Celah di Situs Medall Tally Sea Games 2011

Hari ini tanggal 11-11-11 .... suatu tanggal yang istimewa, yang belum tentu terjadi setiap tahun dan juga bertepatan dengan dibuka nya Sea Games 2011 di Palembang. Walaupun pada awal nya kita sempat ragu dengan kesiapan panitia sea games, namun hal tersebut dapat ditepis oleh panitia sehingga sea games dapat diselenggarakan dengan kesiapan yang mendekati 100%.

Bagaimana kesiapan dari sisi Informasi Teknologi ? .... tepat nya dua hari yang lalu saya sempat lihat2 ... penerapan IT pada sea games kali ini. Dimulai dengan mengunjungi situs resmi sea games : http://www.seag2011.com/. Dari sisi tampilan menurut saya sudah ok,informasi ok, kelengkapan : seperti medal tally ..juga sudah ada, namun saya menemukan sedikit celah pada situs medal tally sea games (http://apps.seag2011.com/rs2011/bm/cm/MedalsTally.aspx?sname=26th%20SEA%20Games%20Jakarta-Palembang%202011). Dimana pengunjung dapat dengan mudah mengganti nama Kejuaraan ataupun Nama Cabang Olah Raga. Celah ini saya temukan tanpa menggunakan tools yang ribet, tapi hanya menggunakan intuisi. Dengan melihat URL yang ada, saya duga bahwa nama kejuaraan dicetak di laman menggunakan variable yang ada di URL tersebut. Ketika saya coba ubah nama nya menjadi "Kejuaaraan Antar Kampung" ..dan voila : nama di situs pun berubah menjadi Kejuaraan Antar Kampung (http://apps.seag2011.com/rs2011/bm/cm/MedalsTally.aspx?sname=Kejuaraan%20Antar%20Kampung). Hal ini juga terjadi ketika kita klik untuk cabang olahraga (http://apps.seag2011.com/rs2011/bm/cm/Schedule.aspx?sid=31&sname=Balap%20Karung&scode=SY&fid=5&sstid=1)

Celah ini mungkin tidak akan mempengaruhi data medal tally, karena ketika kita mengubah nama pertandingan tersebut tidak akan mengubah database, tapi celah ini bisa dimanfaatkan oleh pihak2 yang tidak diinginkan untuk melakukan penipuan ataupun cuma menjadikan situs ini sebagai joke. Untuk menutup celah yang seperti ini tidak membutuhkan effort yang tinggi, cukup melakukan sedikit modifikasi pada method yang digunakan untuk menampilkan nama kejuaraan ataupun cabang olah raga, dengan tidak menggunakan variable yang ada pada URL tapi langsung me-retrieve dari database.

Menurut saya, secepatnya panitia Sea Games harus melakukan perbaikan terhadap celah ini, sebelum ditemukan celah2 lain yang lebih berbahaya. Mari kita dukung pelaksaan Sea Games 2011, sukses sebagai peserta dan sukses sebagai penyelenggara. Ayo Indonesia Bisa!!!