Black Box Testing: Menguji Sistem dari Sudut Pandang Pengguna dan Penyerang

Pengguna aplikasi tidak pernah melihat kode di baliknya. Mereka hanya mengisi formulir, menekan tombol, lalu melihat apa yang terjadi. Penyerang dari luar pun memulai dari posisi yang sama.

Karena itu, menguji sistem dari sudut pandang orang luar tetap menjadi salah satu cara paling penting untuk menemukan masalah. Dari sisi keamanan, taruhannya besar: Verizon 2025 Data Breach Investigations Report mencatat eksploitasi kerentanan menjadi jalur masuk awal di 20% kebocoran data, dan banyak di antaranya bisa ditemukan tanpa perlu melihat kode sama sekali.

Panduan ini menjelaskan black box testing adalah apa, teknik dan contohnya, kelebihan serta kekurangannya, sampai penerapannya dalam penetration testing.

Apa Itu Black Box Testing?

Black box testing adalah metode pengujian yang memeriksa perilaku sebuah sistem berdasarkan input dan output, tanpa melihat kode, struktur, atau logika internalnya. Penguji memperlakukan sistem seperti kotak hitam: yang diketahui hanya apa yang masuk dan apa yang seharusnya keluar.

Istilah ini dipakai dalam dua konteks. NIST mendefinisikannya sebagai metode pengujian software yang memeriksa fungsi aplikasi, sekaligus sebagai metodologi penilaian keamanan yang tidak mengasumsikan pengetahuan apa pun tentang struktur internal sistem. Prinsipnya sama, tetapi tujuannya berbeda: yang pertama memastikan fitur bekerja sesuai kebutuhan, yang kedua mencari celah yang bisa dimanfaatkan penyerang.

Karena tidak membutuhkan akses ke kode, black box testing bisa dilakukan oleh QA engineer, pengguna, maupun pentester, tanpa harus memahami bahasa pemrograman yang dipakai.

Teknik Black Box Testing

Ada beberapa teknik black box testing yang paling sering dipakai untuk merancang kasus uji secara efisien. Tujuannya sama: menemukan sebanyak mungkin kesalahan dengan jumlah pengujian yang masuk akal.

1. Equivalence partitioning

Input dibagi ke dalam kelompok yang seharusnya diperlakukan sama oleh sistem, lalu cukup satu nilai yang diuji dari setiap kelompok. Misalnya, kolom usia yang menerima 17 sampai 60 tahun dibagi menjadi tiga kelompok: di bawah 17, antara 17 dan 60, serta di atas 60.

2. Boundary value analysis

Kesalahan paling sering terjadi di batas nilai. Teknik ini menguji nilai tepat di batas dan di sekitarnya, misalnya 16, 17, 60, dan 61 untuk contoh kolom usia di atas.

3. Decision table testing

Cocok untuk fitur dengan banyak kombinasi kondisi, seperti aturan diskon atau persetujuan kredit. Setiap kombinasi kondisi dan hasil yang diharapkan disusun dalam tabel agar tidak ada skenario yang terlewat.

4. State transition testing

Menguji perubahan status sistem berdasarkan urutan kejadian. Contohnya, akun yang harus terkunci setelah tiga kali salah memasukkan kata sandi, lalu terbuka kembali setelah verifikasi.

5. Error guessing

Penguji memanfaatkan pengalaman untuk menebak input yang kemungkinan besar menimbulkan masalah, seperti kolom kosong, karakter khusus, atau teks yang sangat panjang. Teknik ini juga menjadi titik awal pengujian keamanan, misalnya mencoba input yang biasa dipakai dalam serangan injeksi.

Jenis Black Box Testing

Berdasarkan apa yang diuji, black box testing umumnya dibagi menjadi beberapa jenis:

• Functional testing: memastikan setiap fitur bekerja sesuai spesifikasi, misalnya proses login, pembayaran, atau pencarian.
• Non-functional testing: menguji aspek di luar fungsi, seperti performa, kegunaan, dan keamanan.
• Regression testing: memastikan fitur lama tetap berfungsi setelah ada perubahan atau pembaruan kode.
• User acceptance testing (UAT): pengujian oleh pengguna atau klien untuk memastikan sistem sesuai kebutuhan bisnis sebelum diluncurkan.

Contoh Black Box Testing

Berikut contoh black box testing sederhana pada halaman login. Penguji tidak melihat kode, cukup membandingkan hasil yang muncul dengan hasil yang diharapkan.

Baris terakhir menunjukkan di mana pengujian fungsional mulai bersinggungan dengan pengujian keamanan. Pesan error dari database yang bocor ke layar bisa menjadi petunjuk awal bagi penyerang.

Kelebihan dan Kekurangan Black Box Testing

Seperti metode pengujian lainnya, black box testing punya kekuatan dan keterbatasan yang perlu dipahami sebelum dipilih.

Kelebihan:

• Bisa dilakukan tanpa akses ke kode dan tanpa kemampuan pemrograman.
• Menguji sistem dari sudut pandang pengguna nyata, atau dari sudut pandang penyerang dari luar.
• Penguji tidak terpengaruh asumsi developer, sehingga lebih objektif.
• Kasus uji bisa disiapkan sejak spesifikasi selesai, sebelum kode ditulis.

Kekurangan:

• Tidak bisa menjangkau semua jalur logika di dalam kode, sehingga sebagian kesalahan bisa lolos.
• Jika spesifikasinya tidak jelas, kasus uji pun sulit dirancang dengan tepat.
• Ketika ditemukan kesalahan, penyebabnya di dalam kode tidak langsung terlihat.
• Dalam pengujian keamanan, sebagian besar waktu habis untuk memetakan sistem dari nol.

Perbedaan Black Box, White Box, dan Grey Box Testing

Perbedaan black box dan white box testing terletak pada seberapa banyak yang diketahui penguji tentang bagian dalam sistem. Grey box berada di antara keduanya.

Baca Juga: Penetration Testing (Pentest): Menemukan Celah Keamanan Sebelum Penyerang Menemukannya

Black Box Testing dalam Penetration Testing

Dalam penetration testing, black box berarti pentester memulai tanpa informasi apa pun selain nama perusahaan atau alamat target. Tidak ada akun, diagram jaringan, maupun kode sumber. Kondisinya sama persis dengan penyerang dari luar yang belum pernah berinteraksi dengan sistem Anda.

Black box penetration testing biasanya berjalan dalam empat langkah:

1. Pemetaan dari nol

Pentester mengumpulkan informasi publik: subdomain, alamat IP, layanan yang terbuka, teknologi yang dipakai, sampai data karyawan yang tersebar di internet. Tahap ini sering menemukan aset yang bahkan tidak diketahui tim IT, seperti server uji yang terlupakan.

2. Identifikasi titik masuk

Dari hasil pemetaan, pentester mencari pintu yang bisa dicoba: halaman login, API yang terbuka, VPN, atau layanan dengan versi lama yang punya kerentanan dikenal.

3. Upaya eksploitasi

Pentester mencoba menembus titik masuk tersebut, misalnya dengan menguji kelemahan autentikasi, injeksi, atau salah konfigurasi. Untuk aplikasi web, pengujian biasanya mengacu pada OWASP Top 10.

4. Pelaporan

Setiap celah yang berhasil ditembus dilaporkan beserta bukti, dampak, dan rekomendasi perbaikannya.

Pendekatan ini paling jujur dalam menjawab satu pertanyaan: apa yang bisa dilakukan orang asing terhadap sistem Anda hari ini? Namun ada konsekuensinya. Karena waktu pengujian terbatas, sebagian besar waktu habis untuk pemetaan, sehingga celah yang lebih dalam, misalnya di area yang hanya bisa diakses setelah login, bisa saja tidak tersentuh.

Kapan Memilih Black Box Penetration Testing?

Black box bukan selalu pilihan terbaik. Pendekatan ini paling tepat jika:

• Anda ingin mengetahui apa yang terlihat dan bisa diserang dari internet, tanpa bantuan informasi dari dalam.
• Anda ingin menguji kemampuan tim keamanan atau SOC dalam mendeteksi aktivitas mencurigakan dari pihak yang tidak dikenal.
• Organisasi Anda punya banyak aset yang tersebar dan tidak semuanya tercatat dengan baik.

Sebaliknya, grey box atau white box lebih tepat jika:

• Anda ingin cakupan yang lebih dalam dalam waktu dan anggaran yang sama.
• Sistem yang diuji sebagian besar berada di balik login, seperti aplikasi internal atau portal pelanggan.
• Anda perlu memastikan tidak ada celah logika di fitur-fitur kritis sebelum peluncuran.

Dalam praktiknya, banyak organisasi menggabungkan keduanya: black box untuk permukaan yang terbuka ke internet, dan grey box untuk aplikasi yang membutuhkan autentikasi.

Memilih Pendekatan Pengujian yang Tepat

Black box testing membantu memastikan sistem bekerja dan bertahan saat dilihat dari luar, baik oleh pengguna maupun penyerang. Namun pendekatan ini hanya satu bagian dari strategi pengujian. Hasil terbaik datang dari kombinasi metode yang disesuaikan dengan risiko dan tujuan Anda.

Di Zentara, layanan VAPT kami mendukung pendekatan black box, grey box, maupun white box, sesuai kebutuhan setiap proyek. Pengujian dijalankan oleh pentester bersertifikasi OSCP, OSCE, dan GPEN, setiap temuan divalidasi manual, dan retest setelah perbaikan sudah termasuk dalam ruang lingkup.

Jika Anda belum yakin pendekatan mana yang paling sesuai untuk sistem Anda, hubungi tim kami. Kami akan membantu menentukan ruang lingkup dan metode pengujian yang paling tepat.

Frequently Asked Questions

1. Apakah black box testing membutuhkan kemampuan coding?
   Tidak. Penguji cukup memahami spesifikasi dan perilaku yang diharapkan dari sistem. Namun dalam konteks penetration testing, pemahaman teknis tentang jaringan dan aplikasi tetap diperlukan.
2. Apa contoh black box testing yang paling sederhana?
   Menguji halaman login dengan kombinasi email dan kata sandi yang benar, salah, dan kosong, lalu memastikan setiap kondisi menghasilkan respons yang sesuai.
3. Apa perbedaan black box dan white box testing?
   Black box testing menguji sistem tanpa melihat kode, berdasarkan input dan output. White box testing menguji logika internal dengan akses penuh ke kode dan arsitektur.
4. Apakah black box testing termasuk penetration testing?
   Tidak selalu. Black box adalah pendekatan pengujian yang bisa dipakai untuk pengujian fungsi software maupun penetration testing. Dalam pentest, black box berarti pentester menyerang tanpa informasi internal apa pun.
5. Mana yang lebih baik, black box atau grey box penetration testing?
   Tergantung tujuannya. Black box paling realistis untuk mensimulasikan penyerang dari luar, sedangkan grey box biasanya memberi cakupan lebih dalam dalam waktu yang sama.
6. Siapa yang melakukan black box testing?
   Dalam pengembangan software, biasanya QA engineer atau pengguna saat UAT. Dalam pengujian keamanan, dilakukan oleh pentester dengan izin tertulis dari pemilik sistem.