Security And Protection

1. Keamanan

Keamanan sistem komputer adalah untuk menjamin sumber daya tidak digunakan atau dimodifikasi orang tak terotorisasi. Pengamanan termasuk masalah teknis, manajerial, legalitas dan politis.

Keamanan sistem terbagi menjadi tiga, yaitu :

1. Keamanan eksternal (external security).

        Berkaitan dengan pengamanan fasilitas komputer dari penyusup (hacker) dan bencana seperti kebakaran dan kebanjiran.

2. Keamanan interface pemakai (user interface security).

      Berkaitan dengan identifikasi pemakai sebelum pemakai diijinkan mengakses program dan data yang disimpan.

3. Keamanan internal (internal security).

       Berkaitan dengan pengamanan beragam kendali yang dibangun pada perangkat keras dan sistem operasi yang menjamin operasi yang handal dan tak terkorupsi untuk menjaga integritas program dan data. Istilah keamanan (security) dan proteksi (protection) sering digunakan secara bergantian. Untuk menghindari kesalahpahaman, istilah keamanan mengacu ke seluruh masalah keamanan dan istilah mekanisme proteksi mengacu ke mekanisme sistem yang digunakan untuk memproteksi / melindungi informasi pada sistem komputer.

2. Masalah-Masalah Keamanan

Terdapat dua masalah penting, yaitu :

a. Kehilangan data (data loss).

•      Dapat disebabkan karena :

1. Bencana

• Kebakaran
• Banjir
• Gempa Bumi
• Perang
• Kerusakan 
• Binatang

2. Kesalahan perangkat keras dan perangkat lunak

• Ketidak berfungsinya pemrosesan 
• Disk atau tape yang tidak terbaca
• Kesalahan telekomunikasi
• Kesalahan program (bugs)

3. Kesalahan / Kelalaian manusia

• Kesalahan pemasukan data
• Memasang tape atau disk yang salah 
• Kehilangan disk atau tape

    Kehilangan data dapat diatasi dengan mengelola beberapa backup dan backup ditempatkan jauh dari data yang online.

Penyusup (Hacker)

• Terdiri dari :

1. Penyusup pasif, yaitu yang membaca data yang tak diotorisasi.
2. Penyusup aktif, yaitu yang mengubah data yang tak diotorisasi.

Kateogri penyusupan :

• Lirikan mata pemakai non teknis. Pada sistem time-sharing, kerja pemakai dapat diamati orang sekelilingnya. Bila dengan lirikan itu dapat mengetahui apa yang diketik saat pengisian password, maka pemakai non teknis dapat mengakses fasilitas yang bukan haknya.
• Penyusup oleh orang dalam
• Usaha hacker dalam mencari uang
• Spionase militer bisnis

3. Ancaman-Ancaman Keamanan

     Sasaran pengamanan adalah menghindari, mencegah dan mengatasi ancaman terhadap sistem. Kebutuhan keamanan sistem komputer dikategorikan tiga aspek, yaitu :

1. Kerahasiaan (Secrecy)

       Adalah keterjaminan bahwa informasi disistem komputer hanya dapat diakses oleh pihak-pihak yang diotorisasi dan modifikasi tetap menjaga konsistensi dan keutuhan data di sistem.

2. Integritas ( Integrity)
        Adalah keterjaminan bahwa sumber daya sistem komputer hanya dapat dimodifikasi oleh pihak-pihak yang diotorisasi.

3. Ketersediaan (Availability)
        Adalah keterjaminan bahwa susmber daya sistem komputer tersedia bagi pihak pihak yang diotorisasi saat diperlukan.

       Tipe-tipe ancaman terhadap keamanan sistem dapat dimodelkan dengan memandang fungsi sistem komputer sebagai penyedia informasi.Berdasarkan fungsi ini, ancaman terhadap sistem komputer dapat dikategorikan menjadi empat ancaman, yaitu :

1. Interupsi (interuption)
       Sumber daya sistem komputer dihancurkan atau menjadi tak tersedia atau tak berguna. Interupsi merupakan ancaman terhadap ketersediaan. Contoh : penghancuran bagian perangkat keras, seperti harddisk, pemotongan kabel komunikasi.

2. Intersepsi (interception)
      Pihak tak dioteritaskan dapat mengakses sumber daya. Intrupsi merupakan ancaman terhadap kerahasiaan. Pihak tak diotorisasi dapat berupa orang atau program komputer. Contoh : Penyadapan untuk mengambil data rahasia, mengatahui file tanpa diotorisasi.

3. Modifikasi (modification)

      Pihak tak diotorisasi tidak hanya mengakses tapi juga merusak sumber daya. Modifikasi merupakan ancaman terhadap integritas. Contoh : Mengubah nilai-nilai file data, mengubah program sehingga bertindak secara berbeda, memodifikasi pesan-pesan yang diteransmisikan pada jaringan.

4. Fabrikasi (fabrication)
   Pihak tak diotorisasi menyisipkan/memasukkan objek-objek palsu ke sistem. Fabrikasi merupakan ancaman terhadap integritas. Contoh : memasukkan pesan-pesan palsu ke jaringan, penambahan record ke file

4. Otentifikasi Pemakai
      Kebanyakan proteksi didasarkan asumsi sistem mengetahui identitas pemakai. Masalah identifikasi pemakai ketika login disebut otentifikasi pemakai (user authentication).

Kebanyakan metode otentifikasi didasarkan pada tiga cara, yaitu :

1. Sesuatu yang diketahui pemakai, misalnya :

• Password
• Kombinasi Kunci
• Nama Samaran
• Dan Sebagainya

2. Sesuatu yang dimiliki pemakai,misalnya :

• Badge
• Kartu identitas
• Kunci
• Dan sebagainya

3. Sesuatu mengenai (ciri) pemakai, misalnya :

• Sidik jari
• Voce suara
• Foto
• Tanda tangan
• Password

       Pemakai memilih satu kata kode, mengingatnya dan mengetikkan saat akan mengakses sistem komputer. Saat diketikkan, komputer tidak menampilkan dilayar. Teknik ini mempunyai kelemahan yang sangat banyak dan mudah ditembus. Pemakai cenderung memilih password yang mudah diingat. Seseorang yang kenal dengan pemakai dapat mencoba login dengan sesuatu yang diketahuinya mengenai pemakai.

Proteksi password dapat ditembus dengan mudah, antara lain :

• Terdapat file berisi nama depan, nama belakang, nama jalan, nama kota dari kamus ukuran sedang, disertai dengan pengejaan dibalik), nomor plat mobil yang valid, dan string-string pendek karakter acak.
• Isian di file dicocokan dengan file password.

Upaya untuk lebih mengamankan proteksi password, antara lain :

1. Salting
      Menambahkan string pendek ke string password yang diberikan pemakaisehingga  mencapai panjang password tertentu.

2. One time Password
      Pemakai harus mengganti password secara teratur. Upaya ini membatasi peluang password telah diketahui atau dicoba-coba pemakai lain. Bentuk ekstrim pendekatan ini adalah one time password, yaitu pemakai mendapat satu buku berisi daftar password. Setiap kali pemakai login, pemakai menggunakan password berikutnya yang terdapat di daftar password. Dengan one time password, pemakai direpotkan keharusan menjaga agar buku passwordnya jangan sampai dicuri.

3. Satu daftar panjang pertanyan dan jawaban.
    Variasi terhadap password adalah mengharuskan pemakai memberi satu daftar pertanyaan panjang dan jawabannya. Pertanyaan-pertanyaan dan jawabannya dipilih pemakai sehingga pemakai mudah mengingatnya dan tak perlu menuliskan di kertas. Pada saat login, komputer memilih salah satu dari pertanyaan-pertanyaan secara acak, menanyakan ke pemakai dan memeriksa jawaban yang diberikan.

4. Tantangan Tanggapan ( Chalege Response )
        Pemakai diberi kebebasan memilih suatu algoritma, misalnya x3. Ketika pemakai login, komputer menuliskan di layar angka 3. Dalam kasus ini pemakai mengetik angka 27. Algoritma dapat berbeda di pagi, sore, dan hari berbeda, dari terminal berbeda, dan seterusnya.

5. Access Control
      Access control pada system operasi mengatur kemampuan akses user dalam suatu jaringan, computer atau aplikasi. Sistem access control pada jaringan data umumnya menggunakan firewall. Firewall akan bertindak sebagai pelindung atau pembatas terhadap orang-orang yang tidak berhak mengakses jaringan.

Kemampuan-kemampuan firewall :

1. IP Hiding/Mapping

• Kemampuan ini mengakibatkan IP address dalam jaringan ditransalasikan ke suatu IP address yang baru. Dengan demikian, IP address dalam jaringan tidak akan dikenali di internet.

2. Privilege Limitation

• Dengan kemampuan ini, kita juga bisa membatasi para user jaringan sesuai dengan otorisasi atau hak-hak yang diberikan kepadanya.

3. Outside Limitation

• Kemampuan ini, dapat membatasi para user dalam jaringan untuk mengakses ke alamat-alamat tertentu di luar jangkauan kita.

4. Inside Limitation

• Kita memperbolehkan orang luar untuk mengakses informasi yang tersedia dalam salah satu computer dalam jaringan kita. Selain itu, tidak diperbolehkan untuk mengakses seluruh computer yang terhubung ke jaringan kita

5. Password dan Encrypted Authentication

• Beberapa user di luar jaringan memang diizinkan untuk masuk ke jaringan kita untuk mengakses data, dengan terlebih dahulu harus memasukkan password khusus yang sudah terenkripsi.

6. Bentuk Serangan Terhadap Sistem Operasi
      Ancaman Sistem Operasi Windows pada saat ini berdasarkan daftar ancaman yang dikeluarkan oleh SANS Institute :

1. Internet Information Services (IIS)
2. Microsoft SQL Server (MSSQL)
3. Windows Authentication (termasuk LM Hashing)
4. Internet Explorer (IE)
5. Windows Remote Access Services (termasuk NetBIOS, Anonymous logon, remote registry, RPC DOM)
6. Microsoft Data Access Components (MDAC)
7. Windows Scripting Host (WSH)
8. Microsoft Outlook & Outlook Express
9. Windows Peer to Peer File Sharing (P2P)
10. Simple Network Management Protocol

    Sedangkan ancaman yang terjadi pada Unix berdasarkan daftar ancaman yang dikeluarkan oleh SANS Institute :

1. BIND Domain Name System
2. Remote Procedure Calls (RPC)
3. Apache Web Server
4. General UNIX Authentication Acounts with No Passwords or Weak
Passwords
5. Clear Text Services (termasuk FTP, r-service/trust relationship, Line
Printer Daemon)
6. Sendmail
7. Simple Network Management Protocol (SNMP)
8. Secure Shell (SSH)
9. Misconfiguration of Enterprise Services NIS/NFS
10. Open Secure Sockets Layer (SSL)

   Berdasarkan masalah ancaman pada system operasi ini, dikenal suatu istilah “vulnerabilitas”. Vulnerabilitas secara universal adalah keadaan dimana :

• Memungkinkan penyerang mengeksekusi perintah sebagai user lainnya.
• Memungkinkan penyerang untuk mengakses data yang berbeda dengan batasan akses untuk data tersebut.
• Memungkinkan penyerang untuk memalsukan diri sebagai pihak lain
• Memungkinkan penyerang untuk melakukan denial of service.

Selain itu dikenal pula istilah “exposure “, yaitu suatu keadaan dimana :

• Memungkinkan penyerang melakukan aktivitas pengambilan informasi
• Memungkinkan penyerang menyembunyikan aktifitas
• Menyertakan suatu kemampuan yang berperilaku seolah-olah seperti yang diinginkan, tetapi bisa dilakukan compromise dengan mudah
• Merupakan titik masuk utama penyerang bisa melakukan usaha memperoleh akses ke system atau data
• Dianggap sebagai masalah yang berkaitan dengan kebijakan keamanan tertentu.

Contoh vulnerabilitas universal :

• Menjalankan service semacam finger (berguna untuk mengambil informasi, tapi membuatnya seperti “mengiklankan” system bagi penyerang)
• Setting dan konfigurasi yang tidak tepat pada kebijakan audit Windows NT
• Menjalankan service yang biasa menjadi titik serangan (misal HTTP, FTP, atau SMTP)
• Pemakaian aplikasi atau service yang bisa diserang dengan sukses memakai metode brute force.