Nika: Menguak Kerentanan Kode Java Lintas File dengan Analisis Open Source

Pernahkah kamu membayangkan bug keamanan yang bersembunyi di balik banyak file dalam aplikasi web? Bukan cuma di satu tempat, tapi tersebar di berbagai lapisan kode, mulai dari input data hingga operasi sensitif. Memang merepotkan, dan scanner biasa sering melewatkannya. Nah, di sinilah Nika Open Source Code Analysis Tool hadir sebagai solusi.

Dikembangkan oleh perusahaan pembayaran PhonePe, Nika adalah alat analisis kode sumber terbuka yang dirancang khusus untuk microservices Java. Tugas utamanya adalah melacak input yang dikendalikan penyerang melintasi berbagai lapisan aplikasi dan mencari tahu apakah input tersebut akhirnya mencapai operasi yang sensitif terhadap keamanan.

Mengapa Analisis Lintas File Itu Penting?

Banyak masalah keamanan yang bisa dieksploitasi sering kali tidak terlihat jika kita hanya memeriksa satu file saja. Bahaya justru muncul sepanjang jalur yang dilalui data, dari titik masuk hingga titik kritis. Bayangkan data masuk melalui controller, lalu bergerak melalui objek data dan lapisan layanan, dan baru menjadi berbahaya saat mencapai operasi seperti database query atau tindakan file.

Scanner yang hanya membaca satu file pada satu waktu bisa saja melewatkan jalur kritis semacam ini sepenuhnya. Nika mengatasi masalah ini dengan melakukan analisis taint lintas-file. Alat ini menelusuri aliran data di seluruh file dan fungsi, memungkinkan insinyur keamanan menilai apakah jalur yang mencurigakan benar-benar dapat dijangkau dan dieksploitasi.

Cara Nika Bekerja Menganalisis Kode

Nika bekerja dengan metode yang terstruktur. Pertama, alat ini membaca repositori target dan membangun representasi analisis yang menangkap struktur kode, aliran kontrol, dan aliran data aplikasi.

Dari representasi ini, Nika kemudian mengidentifikasi sumber (sources), yaitu tempat input yang dikendalikan penyerang masuk ke aplikasi. Setelah itu, ia melokalisasi sink (sinks), yaitu operasi-operasi yang sensitif terhadap keamanan. Contoh sink bisa berupa:

Database query
Operasi file
Template engine
Panggilan refleksi
Permintaan jaringan keluar

Melalui analisis lintas-file dan antar-prosedural, Nika melacak apakah input dapat berpindah dari sumber ke sink yang rentan. Hasil analisis ini kemudian disajikan dalam laporan HTML atau JSON. Laporan tersebut merinci jalur kerentanan, lokasi kode yang terpengaruh, dan konteks remediasi yang dapat menjadi panduan awal untuk perbaikan.

Kerentanan yang Dicover Nika

Nika memiliki cakupan yang luas, mencakup sebelas kategori kerentanan, antara lain:

SQL injection
Server-side request forgery
Path traversal
Command injection
Code injection
Template injection
Deserialization flaws
XML external entity issues
Cryptographic failures
Unsafe reflection

Selain itu, Nika juga memeriksa pelanggaran urutan panggilan yang kritis keamanan dalam aliran eksekusi sensitif dan rantai validasi. Tim pengembang dapat memperluas cakupan deteksi dengan menambahkan sumber kustom, OpenGrep sinks, dan plugin kerentanan. Nika juga mendukung pemindaian branch-aware sebagai bagian dari tinjauan kode yang aman.

Langkah Tinjauan AI Opsional

Salah satu fitur menarik Nika adalah langkah tinjauan AI opsional. Setelah analisis inti selesai, Nika dapat meneruskan temuannya ke Large Language Model (LLM) untuk tinjauan kedua. Tujuannya adalah untuk mengurangi false positive, sehingga tim keamanan dapat fokus pada isu yang benar-benar relevan.

Fitur ini secara default tidak aktif dan dapat dihidupkan melalui pengaturan konfigurasi. Konfigurasi sampel mengarahkan tinjauan ke LLM yang dihosting, serta menyertakan nilai untuk biaya token, jumlah iterasi, dan batas panggilan. Opsi ini menjaga fleksibilitas bagi tim. Mereka bisa menjalankan mesin statis Nika secara mandiri, atau menambahkan pass LLM jika waktu triage mereka terbatas.

Benchmarking dan Dukungan Bahasa

Tim di balik Nika telah mengukur efektivitas alat ini terhadap kumpulan uji publik. Praveen Kanniah, salah satu maintainer proyek, menjelaskan metode yang digunakan: "Kami telah menggunakan proyek OWASP Java benchmark untuk melakukan benchmark alat kami. Codebase tersebut memiliki file-file yang sengaja dibuat rentan, dan diukur berdasarkan parameter seperti True Positives, False Positives, recall (total true positives yang teridentifikasi dari yang ada di kode) dll."

OWASP benchmark menyediakan kode dengan kerentanan yang sengaja ditanam, sehingga hasil scanner dapat dinilai berdasarkan berapa banyak masalah nyata yang berhasil ditangkap dan berapa banyak peringatannya yang valid. Recall, dalam konteks ini, mengukur persentase kerentanan yang ada yang berhasil diidentifikasi oleh Nika.

Saat ini, Java adalah satu-satunya bahasa yang didukung Nika. Namun, cakupan untuk bahasa lain sudah ada di roadmap pengembangan. Nika tersedia sebagai Docker image dan local build, dengan dokumentasi lengkap di situs proyek khusus. Kamu bisa mendapatkan Nika secara gratis di GitHub.