Wireless security

pertemuan 6

Wireless Security

 

•Jaringan wireless mulai populer. Hal ini dimulai dengan maraknya cellular phone (handphone) di dunia yang pada mulanya hanya memberikan akses voice. Kemudian handphone dapat pula digunakan untuk mengirimkan data.

•Di sisi lain perangkat komputer mulai muncul dalam ukuran yang kecil dan portable. Personal Digital Assistant (PDA) seperti Palm, Handspring, Symbian, Windows CE mulai banyak digunakan orang. Perangkat ini tadinya bersifat standalone atau hanya memiliki fasilitas transfer data dengan menggunakan kabel serial (ke komputer) dan IrDa (infra red antar perangkat). Kemudian muncul perangkat yang memungkinkan komputer berkomunikasi dengan menggunakan wireless LAN (seri IEEE 802.11) dan Bluetooth.

•Secara umum, teknologi wireless dapat dibagi menjadi dua:

–Cellular-based technology: yaitu solusi yang menggunakan saluran komunikasi cellular atau pager yang sudah ada untuk mengirimkan data. Jangkauan dari cellullar-based biasanya cukup jauh. Contoh: GSM, CDMA, TDMA, CDPD, GPRS/EDGE, 2G, 2.5G, 3G, UMTS

–Wireless LAN (WLAN): yaitu komunikasi wireless dalam lingkup area yang terbatas, biasanya antara 10 s/d 100 meter dari base station ke Access Point (AP). Contoh: keluarga IEEE 802.11 (seperti 802.11b, 802.11a, 802.11g), HomeRF, 802.15 (Personal Area Network) yang berbasis Bluetooth, 802.16 (Wireless Metropolitan Area Network)

Masalah Keamanan Sistem Wireless

 

•Perangkat pengakses informasi yang menggunakan sistem wireless biasanya berukuran kecil sehingga mudah dicuri. Laptop, notebook, handphone, palm, dan sejenisnya sangat mudah dicuri. Jika dia dicuri, maka informasi yang ada di dalamnya (atau kunci pengakses informasi) bisa jatuh ke tangan orang yang tidak berhak.

•Penyadapan (man-in-the-middle attack) dapat dilakukan lebih mudah karena tidak perlu mencari jalur kabel untuk di-‘tap’. Sistem yang tidak menggunakan pengamanan enkripsi, atau menggunakan enkripsi yang mudah dipecah, akan mudah ditangkap.

•Perangkat wireless yang kecil membatasi kemampuan perangkat dari sisi CPU, RAM, kecepatan komunikasi, catu daya. Akibatnya sistem pengamanan (misalnya enkripsi) yang digunakan harus memperhatikan batasan ini. Saat ini tidak memungkinkan untuk menggunakan sistem enkripsi yang canggih yang membutuhkan CPU cycle yang cukup tinggi sehingga memperlambat transfer data.

•Pengguna tidak dapat membuat sistem pengaman sendiri (membuat enkripsi sendiri) dan hanya bergantung kepada vendor (pembuat perangkat) tersebut. Namun mulai muncul perangkat handphone yang dapat diprogram oleh pengguna.

•Adanya batasan jangkauan radio dan interferensi menyebabkan ketersediaan servis menjadi terbatas. DoS attack dapat dilakukan dengan menginjeksikan traffic palsu.

•Saat ini fokus dari sistem wireless adalah untuk mengirimkan data secepat mungkin. Adanya enkripsi akan memperlambat proses pengiriman data sehingga penggunaan enkripsi masih belum mendapat prioritas. Setelah kecepatan pengiriman data sudah memadai dan harganya menjadi murah, barulah kita akan melihat perkembangan di sisi pengamanan dengan menggunakan enkripsi.

•Program untuk memecahkan wireless LAN ini mulai banyak tersedia di Internet, seperti misalnya Wzcook, Airsnort, Netstumbler, WEPcrack, dan lain-lain.

Salahsatunya cara menggunakan aplikasi wzcook(portable):

1.Pastikan anda sudah di wilayah yg Wifinya dikunci

2.Buka aplikasi wzcook.exe

3.Tunggu beberapa saat hingga muncul kumpulan password-passwordnya dan nama dari Wifinya

4.Tekan [CTRL]+[C] untuk memindah data ke directory C:\wepkeys.txt

5.Passwordnya ada pada bagian WEP KEY itu

Pengamanan Sistem Wireless

•Untuk sistem wireless LAN yang menggunakan IEEE 802.11b, disarankan untuk mensegmentasi jaringan dimana wireless LAN ini berada dan menganggap segmen ini sebagai extranet. Jika diperlukan, firewall digunakan untuk membatasi jaringan ini dengan jaringan internal yang membutuhkan keamanan lebih tinggi.

•Kebanyakan AP(acces point) akan memperbolehkan Anda memakai filter Media Access Control (MAC). Ini artinya Anda dapat membuat white list dari komputer yang bisa mengakses wireless network Anda, berdasarkan dari MAC atau alamat fisik yang ada di network card di masing-masing PC/ laptop. Koneksi dari MAC yang tidak ada dalam list akan ditolak. Metode ini tidak selamanya aman, karena masih mungkin bagi seorang hacker melakukan sniffing paket yang Anda transmit via wireless network dan mendapatkan MAC address yang valid dari salah satu user dan kemudian menggunakannya untuk melakukan spoof. Tetapi MAC filtering akan membuat kesulitan bagi hacker pemula.

•Enkripsi seperti WEP/WPA digunakan untuk menghindari dan mempersulit akses. WEP/WPA sendiri masih memiliki banyak masalah teknis, dimana crack (pemecahan) enkripsi WEP/WPA membutuhkan computing resources yang dimiliki oleh orang-orang tertentu.

•Pastikan untuk mengaktifkan metode WEP authentication dengan shared key daripada open system. Untuk open system, AP tidak melakukan enkripsi data, tetapi hanya melakukan otentifikasi client. Ubah WEP key sesering mungkin dan pakai 128-bit WEP serta hindari menggunakan 40-bit.

WEP (Wired Equivalent Privacy)

•WEP sendiri merupakan standart keamanan & enkripsi pertama yang digunakan pada wireless, WEP (Wired Equivalent Privacy) adalah suatu metoda pengamanan jaringan nirkabel, disebut juga dengan Shared Key Authentication. Shared Key Authentication adalah metoda otentikasi yang membutuhkan penggunaan WEP. Enkripsi WEP menggunakan kunci yang dimasukkan (oleh administrator) ke client maupun access point. Kunci ini harus cocok dari yang diberikan access point ke client, dengan yang dimasukkan client untuk authentikasi menuju access point, dan WEP mempunyai standar 802.11b.

Berikut adalah Proses Shared Key Authentication :

•Client meminta asosiasi ke access point(user dan password), langkah ini sama seperti Open System Authentication.

•Access point mengirimkan text challenge ke client secara transparan(user dan password).
•Client akan memberikan respon dengan mengenkripsi text challenge dengan menggunakan kunci WEP dan mengirimkan kembali ke access point.
Access point memberi respon atas tanggapan client, access point akan melakukan decrypt terhadap respon enkripsi dari client untuk melakukan verifikasi bahwa text challenge dienkripsi dengan menggunakan WEP key yang sesuai.
Pada proses ini, access point akan menentukan apakah client sudah memberikan kunci WEP yang sesuai. Apabila kunci WEP yang diberikan oleh client sudah benar, maka access point akan merespon positif dan langsung meng-authentikasi client. Namun bila kunci WEP yang dimasukkan client adalah salah, maka access point akan merespon negatif dan client tidak akan diberi authentikasi. Dengan demikian, client tidak akan terauthentikasi dan tidak terasosiasi.
•Kebanyakan pabrik menggunakan password administrasi yang sama untuk semua access Point(AP) produk mereka. Default password tersebut umumnya sudah diketahui oleh hacker yang nantinya dapat digunakan untuk merubah setting di AP Anda. Hal pertama yang harus dilakukan dalam konfigurasi AP adalah mengganti password default. Gunakan minimal 8 karakter, kombinasi antara huruf, function dan angka, dan tidak menggunakan kata-kata yang ada dalam kamus.
Namun pada tahun 2003, Wi-Fi Alliance mengumumkan bahwa WEP telah digantikan oleh Wi-Fi Protected Access (WPA).
WPA (Wi-Fi Protected Access) adalah suatu sistem yang juga dapat diterapkan untuk mengamankan jaringan nirkabel. Metoda pengamanan dengan WPA ini diciptakan untuk melengkapi dari sistem yamg sebelumnya, yaitu WEP. Para peneliti menemukan banyak celah dan kelemahan pada infrastruktur nirkabel yang menggunakan metoda pengamanan WEP. Sebagai pengganti dari sistem WEP, WPA mengimplementasikan layer dari IEEE, yaitu layer 802.11i. Nantinya WPA akan lebih banyak digunakan pada implementasi keamanan jaringan nirkabel.
Untuk melihat type keamanan dan type enkripsi suatu hotspot wireless, klik kanan di salah satu ssid(Service Set Identifier) hotspot pilih properties. Disana akan terlihat seperti gambar di bawah ini.
Ada 2 Type enkripsi:
TKIP dan AES

SETTING ACCESS POINT

•Static WEP Keys

Untuk mengimplementasikan static WEP keys ini kita harus mengatur secara manual WEP key pada access point dan dihubungkan ke client. Gambar berikut ini menunjukkan cara untuk memasuki WEP keys melalui infrastruktur.

•Centralized Encryption Key Servers

Centralized encryption key servers ini digunakan atas dasar alasan-alasan berikut:
–centralized key generation
–centralized key distribution
–ongoing key rotation
–reduced key management overhead
Beberapa nomor dari device yang berbeda dapat bertindak sebagai Centralized key server. Berikut ini gambar Centralized Encryption Key Servers:

•WEP Usage

Ketika WEP diinisialisasi, paket data akan dikirimkan dengan menggunakan WEP untuk meng-encrypt. Namun paket header data yang berisi MAC address tidak mengalami proses encrypt. Semua layer 3 yang berisi source dan destination mengalami encrypt.

•Advanced Encryption Standard (AES)

AES merupakan pengganti algoritma RC4 yang digunakan pada WEP. AES menggunakan algoritma Rijndale.

•Filtering

Merupakan mekanisme keamanan dasar yang digunakan untuk mendukunng WEP dan atau AES. Filtering memiliki arti menutup semua hubungan yang tidak diijinkan dan membuka semua hubungan yang diijinkan. Filtering terdiri dari tiga tipe dasar yang dapat diimplementasikan pada WLAN, yakni:

–SSID Filtering

–MAC Address Filtering

–Protocol Filtering

SSID Filtering merupakan metode penyaringan/ filtering yang bersifat elementer dan hanya digunakan untuk mengontrol hak akses. SSID merupakan nama dari jaringan.

MAC Address Filtering merupakan metoda filtering untuk membatasi hak akses dari MAC Address yang bersangkutan. Berikut ini adalah gambar yang menunjukkan illustrasi MAC filters:

MAC filters ini juga merupakan metode sistem keamanan yang baik dalam WLAN, karena peka terhadap jenis gangguan seperti:

–pencurian pc card dalam MAC filter dari suatu access point

–sniffing terhadap WLAN

Protocol Filtering merupakan metoda yang memungkinkan WLAN dapat menyaring paket-paket yang melalui jaringan dari layer 2 hingga layer 7. Berikut illustrasi dari protocol filtering:

•WEP Key Management

Dengan menggunakan WEP sebagai sistem keamanan maka akan dengan mudahnya hacker menembus sistem keamanan tersebut. Solusinya adalah dengan memberi WEP key untuk setiap paketnya.

•Wireless VPN

Merupakan salah satu teknologi yang berguna dalam keamanan koneksi pada Wireless LAN. Software yang digunakan untuk membangun VPN antara lain PPTP dan IP Sec.

WEB Security

Pertemuan 5

Web Security

Keamanan Server WWW :

a. Arsitektur sistem Web terdiri dari dua sisi: server dan client.

b. Web server adalah suatu daemon yang berfungsi menerima request melalui protocol http baik dari  local maupun dari internet.

 Cth: xampp, apache2triad dll.

c. Informasi yang direquest oleh browser bisa berupa file yang ada dalam storage atau meminta server untuk  melakukan fungsi tertentu. 

Cth browser: internet explorer, mozilla, opera, chrome dll.

Jenis-jenis web server:

a. IIS (web server untuk html dan asp).

b. APACHE web server (web server untuk html, php, asp, jsp, dan sebagainya). Bisa jalan di OS Windows dan LINUX

Mengaktifkan service apache

Start – run – ketik: services lalu enter – pilih service(local)

9 Celah Keamanan Pada Aplikasi Web

1.Unvalidated Input

   Semua aplikasi web menampilkan data dari HTTP request yang dibuat oleh user dan menggunakan data tersebut untuk melakukan operasinya. Hacker dapat memanipulasi bagian-bagian pada request (query string, cookie information, header) untuk membypass mekanisme keamanan.

Berikut ini tiga jenis penyerangan yang berhubungan dengan masalah ini:

- Cross site scripting

- Buffer overflows

- Injection flaws

Cara untuk menangani hal tersebut, diantaranya:

Tidak baik pada aplikasi web untuk percaya pada client side scripting. Script tersebut biasanya menghentikan form submission apabila terdapat sebuah input yang salah. Akan tetapi, script tersebut tidak dapat mencegah hacker untuk membuat HTTP requestnya sendiri yang terbebas dari form.

2.Broken Access Control

Banyak aplikasi yang terdapat user role dan admin role: hanya admin role yang diijinkan untuk mengakses halaman khusus atau melakukan action administration.

Masalah lain yang berhubungan dengan access control adalah:

• Insecure Ids – Beberapa site menggunakan id atau kunci yang menunjuk kepada user atau fungsi.

• File permissions – Kebanyakan web dan aplikasi server percaya kepada external file yang menyimpan daftar dari user yang terotorisasi dan resources mana saja yang dapat dan/atau tidak dapat diakses.

Langkah-langkah untuk mengatasinya adalah:

Dengan mengembangkan filter atau komponen yang dapat dijalankan pada sensitive resources. Filter atau komponen tadi dapat menjamin hanya user yang terotorisasi dapat mengakases. Untuk melindungi dari insecure Ids, kita harus mengembangkan aplikasi kita agar tidak percaya pada kerahasiaan dari Ids yang dapat memberi access control. Pada masalah file permission, file-file tersebut harus berada pada lokasi yang tidak dapat diakses oleh web browser dan hanya role tertentu saja yang dapat mengaksesnya.

3.Broken Authentication dan Session Management

Authentication dan session management menunjuk kepada semua aspek dari pengaturan user authentikasi dan management of active session.

Berikut ini beberapa hal yang perlu diperhatikan:

•Password strength – Aplikasi kita harus memberikan level minimal dari keamanan sebuah password, dimana dapat dilihat dengan cara melihat panjang dari password dan kompleksitasnya.

•Password use – Aplikasi kita harus membatasi user yang mengakses aplikasi melakukan login kembali ke sistem pada tenggang waktu tertentu.

•Password storage – password tidak boleh disimpan di dalam aplikasi. Password harus disimpan dalam format terenkripsi dan disimpan di file lain seperti file database atau file password.

•Issue lain yang berhubungan : password tidak boleh dalam bentuk hardcoded di dalam source code.

•Session ID Protection – server biasanya menggunakan session Id untuk mengidentifikasi user yang masuk ke dalam session.

Salah satu cara yang dapat digunakan untuk mencegah terlihatnya session ID oleh seseorang pada suatu jaringan yang sama adalah menghubungkan komunikasi antara sever dan client pada sebuah SSL-protected channel.

4.Cross Site Scripting

Cross site scripting terjadi ketika seseorang membuat aplikasi web melalui script ke user lain. Hal ini dilakukan oleh penyerang dengan menambahkan content (seperti JavaScript, ActiveX, Flash) pada request yang dapat membuat HTML output yang dapat dilihat oleh user lain

Cara yang bisa digunakan untuk mencegah serangan cross site scripting adalah dengan melakukan validasi data masuk dari user request (seperti header, cookie, user parameter,...).

5.Buffer Overflows

Penyerang dapat menggunakan buffer overflows untuk merusak aplikasi web. Penyerang mengirimkan request yang membuat server menjalankan kode-kode yang dikirimkan oleh penyerang.

Tetapi pada desain dari Java environment, aplikasi yang berjalan pada J2EE server aman dari jenis serangan ini.

Untuk memastikan keamanan, cara yang paling baik adalah melakukan pengawasan apabila terdapat patch atau bug report dari produk server yang digunakan.

6.Injection Flaws

Hacker dapat mengirimkan atau menginject request ke operating system atau ke external sumber seperti database.

Berikut ini salah satu contoh dari SQL injection: masukkan salah satu keyword di google untuk mendapatkan halaman login.Cth.: “/admin.asp" , "/login.asp" dll. Kalau sudah dapat isikan di username “or”=“ di password “or”=“ lalu klik login kalau sukses akan masuk

Sintak di web: Select * from admin where username = ‘administrator’ and Password = ‘admin’ Maka inputkan: ”or ‘’ = “ Didapatkan: Select * from admin where username = ‘’ or ‘’ = ‘’ and Password = ‘’ or ‘’=’’ Perintah: “or “=“ menjadikan kondisi query menjadi true.

Untuk mencegah inputan diatas maka di skrip php pada variabel penampung data post ditambahkan mysql_real_escape_string() utk validasi input: $username =mysql_real_escape_string($_POST['username']); $password = mysql_real_escape_string($_POST['password']); Untuk pengguna php.

7.Insecure Storage

Aplikasi web biasanya menyimpan informasi penting yang perlu dienkripsi untuk menghindari pengaksesan secara langsung.Berikut ini beberapa kesalahan yang terjadi:

  a. Kesalahan untuk mengenkripsi data penting

  b. Tidak amannya kunci, certificate, dan password

  c. Kurang amannya lokasi penyimpanan data

  d. Kurangnya perhitungan dari randomisasi

  e. Kesalahan pemilihan algoritma

  e. Mencoba untuk menciptakan algoritma enkripsi yang baru

Salah satu cara yang dilakukan untuk menghindari kesalahan penyimpanan informasi yang sensitif adalah : tidak membuat password sebagai atribut dari kelas yang mewakili informasi user;

8.Denial of Service

Denial of Service merupakan serangan yang dibuat oleh hacker yang mengirimkan request dalam jumlah yang sangat besar dan dalam waktu yang bersamaan. 

Dikarenakan request-request tersebut, server menjadi kelebihan beban dan tidak bisa melayani user lainnya. Serangan DoS mampu menghabiskan bandwidth yang ada pada server.

Merupakan ide / cara yang bagus untuk membuat load quota yang membatasi jumlah load data yang akan diakses user dari sistem.

9.Insecure Configuration Management

Biasanya kelompok (group) yang mengembangkan aplikasi berbeda dengan kelompok yang mengatur hosting dari aplikasi.

Untuk memeriksa keamanan website kita bisa gunakan situs http://sucuri.net, langsung ketikan nama websitenya di what’s your domain? Lalu Klik scan this site

Berikut ini adalah kesalahan konfigurasi server yang bisa menimbulkan masalah:

• Hak akses direktori atau file yang salah.

• Adanya service yang seperti remote administration dan content management yang masih aktif.

• Penggunaan default account dan default password.

• Fungsi administrative atau fungsi debug yang bisa diakses. 

  Adanya pesan error yang informatif dari segi teknis.

• Kesalahan konfigurasi SSL certificate dan setting enkripsi

• Penggunaan self-signet certificates untuk melakukan autentikasi.

Keamanan Client WWW

a. Pelanggaran privacy

Ketika kita mengunjungi sebuah situs web, browser kita dapat “dititipi” sebuah “cookie” yang fungsinya adalah untuk menandai kita. 

Ketika kita berkunjung ke server itu kembali, maka server dapat mengetahui bahwa kita kembali dan server dapat memberikan setup sesuai dengan keinginan (preference) kita. 

Ini merupakan servis yang baik. Namun data-data yang sama juga dapat digunakan untuk melakukan tracking kemana saja kita pergi.

b. Penyisipan virus atau trojan horse (menyisipkan kode/skrip program ke sebuah browser/aplikasi).

Salah satu contoh yang sudah terjadi adalah adanya web yang menyisipkan trojan horse Back Orifice (BO) atau Netbus sehingga komputer anda dapat dikendalikan dari jarak jauh.

Orang dari jarak jauh dapat menyadap apa yang anda ketikkan, melihat isi direktori, melakukan reboot, bahkan memformat harddisk.

pertemuan 4 E-Mail Security

E-Mail Security

E-Mail Security

Dalam proses pengiriman email ada 2 komponen:

MUA (Mail User Agent) yang digunakan sebagai user interface dalam menulis/membaca surat, seperti Outlook, Pine, dll. Biasanya disebut program mail

MTA (Mail Transfer Agent) yang bertugas mengantarkan email, seperti Postfix, Sendmail, Qmail. MTA ini seperti kantor Pos pada proses pengiriman email yang akan mengirimkan dan memberikan stempel pada setiap email.Biasanya dikenal dengan istilah mailer

Sistem Email

Proses pengiriman E-Mail mirip proses pengiriman surat pos.

Aliran surat Pos sbb:

Rumah pengirim -> Kantor Pos Terdekat Pengirim -> Kantor

Pos Pusat Pengirim -> Kantor Pos Pusat Penerima -> KantorPos Rumah Penerima.

Terdekat Penerima->Rumah Penerima.

• Header dapat memiliki beberapa field yang baku, seperti “From:”, “To:”, “Subject:”, “Date:”, “Cc:”, “Bcc:”

• Tetapi ada juga field yang ada, namun biasanya tidak  terlihat, seperti “Message-ID:”, “Received:”, dan lain-lain.

• Berikut ini adalah contoh header sebuah email, lengkap dengan field-field lainnya. ( Melihat full header di yahoo: buka inbox - klik email yg dibaca – lihat menu ‘Reply | Forward | Print | Delete |  dst - klik tanda roda(more action…) – klik view full header.   Kalau di gmail: buka inbox - klik email yg dibaca lihat menu more klik panah ke bawah – pilih view full header

Masalah yang berhubungan dengan email

Ada beberapa masalah keamanan yang terkait dengan sistem email, yaitu:

• Disadap

• Dipalsukan

• Disusupi (virus)

 • Spamming

• Mailbomb

• MailRelay

contoh di bawah ini dengan E-Mail Bomber, dapat langsung dijalankan tanpa diinstall :

Daftar Database Mail Relay

Tempat-tempat database server yang memperkenankan mail relay:

• Mail Abuse Prevention System: http://mail-abuse.org

• ORBZ –http://www.orbz.org/

• ORDB – Open Relay Database: http://www.ordb.org/

• RBL-typereriksso/rbl/rbl.htmlOpenRelayBlackholeZone:services:

http://www.ling.helsinki.fi/users/

pertemuan 3 keamanan sistem informasi

Keamanan Sistem Informasi

Kenapa harus ada keamanan sistem informasi?

Meski  sebuah  sistem  informasi  sudah  dirancang memiliki  perangkat pengamanan, harus selalu dimonitor. Hal ini disebabkan oleh beberapa hal, antara lain:

Ditemukannya  lubang  keamanan  (security  hole)  baru.  Perangkat lunak  dan  perangkat  keras  biasanya sangat kompleks  sehingga  tidak mungkin  untuk  diuji seratus    persen.  Kadang-kadang  ada  lubang keamanan yang   ditimbulkan oleh kecerobohan implementasi.

Kesalahan  konfigurasi.  Karena  lalai atau  alpa, konfigurasi sebuah  sistem kurang benar sehingga lubang keamanan. Misalnya mode  (permission atau kepemilikan) dari berkas yang menyimpan  password  secara  tidak sengaja diubah sehingga dapat diubah atau ditulis.

Contoh di windows Atau di /etc/passwd di sistem linux dengan perintah chmod 777 /etc/passwd sehingga memberi izin user,group,other untuk read,write, execute.

-            Sumber Lubang Keamanan

Lubang keamanan  (security hole) dapat  terjadi karena : Salah disain  (Design  Flaw)dari   paket TCP/IP. Sehingga  timbul  masalah  yang  dikenal  dengan nama “IP spoofing”.

Implementasi Kurang Baik Contoh :  seringkali batas/bound  dari  sebuah “array”  tidak  dicek  sehingga  terjadi  yang disebut out-of-bound  array  atau  buffer  overflow  yang  dapat dieksploitasi (misalnya overwrite ke variable berikutnya).Contoh lain adalah kealpaan memfilter karakter-karakter yang aneh-aneh yang  dimasukkan sebagai  input dari sebuah program web

Salah Konfigurasi Contoh : Berkas  yang  semestinya  tidak dapat  diubah   oleh  pemakai  secara  tidak  sengaja  menjadi  “writeable”.Apabila  berkas  tersebut  merupakan  berkas  yang  penting,  seperti  berkas yang digunakan untuk menyimpan password.

Salah Menggunakan Program atau Sistem Contoh : Kesalahan  menggunakan  program  dengan account root (super user) dapat berakibat fatal. Sering terjadi cerita horor dari sistem administrator baru yang teledor dalam menjalankan perintah  “rm  -rf” (remove) di  sistem linux  (yang menghapus  berkas  atau  direktori beserta  sub direktori  di  dalamnya).  Akibatnya  seluruh  berkas  di  sistem menjadi  hilang  mengakibatkan  Denial  of  Service  (DoS).

Cara Mengamankan  Sistem Informasi

Pada  umumnya,  pengamanan  dapat  dikategorikan  menjadi  dua  jenis :

-  Pencegahan  (preventif)

   Usaha  pencegahan dilakukan  agar  sistem  informasi  

   tidak  memiliki  lubang  keamanan

-  Pengobatan  (recovery).

   Usaha-usaha  pengobatan  dilakukan  apabila  lubang  

   keamanan sudah dieksploitasi.

Beberapa cara  yang  dapat  digunakan  untuk  mengamankan  informasi adalah :

• Mengatur akses

• Menutup Servis yang tidak digunakan

• Memasang Proteksi

• Firewall

• Pemantau adanya serangan

• Pemantau integritas sistem

• Audit

• Backup secara rutin

• Penggunaan enkripsi

• telnet atau shell aman

A. Mengatur akses (Access Control)

Mengatur  akses  ke  informasi  melalui  mekanisme “authentication”  dan  “access  control”.  Implementasi  dari mekanisme  ini antara lain dengan menggunakan “password”. Di sistem LINUX dan Windows NT,untuk menggunakan sebuah sistem atau komputer, pemakai  diharuskan  melakukan  authentication  dengan menuliskan  “userid”  dan  “password”. Apabila keduanya  valid,  pemakai tersebut diperbolehkan menggunakan sistem. Apabila ada yang salah, pemakai tidak dapat menggunakan sistem. Informasi  tentang  kesalahan  ini  biasanya  dicatat  dalam berkas  log.

Hal-hal  yang sebaiknya dihindari  sebagai password adalah :

1.      Nama anda, nama istri / suami, anak, nama teman.

2.      Nama komputer yang anda gunakan.

3.      Nomor telepon atau plat nomor kendaran anda

4.      Tanggal lahir

5.      Alamat rumah

6.      Nama tempat yang terkenal.

B. Menutup Servis Yang Tidak Digunakan

Seringkali  sistem  (perangkat  keras  dan/atau  perangkat  lunak)  diberikan beberapa  servis  yang dijalankan sebagai  default.  Contoh Pada sistem LINUX servis-servis berikut  sering dipasang dari vendornya:  finger, telnet, ftp, smtp, pop,echo, dan seterusnya. Pada sistem windows seperti servis apache, mysql, telnet, remote dekstop dll.

C. Memasang Proteksi

Untuk  lebih  meningkatkan  keamanan  sistem  informasi,  proteksi  dapat ditambahkan. Proteksi ini dapat berupa filter(secara umum) dan yang lebih spesifik firewall.

Filter  dapat  digunakan  untuk  memfilter  e-mail, informasi, akses, atau bahkan dalam level packet.Contoh :LINUX paket  program  “tcpwrapper” dapat   digunakan  untuk membatasi  akses servis  atau   aplikasi  tertentu. 

D. Firewall

Firewall  bekerja  dengan  mengamati  paket  IP  (Internet  Protocol)  yang melewatinya. Berdasarkan konfigurasi darifirewall maka akses dapat diatur berdasarkan  IP  address,  port,  dan  arah  informasi. Firewall  dapat  berupa  sebuah  perangkat  keras  yang  sudah  dilengkapi dengan perangkat lunak  tertentu,sehingga pemakai (administrator)  tinggal melakukan  konfigurasi  dari  firewall  tersebut.  Firewall  juga  dapat berupa perangkat  lunak  yang  ditambahkan  kepada  sebuah  server.

E. Pemantau adanya serangan

Sistem pemantau (monitoring system) digunakan untuk mengetahui adanya tamu tak diundang (intruder) atau adanya serangan (attack).Nama lain dari sistem  ini  adalah  “intruder  detection  system”  (IDS).  Sistem  ini  dapat memberitahu administrator melalui e-mail maupun melalui mekanisme lain seperti melalui pager.

Contoh software IDS antara lain :

1.      Autobuse

2.      Courtney  dan  portsentry

3.      Shadow dari SANS

4.      Snort 

F. Pemantau integritas sistem

Pemantau  integritas  sistem  dijalankan  secara  berkala  untuk  menguji integratitas  sistem.

Contoh :  Pada Sistem UNIX  adalah  program  Tripwire.  Program  paket  Tripwire  digunakan untuk memantau adanya perubahan pada berkas. Tripwire  dijalankan  dan  membuat  database  mengenai  berkas-berkas  atau direktori  yang  ingin  kita  amati  beserta  “signature”  dari

berkas  tersebut.

G. Audit (Mengamati Berkas Log)

Hampir semua  kegiatan  penggunaan  sistem  dapat  dicatat  dalam berkas yang biasanya disebut “logfile” atau“log” saja.  Berkas log ini sangat berguna  untuk  mengamati  penyimpangan  yang  terjadi.  Kegagalan  untuk masuk ke sistem (login), akan tersimpan di dalam berkas log. Untuk itu para  administrator  diwajibkan  untuk  rajin  memelihara  dan  menganalisa berkas log yang dimilikinya.

H. Backup secara rutin

Seringkali  tamu  tak  diundang  (intruder)  masuk  ke  dalam  sistem  dan merusak sistem dengan menghapus berkas-berkas yang ditemui. Jika intruder  ini  berhasil  menjebol  sistem  dan  masuk  sebagai  administrator, maka  ada  kemungkinan  dia  dapat  menghapus  seluruh berkas. Untuk  itulah, backup data wajib dilakukan  secara rutin.Untuk sistem yang sangat esensial, secara berkala perlu dibuat backup yang letaknya  berjauhan  secara  fisik.  Hal ini  dilakukan  untuk  menghindari hilangnya  data  akibat  bencana  seperti  kebakaran,  banjir,  dll. karena bila data

dibackup tetapi diletakkan pada lokasi yang  sama, kemungkinan data akan hilang  jika  tempat yang bersangkutan mengalami bencana seperti kebakaran.

I. Penggunaan Enkripsi

Salah  satau  mekanisme  untuk  meningkatkan  keamanan  adalah  dengan menggunakan  teknologi  enkripsi.  Data-data  yang  anda  kirimkan  diubah sedemikian  rupa  sehingga  tidak mudah disadap. Banyak  servis di Internet yang  masih  menggunakan  “plain  text”  untuk  authentication,  seperti penggunaan pasangan  userid  dan  password.  Informasi  ini  dapat  dilihat dengan mudah oleh program penyadap atau pengendus (sniffer).

Contoh servis yang menggunakan plain text  antara lain :

1.      Akses jarak jauh dengan menggunakan telnet dan rlogin

2.      Transfer file dengan menggunakan FTP

3.      Akses email melalui POP3 dan IMAP4

4.      Pengiriman email melalui SMTP 

5.      Akses web melalui HTTP

Penggunaan  enkripsi dapat digunakan untuk  remote  akses  (misalnya  melalui  ssh  sebagai penggani telnet atau rlogin)

J. Telnet atau shell aman

Enkripsi  dapat  digunakan  untuk  melindungi adanya  sniffing. Paket  yang  dikirimkan  dienkripsi  dengan algoritma DES atau Blowish (dengan menggunakan kunci session yang dipertukarkan via RSA  atau  Diffie-Hellman) sehingga  tidak  dapat  dibaca  oleh  orang  yang tidak berhak. Salah satu  implementasi mekanisme  ini adalah SSH (Secure Shell).

Ada beberapa implementasi SSH ini, antara lain :

1.SSH  untuk  UNIX  (dalam  bentuk  source  code,  gratis, mengimplementasikan protokol SSH versi 1 dan versi 2)

2. SSH  untuk Windows95  dari Data  Fellows  (komersial,ssh  versi  1  dan versi 2)

             http://www.datafellows.com

3. TTSSH,  yaitu  skrip  yang  dibuat  untuk  Tera  Term  Pro (gratis,  untuk Windows 95, ssh versi 1) http://www.paume.itb.ac.id/rahard/koleksi

4. SecureCRT untuk Windows95 (shareware / komersial)

5. Putty  (SSH  untuk  Windows  yang  gratis,  ssh  versi  1)  Selain menyediakan  ssh,  paket  putty  juga  dilengkapi dengan  pscp  yang mengimplementasikan secure copy  sebagai pengganti FTP.