ASPEK KEAMANAN DAN KETIDAKAMANAN DATA

Aspek Keamanan

Ø  Confidentiality dan Privacy

            Confidentiality berarti sistem mengijinkan user hanya untuk melihat data yang diperbolehkan. Berhubungan dengan data yang diberikan ke pihak lain untuk keperluan tertentu dan hanya diperbolehkan untuk keperluan tertentu tersebut. Jadi confidentiality merupakan data yang diberikan ke pihak lain untuk tujuan khusus tetapi tetap dijaga penyebarannya. . Contohnya data yang bersifat pribadi seperti : nama, alamat, no ktp, telpon dan sebagainya. Confidentiality akan terlihat apabila diminta untuk membuktikan kejahatan seseorang, apakah pemegang informasi akan memberikan infomasinya kepada orang yang memintanya atau menjaga klientnya.

            Sedangkan privacy lebih kearah data – data yang bersifat privat. Jadi intinya adalah pencegahan agar informasi tersebut tidak diakses oleh orang yang tidak berhak. Contohnya adalah email atau file-file lain yang tidak boleh dibaca orang lain meskipun oleh administrator. Bentuk serangannya adalah usaha penyadapan (dengan program sniffer). Beberapa aspek yang tercakup didalamnya ialah

• Privacy komunikasi.
• Mengamankan data yang sensitif. 
• Autentikasi user. Metode autentikasi menjamin identitas user didalam sistem.
• Kontrol akses sampai ke tingkat terkecil (granule). Granularity berarti kontrol akses dapat dibedakan untuk tabel, view, baris, dan kolom tertentu dari database.
• Usaha – usaha yang dapat dilakukan untuk meningkatkan privacy dan confidentiality adalah dengan menggunakan teknologi kriptografi.

Ø  Integritas

            Sistem yang aman menjamin data yang terkandung valid. Integritas data berarti data diproteksi dari penghapusan dan kerusakan ketika berada dalam database dan ketika ditransmisikan pada jaringan. Jadi informasi tidak boleh diubah tanpa seijin pemilik informasi. Contoh : email di intercept di tengah jalan, diubah isinya, kemudian diteruskan ke alamat yang dituju. Serangan yang terjadi dapat dalam bentuk “man in the middle attack” dimana seseorang menempatkan diri di tengah pembicaraan dan menyamar sebagai orang lain. Beberapa aspek yang tercakup didalamnya ialah :

• Pengaturan hak kontrol akses sehingga hanya user tertentu yang diijinkan mengubah data.
• Menjaga hubungan yang valid diantara nilai dalam database sesuai dengan aturan yang telah didefinisikan.
• Perlindungan terhadap virus.
• Traffic jaringan harus dijaga dari penghapusan, perusakan, dan pembajakan data.

Ø  Authentication

            Sistem untuk menyatakan bahwa data betul – betul asli, atau orang yang mengakses atau memberi data adalah betul – betul orang yang dimaksud. Akses ini akan dilakukan sewaktu user login dengan menggunakan nama user dan passwordnya, apakah cocok atau tidak, jika cocok diterima dan tidak akan ditolak. Ini biasanya berhubungan dengan hak akses seseorang, apakah dia pengakses yang sah atau tidak. Beberapa aspek yang terkandung didalamnya adalah

• Adanya tools membuktikan keaslian data, dapat dilakukan dengan teknologi watermarking (untuk menjaga “intellectual property”,  yaitu dengan menandai data) dan digital signature.
• Access control, yaitu berkaitan dengan pembatasan orang yang dapat mengakses data. Menggunakan password, biometric, dan sejenisnya.

Ø  Availability

            Sistem yang aman mampu menyediakan data ke user yang diijinkan tanpa delay. Aspek ini berkaitan dengan apakah sebuah data tersedia saat dibutuhkan / diperlukan. Apabila sebuah data atau informasi terlalu ketat pengamanannya akan menyulitkan dalam akses data tersebut. Disamping itu akses yang lambat juga menghambat terpenuhnya aspek availability. Serangan yang biasanya terjadi adalah denial of service yang berusaha untuk menahan user untuk mengakses dan menggunakan sistem ketika dibutuhkan atau dimana server dikirimi permintaan (biasanya palsu) yang bertubi-tubi / permintaan yang diluar perkiraan sehingga tidak dapat melayani permintaan lain bahkan sampai down, hang, crash. Dan juga serangan dalam bentuk mailbomb, dimana seorang pemakai dikirimi e-mail bertubi-tubi (katakan ribuan e-mail) dengan ukuran yang besar sehingga sang pemakai tidak dapat membuka e-mailnya atau kesulitan mengakses e-mailnya.

. Beberapa aspek yang terkandung didalam ketersediaan sistem ialah :

• Ketahanan. Sistem didesain untuk dapat bertahan dari serangan yang dapat mengubah kuasa. Misalnya profil user harus dibatasi dalam menggunakan resource. Dengan cara ini sistem dapat dilindungi dari user yang mengkonsumsi memori terlalu banyak.
• Scalability. Kinerja sistem harus selalu memadai tanpa menghiraukan jumlah user atau proses yang harus dijalankan.
• Fleksibilitas. Administrator harus memilik cara yang memadai untuk mengatur populasi user.
• Mudah digunakan. Implementasi keamanan tidak boleh mengurangi kemampuan user yang valid untuk melaksanakan tugasnya.

Ø  Access Control

            Merupakan cara pengaturan akses kepada informasi, berhubungan dengan masalah authentication dan juga privacy. Metode yang digunakan adalah kombinasi user id / password atau dengan menggunakan mekanisme lainnya.

Ø  Non – repudiation

            Merupakan hal yang bersangkutan dengan si pengirim, pengirim tidak dapat mengelak bahwa dia lah yang mengirim informasi tersebut. Aspek ini menjaga agar seseorang tidak dapat menyangkal telah melakukan sebuah transaksi. Dukungan bagi electronic commerce.

Ø  Secrecy

            Berhubungan dengan akses membaca data dan informasi yang mana hanya bisa diakses dan dibaca oleh orang yang berhak.

Aspek yang berhubungan dengan ancaman keamanan data

Ø  Interruption

               Merupakan ancaman terhadap ketersediaan availability dimana data dan informasi yang berada dalam sistem komputer dirusak atau dibuang sehingga menjadi tidak ada dan tidak berguna.

 Contoh : “Denial of service attack”, Harddisk dirusak, kabel telekomunikasi dipotong, dll.

Ø  Interception

               Merupakan ancaman terhadap secrecy dimana orang yang tidak berhak namun berhasil mendapatkan akses informasi dari dalam sistem komputer.

Contoh : Wiretapping (penyadapan)  atau mencopy data secara tidak sah, dll

  

Ø  Modification

            Merupakan ancaman terhadap integrity dimana orang yang tidak berhak dapat mengakses maupun merubah suatu informasi.

Contoh : merubah suatu program, dll.

Ø  Fabrication

            Merupakan ancaman terhadap integrity juga namun disini orang yang tidak berhak meniru atau memalsukan suatu object ke dalam system.

Contoh : menambahkan record ke dalam file, memasukkan pesan – pesan palsu seperti email palsu ke dalam jaringan komputer, dll.

Serangan – serangan yang mengganggu keamanan data

Ø  Spoofing adalah Teknik yang digunakan untuk memperoleh akses yang tidak sah ke suatu komputer atau informasi, dimana penyerang berhubungan dengan pengguna dengan berpura-pura memalsukan bahwa mereka adalah host yang dapat dipercaya. Hal ini biasanya dilakukan oleh seorang hacker/ cracker.

Macam-Macam Spoofing

• IP-Spoofing adalah serangan teknis yang rumit yant terdiri dari beberapa komponen. Ini adalah eksploitasi keamanan yang bekerja dengan menipu komputer dalam hubungan kepercayaan bahwa anda adalah orang lain. Terdapat banyak makalah ditulis oleh daemon9, route, dan infinity di Volume Seven, Issue Fourty-Eight majalah Phrack.
• DNS spoofing adalah mengambil nama DNS dari sistem lain dengan membahayakan domain name server suatu domain yang sah.
• Identify Spoofing adalah suatu tindakan penyusupan dengan menggunakan identitas resmi secara ilegal. Dengan menggunakan identitas tersebut, penyusup akan dapat mengakses segala sesuatu dalam jaringan.

Contoh Web Spoofing

Web Spoofing melibatkan sebuah server web yang dimiliki penyerang yang diletakkan pada internet antara pengguna dengan WWW, sehingga akses ke web yang dituju pengguna akan melalui server penyerang. Cara seperti ini dikenal dengan sebutan “man in the middle attack” [2,5]. Hal ini dapat terjadi dengan beberapa jalan, tapi yang paling mungkin adalah :

• Akses ke situs web diarahkan melalui sebuah proxy server : ini disebut (HTTP) application proxy. Hal ini memberikan pengelolaan jaringan yang lebih baik untuk akses ke server. Ini merupakan teknik yang cukup baik yang digunakan pada banyak situs-situs di internet, akan tetapi teknik ini tidak mencegah Web Spoofing.

• Seseorang menaruh link yang palsu (yang sudah di-hack) pada halaman web yang populer.

• Kita menggunakan search engine (mesin pencari, seperti Yahoo, Alta Vista, Goggle) untuk mendapatkan link dari topik yang ingin dicari. Tanpa kita ketahui, beberapa dari link ini telah diletakkan oleh hacker yang berpura-pura menjadi orang lain. Seperti, pencarian untuk situs bank memberikan salah satu hasil http://www.kilkbca.com, sayangnya kita mungkin tidak mengetahui bahwa URL sebenarnya dari Bank BCA adalah http://www.klikbca.com

Kita menggunakan browser mengakses sebuah Web. Semua yang ada pada NET (baik Internet maupun Intranet) direferensikan dengan Universal Resource Locator(URL). Pertama-tama penyerang harus menulis-ulang URL dari halaman web yang dituju sehingga mereka mengacu ke server yang dimiliki penyerang daripada ke server web yang sebenarnya. Misalnya, server penyerang terletak di www.attacker.com, maka penyerang akan menulis-ulang URL dengan menambahkan http://www.attacker.com didepan URL yang asli.

Ø  Sniffer adalah suatu aplikasi penyerang untuk melakukan pencurian ataupun penyadapan data. Data yang dimaksud tidak akan hilang secara fisik, namun akan disadap. Penyadapan ini sangat berbahaya, karena biasanya yang menjadi sasaran penyadapan ini adalah data-data penting seperti data pribadi (username, password, nomor authorisasi, dst). Hal ini dapat dicegah dengan cara terlebih dahulu melakukan enkripsi data sebelum data dikirimkan ke jaringan atau Internet, misalkan dengan menggunakan ssh atau secure shell yang berfungsi mengenkripsikan data dengan cara enkripsi 128 bit.

Ø  Man-In-The-Middle Attack adalah sebuah aksi sniffing yang memanfaatkan kelemahan switch dan kesalahan penangannan ARP chache dan TCP/IP oleh OS 2003 dan XP. Ide awalnya adalah menempatkan komputer hacker ditengah dua komputer yang sedang berhubungan sehingga paket data harus melalui komputer hacker dulu agar paket data itu bisa dilihat atau diintip oleh hacker (serangan terhadap integrity).

Ø  DoS Adalah serangan (attack) yang diluncurkan untuk meniadakan servis (serangan terhadap availability). Serangan DoS dilakukan dengan menghabiskan resources dari target, seperti menghabiskan bandwidth (dengan membanjiri jaringan dengan beberapa paket yang banyak dan tidak karuan), memori (membuat server bingung), dan disk. Contoh lain dari serangan DoS adalah penggagalan service sewaktu adanya permintaan data sehingga komputer tidak bisa melayaninya. Dan juga mengirimkan request yang berlebihan sehingga menyebabkan komputer tidak bisa lagi menampung beban tersebut dan akhirnya komputer down.