Peneliti Temukan Celah SQL Injection di Sistem Keamanan Bandara TSA

Dua peneliti keamanan siber, Ian Carroll dan Sam Curry, baru-baru ini mengungkapkan temuan yang mengejutkan: sebuah celah SQL injection di sistem Known Crewmember (KCM) yang dikelola oleh TSA. Celah ini berpotensi memungkinkan seseorang melewati pemeriksaan keamanan bandara sepenuhnya tanpa screening.

KCM adalah program TSA yang dirancang untuk memudahkan pilot dan awak kabin melewati proses pemeriksaan keamanan saat terbang domestik. Dalam praktiknya, karyawan maskapai cukup menunjukkan barcode KCM atau menyebutkan nomor karyawan dan maskapai kepada petugas TSA. Petugas kemudian memverifikasi status kepegawaian melalui laptop yang terhubung ke sistem maskapai. Jika valid, karyawan tersebut bisa masuk ke area steril tanpa screening sama sekali.

Bagaimana Celah Ini Bekerja

Carroll dan Curry menemukan bahwa ARINC, anak perusahaan Collins Aerospace yang dikontrak TSA untuk mengoperasikan KCM, bertindak sebagai hub yang menghubungkan permintaan verifikasi dari TSA ke berbagai sistem maskapai. Dari 77 maskapai yang berpartisipasi, banyak maskapai kecil yang tidak memiliki sumber daya untuk membangun sistem sendiri. Salah satu vendor yang mereka temukan adalah FlyCASS.

FlyCASS menyediakan antarmuka berbasis web bagi maskapai kecil untuk mengelola akses CASS. Ketika peneliti mencoba memasukkan karakter ' (single quote) di kolom username halaman login FlyCASS, sistem langsung mengembalikan error MySQL. Ini adalah indikasi klasik adanya celah SQL injection.

Melalui eksploitasi lebih lanjut, mereka berhasil memanipulasi query database untuk mengembalikan status authorized bahkan untuk karyawan yang tidak terdaftar. Lebih parah lagi, mereka bisa mengubah foto yang ditampilkan di layar petugas TSA, sehingga siapa pun dengan ID palsu bisa lolos verifikasi visual.

Dampak dan Resiko Keamanan

Celah ini sangat berbahaya karena memungkinkan akses tidak sah ke area steril bandara dan bahkan ke kokpit pesawat melalui sistem CASS. Seseorang dengan niat jahat bisa memanfaatkan kelemahan ini untuk membawa barang terlarang atau melakukan aktivitas ilegal tanpa terdeteksi.

Beruntung, setelah temuan ini dilaporkan, TSA dan ARINC bertindak cepat untuk menonaktifkan akses FlyCASS ke sistem KCM. Namun, insiden ini mengingatkan kita akan pentingnya input validation dan parameterized queries di setiap sistem yang menangani data kritis.

Pelajaran bagi Developer

Kasus FlyCASS adalah contoh klasik mengapa security by obscurity tidak pernah cukup. Sistem yang terhubung ke infrastruktur keamanan nasional seharusnya tidak mengandalkan security through obscurity atau menganggap endpoint internal aman dari serangan.

Bagi developer, ada beberapa pelajaran penting: selalu gunakan prepared statements untuk semua query database, terapkan principle of least privilege, dan lakukan penetration testing secara berkala. Jangan biarkan sistem kritis menjadi target mudah hanya karena kurangnya awareness akan basic security practices.

Sumber berita ini diadaptasi dari laporan penelitian Ian Carroll yang dipublikasikan di ian.sh/tsa. Baca artikel asli untuk detail teknis lengkap mengenai exploit dan timeline respons dari pihak berwenang.