Retire.js: Cara Mudah Mendeteksi Kerentanan Keamanan pada Pustaka JavaScript dan Modul Node.js

Apa itu Retire.js?

Retire.js adalah sebuah alat yang dapat digunakan untuk mendeteksi penggunaan pustaka JavaScript atau modul Node.JS yang memiliki kerentanan keamanan. Retire.js dapat digunakan sebagai ekstensi browser atau library nodejs untuk pengujian keamanan di tahap requirement gathering. Berikut adalah tutorial penggunaan Retire.js secara lengkap:

Sebagai ekstensi browser

Retire.js dapat diinstal sebagai ekstensi browser Chrome atau Firefox. Ekstensi ini akan memindai situs web yang dikunjungi dan mencari referensi pustaka JavaScript yang tidak aman, dan memberikan peringatan di konsol pengembang. Ikon di bilah alamat juga akan menunjukkan jika ada pustaka yang rentan dimuat.

Untuk menginstal ekstensi Retire.js, ikuti langkah-langkah berikut:

• Untuk Chrome, kunjungi halaman ekstensi Retire.js dan klik Add to Chrome. Konfirmasi instalasi dengan mengklik Add extension.
• Untuk Firefox, kunjungi halaman ekstensi Retire.js dan klik Add to Firefox. Konfirmasi instalasi dengan mengklik Add.
• Setelah terinstal, Anda akan melihat ikon Retire.js di bilah alamat browser Anda. Ikon ini akan berubah warna sesuai dengan tingkat kerentanan yang ditemukan di situs web yang Anda kunjungi. Hijau berarti tidak ada kerentanan, kuning berarti ada kerentanan rendah atau sedang, dan merah berarti ada kerentanan tinggi atau kritis.
• Untuk melihat detail kerentanan, klik ikon Retire.js dan pilih Show details. Anda akan melihat daftar pustaka JavaScript yang digunakan di situs web, versi yang digunakan, dan kerentanan yang diketahui. Anda juga dapat mengklik tautan untuk melihat informasi lebih lanjut tentang kerentanan tersebut.
• Anda juga dapat melihat peringatan Retire.js di konsol pengembang browser Anda. Untuk membuka konsol pengembang, tekan Ctrl+Shift+I di Chrome atau Ctrl+Shift+K di Firefox. Anda akan melihat pesan Retire.js yang berisi nama pustaka, versi, dan kerentanan yang ditemukan.

Sebagai library nodejs

Retire.js juga dapat digunakan sebagai library nodejs untuk memindai aplikasi web atau node yang menggunakan pustaka JavaScript atau modul Node.JS yang rentan. Untuk menggunakan Retire.js sebagai library nodejs, Anda perlu menginstal node/npm terlebih dahulu. Kemudian, ikuti langkah-langkah berikut:

• Di folder kode sumber aplikasi, jalankan perintah berikut untuk menginstal Retire.js secara global:

$ npm install -g retire

• Untuk memindai aplikasi web, jalankan perintah berikut:

$ retire

• Retire.js akan memindai semua file JavaScript di folder saat ini dan subfolder, dan melaporkan pustaka yang rentan dan kerentanannya. Anda juga dapat menentukan file atau folder tertentu yang ingin dipindai dengan menambahkan argumen ke perintah retire. Misalnya:

$ retire js/*.js

• Untuk memindai aplikasi node, jalankan perintah berikut:

$ retire -p

• Retire.js akan memindai file package.json di folder saat ini dan node_modules folder, dan melaporkan modul Node.JS yang rentan dan kerentanannya. Pastikan Anda telah menjalankan npm install sebelumnya untuk menginstal semua dependensi.

Fitur-fitur Retire.js

Retire.js memiliki beberapa fitur yang dapat membantu Anda dalam pengujian keamanan, antara lain:

• Retire.js dapat menghasilkan SBOM (Software Bill of Materials) dari pustaka yang ditemukan dalam format CycloneDX. SBOM adalah daftar komponen perangkat lunak yang digunakan dalam aplikasi, yang dapat membantu Anda dalam manajemen risiko dan audit keamanan. Untuk menghasilkan SBOM, jalankan perintah berikut:

$ retire --outputformat cyclonedx

• Retire.js dapat diintegrasikan dengan alat-alat lain seperti Grunt, Gulp, Burp, atau ZAP. Anda dapat melihat dokumentasi Retire.js untuk informasi lebih lanjut tentang cara menggunakan Retire.js dengan alat-alat tersebut.
• Retire.js dapat dikonfigurasi dengan file retireignore.json untuk menentukan pustaka atau kerentanan yang ingin diabaikan dalam pemindaian. Anda dapat melihat contoh file retireignore.json di [sini].
• Retire.js dapat diperbarui secara berkala dengan menjalankan perintah berikut:

$ retire --update

• Perintah ini akan mengunduh data terbaru tentang pustaka dan kerentanan yang diketahui dari repositori Retire.js di GitHub. Anda juga dapat berkontribusi pada repositori ini dengan menambahkan atau memperbarui informasi tentang pustaka dan kerentanan yang Anda temukan.

Demikian tutorial penggunaan Retire.js sebagai ekstensi browser dan library nodejs untuk pengujian keamanan di tahap requirement gathering. Semoga bermanfaat! 😊.