Pengenalan Tentang Ethical Bug Bounty bagi Mahasiswa FILKOM UB
Bug bounty adalah pencarian bug/celah keamanan pada suatu website/aplikasi dengan tujuan untuk mendapatkan reward tertentu. Reward yang dimaksud tidak hanya berupa materi saja tapi bisa juga berupa reputasi dan sertifikat pengakuan pengalaman. Aktivitas ini jika dilakukan dengan benar dan memenuhi etika yang berlaku di masyarakat dapat memberikan banyak manfaat. Namun jika dilakukan secara sembarangan dan tidak bertanggungjawab dapat berbahaya karena bisa dikategorikan sebagai suatu tindak kejahatan siber.
Untuk memberikan wawasan yang lebih baik mengenai ethical bug bounty (bug bounty yang beretika) maka diadakan kegiatan kuliah tamu bertajuk “Ethical Bug Bounty Mindset Fundamental” di gedung F lantai 12 Fakultas Ilmu Komputer Universitas Brawijaya (FILKOM UB) pada Jumat (28/2/2020). Kegiatan ini terselenggara berkat kerjasama FILKOM UB dengan LSO POROS, Malang Hacker Link (MHL) dan BSSN (Badan Sandi dan Siber Negara). Pada kesempatan itu hadir empat orang pembicara dari perwakilan MHL dan BSSN. Perwakilan BSSN yang hadir adalah Suharjono dan Azis Kurniawan selaku perwakilan Bidang Infrastruktur Informasi Kritikal Nasional BSSN. Sementara dua pemateri lainnya adalah perwakilan MHL sekaligus praktisi bug hunter yaitu Evo Oktavandi dan Yosua kristanto.
Pada sesi materi pertama Suharjono menjelaskan tentang peran BSSN dan komunitas dalam pengamanan siber nasional. Dikatakannya saat ini Indonesia sudah memiliki peraturan perundang-undangan yang mengatur pengamanan siber, yaitu UU No. 11 Tahun 2008 jo UU No. 19 Tahun 2016 tentang Informasi dan Transaksi Elektronik. Pada UU tersebut disebutkan berbagai perbuatan yang dilarang dalam aktivitas siber antara lain mengakses, menyadap, mengubah data pada komputer atau sistem elektronik milik orang lain dengan sengaja dan tanpa hak atau melawan hukum. Tindakan tersebut akan diberikan ganjaran minimal 6 (enam) tahun penjara dan atau denda enam juta rupiah hingga maksimal ganjaran 12 (dua belas) tahun penjara dan atau denda dua belas miliar rupiah.
Oleh karena itu Sarjono berpesan kepada ratusan peserta yang hadir menggunakan kemampuannya dengan baik, khususnya untuk bersama-sama membangun negara. Caranya dengan tidak melakukan penyerangan pada sistem informasi negara dan menyalurkan kemampuannya secara beretika melalui jalur legal yang diadakan oleh pemerintah maupun pihak ketiga. Ditambahkan oleh Azis, BSSN sendiri kini telah mengadakan Voluntary Vulnerability Disclosure Program (VVDP) untuk mewadahi Bug Bounty di Indonesia. Peserta yang berpartisipasi dalam program ini dapat menyampaikan kerentanan yang ditemukan secara sukarela kepada pihak BSSN untuk disampaikan kepada pemilik sistem, sehingga kemudian bisa segera dicari solusinya. Untuk bug/kerentanan yang memang dianggap sesuai kualifikasi akan diberikan reward berupa sertifikat dan merchandise dari BSSN, juga tidak menutup kemungkinan akan diberikan reward tambahan sesuai kesepakatan dengan pemilik sistem. Informasi lebih lanjut tentang VVDP dapat diakses di situs resmi BSSN (bssn.go.id).
Sementara itu sesi materi kedua yang disampaikan Evo dan Yoshua membahas tentang mindset fundamental ethical bug bounty. Dijelaskan oleh Yoshua bahwa ada perbedaan antara ethical hacking dan ethical bug bounty. Ethical hacking dilakukan murni untuk membantu mencari kerentanan pada suatu sistem dan menyampaikannya kepada pemilik sistem tanpa mengharapkan imbalan apapun. Sementara ethical bugbounty mencari kerentanan pada suatu sistem dengan tujuan mendapat reward atau imbalan dengan cara yang legal. Dijelaskan Yoshua bahwa untuk melakukan bug bounty kini sudah banyak platform yang mendukung. Dari pengalamannya dan Evo, Yoshua mengaku lebih banyak melakukan bug bounty untuk web application luar negeri dengan bergabung pada platform bug bounty seperti hackerone.com, bugcrowd.com. Untuk yang berminat bergabung dengan platform bug bounty di Indonesia kini sudah ada redstorm.io dan cyberarmy.id. Memang awalnya tidak mudah namun seiring dengan banyaknya latihan dan pengalaman maka keduanya bisa bersaing dengan para bug hunter dari seluruh dunia. Pada platform bug bounty bagi member yang berhasil menemukan bug lebih dulu akan mendapat reward sesuai tingkatan level bug yang ditemukan.
Dalam sesi ini Evo juga menambahkan beberapa informasi bagi yang ingin mulai melakukan bug bounty. Untuk bug bounty pada web apps kemampuan dasar yang harus dimiliki antara lain programming logic, networking basic, CTF (Capture-The-Flag) atau Vulnerable System Simulation (seperti dvwa dan xvwa), vulnerability pattern recognition dan blind recognition. Sesi materi kedua kemudian ditutup dengan demo bug bounty oleh Evo dan Yoshua serta tanya jawab dengan peserta yang hadir. [dna]
