware.
```mermaid
flowchart TD
subgraph VektorSerangan ["Vektor Serangan Peretas"]
Attacker["Peretas Siber / Bot Jahat"]
Attacker -- Payload Jahat --> XSS["Reflected / Stored XSS ()"]
Attacker -- SQL Manipulasi --> SQLi["SQL Injection (' OR '1'='1)"]
Attacker -- URL Parsing --> SSRF["Server-Side Request Forgery (http://169.254.169.254)"]
Attacker -- Pemalsuan Klik --> CSRF["Cross-Site Request Forgery (Auto POST Transaksi)"]
end
subgraph PertahananWidyaWeb ["Lapisan Pertahanan Berlapis WidyaWeb"]
XSS --> CSP["Content Security Policy (Nonce + Auto HTML Escape)"]
SQLi --> ParamQuery["Kueri Berparameter Wajib (Pgwire Prepared Statements)"]
SSRF --> IPValidator["Validasi IP Privat & Larangan Loopback/Link-Local"]
CSRF --> SameSite["Cookie SameSite=Strict + Double-Submit HMAC Token"]
CSP --> SistemAman["NusantaraNews Aman & Terlindungi"]
ParamQuery --> SistemAman
IPValidator --> SistemAman
SameSite --> SistemAman
end
```
---
## 35.2 Implementasi Pertahanan Berlapis di WidyaWeb
Berikut adalah modul middleware pertahanan keamanan terpadu yang memblokir serangan SSRF pada pengunduh gambar eksternal dan menetapkan tajuk keamanan peramban yang ketat:
```widya
// Modul Pertahanan Keamanan OWASP NusantaraNews
gunakan widya::web::keamanan::{TajukKeamanan, ValidatorJaringan, SanitasiTeks};
gunakan widya::web::http::{Permintaan, Respon, StatusHTTP};
gunakan widya::jaringan::{AlamatIP};
// 1. Middleware Penguat Tajuk Keamanan HTTP (Defense in Depth)
fungsi MiddlewareTajukKeamananKetat(ctx: KonteksMiddleware, berikutnya: FungsiLanjut) -> Respon {
tetapan nonce_acak = hasilkan_token_acak_base64(16);
ctx.simpan_konteks("csp_nonce", nonce_acak);
tetapan mutabel respon = berikutnya(ctx);
// Kebijakan Keamanan Konten (Content Security Policy)
tetapan aturan_csp =
"default-src 'self'; " +
"script-src 'self' 'nonce-" + nonce_acak + "' https://cdn.nusantaranews.id; " +
"style-src 'self' 'unsafe-inline' https://fonts.googleapis.com; " +
"img-src 'self' https://cdn.nusantaranews.id data:; " +
"font-src 'self' https://fonts.gstatic.com; " +
"object-src 'none'; " +
"base-uri 'self'; " +
"form-action 'self'; " +
"frame-ancestors 'none';"; // Mencegah Clickjacking
respon.atur_tajuk("Content-Security-Policy", aturan_csp);
respon.atur_tajuk("X-Frame-Options", "DENY");
respon.atur_tajuk("X-Content-Type-Options", "nosniff");
respon.atur_tajuk("Referrer-Policy", "strict-origin-when-cross-origin");
respon.atur_tajuk("Permissions-Policy", "camera=(), microphone=(), geolocation=()");
respon.atur_tajuk("Strict-Transport-Security", "max-age=63072000; includeSubDomains; preload");
kembalikan respon;
}
// 2. Pertahanan Terhadap Server-Side Request Forgery (SSRF)
// Digunakan saat jurnalis menautkan gambar dari URL luar
fungsi UnduhGambarEksternalAman(url_target: Teks) -> Hasil {
tetapan url_terurai = UraiURL(url_target)?;
tetapan daftar_ip = SelesaikanDNS(url_terurai.host())?;
untuk ip di daftar_ip {
// Blokir seluruh rentang IP privat (RFC 1918), loopback (127.0.0.1), dan cloud metadata (169.254.169.254)
jika ip.apakah_privat() || ip.apakah_loopback() || ip.apakah_link_local() {
cetak_peringatan("[SSRF] Upaya serangan terdeteksi: Akses ke alamat IP privat diblokir: " + ip.ke_teks());
kembalikan Hasil::Gagal(Galat::baru("Alamat target dilarang oleh kebijakan keamanan server"));
}
}
// Jika seluruh IP lolos validasi, lakukan pengunduhan dengan batas waktu ketat
tetapan klien = KlienHTTP::baru().atur_timeout_ms(3000).jangan_ikuti_redirect();
kembalikan klien.ambil_byte(url_target);
}
```
---
## 35.3 Analisis Efektivitas Mitigasi OWASP Top 10
Penerapan otomatisasi mitigasi pada framework WidyaWeb menutup permukaan serangan secara komprehensif.
| Kategori Kerentanan OWASP | Dampak Potensial pada Portal Berita | Mitigasi Bawaan di WidyaWeb |
| :--- | :--- | :--- |
| **A01: Broken Access Control** | Pembaca gratis mengakses artikel berbayar VIP | Evaluasi RBAC terpusat di lapisan router |
| **A02: Cryptographic Failures** | Kebocoran kata sandi jurnalis | Hashing Argon2id + JWT Ed25519 + TLS 1.3 murni |
| **A03: Injection (SQLi / XSS)** | Peretas menyedot database atau menyuntikkan skrip | Kueri SQL berparameter native + Auto-Escape templat |
| **A05: Security Misconfiguration** | Pemaparan halaman galat berisi rincian kode internal | Mode produksi membungkam jejak stacktrace (*Censored Traces*) |
| **A10: SSRF (Server-Side Request Forgery)** | Pencurian kredensial instans komputasi awan AWS/GCP | Validator DNS & Pemblokiran IP Link-Local / Metadata |
---
## 35.4 Latihan Praktik & Studi Kasus
1. **Uji Penetrasi Simulasi XSS**: Uji komponen masukan komentar dengan payload `` dan buktikan bahwa karakter diekstrak menjadi `<script>` murni tanpa dieksekusi oleh peramban.
2. **Mitigasi Serangan Clickjacking**: Verifikasi bahwa penetapan tajuk `X-Frame-Options: DENY` dan `frame-ancestors 'none'` berhasil menggagalkan upaya penyematan situs NusantaraNews di dalam elemen `