Pusat Pembelajaran Kejiranan Putrajaya — Audit Sistem & Cadangan Pengganti

Ringkasan Eksekutif — untuk decision-maker

Pusat Pembelajaran Kejiranan (PPK) Putrajaya kini dipacu oleh sistem SPPB (Sistem Pengurusan Perpustakaan Bersepadu) yang terdiri daripada empat komponen: ILMU (LMS teras), SPKK (RFID hardware), PKAI (kawalan akses internet), dan integrasi SAP untuk pembayaran. Audit teknikal langsung terhadap ppk.ppj.gov.my mendapati platform ini dibina di atas Liferay 7.1.3 CE GA4 (build Mei 2019), dengan tindanan Apache 2.4.49 + PHP 7.3.4 di atas Windows Server — semua komponen ini telah tamat tempoh sokongan (EOL) dan mengandungi sekurang-kurangnya satu kerentanan kritikal yang diketahui umum (CVE-2021-41773, RCE path traversal).

Selain itu, satu cadangan vendor pihak ketiga (rujuk Lampiran A) yang dikemukakan sebagai pengganti, mencadangkan pivot drastik kepada konsep "AI Library" berorientasikan pelajar/peperiksaan/gamifikasi — yang tidak selari dengan persona sebenar pengguna PPK (komuniti am Putrajaya, kanak-kanak, warga emas). Cadangan tersebut juga senyap mengenai migrasi data ILMU, sambungan kepada infrastruktur RFID sedia ada, integrasi SAP/PPi, dan modul PKAI.

Tiga keputusan utama yang menanti PPJ

1. Penamatan kontrak SPPB — bila, syarat handover data, IP, hardware?
2. Pengganti — adakah vendor "AI Library" yang dicadangkan itu memenuhi keperluan PPK sebenar, atau perlu dibuka RFP baharu dengan skop yang lebih tepat?
3. Kesinambungan operasi — bagaimana memastikan 4 cawangan PPK tidak terganggu sepanjang fasa peralihan?

Inventori Sistem Sedia Ada (SPPB)

Berdasarkan tinjauan langsung portal awam ppk.ppj.gov.my, sub-aplikasi katalog di :8080/neuseal, dan rajah seni bina vendor yang dikongsi, struktur SPPB dipetakan seperti berikut:

13 Modul ILMU (Sistem Sedia Ada)

Komponen SPKK (Hardware RFID)

Audit Teknikal & Keselamatan — bukti dari recon langsung

Audit ini dijalankan secara passive recon (HTTP HEAD/GET) terhadap perkhidmatan awam ppk.ppj.gov.my. Tiada cubaan eksploit dilakukan. Semua bukti diperoleh daripada response header standard yang vendor sepatutnya konfigurasikan untuk disembunyikan.

Penemuan #1 — Liferay 7.1.3 CE GA4 (EOL sejak 2019)

Header Liferay-Portal didedahkan terus oleh server:

Liferay-Portal: Liferay Community Edition Portal 7.1.3 CE GA4 (Judson / Build 7102 / May 14, 2019)

• Community Edition — tiada sokongan komersial daripada Liferay Inc., tiada SLA, tiada tampung keselamatan rasmi selepas EOL.
• 7.1.3 GA4 (Mei 2019) — versi major ini telah tamat sokongan keselamatan. Versi terkini stabil ialah Liferay 7.4 LTS (2024).
• API endpoint terbuka — header Link: </o/api/doc> rel=apiDocumentation dedahkan ada API yang boleh diquery.

Penemuan #2 — Apache 2.4.49 + PHP 7.3.4 (Windows Server)

Sub-app VuFind di :8080/neuseal mendedahkan header berikut:

Server: Apache/2.4.49 (Win64) OpenSSL/1.1.1l PHP/7.3.4
X-Powered-By: PHP/7.3.4
Last-Modified: Mon, 11 Jun 2007 18:53:14 GMT

• Apache 2.4.49 — terdedah kepada CVE-2021-41773 (Path Traversal, CVSS 7.5, kemungkinan RCE jika mod_cgi aktif).
• OpenSSL 1.1.1l — EOL September 2023. Pelbagai CVE tertumpuk.
• PHP 7.3.4 — EOL Disember 2021. Pelbagai CVE termasuk deserialization, memory corruption.
• Last-Modified header dari tahun 2007 — menunjukkan beberapa fail static masih dari era pemasangan asal.

Penemuan #3 — Information Disclosure

• Versi vendor disebut dalam header Server: WEBCMCILMU — mendedahkan kewujudan vendor "CMC" dan kewujudan produk "ILMU" dalam server signature.
• JSESSIONID Tomcat exposed dalam Set-Cookie tanpa SameSite attribute.
• Liferay FastLoginPortlet & LoginPortlet kedua-duanya aktif — biasanya hanya satu diperlukan.

Penemuan #4 — Persoalan Lokasi Data & Compliance

• Tiada header Strict-Transport-Security (HSTS) — pelayar tidak ditegah daripada downgrade ke HTTP.
• X-Frame-Options: SAMEORIGIN ada, tetapi Content-Security-Policy tiada — risiko clickjacking masih wujud.
• Cert SSL chain incomplete (intermediate CA tidak dihantar) — menyebabkan client tertentu (bukan-browser, automation, mobile-app) gagal verify.

Penilaian Cadangan Vendor "AI Library"

Cadangan yang dikongsi mengetengahkan 6 super-modul:

10 Tanda Merah (Red Flags) Cadangan Vendor

Analisis Jurang & Keperluan Sebenar PPK

Sebelum memilih pengganti, PPJ perlu kembali kepada keperluan operasi sebenar. Berdasarkan pemerhatian portal awam, audit waktu operasi 4 cawangan, dan profil aktiviti yang dipaparkan (Bengkel Robotik & Dron, Hari Terbuka, MBBY, Bilik Braille), persona pengguna PPK Putrajaya ialah:

Keperluan operasi (must-have) yang tidak boleh dikompromi

Nice-to-have (Tambahan zaman moden — peluang inovasi sebenar)

• OPAC mobile-first dengan scan ISBN guna kamera
• Notifikasi WhatsApp/Telegram — tarikh pulang, denda, koleksi baru
• Rekomendasi koleksi berasaskan sejarah pinjaman (AI augmentation sebenar)
• Dashboard pegawai realtime dengan KPI cawangan
• Self-service kiosk dengan UX yang mesra warga emas
• API terbuka untuk integrasi rangkaian perpustakaan kebangsaan (PPM, PNM, DBKL)
• e-Book lending via OverDrive/Libby-equivalent (jika ada peruntukan)

ALESA Library Stack v1 — Cadangan Tandingan

ALESA mengusulkan satu pendekatan yang tidak membuang misi PPK, tetapi menggantikan platform terasnya dengan stack moden, sambil mengekalkan setiap pelaburan modal yang telah dibuat (RFID hardware, perjanjian SAP, microsite cawangan).

Pratonton Modul Utama — akan dipersembahkan dalam mock-up langsung

Pelan Migrasi 4-Fasa (16 minggu)

Anggaran Kos & Model Lesen — ballpark, untuk perbincangan

Angka di bawah adalah ballpark indicative untuk membantu PPJ menyusun bajet. Final pricing tertakluk kepada perbincangan skop dan RFP rasmi.

Perbandingan dengan vendor on-the-shelf biasa

• Vendor LMS komersial (KOHA komersial, Symphony, etc.) — RM 1.2M – 2.5M setup + 15-25% maintenance tahunan.
• Vendor "AI Library" cadangan (anggaran ALESA berdasarkan 6 super-modul + AWS) — kemungkinan RM 800K – 1.8M setup + bil AWS bulanan + lesen AI vendor.
• ALESA Library Stack v1 — RM 380K – 540K setup, on-prem, IP open-source-extensible, tiada lock-in.

Daftar Risiko & Mitigasi

Pematuhan (MAMPU · PDPA · Tata Kelola ICT)

Cadangan Keputusan untuk PPJ

1. Aktifkan penilaian termination kontrak SPPB sedia ada — atas dasar audit teknikal (Liferay EOL, Apache CVE, Windows hosting Java). Minta legal team PPJ semak klausa exit + IP + data ownership.
2. Jangan terus terima cadangan "AI Library" vendor pihak ketiga sebagai pengganti — terdapat 10 jurang material yang dikenal pasti (rujuk §04). Sebaliknya, gunakan cadangan tersebut sebagai input untuk dokumen URS yang lebih tepat.
3. Buka RFP terbuka berskop spesifik PPK — dengan keperluan parity 13-modul ILMU + sambungan SPKK + SAP-PPi sebagai must-have, dan AI augmentative sebagai value-add (bukan teras).
4. Jemput ALESA (atau mana-mana penyedia tempatan setanding) untuk membuat proof-of-concept 4-minggu — fokus pada 3 modul terkritikal (Circulation + OPAC + Membership) untuk membuktikan parity sebelum komit penuh.
5. Sediakan pelan kontinjensi — sekiranya SPPB perlu dilanjutkan sementara, mitigasi risiko CVE-2021-41773 dengan mod_security WAF rule sebagai stop-gap.