Mengamankan Sistem Informasi

Authentication, arti basicnya adalah Pemeriksaan terhadap protokol yang didukung oleh browser, termasuk Internet Explorer, dengan menggunakan suatu metode untuk memeriksa nama user dan password dengan proses encode dalam transmisi data. Basic authentication kadangkala disebut dengan clear-text authentication karena proses encode Base-64 dapat didecode oleh siapapun dengan menggunakan sebuah alat bantu yang bebas digunakan untuk proses decode ini. Yang perlu diketahui adalah bahwa proses encoding tidak sama dengan encryption.Internet Access Authentication ini berlaku untuk semua desktop PC, notebook/laptop, mobile handheld dan perangkat jaringan lainnya yang tergabung kedalam UnpadNet. Oleh karena itu, kami menghimbau pengguna untuk segera :

1. Memiliki account PAuS (Padjadjaran Authentication System)
2. Mendaftarkan desktop PC, notebook/laptop, dan perangkat jaringan lainnya

Aspek security jaringan berkaitan erat dengan servis yang disediakan: inbound atau outbound. Security pada servis outbound dapat diupayakan sebaik mungkin dengan konfigurasi firewall. Demikian pula dengan akses anonymous servis inbound, seperti anonymous FTP, HTTP, Gopher dll. Dalam hal ini, informasi sengaja disediakan bagi semua orang. Lain halnya bila kita ingin menyediakan akses non-anonymous (atau authenticated services), dimana selain melalui firewall, seseorang yang meminta akses juga harus mendapat ‘ijin’ server setelah terlebih dahulu membuktikan identitasnya. Inilah authentication. Untuk selanjutnya, penulis menggunakan istilah autentisasi sebagai sinonim kata tersebut.

Mengapa perlu autentisasi…..? Internet adalah jaringan publik, dan terbuka bagi setiap orang diseluruh penjuru dunia untuk menggabungkan diri. Begitu besarnya jaringan ini, telah menimbulkan keuntungan serta kerugian. Sering kita dengar dan baca tentang bobolnya sistem komputer keuangan bank, informasi rahasia Pentagon atau basis data transkrip akademik mahasiswa. Kalimat tersebut cukup untuk mewakili pernyataan bahwa kita harus ‘waspada’ terhadap orang-orang ‘jahat’ dan senantiasa berusaha memperkecil kemungkinan bagi mereka untuk dapat melakukan niat jahatnya. Memang mudah untuk meniadakan kemungkinan penyusupan (akses ilegal) dari luar dengan menutup semua kanal trafik servis inbound ke jaringan internal. Namun ini berarti telah mereduksi keuntungan utama adanya jaringan: komunikasi dan pemakaian sumber daya bersama (sharing resources). Jadi, konsekuensi alami dengan jaringan cukup besar, adalah menerima dan berusaha untuk memperkecil resiko ini, bukan meniadakannya.

Kerahasiaan data dan password juga merupakan topik disain security. Program yang didedikasikan untuk packet-sniffing dapat secara otomatis menampilkan isi setiap paket data antara client dengan servernya. Proteksi password dari kejahatan demikian dapat dilakukan dengan implementasi password sekali pakai (non-reusable password), sehingga walaupun dapat termonitor oleh sniffer, password tersebut tidak dapat digunakan lagi.

Resiko hijacking dan sniffing data (bukan password) tidak dapat dihindari sama sekali. Artinya NA harus mempertimbangkan kemungkinan ini dan melakukan optimasi bagi semakin kecil-nya kesempatan tersebut. Pembatasan jumlah account dengan akses penuh serta waktu akses jarak jauh, merupakan salah satu bentuk optimasi.

MEKANISME AUTENTISASI
Subyek autentisasi adalah pembuktian. Yang dibuktikan meliputi tiga kategori, yaitu: sesuatu pada diri kita (something you are SYA), sesuatu yang kita ketahui (something you know SYK), dan sesuatu yang kita punyai (something you have SYH). SYA berkaitan erat dengan bidang biometrik, seperti pemeriksaan sidik-jari, pemeriksaan retina mata, analisis suara dll. SYK identik dengan password. Sedangkan bagi SYH umumnya digunakan kartu identitas seperti smartcard.

Evaluasi Keaman Sistem Informasi

Seperti yang telah dibahas pada artikel penulis sebelumnya, bahwa kejahatan cyber akan terus berkembang seiring dengan kemajuan teknologi itu sendiri. Oleh karena itu, adanya evaluasi terhadap pengamanan sistem informasi yang telah dibangun sangatlah diperlukan. Meski sebuah sistem informasi sudah dirancang memiliki perangkat pengamanan, dalam operasi masalah keamanan harus selalu dimonitor. Hal ini disebabkan oleh beberapa hal, antara lain:

• Ditemukannya lubang keamanan (security hole) yang baru. Perangkat lunak dan perangkat keras biasanya sangat kompleks sehingga tidak mungkin untuk diuji seratus persen. Kadang-kadang ada lubang keamanan yang ditimbulkan oleh kecerobohan implementasi.
• Kesalahan konfigurasi. Kadang-kadang karena lalai, konfigurasi sebuah sistem kurang benar sehingga menimbulkan lubang keamanan. Misalnya mode (permission atau kepemilikan) dari berkas yang menyimpan password secara tidak sengaja diubah sehingga dapat diubah oleh orang-orang yang tidak berhak.
• Penambahan perangkat baru (hardware dan/atau software) yang menyebabkan menurunnya tingkat keamanan atau berubanya metode untuk mengoperasikan sistem. Operator dan administrator harus belajar lagi. Dalam masa belajar ini banyak hal yang jauh dari sempurna, misalnya server atau software masih menggunakan konfigurasi awal dari vendor (dengan password yang sama).

Sumber Lubang Keamanan

Lubang keamanan (security hole) dapat terjadi karena beberapa hal:

• Salah/kecacatan desain (design flaw).

Biasanya hal ini jarang terjadi, jika iya maka akan sangat sulit untuk diperbaiki. Contoh : kesalahan desain urutan nomor (sequence numbering) dari paket TCP/IP dapat dieksploitasi sehingga timbul masalah yang dikenal dengan nama “IP spoofing“, yaitu sebuah host memalsukan diri seolah-olah menjadi host lain dengan membuat paket palsu setelah mengamati urutan paket dari host yang hendak diserang.

• Salah implementasi.

Merupakan kesalahan yang sering terjadi diakibatkan karena peng-implementasian program secara terburu-buru sehingga kurang cermat dalam pengkodean dan pengujian program tidak dilakukan. Contoh : programmer lupa untuk memfilter karakter-karakter spesial/aneh hasil dari input sebuah program sehingga user/client bisa mengakses dan mengubah data/berkas yang seharusnya tidak boleh diubah.

• Salah konfigurasi.

Contoh kesalahan yang sering terjadi biasanya administrator lupa untuk mengunci attribut/properti dari file-file penting yang seharusnya “read-only” menjadi “writeable“. Sehingga pemakai bisa seenaknya merubah isi dari file/berkas tersebut.

• Salah penggunaan.

Contohnya apabila seorang sistem adminstrator masuk ke dalam sistem menggunakan account root (super user dalam sistem UNIX) dan secara tidak sengaja menghapus direktori maupun berkas penting.

Penguji Keamanan Sistem

Dikarenakan banyaknya hal yang harus dimonitor, administrator dari sistem informasi membutuhkan perangkat pembantu otomatis yang dapat membantu menguji atau mengevaluasi keamanan sistem yang dikelola. Untuk sistem yang berbasis UNIX ada beberapa tools yang dapat digunakan, antara lain: Cops, Tripwire, Satan, SBScan (localhost security scanner). Sedangkan sistem yang berbasis Windows NT misalnya program Ballista.

Selain program-program/tools seperti yang tersebut di atas, ada banyak program yang dibuat oleh hackers untuk melakukan uji coba. Contoh program-program tersebut antara lain:

• Crack, yaitu program untuk menduga atau memecahkan password dengan menggunakan sebuah rumus (dictionary).
• Land, yaitu sebuah program yang dapat membuat sistem Windows 95/NT menjadi macet (hang, lock up). Program ini mengirimkan sebuah paket yang sudah di “spoofed” sehingga seolah-olah paket tersebut berasal dari mesin yang sama dengan menggunakan port yang terbuka (misalnya port 113 atau 139).
• Ping-of-death, sebuah program (ping) yang dapat meng-crash-kan Windows 95/NT dan beberapa versi UNIX.
• Winuke, program untuk memacetkan sistem berbasis Windows.

Probing Services

Servis di internet umumnya dilakukan dengan menggunakan protokol TCP atau UDP. Setiap servis dijalankan dengan menggunakan port yang berbeda, misalnya:

• SMTP (untuk mengirim dan menerima e-mail, TCP, port 25)
• POP3 (untuk mengambil e-mail, TCP, port 110)
• HTTP (untuk web server, TCP, port 80)
• DNS (untuk domain, UDP dan TCP, port 53)

Sebenarnya masih banyak servis-servis lain yang tersedia. Pemilihan servis tergantung kepada kebutuhan dan tignkat keamanan yang diinginkan. Sayangnya seringkali sistem yang dibeli atau dirakit menjalankan beberapa servis utama sebagai “default“. Kadang-kadang beberapa servis harus dimatikan karena ada kemungkinan dapat dieksploitasi oleh cracker. Untuk itu ada beberapa program yang dapat digunakan untuk melakukan “probe” (meraba) servis apa saja yang tersedia. Program ini juga dapat digunakan oleh kriminal untuk melihat servis apa saja yang tersedia kemudian melakukan penyerangan.

Untuk beberapa servis yang berbasis TCP/IP, proses probe dapat dilakukan dengan menggunakan program telnet. Misalnya utnuk melihat apakan ada servis e-mail dengan menggunakan SMTP digunakan telnet ke port 25. Paket probe untuk sistem UNIX : nmap, strobe, tcpprobe. Untuk sistem Windows 95/98/NT : Netlab, Cyberkit, Ogre.

Mendeteksi Probing

Untuk mendeteksi adanya probing terhadap sistem dapat dipasang suatu program untuk memonitornya. Probing biasanya meninggalkan jejak di berkas log di sistem. Dengan mengamati entry di dalam berkas log dapat diketahui adanya probing. Contoh program yang bisa digunakan : courtney, portsentry dan tcplogd.

OS Fingerprinting

Fingerprinting merupakan istilah yang umum digunakan untuk menganalisa OS (Operating System/sistem operasi) sistem yang dituju. Fingerprinting dapat dilakukan dengan berbagai cara, yang paling konvensional adalah:

1. Melakukan telnet ke server yang dituju.
2. Servis FTP yang tersedia di port 21. Dengan melakukan telnet ke port tersebut dan memberikan perintah “SYST” anda dapat mengetahui versi OS yang digunakan.
3. Menggunakan program Netcat.

Dasar-dasar Keamanan Sistem Informasi

Keamanan sistem informasi merupakan salah satu aspek yang sangat penting untuk diperhatikan saat ini. Dimana kemajuan teknologi informasi telah berkembang dengan pesat sehingga menjadikannya sebagai suatu lahan baru bagi pelaku tindak kriminal untuk menjalankan aksinya. Berbicara mengenai kejahatan di dunia maya (cyber crime) sepertinya tidak akan ada habisnya mengingat teknik dan modus operandi-nya akan selalu berkembang seiring dengan kemajuan teknologi informasi itu sendiri. Namun satu hal yang perlu digarisbawahi, pengetahuan dasar mengenai metode pengamanan informasi merupakan kunci bagi pelaku IT untuk mengambil tindakan preventive terhadap kemungkinan-kemungkinan terjadinya kejahatan cyber.

David Khan dalam bukunya “The Code Breakers” membagi masalah pengamanan informasi menjadi dua kelompok, yaitu:

1. Security : dikaitkan dengan pengamanan data.
2. Intelligence : dikatikan dengan pencarian (pencurian, penyadapan) data.

Metode Pengamanan Data

Dapat dilakukan dengan dua cara, yaitu:

1. Steganography

Steganography/steganografi berasal dari bahasa Yunani yang artinya tulisan tersembunyi (concealed writing). Atau bisa diartikan juga sebagai seni menyamarkan/menyembunyikan pesan tertulis ke dalam pesan lainnya. Pengamanan dengan menggunakan steganografi membuat seolah-olah pesan rahasia tidak ada atau tidak nampak. Padahal pesan tersebut ada. Hanya saja kita tidak sadar bahwa ada pesan tersebut di sana. Biasanya pesan-pesan rahasia tersebut akan disembunyikan dalam obyek-obyek lain seperti gambar atau artikel.

Teknik penyembunyian pesan pun bisa bermacam-macam. Jika orang jaman dahulu menggunakan tinta transparan (invisible ink) atau kayu yang ditulis dan ditutup dengan lilin, dikenal dengan istilah (wax tablets). Sedangkan di era teknologi canggih saat ini, bisa dilakukan melalui file MP3, video, gambar digital, ataupun file dokumen dan dikenal dengan istilah digital watermarking.

Ilmu yang mempelajari tentang teknik pendeteksian pesan-pesan tersembunyi tersebut adalah steganalisis.

2. Cryptography

Berasal dari kata Yunani, kryptos artinya tersembunyi/rahasia dan graphia artinya tulisan. Jadi kriptografi bisa diartikan sebagai ilmu/seni yang mempelajari tentang teknik mengamankan pesan/informasi. Perbedaannya dengan steganografi adalah, jika steganografi pesan disembunyikan sedemikian rupa sehingga seolah tidak nampak. Sedangkan kriptografi mengacak/mengubah pesan asli kedalam bentuk lain sehingga menjadi tidak bermakna

Pengamanan dengan kriptografi membuat pesan nampak, hanya bentuknya yang sulit dikenali karena telah diacak sedemikian rupa. Pada kriptografi pengamanan dilakukan dengan dua cara, yaitu:

• Transposisi, dengan cara mengubah-ubah posisi huruf.
• Substitusi, dengan cara menggantikan huruf tertentu dengan huruf/simbol lain.

Dalam istilah-istilah kriptografi, para pelaku atau praktisi kriptografi disebut cryptographers. Enkripsi/encryption merupakan teknik penyembunyian informasi asli (plaintext). Ketika informasi asli tersebut telah dienkripsi, maka disebut sebagai ciphertext (informasi yang seolah tidak bermakna apa-apa). Teknik untuk mengubah ciphertext menjadi bentuk asalnya (plaintext) disebut decryption.

Sebuah algoritma kriptografik disebut cipher, merupakan persamaan matematik yang digunakan untuk proses enkripsi dan dekripsi. Cryptanalysis adalah seni/ilmu untuk memecahkan ciphertext tanpa bantuan kunci. Cryptanalyst adalah pelaku atau praktisi yang menjalankan cryptanalysis.

Dasar-dasar Enkripsi

Enkripsi digunakan untuk menyandikan data-data atau informasi sehingga tidak dapat dibaca oleh orang yang tidak berhak. Data disandikan (encrypted) dengan menggunakan sebuah kunci (key). Untuk membuka (decrypt) data tersebut digunakan juga sebuah kunci yang dapat sama dengan kunci untuk mengenkripsi (private key cryptography) atau dengan kunci yang berbeda (public key cryptography).

Secara matematis, proses enkripsi dapat dituliskan sebagai : E(M) = C. Untuk proses dekripsi rumusnya : D(C) = M.

ket : M = message/plainttext , C = ciphertext.

Elemen-elemen dari enkripsi :

• Algoritma dari enkripsi dan dekripsi.
• Kunci yang digunakan dan panjangnya kunci.
• Plaintext, adalah pesan atau informasi yang akan dikirimkan dalam format yang mudah dibaca atau dalam bentuk aslinya.
• Ciphertext, adalah informasi yang sudah dienkripsi.

Dua metode untuk menghasilkan ciphertext adalah:

1. Stream Cipher : tiap bit dari data akan dienkripsi secara berurutan dengan menggunakan 1 bit dari key tersebut (melakukan enkripsi terhadap semua bit). Contoh: vernam cipher.
2. Blok Cipher : melakukan enkripsi data terhadap kelompok-kelompok data yang berukuran tertentu. Contoh : Data Encryption Standard (DES). DES dikenal sebagai Data Encryption Algorithm (DEA) oleh ANSI dan DEA-1 oleh ISO, merupakan algoritma kriptografi simetris yang paling umum digunakan saat ini. Aplikasi yang menggunakan DES antara lain: - enkripsi password di sistem UNIX.

Enigma Rotor Machine

Merupakan sebuah alat enkripsi dan dekripsi mekanik yang digunakan dalam perang dunia kedua oleh Jerman.

Aplikasi dari Enkripsi

Contoh penggunaan enkripsi adalah program Pretty Good Privacy (PGP) untuk mengenkripsi dan menambahkan digital signature dalam email yang dikirim. Dan juga program Secure Shell (SSH) untuk mengenkripsi sesion telnet ke sebuah host.

Kelemahan enkripsi

• Penanganan yang salah atau kesalahan manusia.
• Kurangnya manajemen data enkripsi.
• Kekurangan dalam cipher itu sendiri.
• Serangan brute force.

Pengenalan Keamanan Jarkom

1. Software bugs, dari istilah lainnya software open source yaitu Pengembangan software berbasiskan open source, saat ini telah menjadi suatu fenomena tersendiri. Model ini telah berkembang sejak awal mula perkembangan teknologi komputer, namun kini telah menjadi semakin populer terutama berkat pemakaian Internet di berbagai bidang. Banyak software-software yang mendukung Internet merupakan software open source. Gema open source pun telah sampai hingga Indonesia, terbukti dengan mulai munculnya proyek-proyek yang bersifat open source, berkisar dari proyek pengembangan software hingga pembuatan dokumentasi. Perkembangan ini tentu saja sangat membanggakan. Namun demikian pengembangan software berbasiskan open source di Indonesia masih memiliki banyak hambatan yang sewaktu-waktu dapat mengancam kelangsungannya, oleh karena itu diperlukan langkah-langkah yang dilakukan oleh berbagai pihak untuk mengatasinya. Saat ini open source telah menjadi suatu tren dan berita besar di berbagai media massa. Berbagai perusahaan perangkat lunak besar, seperti IBM, Oracle, Sun, pun berbondong-bondong mengumumkan bahwa produk-produk yang dihasilkannya adalah produk open source. Namun demikian apakah sebenarnya open source tersebut.

2. Hardware bugs, dengan istilah lainnya hardware key yaitu Sarana fisik yang digunakan untuk mengamankan sistem komputer dari penggunaan yang tidak sah.

3. Radiasi adalah pancaran energi melalui suatu materi atau ruang dalam bentuk panas, partikel atau gelombang elektromagnetik/cahaya (foton) dari sumber radiasi. Ada beberapa sumber radiasi yang kita kenal di sekitar kehidupan kita, contohnya adalah televisi, lampu penerangan, alat pemanas makanan (microwave oven), komputer, dan lain-lain.

4. Tapping merupakan sebuah terapi yang menggunakan dua buah jari yang dapat menyembuhkan. Tapping merupakan rangkaian dari pengobatan yang dikenal di Amerika sebagai Teknik Pembebasan Emosi (Emotional Freedom Technique/ EFT). Teknik pembebasan emosi atau EFT merupakan teori dasar dalam ilmu psikologi. Jika diri terkendali, akan ada gelombang elektromagnetik tertentu yang akan mengatur tubuh menjalankan fungsinya secara baik. Kemudian selang beberapa lama, Ahmad Faiz Zainuddin, seorang sarjana psikologi lulusan Universitas Arlangga memperoleh ilmu EFT langsung dari Gary Craig. Dan kemudian menambahkan unsur spiritualnya, sehingga menjadi SEFT (Spiritual Emotional Freedom Technique).

5. Crosstalk adalah Gangguan dalam proses pengiriman data/informasi antar stasiun berupa masuknya sinyal yang tidak diinginkan dari jalur yang terletak berhimpitan. Sering terjadi pada pengiriman jarak jauh atau sinyal berfrekuensi tinggi.

6. Unauthorized (VLAN) merupakan suatu model jaringan yang tidak terbatas pada lokasi fisik

seperti LAN , hal ini mengakibatkan suatu network dapat dikonfigurasi secara
virtual tanpa  harus menuruti lokasi fisik peralatan. Penggunaan VLAN akan
membuat pengaturan jaringan menjadi sangat fleksibel dimana dapat dibuat
segmen yang bergantung pada organisasi atau departemen, tanpa bergantung pada
lokasi workstation

7. Hardcopy adalah Salinan suatu dokumen dalam bentuk cetakan, biasanya cetakan ke kertas. Dokumen tersebut bisa dibaca dan dilihat langsung oleh manusia tanpa memerlukan peralatan bantuan.

8. Oversight (keteledoran), meurut BPTN (Badan Pengawas Tenaga Nuklir. Salah satu misi BAPETEN yang utama adalah peningkatan kualitas pengawasan instalasi nuklir secara terus-menerus, sehingga tingkat keselamatan dan keamanan reaktor nuklir dapat terjamin terutama untuk menjamin keamanan masyarakat. Oleh karena itu, workshop pengawasan pengoperasian reaktor penelitian dipandang perlu diadakan.