Apa Itu CSRF? Cara Kerja, Bahaya, dan Cara Mencegahnya

Keamanan website menjadi salah satu aspek terpenting dalam dunia digital saat ini. Seiring meningkatnya penggunaan aplikasi web untuk transaksi, komunikasi, hingga penyimpanan data, berbagai jenis serangan siber juga semakin berkembang. Salah satu ancaman yang sering menjadi perhatian para pengembang web adalah CSRF (Cross-Site Request Forgery).

Serangan CSRF dapat memanfaatkan sesi login pengguna yang masih aktif untuk menjalankan tindakan tanpa sepengetahuan mereka. Akibatnya, akun pengguna dapat mengalami perubahan data, transaksi tidak sah, bahkan kehilangan akses terhadap akun.

Lantas, apa itu CSRF, bagaimana cara kerjanya, dan bagaimana cara mencegahnya? Simak penjelasan lengkap berikut.

Apa Itu CSRF?

CSRF atau Cross-Site Request Forgery adalah jenis serangan siber yang memanfaatkan kepercayaan sebuah website terhadap browser pengguna yang telah melakukan autentikasi. Dalam serangan ini, pelaku mengelabui korban agar tanpa sadar mengirimkan permintaan (request) ke suatu website yang sedang mereka gunakan.

Karena browser masih menyimpan cookie atau session login, server menganggap permintaan tersebut berasal dari pengguna yang sah. Akibatnya, tindakan yang sebenarnya dilakukan oleh penyerang dapat diproses seolah-olah berasal dari pemilik akun.

Serangan CSRF umumnya menargetkan aplikasi web yang menggunakan autentikasi berbasis session dan cookie tanpa perlindungan tambahan.

Tujuan Serangan CSRF

Beberapa tujuan umum serangan CSRF antara lain:

• Mengubah password akun.
• Mengganti alamat email pengguna.
• Melakukan transfer dana tanpa izin.
• Menghapus data penting.
• Mengubah hak akses akun.
• Melakukan transaksi menggunakan akun korban.

Bagaimana Cara Kerja CSRF?

Agar lebih mudah dipahami, berikut alur kerja serangan CSRF.

1. Pengguna Login ke Website

Misalnya, pengguna telah login ke internet banking atau marketplace. Browser menyimpan cookie autentikasi sebagai bukti bahwa pengguna telah berhasil masuk.

2. Pengguna Mengunjungi Website Berbahaya

Saat masih dalam kondisi login, pengguna membuka website lain yang ternyata telah disusupi oleh penyerang.

3. Website Berbahaya Mengirim Request

Website tersebut secara otomatis mengirimkan permintaan tersembunyi menuju website target, misalnya permintaan untuk mengubah password atau melakukan transfer.

4. Browser Mengirim Cookie

Karena browser masih memiliki cookie autentikasi, cookie tersebut ikut dikirim bersama request.

5. Server Menganggap Request Valid

Server menerima request beserta cookie yang valid sehingga menganggap tindakan tersebut dilakukan oleh pengguna asli.

Ilustrasi Sederhana

1. Login ke website.
2. Cookie disimpan browser.
3. Membuka website berbahaya.
4. Website mengirim request otomatis.
5. Browser mengirim cookie.
6. Server menjalankan perintah.

Seluruh proses dapat terjadi tanpa disadari oleh korban.

Contoh Serangan CSRF

Berikut beberapa contoh penerapan serangan CSRF di dunia nyata.

Perbankan Online

Penyerang membuat halaman yang secara otomatis mengirim permintaan transfer uang ketika korban membuka halaman tersebut.

Media Sosial

Korban tanpa sadar memberikan izin kepada penyerang untuk mengubah email atau password akun media sosialnya.

Marketplace

Serangan dapat digunakan untuk mengubah alamat pengiriman sehingga pesanan berikutnya dikirim ke alamat penyerang.

Dashboard Administrator

Administrator website yang sedang login dapat dipaksa membuat akun administrator baru milik penyerang.

Penyebab Website Rentan terhadap CSRF

Beberapa faktor yang menyebabkan website mudah diserang antara lain:

Tidak Menggunakan CSRF Token

CSRF Token berfungsi sebagai identitas unik pada setiap request sehingga server dapat memastikan bahwa permintaan benar-benar berasal dari halaman resmi.

Validasi Request yang Lemah

Server yang hanya memeriksa cookie tanpa memvalidasi asal request akan lebih rentan terhadap serangan.

Cookie Tidak Menggunakan SameSite

Cookie tanpa atribut SameSite dapat dikirim ketika browser membuka website lain sehingga mempermudah serangan.

Session Login Terlalu Lama

Semakin lama session aktif, semakin besar peluang penyerang memanfaatkannya.

Konfigurasi Keamanan yang Kurang Baik

Framework atau aplikasi yang tidak dikonfigurasi dengan benar sering kali membuka celah keamanan.

Dampak Serangan CSRF

Serangan CSRF dapat menimbulkan berbagai kerugian, baik bagi pengguna maupun pemilik website.

Perubahan Informasi Akun

Penyerang dapat mengganti password, email, nomor telepon, maupun informasi profil.

Kehilangan Dana

Pada aplikasi keuangan, CSRF dapat dimanfaatkan untuk melakukan transfer ilegal.

Penghapusan Data

Request yang dikirim dapat menghapus data penting dari sistem.

Penyalahgunaan Hak Akses

Administrator tanpa sadar dapat memberikan hak akses kepada penyerang.

Kerusakan Reputasi

Website yang mengalami kebocoran keamanan akan kehilangan kepercayaan pengguna.

Perbedaan CSRF dengan XSS

Meski sama-sama menyerang aplikasi web, CSRF dan XSS memiliki mekanisme yang berbeda.

Singkatnya, CSRF memanfaatkan identitas pengguna yang telah login, sedangkan XSS mengeksploitasi kelemahan dalam pemrosesan input untuk menjalankan skrip berbahaya.

Cara Mencegah Serangan CSRF

Berikut beberapa langkah efektif untuk mencegah serangan CSRF.

Gunakan CSRF Token

Setiap formulir atau request penting sebaiknya memiliki token unik yang diverifikasi oleh server.

Aktifkan SameSite Cookie

Gunakan atribut:

• SameSite=Lax
• SameSite=Strict

Hal ini membantu mencegah cookie dikirim dari website lain.

Validasi Origin dan Referer

Server perlu memastikan bahwa request berasal dari domain resmi.

Gunakan Framework Modern

Framework modern umumnya telah menyediakan perlindungan CSRF secara bawaan.

Terapkan Multi-Factor Authentication (MFA)

Autentikasi tambahan membuat perubahan penting memerlukan verifikasi ekstra.

Logout Otomatis

Session yang tidak aktif sebaiknya berakhir secara otomatis.

Gunakan HTTPS

HTTPS membantu menjaga integritas komunikasi antara browser dan server.

Framework yang Sudah Mendukung Proteksi CSRF

Banyak framework modern telah menyediakan mekanisme perlindungan CSRF secara default.

Laravel

Laravel menggunakan middleware VerifyCsrfToken yang secara otomatis memvalidasi token pada setiap permintaan formulir.

Django

Django memiliki sistem CSRF Middleware yang aktif secara bawaan untuk melindungi aplikasi dari request palsu.

Spring Security

Framework Java ini menyediakan fitur proteksi CSRF yang dapat diaktifkan dengan konfigurasi sederhana.

Ruby on Rails

Rails menyisipkan authenticity token pada setiap form untuk memastikan permintaan berasal dari pengguna yang sah.

ASP.NET Core

ASP.NET Core menyediakan Anti-Forgery Token yang mudah diterapkan pada aplikasi berbasis .NET.

Express.js

Framework Node.js dapat menggunakan middleware seperti csurf atau solusi keamanan lain untuk menambahkan validasi token CSRF.

Cara Mengecek Apakah Website Rentan terhadap CSRF

Melakukan pengujian keamanan secara rutin sangat penting untuk mendeteksi potensi kerentanan.

Melakukan Penetration Testing

Pengujian penetrasi membantu mengidentifikasi apakah aplikasi dapat dieksploitasi melalui serangan CSRF.

Menggunakan OWASP ZAP

OWASP ZAP merupakan alat keamanan gratis yang dapat memindai aplikasi web dan menemukan berbagai celah, termasuk konfigurasi yang berpotensi rentan terhadap CSRF.

Menggunakan Burp Suite

Burp Suite banyak digunakan oleh profesional keamanan untuk menganalisis request, response, dan menguji kemungkinan eksploitasi CSRF.

Audit Keamanan Berkala

Lakukan audit kode, konfigurasi server, serta implementasi autentikasi secara berkala agar celah keamanan dapat ditemukan sebelum dimanfaatkan oleh penyerang.

Best Practice Mengamankan Website dari CSRF

Untuk meningkatkan keamanan aplikasi web, terapkan beberapa praktik terbaik berikut.

Selalu Perbarui Framework

Pastikan framework, library, dan dependensi selalu menggunakan versi terbaru yang telah memperoleh pembaruan keamanan.

Terapkan HTTPS di Seluruh Website

Enkripsi komunikasi dengan HTTPS membantu menjaga integritas data dan mengurangi risiko penyalahgunaan sesi.

Gunakan Autentikasi Berlapis (MFA)

Tambahkan verifikasi kedua untuk tindakan penting seperti perubahan kata sandi atau transaksi keuangan.

Audit Kode Secara Berkala

Lakukan code review dan pengujian keamanan untuk memastikan setiap fitur telah menerapkan validasi yang tepat.

Pantau Aktivitas Pengguna

Gunakan sistem logging dan monitoring untuk mendeteksi aktivitas yang mencurigakan sejak dini.

Manfaatkan Web Application Firewall (WAF)

WAF dapat membantu menyaring lalu lintas berbahaya dan memberikan lapisan perlindungan tambahan terhadap berbagai serangan web.

FAQ Seputar CSRF

Apakah CSRF sama dengan XSS?

Tidak. CSRF memalsukan permintaan dari pengguna yang telah login, sedangkan XSS menyisipkan skrip berbahaya yang dijalankan di browser korban.

Apakah semua website dapat terkena CSRF?

Website yang menggunakan autentikasi berbasis session dan cookie berpotensi mengalami serangan CSRF jika tidak menerapkan mekanisme perlindungan yang memadai.

Apa fungsi CSRF Token?

CSRF Token berfungsi sebagai identitas unik untuk memverifikasi bahwa setiap request benar-benar berasal dari pengguna yang sah dan bukan dari situs lain.

Apakah HTTPS dapat mencegah CSRF?

HTTPS tidak secara langsung mencegah CSRF, tetapi membantu mengamankan komunikasi antara browser dan server sehingga menjadi bagian penting dari strategi keamanan secara keseluruhan.

Bagaimana cara mengetahui website rentan terhadap CSRF?

Kerentanan dapat diketahui melalui penetration testing, penggunaan alat keamanan seperti OWASP ZAP atau Burp Suite, serta audit keamanan aplikasi secara berkala.

Kesimpulan

CSRF (Cross-Site Request Forgery) merupakan salah satu serangan siber yang memanfaatkan sesi login pengguna untuk menjalankan tindakan tanpa persetujuan mereka. Serangan ini dapat menyebabkan perubahan data, transaksi ilegal, hingga pengambilalihan akun apabila aplikasi web tidak memiliki perlindungan yang memadai.

Untuk meminimalkan risiko, pengembang disarankan menerapkan CSRF Token, mengaktifkan SameSite Cookie, memvalidasi Origin dan Referer, menggunakan HTTPS, serta melakukan pengujian keamanan secara berkala. Dengan menerapkan praktik terbaik tersebut, website akan lebih tangguh dalam menghadapi ancaman CSRF dan memberikan pengalaman yang lebih aman bagi seluruh pengguna.

Ingin menambah pengetahuan seputar teknologi, internet, bisnis digital, server, website, hingga berbagai tips IT terbaru? Kunjungi blog Hosteko dan temukan beragam artikel informatif yang disajikan dengan bahasa yang mudah dipahami serta selalu mengikuti perkembangan teknologi terkini.

Jangan lewatkan artikel-artikel terbaru dari Hosteko untuk membantu Anda tetap update dengan dunia digital dan menemukan solusi terbaik bagi kebutuhan teknologi maupun bisnis online Anda.