Cara Membaca Audit Keamanan Pengelola Kata Sandi: Cure53, ISE, SOC 2 — dan Apa yang Sebenarnya Dicakup Masing-masing
Jenis audit yang berbeda memeriksa hal yang berbeda. Cure53 mencakup implementasi kriptografis; SOC 2 mencakup kontrol organisasi. Berikut apa yang benar-benar telah dipublikasikan oleh setiap pengelola kata sandi besar.
Tiga jenis audit yang penting
(1) Audit kriptografi / penetrasi — sebuah firma keamanan (Cure53, ISE, NCC Group, Praetorian) memeriksa implementasi kriptografis, kontrol akses server, dan aplikasi klien, lalu melaporkan temuan dengan peringkat tingkat keparahan. Audit dianggap baik bila laporan lengkap dipublikasikan beserta nama auditor, tanggal, dan ruang lingkup. (2) SOC 2 Type II — audit kontrol organisasi yang mencakup keamanan, ketersediaan, integritas pemrosesan, kerahasiaan, dan privasi pada tingkat operasional selama jendela observasi 6+ bulan. (3) ISO 27001 — sertifikasi untuk sistem manajemen keamanan informasi. Type 1 ≠ Type 2, ruang lingkup lebih penting daripada lencananya.
Apa yang telah dipublikasikan masing-masing pengelola
Bitwarden: audit pihak ketiga tahunan (Cure53, ISE, Insight Risk Consulting); laporan ditautkan dari bitwarden.com/help/is-bitwarden-audited. 1Password: SOC 2 Type II + uji penetrasi ISE; riwayat audit keamanan di 1password.com/security-audit. Proton Pass: audit keamanan Cure53 lengkap saat peluncuran (2023, tanpa temuan kritis, temuan tingkat sedang diperbaiki sebelum peluncuran) menurut proton.me/blog/pass-launch. NordPass: audit white-box Cure53 Feb 2020, audit Cure53 kedua pada NordPass Business 2021, SOC 2 Type 2, tersertifikasi ISO 27001 menurut nordpass.com/features/security. KeePassXC: sumber terbuka yang diaudit komunitas — tidak ada audit pihak ketiga yang ditugaskan, tetapi kode sumbernya publik di GitHub.
Tanda bahaya dalam pemasaran audit
(1) Audit yang dilakukan oleh firma akuntansi tanpa nama firma keamanan yang dipublikasikan. (2) Ruang lingkup audit yang terbatas pada “aplikasi” tanpa menyebutkan komponen mana. (3) Audit yang berusia lebih dari 24 bulan pada produk yang arsitekturnya telah berubah. (4) Surat ringkasan alih-alih laporan lengkap. (5) Audit yang dilakukan sebelum rilis versi besar yang secara material mengubah implementasi kriptografis. Tidak ada satu pun dari kelima pengelola dalam perbandingan ini yang cocok dengan pola-pola tersebut; komunikasi LastPass pasca-pembobolan (dikecualikan dari perbandingan ini) justru menunjukkan beberapa di antaranya.
Apa yang tidak dicakup audit
Audit mendokumentasikan apa yang diperiksa firma keamanan pada satu titik waktu. Audit tidak mencakup serangan rantai pasokan (dependensi npm yang dibobol dalam build klien), risiko orang dalam di vendor, atau kerentanan baru yang ditemukan setelah jendela audit. Pertahanan terhadap hal-hal itu adalah klien sumber terbuka (sehingga peneliti dapat memverifikasi setiap rilis secara independen — Bitwarden, Proton Pass, KeePassXC), program bug-bounty (1Password menjalankan Bugcrowd; Bitwarden menjalankan HackerOne), dan pilihan arsitektur seperti 1Password Secret Key (rahasia tambahan yang disimpan secara lokal, yang berarti pembobolan server saja tidak dapat mendekripsi brankas).
Sumber
Audit Bitwarden: bitwarden.com/help/is-bitwarden-audited. Audit keamanan 1Password: 1password.com/security-audit. Audit Cure53 Proton Pass: proton.me/blog/pass-launch. Keamanan NordPass: nordpass.com/features/security. Cure53: cure53.de. ISE: securityevaluators.com. Semua URL diakses pada 2026-04-30.