OWASP Mobile Top 10: apa itu, daftar kerentanan dan cara menerapkannya

Apa itu OWASP Mobile Top 10?

OWASP Mobile Top 10 adalah daftar terstandarisasi dari risiko keamanan paling kritis yang khas untuk aplikasi mobile. Berbeda dengan OWASP Top 10 umum untuk aplikasi web, versi mobile mempertimbangkan kekhususan platform: penyimpanan lokal di perangkat, interaksi dengan sensor, mode offline, dan fitur toko aplikasi. Dokumen ini diterbitkan sejak 2010 dan ditinjau setiap 2–4 tahun: versi saat ini untuk 2024 mencakup kategori seperti M1 — Improper Credential Usage dan M8 — Security Misconfiguration. Proyek ini didukung oleh komunitas lebih dari 500 sukarelawan di seluruh dunia.

Sejarah dan tujuan pembuatan

Awalnya OWASP Top 10 hanya mencakup aplikasi web, tetapi pertumbuhan pengembangan mobile pada tahun 2010-an memerlukan dokumen terpisah. Versi pertama Mobile Top 10 dirilis pada tahun 2011 dan hanya berisi 7 poin. Pada tahun 2024, daftar ini telah berkembang menjadi 10 kategori, yang masing-masing mencakup beberapa skenario serangan spesifik. Tujuan utama dokumen ini adalah memberikan pengembang dan tim keamanan bahasa yang sama untuk membahas risiko dan memprioritaskan perbaikan. Pembaruan rutin daftar ini mencerminkan perubahan dalam lanskap ancaman: munculnya API baru, evolusi sistem operasi (Android, iOS), dan teknik serangan baru yang dijelaskan dalam laporan Positive Technologies dan pusat penelitian lainnya.

Bagaimana daftar OWASP Mobile Top 10 dibentuk

Metodologi penyusunan Mobile Top 10 didasarkan pada data dari proyek nyata: hasil pengujian penetrasi aplikasi mobile, laporan insiden, dan penelitian kerentanan dianalisis. Setiap kategori dievaluasi berdasarkan dua parameter: frekuensi kemunculan (Incidence Rate) dan dampak teknis potensial (Technical Impact). Kombinasi metrik ini membentuk peringkat akhir. Berbeda dengan daftar subjektif, OWASP menggunakan data terbuka: setiap anggota komunitas dapat mengajukan permintaan untuk menambahkan kategori baru melalui repositori GitHub proyek. Untuk versi 2024 saat ini, lebih dari 300 ribu pengujian keamanan dari 25 negara telah diproses, menjadikan statistik ini representatif untuk ekosistem global pengembangan mobile. Selain itu, OWASP menerbitkan MASVS (Mobile Application Security Verification Standard) — seperangkat persyaratan keamanan terperinci yang mencakup lebih dari 80 pemeriksaan spesifik, didistribusikan ke dalam 8 kategori. MASVS digunakan sebagai dasar untuk sertifikasi aplikasi dan sebagai daftar periksa untuk pengujian penetrasi: setiap persyaratan memiliki referensi ke kategori dari Mobile Top 10, memastikan ketertelusuran penuh antara standar dan daftar risiko.

Ikhtisar kerentanan utama

Mari kita lihat tiga kategori paling kritis dari OWASP Mobile Top 10 2024 yang mencakup lebih dari 70% dari semua insiden keamanan di proyek mobile. Setiap kategori mencakup skenario eksploitasi spesifik dan rekomendasi perlindungan.

Penggunaan platform yang tidak tepat

Kategori ini (M1) mencakup situasi di mana pengembang menggunakan API dan mekanisme platform tidak sesuai tujuan. Contoh tipikal: Intent Injection di Android, penangan Deep Link terbuka di iOS, pekerjaan yang salah dengan Keychain dan SharedPreferences. Penyerang dapat mengirim Intent yang dibuat khusus dan mendapatkan akses ke data aplikasi atau komponen lain. Menurut laporan NowSecure (2023), 22% aplikasi Android yang diuji mengandung kerentanan tipe Intent Redirection. Perlindungan mencakup: validasi ketat data masukan, pemeriksaan sumber Intent, dan penggunaan izin untuk komponen yang diekspor.

Penyimpanan data tidak aman

Penyimpanan data tidak aman (M2) adalah masalah paling umum di aplikasi mobile. Ini terjadi ketika data rahasia (token akses, kata sandi, data pribadi) disimpan dalam bentuk terbuka atau dengan perlindungan yang tidak memadai. Sumber kerentanan tipikal: database SQLite tanpa enkripsi, SharedPreferences tanpa EncryptedSharedPreferences, pencatatan data dalam mode debug. Menurut OWASP Foundation (2024), lebih dari 60% aplikasi gratis di Google Play menyimpan setidaknya satu jenis data rahasia dalam bentuk tidak terenkripsi. Solusinya — menggunakan Android EncryptedSharedPreferences, iOS Keychain, dan enkripsi data sebelum menulis ke penyimpanan lokal.

Komunikasi tidak aman

Kategori M3 — komunikasi tidak aman — mencakup kerentanan di saluran transmisi data antara aplikasi dan server. Tidak adanya HTTPS, validasi sertifikat SSL yang salah, penggunaan protokol TLS 1.0/1.1 yang usang — semua masalah ini memungkinkan penyerang mencegat lalu lintas melalui serangan Man-in-the-Middle. Situasi sangat berbahaya ketika aplikasi bekerja dengan data sensitif (transaksi bank, informasi medis) melalui saluran yang tidak aman. Pada tahun 2023, peneliti dari NCC Group menemukan bahwa 12% aplikasi keuangan populer menggunakan konfigurasi TLS yang salah. Rekomendasi: penggunaan wajib HTTPS dengan Certificate Pinning dan penghentian HTTP di build produksi.

Cara menguji aplikasi menurut OWASP Mobile Top 10

Pengujian keamanan aplikasi mobile menurut metodologi OWASP mencakup beberapa tahap: analisis kode statis (SAST), analisis dinamis (DAST), dan pengujian manual (pentest). Setiap tahap bertujuan mengidentifikasi kategori kerentanan tertentu dari Mobile Top 10.

Alat pengujian

Untuk analisis otomatis OWASP merekomendasikan penggunaan MobSF (Mobile Security Framework) — alat sumber terbuka. MobSF melakukan analisis statis kode sumber dan file biner, memeriksa konfigurasi manifes, menganalisis izin, dan mengidentifikasi kerentanan dari Mobile Top 10. Untuk analisis dinamis digunakan Burp Suite (proxy untuk mencegat lalu lintas) dan Frida (alat untuk analisis runtime). Kombinasi alat ini mencakup lebih dari 80% kategori dari daftar. Pengujian rutin di jalur CI/CD dengan MobSF memungkinkan identifikasi kerentanan pada tahap awal pengembangan dan mengurangi biaya perbaikannya sebesar 60–70%. Integrasi alat SAST dan DAST ke dalam jalur harus diotomatiskan melalui plugin Gradle/Maven atau langkah Fastlane di build iOS.

Interpretasi laporan MobSF

Setelah menjalankan MobSF, pengembang menerima laporan dengan indikator warna: merah — kerentanan kritis, oranye — risiko sedang, kuning — rendah. Setiap peringatan berisi referensi ke kategori OWASP Mobile Top 10 yang sesuai, deskripsi masalah, dan rekomendasi perbaikan. Penting tidak hanya menghilangkan peringatan merah, tetapi juga menganalisis yang oranye: banyak di antaranya (misalnya, Activity yang diekspor tanpa perlindungan) dalam kombinasi dapat memberikan vektor serangan kepada penyerang. Disarankan untuk mencapai jumlah peringatan merah nol dan tidak lebih dari 2–3 peringatan oranye sebelum setiap rilis. Laporan MobSF juga mencakup analisis izin aplikasi: izin berlebihan (misalnya, akses kamera di kalkulator) dicatat sebagai pelanggaran prinsip hak istimewa minimum dan harus dihapus dari manifes. Untuk aplikasi iOS, MobSF melakukan analisis serupa pada file .ipa, termasuk pemeriksaan Info.plist untuk pengecualian ATS dan analisis file biner Mach-O untuk penggunaan API tidak aman seperti NSAllowsArbitraryLoads.

class InsecureStorage {
    private val prefs = context.getSharedPreferences("my_app", Context.MODE_PRIVATE)

    fun saveToken(token: String) {
        prefs.edit().putString("auth_token", token).apply()
    }

    fun getToken(): String? {
        return prefs.getString("auth_token", null)
    }
}

class SecureStorage(context: Context) {
    private val masterKey = MasterKey.Builder(context)
        .setKeyScheme(MasterKey.KeyScheme.AES256_GCM)
        .build()

    private val securePrefs = EncryptedSharedPreferences.create(
        context,
        "secure_prefs",
        masterKey,
        EncryptedSharedPreferences.PrefKeyEncryptionScheme.AES256_SIV,
        EncryptedSharedPreferences.PrefValueEncryptionScheme.AES256_GCM
    )

    fun saveToken(token: String) {
        securePrefs.edit().putString("auth_token", token).apply()
    }
}