Keamanan Siber

Keamanan Siber / 17 Sep 2026 / 5 min read

Userfaultfd Memindahkan Resolusi Page Fault ke Userspace

Userfaultfd Memindahkan Resolusi Page Fault ke Userspace Sebuah thread menyentuh page virtual memory yang terdaftar lalu berhenti sebelum akses selesai. Alih-alih menyelesaikan fault sepenuhnya di kernel, Linux dapat melaporkan event melalui userfaultfd dan membiarkan komponen userspace lain menentukan kapan serta dengan konten apa eksekusi dapat dilanjutkan. Rancangan ini mendukung live migration, transfer memori post-copy, checkpointing, dan sistem manajemen memori terkait, tetapi juga menempatkan titik keputusan yang sensitif terhadap concurrency di luar thread yang mengalami fault.

Keamanan Siber Keamanan Linux

Keamanan Siber / 17 Sep 2026 / 6 min read

TLS Must-Staple Mengubah OCSP yang Hilang Menjadi Kegagalan Handshake

TLS Must-Staple Mengubah OCSP yang Hilang Menjadi Kegagalan Handshake Server TLS dapat memiliki private key yang valid dan menyajikan sertifikat yang membentuk chain ke root tepercaya, tetapi bukti status revokasinya tidak tersedia. OCSP stapling biasa tidak selalu mengubah kondisi tersebut menjadi kegagalan: client dapat meminta informasi status, tetapi dalam protokol stapling dasar server masih diperbolehkan tidak mengirim respons. Sifat opsional ini menciptakan batas keamanan. Intermediary aktif yang mampu menghalangi akses ke OCSP responder dapat memanfaatkan kebijakan client yang menerima pemeriksaan revokasi yang tidak konklusif. Ekstensi TLS Feature dari RFC 7633 mengubah sertifikat itu sendiri sehingga fitur TLS tertentu menjadi syarat penggunaan yang dapat diterima. Untuk OCSP stapling, sertifikat dapat menyatakan bahwa client yang patuh harus menerima bukti status yang diminta.

Keamanan Siber TLS

Keamanan Siber / 17 Sep 2026 / 5 min read

Seal Memfd Mengubah Memori Bersama Menjadi Kebijakan File Monotonik

Seal Memfd Mengubah Memori Bersama Menjadi Kebijakan File Monotonik Sebuah proses menyiapkan objek biner di memori, meneruskan file descriptor ke proses lain, lalu mengharapkan byte tetap stabil setelah validasi. Memori bersama biasa tidak menyediakan sifat tersebut dengan sendirinya: pemegang otoritas tulis lain dapat mengubah objek setelah pemeriksaan, mengubah ukurannya, atau mempertahankan mapping yang dapat ditulis. File seal Linux menyediakan kontrak yang lebih sempit. Seal menghapus operasi mutasi tertentu dari file yang mendukung sealing, dan seal yang berhasil ditambahkan tidak dapat dihapus kemudian.

Cybersecurity Keamanan Linux

Keamanan Siber / 17 Sep 2026 / 6 min read

SCM_RIGHTS Memindahkan Otoritas File Descriptor Melalui Unix Socket

SCM_RIGHTS Memindahkan Otoritas File Descriptor Melalui Unix Socket Sebuah layanan berprivilege dapat membuka file yang tidak dapat dibuka proses lain melalui pathname, lalu mengirim akses tersebut melalui Unix-domain socket. Proses penerima memperoleh file descriptor baru yang merujuk ke state open-file kernel yang sama. Tidak diperlukan lookup pathname kedua, dan kemampuan penerima untuk membuka path tersebut tidak dievaluasi ulang sebagai bagian dari transfer. Properti itu membuat SCM_RIGHTS lebih dari sekadar fasilitas IPC. Mekanisme ini memindahkan capability kernel yang sudah terbentuk melewati batas proses. Keamanan bergantung pada kedua sisi pertukaran: pengirim harus membatasi descriptor yang boleh keluar dari domain otoritasnya, sedangkan penerima harus memperlakukan descriptor masuk sebagai objek berprivilege yang propertinya perlu divalidasi.

Keamanan Siber Linux

Keamanan Siber / 17 Sep 2026 / 5 min read

Ruleset Landlock Menambahkan Batas Penolakan Filesystem Lokal pada Proses

Sebuah layanan dimulai dengan akses filesystem biasa yang berasal dari kredensialnya, memuat konfigurasi, membuka sejumlah resource, lalu mulai memproses data yang mungkin tidak tepercaya. Mengganti UID atau masuk ke container dapat mengubah model otoritas di sekeliling proses, tetapi kedua tindakan itu sendiri tidak menyatakan aturan sempit seperti “mulai titik ini, pembacaan baru hanya boleh menuju hierarki ini dan penulisan hanya boleh menuju direktori tersebut.” Landlock di Linux menyediakan lapisan pembatasan yang dikendalikan proses untuk batas tersebut. Proses membuat ruleset, menambahkan aturan objek, lalu memberlakukan ruleset pada dirinya. Domain Landlock yang terbentuk ditumpuk bersama discretionary access control dan keputusan Linux Security Module lain. Landlock dapat menghapus akses yang diizinkan mekanisme tersebut; Landlock tidak memberikan akses yang ditolak mekanisme lain.

Keamanan Siber Keamanan Linux

Keamanan Siber / 17 Sep 2026 / 6 min read

Ruleset Landlock Membatasi Akses Path Berikutnya, Bukan Otoritas File yang Sudah Terbuka

Ruleset Landlock Membatasi Akses Path Berikutnya, Bukan Otoritas File yang Sudah Terbuka Sebuah proses membuka file konfigurasi dengan akses tulis, memasang ruleset Landlock yang ketat, lalu terus menjalankan kode yang seharusnya hanya dapat mengakses direktori kerja kecil. Kebijakan yang aktif kemudian dapat memblokir upaya baru untuk membuka path konfigurasi itu, tetapi descriptor yang diperoleh sebelum pembatasan tetap dapat digunakan. Cakupan filesystem sudah menyempit, namun otoritas yang sebelumnya terwujud sebagai file terbuka tidak ikut hilang.

Keamanan Siber Keamanan Linux

Keamanan Siber / 17 Sep 2026 / 4 min read

Pidfd Mengubah Identitas Proses Menjadi Referensi Kernel yang Stabil

Sebuah supervisor mencatat PID 1842 untuk satu worker, menunggu event asinkron, lalu mengirim signal. Di antara kedua operasi itu, worker dapat berhenti, di-reap, dan PID numeriknya kemudian dapat menunjuk proses lain. Angkanya masih tampak valid, tetapi identitas yang dirujuk sudah berubah. Pidfd pada Linux memindahkan kelas kontrol proses ini dari lookup numerik berulang. PID file descriptor merujuk satu proses tertentu dan memberi userspace referensi yang dipertahankan kernel untuk interface seperti pidfd_send_signal(), API polling, serta, dengan pemeriksaan izin tambahan, pidfd_getfd().

Keamanan Siber Keamanan Linux

Keamanan Siber / 17 Sep 2026 / 5 min read

openat2 Menjadikan Kebijakan Resolusi Path Bagian dari Operasi Open

openat2 Menjadikan Kebijakan Resolusi Path Bagian dari Operasi Open Sebuah layanan menerima pathname relatif dan bermaksud membuka hanya objek di bawah direktori yang sudah dipercaya. Pemeriksaan leksikal dapat menolak komponen .. yang jelas, tetapi namespace filesystem dapat memuat symbolic link, mount point, atau rename bersamaan yang mengubah path walk setelah pemeriksaan tersebut. Keputusan keamanan dan operasi pembukaan file lalu menggambarkan dua momen berbeda. Linux openat2() menyediakan batas yang lebih sempit. Flag resolve membatasi operasi resolusi path kernel yang menghasilkan file descriptor. Mekanisme ini tidak membuat penanganan path arbitrer otomatis aman, tetapi dapat memindahkan beberapa aturan pembatasan dari logika pemeriksaan awal string ke lookup yang benar-benar memilih objek.

Keamanan Siber Linux

Keamanan Siber / 17 Sep 2026 / 6 min read

Notifikasi Pengguna Seccomp Memindahkan Keputusan Syscall Terpilih ke Supervisor

Sebuah proses terisolasi menerbitkan system call yang tidak dapat direduksi secara aman oleh kebijakan seccomp biasa menjadi keputusan statis izinkan atau tolak. Argumennya mungkin merujuk ke memori proses yang dapat berubah, atau operasi tersebut memerlukan pekerjaan berprivilege yang dilakukan di luar proses terisolasi. Mengembalikan errno tetap terlalu membatasi, sedangkan mengizinkan panggilan secara langsung memberi target otoritas lebih besar daripada yang dimaksudkan deployment. Notifikasi pengguna seccomp Linux membentuk jalur mediasi untuk kondisi ini. Filter dapat mengembalikan SECCOMP_RET_USER_NOTIF, sehingga kernel memblokir task pemicu dan mengirim permintaan melalui listener file descriptor. Supervisor userspace menerima permintaan tersebut lalu memasok hasil. Mekanisme ini memindahkan lokasi keputusan untuk syscall terpilih, tetapi tidak menjadikan seccomp sebagai reference monitor umum tanpa kebijakan dan kontrol race tambahan.

Keamanan Siber Keamanan Linux

Keamanan Siber / 17 Sep 2026 / 5 min read

no_new_privs Membuat Peningkatan Privilege Saat Eksekusi Bersifat Irreversibel

no_new_privs Membuat Peningkatan Privilege Saat Eksekusi Bersifat Irreversibel Sebuah layanan Linux dapat dengan sengaja mengeksekusi program yang memiliki bit set-user-ID atau file capabilities sambil bermaksud tetap berada pada tingkat privilege yang sudah dimilikinya. Tanpa batas eksekusi eksplisit, execve() dapat menjadi transisi privilege: metadata pada executable dapat mengubah kredensial efektif atau menyumbangkan capability kepada program baru. Atribut task no_new_privs mengubah transisi tersebut. Setelah aktif, execve() yang berhasil tidak dapat memberikan privilege yang sebelumnya tidak dapat digunakan task sebelum pemanggilan itu. Atribut ini diwariskan kepada turunan, bertahan melewati eksekusi, dan tidak dapat dinonaktifkan. Sifat tersebut menjadikannya constraint satu arah pada garis keturunan proses, bukan opsi sementara untuk satu executable.

Keamanan Siber Linux

Keamanan Siber / 17 Sep 2026 / 6 min read

Kredensial Peer Unix Socket Mengikat Identitas ke Koneksi Lokal

Kredensial Peer Unix Socket Mengikat Identitas ke Koneksi Lokal Sebuah layanan lokal berprivilege sering menerima permintaan dari proses yang berbagi host tetapi tidak berbagi otoritas. Pathname pada Unix domain socket dapat mengendalikan pihak yang mencapai listener, tetapi koneksi yang berhasil tidak dengan sendirinya memberi tahu layanan proses mana yang berada di ujung lain. Linux menyediakan batas kedua: SO_PEERCRED membuat Unix socket yang terhubung dapat mengekspos kredensial peer yang dipasok kernel.

Keamanan Siber Linux

Keamanan Siber / 17 Sep 2026 / 9 min read

Identitas Mutual TLS Dapat Hilang di Terminating Proxy

Identitas Mutual TLS Dapat Hilang di Terminating Proxy Sebuah layanan dapat mewajibkan sertifikat client pada endpoint publik, hanya menerima sertifikat yang berantai ke certificate authority yang disetujui, tetapi tetap meneruskan request yang pada akhirnya tidak terautentikasi ke aplikasi di belakangnya. Pemeriksaan TLS bisa saja sepenuhnya benar. Celah muncul ketika reverse proxy mengakhiri koneksi TLS tersebut lalu membuka koneksi lain menuju backend. Mutual TLS mengautentikasi endpoint pada koneksi TLS tertentu. Ia tidak otomatis menempelkan identitas client yang sudah diautentikasi ke request HTTP setelah koneksi itu berakhir, dan koneksi TLS kedua tidak otomatis mewarisi peer dari koneksi pertama. Begitu proxy menjadi TLS server bagi client eksternal, proxy-lah komponen yang memiliki hasil verifikasi sertifikat client. Identitas backend yang diturunkan dari hasil tersebut harus melewati batas kepercayaan baru.

Keamanan Siber TLS

Keamanan Siber / 17 Sep 2026 / 6 min read

HTTP Request Smuggling Berawal dari Perbedaan Framing Pesan

HTTP Request Smuggling Berawal dari Perbedaan Framing Pesan Reverse proxy dapat memvalidasi request HTTP, meneruskannya ke aplikasi yang diizinkan, tetapi tetap mengirim urutan request yang berbeda dari yang dianggapnya telah diterima. Kegagalan ini tidak mengharuskan proxy mengabaikan autentikasi atau origin menjalankan sintaks yang rusak. Masalah dapat muncul ketika dua pemroses HTTP berbeda pendapat tentang byte yang menandai akhir satu request dan awal request berikutnya. Perbedaan itulah batas keamanan utama pada HTTP request smuggling. Front end membaca stream dengan satu interpretasi framing, sedangkan penerima downstream membaca stream yang diteruskan dengan interpretasi lain. Byte yang dianggap body oleh satu komponen dapat dianggap awal request baru oleh komponen lain. Pada koneksi persisten, interpretasi kedua dapat memengaruhi trafik yang datang kemudian pada channel downstream yang sama.

Cybersecurity HTTP

Keamanan Siber / 17 Sep 2026 / 6 min read

fs-verity Menjadikan Integritas Data File sebagai Properti Saat Dibaca

Sebuah host dapat perlu menyimpan executable, paket, model, atau data yang diperbarui secara independen pada filesystem writable sambil tetap mendeteksi perubahan isi file setelah artefak diterima. Hash userspace satu kali dapat mengidentifikasi byte pada satu saat, tetapi tidak membuat read berikutnya bergantung pada pengukuran tersebut. File dapat dibuka kembali, halaman dapat dikeluarkan dari cache lalu dimuat ulang, dan storage di bawah page cache dapat mengembalikan data yang berbeda. Linux fs-verity memindahkan pemeriksaan integritas ini ke jalur read filesystem untuk setiap file. Setelah verity diaktifkan, file menjadi read-only dan datanya dikaitkan dengan Merkle tree. Read diperiksa terhadap tree tersebut, dan userspace dapat mengambil digest ringkas yang merepresentasikan file terlindungi. Mekanisme ini menyediakan enforcement integritas untuk data file; penentuan digest mana yang dipercaya tetap merupakan persoalan autentikasi terpisah.

Keamanan Siber Keamanan Linux

Keamanan Siber / 17 Sep 2026 / 7 min read

Filter Seccomp Mengurangi Permukaan Syscall Tanpa Membentuk Sandbox Lengkap

Filter Seccomp Mengurangi Permukaan Syscall Tanpa Membentuk Sandbox Lengkap Sebuah layanan dapat berjalan dengan allowlist seccomp yang pendek tetapi tetap memiliki otoritas luas melalui file descriptor, izin filesystem, endpoint jaringan, dan kredensial. Filter dapat mengurangi secara tajam interface kernel yang dapat dicapai melalui syscall, tetapi proses masih mampu melakukan tindakan berbahaya melalui operasi yang memang diizinkan. Inilah batas utama seccomp: mekanisme ini memfilter percobaan syscall; mekanisme ini tidak menetapkan seluruh kebijakan keamanan sebuah proses.

Keamanan Siber Keamanan Linux

Keamanan Siber / 17 Sep 2026 / 8 min read

Fetch Metadata Mengekspos Konteks Request Browser di Batas Server

Fetch Metadata Mengekspos Konteks Request Browser di Batas Server Endpoint yang mengubah state dapat menerima dua HTTP request dengan method, path, cookie, dan body yang sama walaupun browser mencapainya melalui konteks yang sangat berbeda. Satu request mungkin berasal dari document milik aplikasi sendiri. Request lain mungkin dipicu foreign site melalui form, image load, navigation, atau mekanisme browser lain yang mengizinkan request tanpa memberi initiating page akses ke response. Authentication saja tidak memisahkan kedua kasus tersebut. Ambient credential dapat ikut terkirim sesuai aturan cookie dan credential, sedangkan server biasanya baru melihat HTTP message setelah browser membuat keputusan kontekstualnya. Fetch Metadata menambahkan request header yang dibuat browser untuk membawa fakta terpilih mengenai konteks tersebut ke policy boundary server.

Keamanan Siber Keamanan Browser

Keamanan Siber / 17 Sep 2026 / 5 min read

execveat Mengikat Eksekusi Program ke Referensi File yang Sudah Dibuka

Sebuah launcher memilih executable dari suatu direktori, memeriksa atribut atau kontennya, lalu menjalankannya. Jika tahap pemilihan dan eksekusi masing-masing melakukan resolusi pathname secara terpisah, rename, perubahan symlink, atau penggantian direktori di antara kedua operasi dapat membuat objek yang dieksekusi berbeda dari objek yang diperiksa. Linux execveat() dapat memindahkan batas tersebut dari lookup pathname kedua ke referensi file yang sudah diperoleh. Dengan AT_EMPTY_PATH, pathname kosong memberi instruksi kepada kernel untuk mengeksekusi objek yang dirujuk oleh dirfd. Descriptor tersebut dapat dibuka dengan O_PATH. Keputusan eksekusi tetap melewati pemeriksaan permission dan format executable normal di kernel, tetapi pemilihan objek tidak lagi bergantung pada resolusi ulang pathname asal.

Keamanan Siber Keamanan Linux

Keamanan Siber / 17 Sep 2026 / 5 min read

Encrypted ClientHello Memisahkan Routing Publik dari Identitas TLS Privat

Encrypted ClientHello Memisahkan Routing Publik dari Identitas TLS Privat TLS 1.3 mengenkripsi sebagian besar pesan handshake, tetapi koneksi biasa tetap memperlihatkan ClientHello awal. Pesan ini dapat memuat Server Name Indication, sehingga pengamat di jalur jaringan dapat mengaitkan koneksi dengan hostname yang diminta sebelum trafik aplikasi terlindungi. Encrypted ClientHello, yang distandardisasi dalam RFC 9849, mengubah batas tersebut. Client membuat ClientHelloInner privat berisi parameter khusus layanan, lalu membungkusnya di dalam ClientHelloOuter publik. Pesan outer tetap dapat dipakai infrastruktur yang menghadap client, sementara field sensitif di dalamnya dilindungi dengan Hybrid Public Key Encryption.

Cybersecurity TLS

Keamanan Siber / 17 Sep 2026 / 6 min read

Early Data TLS 1.3 Menukar Satu Round Trip dengan Paparan Replay

Early Data TLS 1.3 Menukar Satu Round Trip dengan Paparan Replay Klien TLS 1.3 yang kembali terhubung dapat memiliki tiket resumption dan data aplikasi yang siap dikirim sebelum handshake baru selesai. Early data, yang umum disebut data 0-RTT, mengizinkan byte tersebut berjalan dalam flight pertama klien. Keuntungan latensi ini mengubah sebuah properti keamanan tepat pada titik ketika aplikasi mungkin mulai bertindak: early data tidak memiliki perlindungan replay yang sama dengan data aplikasi biasa setelah handshake.

Keamanan Siber TLS 1.3

Keamanan Siber / 17 Sep 2026 / 7 min read

DNS Rebinding Mempertahankan Web Origin sambil Mengubah Tujuan Jaringan

DNS Rebinding Mempertahankan Web Origin sambil Mengubah Tujuan Jaringan Browser dapat memuat active content dari server publik, mempertahankan content tersebut dalam web origin yang sama, lalu mengirim request berikutnya dengan hostname yang sama ke alamat privat. Tuple origin tidak berubah. Tujuan jaringannya yang berubah. Ketidaksesuaian inilah inti DNS rebinding. Web origin terutama diidentifikasi oleh scheme, host, dan port, sedangkan DNS memetakan hostname ke alamat jaringan di luar tuple tersebut. Ketika nama yang dikendalikan attacker menghasilkan resolusi berbeda dari waktu ke waktu, origin check dan network-location check dapat menggambarkan dua security boundary yang berbeda.

Keamanan Siber Keamanan Browser

Keamanan Siber / 17 Sep 2026 / 7 min read

DNS Rebinding Mempertahankan Origin Web Sambil Mengubah Tujuan Jaringan

DNS Rebinding Mempertahankan Origin Web Sambil Mengubah Tujuan Jaringan Browser dapat memuat konten aktif dari server publik, mempertahankan konten tersebut dalam web origin yang sama, lalu mengirim request berikutnya dengan hostname yang sama ke alamat privat. Tuple origin tidak berubah. Tujuan jaringannya yang berubah. Ketidakselarasan inilah inti DNS rebinding. Web origin pada dasarnya diidentifikasi oleh scheme, host, dan port, sedangkan DNS memetakan hostname ke alamat jaringan yang berada di luar tuple tersebut. Ketika nama yang dikendalikan penyerang menghasilkan resolusi berbeda dari waktu ke waktu, pemeriksaan origin dan pemeriksaan lokasi jaringan dapat menggambarkan dua batas keamanan yang berbeda.

Keamanan Siber Keamanan Browser

Keamanan Siber / 17 Sep 2026 / 7 min read

CSP Strict Dynamic Memindahkan Trust Script dari Daftar Host ke Root dengan Nonce

CSP Strict Dynamic Memindahkan Trust Script dari Daftar Host ke Root dengan Nonce Halaman production dapat memakai kebijakan script-src yang ketat tetapi tetap bergantung pada bootstrap script yang membuat elemen script tambahan saat runtime. Host allowlist menangani arsitektur ini dengan mencantumkan setiap origin script yang diizinkan. Akibatnya, daftar tersebut terikat pada topologi deployment: memindahkan dependency ke host lain dapat memerlukan perubahan kebijakan, sedangkan mengizinkan host yang terlalu luas dapat memberi izin pada lebih banyak konten executable daripada yang dimaksud aplikasi.

Cybersecurity Keamanan Browser

Keamanan Siber / 17 Sep 2026 / 5 min read

Cookie SameSite Menegakkan Batas Site, Bukan Batas Origin

Sebuah aplikasi di https://accounts.example.com memakai session cookie bertanda SameSite=Strict. Service terpisah di https://reports.example.com dikelola tim lain dan memiliki origin berbeda. Kedua host dipisahkan oleh model origin browser untuk banyak kemampuan web, tetapi request dari salah satunya masih dapat diklasifikasikan sebagai same-site terhadap yang lain. Atribut cookie tersebut menegakkan batas site, bukan menduplikasi same-origin policy. Perbedaan ini merupakan inti nilai keamanan SameSite. Atribut tersebut dapat menahan ambient cookie credential pada request yang diklasifikasikan sebagai cross-site, sehingga mengurangi paparan terhadap cross-site request forgery dan attachment credential yang tidak diinginkan. Namun, atribut ini tidak menjadikan setiap sibling hostname sebagai requester eksternal. Deployment yang memperlakukan pemisahan subdomain sebagai trust boundary pada tingkat origin dapat menganggap SameSite memberikan perlindungan lebih besar daripada yang sebenarnya disediakan mekanisme tersebut.

Keamanan Siber HTTP

Keamanan Siber / 17 Sep 2026 / 5 min read

Close-on-Exec Menjadikan Pewarisan Descriptor sebagai Batas Eksplisit

Sebuah service membuka socket berprivilege, menjalankan program helper, dan mengharapkan helper hanya menerima standard input, output, serta error. Satu descriptor yang dibuat tanpa close-on-exec dapat melanggar batas tersebut secara diam-diam. Jika descriptor masih ada saat image program baru dipasang, helper mewarisi akses ke objek kernel meski credentials miliknya sendiri tidak akan dapat membuka objek itu. Linux memperlakukan kondisi ini sebagai pewarisan descriptor, bukan peristiwa otorisasi baru. Keputusan keamanan ketika objek dibuka sudah melekat pada descriptor. FD_CLOEXEC mengatur apakah otoritas yang sudah terbentuk itu melintasi execve() yang berhasil.

Keamanan Siber Keamanan Linux