Cara Hacker Masuk YC Startup School Usai Bongkar Celah Keamanan

JAKARTA — Seorang peretas berhasil masuk ke program prestisius Y Combinator (YC) Startup School setelah mengungkap kerentanan fatal pada aplikasi Paxel. Celah keamanan tersebut memungkinkan pengguna untuk memalsukan skor pemeringkatan yang digunakan oleh YC dalam menyeleksi 1,2 juta pengembang di seluruh dunia.

Pokok Peristiwa

Peristiwa ini bermula ketika pengembang tersebut mencoba mendaftar ke Startup School angkatan 26. Sebagai syarat pendaftaran, YC mewajibkan pelamar menjalankan skrip Paxel yang berfungsi memindai kode, menganalisis riwayat Git, dan menyusun laporan untuk diunggah ke server pusat.

Karena rasa ingin tahu yang tinggi, sang peretas membedah skrip tersebut untuk memahami mekanisme kerja sistem penilaian yang digunakan YC.

Hasil bedah menunjukkan bahwa proses penilaian tersebut melibatkan dua tahap, yaitu skrip instalasi 302KB dan aplikasi Ruby yang dijalankan melalui Docker. Di sinilah ditemukan kelemahan krusial dalam fungsi kriptografi yang digunakan untuk memvalidasi data hasil penilaian AI.

Konteks

Sistem memang melakukan validasi terhadap nonce, namun gagal memberikan tanda tangan (signature) digital pada hasil skor, catatan, maupun laporan proyek yang dikirimkan ke server.

Akibat pengabaian fungsi kriptografi mendasar ini, siapa pun dapat mengubah skor penilaian sesuka hati sebelum diunggah ke server YC. Sang peretas bahkan menciptakan alat bernama paxel-boosted untuk mendemonstrasikan kerentanan tersebut. Dalam waktu singkat setelah dipublikasikan, lebih dari 20 pengguna berhasil menempatkan diri mereka di peringkat 1 persen teratas dalam basis data YC.

Dampak dari temuan ini cukup signifikan bagi industri teknologi, terutama terkait integritas data dalam proses seleksi berbasis kecerdasan buatan.

Dampak dan Langkah Berikutnya

Kejadian ini mengingatkan bahwa sistem yang terdistribusi tetap memerlukan protokol keamanan yang ketat, terutama saat melibatkan penilaian otomatis terhadap profil seseorang.

Pengabaian tanda tangan digital pada transmisi data memungkinkan manipulasi yang dapat mengubah hasil seleksi secara drastis tanpa terdeteksi oleh server pengolah.

Respons dari pihak YC sendiri tergolong cepat. Setelah peretas mempublikasikan temuan tersebut secara terbuka, Jared Friedman dari YC segera menanggapi, merilis tambalan (patch) untuk menambal celah keamanan tersebut, dan memberikan undangan resmi kepada sang peretas untuk mengikuti program Startup School di San Francisco musim panas ini.

Meskipun peretas tersebut sebelumnya telah mengirimkan laporan kerentanan melalui surel 12 hari sebelum pengungkapan publik tanpa mendapatkan jawaban, pengumuman terbuka berhasil memicu tindakan instan dari pengembang sistem. Hingga kini, sistem penilaian YC telah diperbarui untuk memastikan validitas data setiap pelamar yang masuk ke dalam basis data global mereka.