I. Pendahuluan
Di zaman serba digital seperti sekarang, hampir semua orang menggunakan internet untuk berbagai keperluan—mulai dari mengakses media sosial, berbelanja online, sampai transaksi perbankan. Namun, tidak semua orang menyadari bahwa aktivitas online mereka bisa saja dipantau atau bahkan disalahgunakan. Salah satu ancaman yang cukup berbahaya tapi sering diabaikan adalah session hijacking, yaitu pencurian sesi pengguna saat sedang terhubung ke suatu situs.
Protokol HTTP yang selama ini digunakan sebagai jembatan komunikasi antara browser dan server, ternyata memiliki kelemahan yang bisa dimanfaatkan oleh penyerang. Artikel ini akan menjelaskan bagaimana kelemahan dalam protokol HTTP dapat membuka celah bagi serangan session hijacking.
II. Dasar Teori
A. Apa Itu HTTP
HTTP (HyperText Transfer Protocol) adalah protokol yang mengatur cara komunikasi antara pengguna (browser) dan server. Misalnya, ketika kita membuka sebuah situs, HTTP bertugas mengirim permintaan dari browser ke server, lalu menampilkan informasi yang diminta ke layar kita.
Namun, HTTP memiliki kelemahan besar—yaitu tidak mengenkripsi data. Semua informasi yang dikirim melalui HTTP bisa dilihat oleh siapa pun yang berada dalam jaringan yang sama, termasuk data penting seperti username, password, atau session ID.
B. Apa Itu Session Hijacking
Saat kita login ke suatu situs, sistem biasanya akan menyimpan sesi login kita agar tidak perlu login ulang setiap kali berpindah halaman. Proses ini disebut session dan biasanya disimpan dalam bentuk session ID di cookie.
Session hijacking adalah tindakan mencuri session ID orang lain, sehingga si penyerang bisa masuk ke akun korban tanpa perlu login. Ini seperti mencuri kunci rumah orang—tanpa diketahui, pelaku bisa masuk dan mengakses semua isi rumah tersebut.
III. Kelemahan HTTP yang Dimanfaatkan Penyerang
HTTP yang tidak aman memungkinkan penyerang untuk menyadap lalu lintas data, terutama di jaringan Wi-Fi publik. Saat pengguna membuka situs dengan HTTP biasa dan login, data yang dikirim tidak terenkripsi. Penyerang dapat:
- Menyadap session ID
- Mengambil cookie pengguna
- Mengakses akun korban tanpa login ulang
Kondisi ini sangat berbahaya karena pengguna merasa sudah aman, padahal datanya bisa diambil dengan mudah oleh orang yang tidak bertanggung jawab.
IV. Studi Kasus dan Contoh Sederhana
Beberapa tahun lalu, banyak situs besar seperti Facebook atau Twitter masih bisa diakses lewat HTTP. Saat itu, banyak orang kehilangan akun karena penyerang mengambil session ID mereka dari jaringan Wi-Fi publik. Aplikasi seperti Firesheep, sebuah plugin Firefox, bahkan bisa secara otomatis menangkap session ID dari pengguna lain yang terhubung ke jaringan yang sama.
Contoh sederhananya: bayangkan kamu sedang nongkrong di kafe dan membuka media sosial lewat HTTP. Orang di meja sebelah bisa menggunakan software tertentu untuk mengambil session ID kamu, lalu membuka akunmu dari laptopnya—tanpa perlu tahu password!
V. Cara Mencegah Session Hijacking
Untuk mencegah serangan session hijacking, ada beberapa langkah yang bisa dilakukan:
- Gunakan HTTPS
HTTPS adalah versi aman dari HTTP yang mengenkripsi data, sehingga data yang dikirim lebih terlindungi. Situs-situs besar sekarang hampir semuanya sudah menggunakan HTTPS. - Cookie Aman
Website sebaiknya mengatur cookie agar tidak mudah diakses sembarangan, misalnya dengan menambahkan atributSecuredanHttpOnly. - Session ID Sering Diganti
Session ID sebaiknya diganti secara berkala, terutama setelah login, agar lebih sulit ditebak oleh penyerang. - Hindari Wi-Fi Publik Tanpa VPN
Jangan login ke akun penting saat terhubung ke Wi-Fi umum, kecuali kamu menggunakan VPN yang bisa melindungi koneksi. - Gunakan Autentikasi Dua Faktor (2FA)
Walau penyerang mendapatkan session ID, jika situs menggunakan 2FA, mereka tetap tidak bisa masuk tanpa kode verifikasi tambahan.
VI. Kesimpulan
Protokol HTTP memang masih digunakan, tapi sayangnya memiliki celah keamanan yang cukup besar. Session hijacking menjadi salah satu risiko yang muncul karena HTTP tidak mengenkripsi data. Penyerang bisa mencuri session ID dan menyamar sebagai pengguna asli tanpa perlu tahu password.
Solusi utamanya adalah beralih ke protokol HTTPS, serta melakukan pengamanan sesi pengguna melalui pengaturan cookie yang baik dan penggunaan autentikasi dua faktor. Dengan lebih memahami risiko ini, kita bisa menjaga keamanan data pribadi dan menghindari menjadi korban serangan di dunia maya.
NAMA : SAFARUDDIN
NIM : 23156201035
JURUSAN : SISTEM KOMPUTER
