Portal Audit Keamanan & Interactive Architecture SIMPEG BKPSDM

Laporan Ringkasan Eksekutif Audit Keamanan

Halaman ini menyajikan gambaran umum dari hasil audit kode sumber aplikasi SIMPEG. Seluruh celah kritis seperti *master password backdoor*, enkripsi ter-hardcode, eksekusi skrip arbiter pada direktori *storage*, serta ancaman *brute-force* login telah berhasil dikoreksi dan diberikan proteksi berlapis.

Backdoor Status

Dihapus Total

100% Wajib Bcrypt Auth

Kunci Enkripsi

AES-256 Dynamic

Salt Harian SHA256

Proteksi Brute-Force

Throttle Active

Maks 5 attempt / min

Isolasi Upload

MIME Strict

Engine PHP Off via htaccess

Distribusi Kategori Perbaikan Keamanan

Persentase fokus remediasi arsitektur sistem SIMPEG

Alokasi Pembatasan Rate Limit Request

Batas maksimal percobaan request API per menit

Temuan Utama & Status Tindak Lanjut

Celah Master Password Backdoor

Kata sandi bypass @dm1n@2O26 pada LoginController dapat menembus seluruh akun.

Terselesaikan

Hardcoded Cryptographic Secret Passphrase

Passphrase enkripsi disimpan secara statis dalam file controller.

Terselesaikan

Ancaman Remote Code Execution (RCE) Upload

Kurangnya isolasi folder storage dan pengecekan MIME header asli pada file upload.

Terselesaikan

Matriks Route Terproteksi & Kebijakan Throttle

Modul ini memetakan seluruh endpoint aplikasi Laravel beserta middleware autentikasi dan batasan rate limit request yang telah dipasang untuk memitigasi serangan denial of service dan brute-force.

Method	URL Endpoint	Nama Route / Modul	Middleware Proteksi	Rate Limit

Simulator Fitur Keamanan Interaktif

Uji coba secara langsung mekanisme enkripsi dinamis harian berbasis salt tanggal dan simulator validasi unggahan dokumen MIME strict di browser Anda.

Tester Enkripsi Dinamis Harian

Mengesimulasikan logika CryptoHelperDaily dengan kombinasi APP_KEY + Tanggal Hari Ini.

String Teks Plain / NIP:

TANGGAL SISTEM: 2026-08-30

PASSPHRASE HASH: Generating...

Hasil Cipher Text (Base64 IV : Cipher):

Klik tombol di atas untuk menghasilkan token enkripsi.

Inspector Upload MIME Strict

Simulasikan pengujian berkas aman vs skrip berbahaya (misal: webshell disguised sebagai image).

Pilih File Simulasi:

Hasil Analisis Backend System:

Pilih file di atas dan klik tombol validasi.

Visualisator Akses Role & Hak Istimewa Sesi

Pilih role pegawai untuk melihat variabel sesi hak akses yang secara otomatis diset oleh setSessionRoles().

Detail Remediasi Kode Sumber & Proteksi

Penjelasan komprehensif mengenai perubahan pada struktur controller, helper kriptografi, dan konfigurasi server .htaccess.

LoginController.php Penghapusan Backdoor & Throttle

Masalah: Terdapat pengecekan password hardcoded $password === '@dm1n@2O26' yang memungkinkan siapapun masuk sebagai NIP manapun.

Solusi: Kode backdoor dihapus sepenuhnya. Otentikasi kini wajib melalui hash Bcrypt standard Laravel Hash::check() dengan transisi otomatis jika ada password lama berbasis plain text.

CryptoHelperDaily.php Dynamic Key SHA256

Masalah: Passphrase enkripsi disimpan secara mentah 'Kh@wlaA@man2018!' pada berkas controller.

Solusi: Passphrase dipindahkan ke Config::get('app.key') yang digabung dengan tanggal hari ini date("Y-m-d") lalu di-hash menggunakan SHA-256 untuk menjadi kunci enkripsi AES-256-CBC yang hangus secara otomatis setiap berganti hari.

storage/app/public/.htaccess Direct Execution Blocking

Masalah: Berkas PHP yang diunggah ke folder storage publik dapat dieksekusi langsung melalui URL browser jika terjadi kebocoran ekstensi.

Solusi: Memasang instruksi php_flag engine off dan merajut aturan <FilesMatch "\.(php|phtml|sh)$"> Deny from all di direktori storage upload.