ASPEK-ASPEK KEAMANAN KOMPUTER

Menurut Garfinkel (Simson Garfinkel, PGP: Pretty Good Privacy, OReilly & Associ -ates, Inc., 1995.), berikut ini adalah macam-macam aspek keamanan komputer : 1. Privacy / Confidentiality Defenisi : menjaga informasi dari orang yang tidak berhak mengakses. Privacy : lebih kearah data-data yang sifatnya privat Contoh : e-mail seorang pemakai (user) tidak boleh dibaca oleh administrator. Confidentiality : berhubungan dengan data yang diberikan ke pihak lain untuk keperluan tertentu dan hanya diperbolehkan untuk keperluan tertentu tersebut. Contoh : data-data yang sifatnya pribadi (seperti nama, tempat tanggal lahir, agama, status perkawinan, penyakit yang pernah diderita, nomor kartu kredit, dan sebagainya) harus dapat diproteksi dalam penggunaan dan penyebarannya. Bentuk Serangan : usaha penyadapan (dengan program sniffer*). Usaha-usaha yang dapat dilakukan untuk meningkatkan privacy dan confidentiality adalah dengan menggunakan teknologi kriptografi. 2. Integrity Defenisi : informasi tidak boleh diubah tanpa seijin pemilik informasi. Contoh : e-mail di intercept di tengah jalan, diubah isinya, kemudian diteruskan ke alamat yang dituju. Bentuk serangan : Adanya virus, trojan horse, atau pemakai lain yang mengubah informasi tanpa ijin, man in the middle attack* dimana seseorang menempatkan diri di tengah pembicaraan dan menyamar sebagai orang lain. 3. Authentication Defenisi : metode untuk menyatakan bahwa informasi betul-betul asli, atau orang yang mengakses atau memberikan informasi adalah betul-betul orang yang dimaksud. Dukungan : Adanya Tools membuktikan keaslian dokumen, dapat dilakukan dengan teknologi watermarking (untuk menjaga intellectual property, yaitu dengan menandai dokumen atau hasil karya dengan tanda tangan pembuat ) dan digital signature. Access control, yaitu berkaitan dengan pembatasan orang yang dapat mengakses informasi. User harus menggunakan password, biometric (ciri-ciri khas orang), dan sejenisnya. 4. Availability Defenisi : berhubungan dengan ketersediaan informasi ketika dibutuhkan. Contoh hambatan : denial of service attack (DoS attack*), dimana server dikirimi permintaan (biasanya palsu) yang bertubi-tubi atau permintaan yang diluar perkiraan sehingga tidak dapat melayani permintaan lain atau bahkan sampai down, hang, crash. Mailbomb, dimana seorang pemakai dikirimi e-mail bertubi-tubi (katakan ribuan e-mail) dengan ukuran yang besar sehingga sang pemakai tidak dapat membuka e-mailnya atau kesulitan mengakses e-mailnya. 5. Access Control Defenisi : cara pengaturan akses kepada informasi. Berhubungan dengan masalah authentication dan juga privacy. Metode : menggunakan kombinasi userid/password atau dengan menggunakan mekanisme lain. 6. Non-repudiation Defenisi : Aspek ini menjaga agar seseorang tidak dapat menyangkal telah melakukan sebuah transaksi. Dukungan bagi electronic commerce.

Aspek keamanan komputer di antaranya: Authentication: agar penerima informasi dapat memastikan keaslian pesan tersebut datang dari orang yang dimintai informasi, dengan kata lain informasi tersebut benar-benar dari orang yang dikehendaki. Integrity: keaslian pesan yang dikirim melalui sebuah jaringan dan dapat dipastikan bahwa informasi yang dikirim tidak dimodifikasi oleh orang yang tidak berhak dalam perjalanan informasi tersebut. Nonrepudiation: merupakan hal yang yang bersangkutan dengan sipengirim, si pengirim tidak dapat mengelak bahwa dia lah yang mengirim informasi tersebut Authority: Informasi yang berada pada sistem jaringan tidak dapat dimodifikasi oleh pihak yang tidak berhak atas akses tersebut. Confidentiality: merupakan usaha untuk menjaga informasi dari orang yang tidak berhak mengakses. Confidentiality biasanya berhubungan dengan informasi yang diberikan ke pihak lain Privacy : merupakan lebih kearah data-data yang sifatnya privat (pribadi) Availability: Aspek availability atau ketersediaan berhubungan dengan ketersediaan informasi ketika dibutuhkan. Sistem informasi yang diserang atau dijebol dapat menghambat atau meniadakan akses ke informasi. Access Control: Aspek ini berhubungan dengan cara pengaturan akses kepada informasi. Hal ini biasanya berhubungan dengan masalah authentication dan juga privacy. Access control seringkali dilakukan dengan menggunakan kombinasi user id dan password atau dengan menggunakan mekanisme lainnya. Aspek aspek Keamanan Komputer Keamanan komputer ( computer security ) meliputi 4 aspek pokok : 1. Privacy / Confidentiality, adalah usaha untuk menjaga informasi dari orang yang tidak berhak mengakses. Dalam privacy penekanan lebih pada data data yang sifatnya privat ( contoh ; email ), sedangkan Confidentiality biasanya berhubungan dengan data yang diberikan kepada pihak lain untuk keperluan tertentu. 2. Integrity, yang dimaksuk integrity adalah bahwa informasi tidak boleh dirubah tanpa seijin pemilik informasi. 3. Authentication, adalah aspek yang berkaitan dengan metode untuk menyatakan bahwa informasi betul betul asli, dan orang yang mengakses adalah orang yang berhak. Ada tiga hal yang dapat ditanyakan untuk meyakinkan siapa dia sebenarnya, yaitu : o What you have ( kartu ATM ) o What you know ( PIN / Passward ) o What you are ( sidik jari ) 4. Availability, adalah aspek yang menyangkut ketersediaan informasi ketika dibutuhkan. 5. Access Control, adalah aspek yang berhubungan dengan cara pengaturan akses informasi, hal ini biasanya berkaitan dengan klasifikasi data ( public, private, ... ). 6. Non-repudiation, adalah aspek yang bertujuan agar seseorang tidak dapat menyangkal telah melakukan sebuah transaksi. Aspek-Aspek Keamanan Sistem Komputer Privacy / Confidentiality Inti utama aspek privacy atau confidentiality adalah usaha untuk menjaga informasi dari orang yang tidak berhak mengakses. Privacy lebih kearah data-data yang sifatnya privat sedangkan confidentiality biasanya berhubungan dengan data yang diberikan ke pihak lain untuk keperluan tertentu (misalnya sebagai bagian dari pendaftaran sebuah servis) dan hanya diperbolehkan untuk keperluan tertentu tersebut. Contoh hal yang berhubungan dengan privacy adalah e-mail seorang pemakai (user) tidak boleh dibaca oleh administrator. Contoh confidential information adalah data-data yang sifatnya pribadi (seperti nama, tempat tanggal lahir, social security number, agama, status perkawinan, penyakit yang pernah diderita, nomor kartu kredit, dan sebagainya) merupakan data-data yang ingin diproteksi penggunaan dan penyebarannya. Contoh lain dari confidentiality adalah daftar pelanggan dari sebuah Internet Service Provider (ISP). Serangan terhadap aspek privacy misalnya adalah usaha untuk melakukan penyadapan (dengan program sniffer). Usaha-usaha yang dapat dilakukan untuk meningkatkan privacy dan confidentiality adalah dengan menggunakan teknologi kriptografi. Teknologi kriptografi sangat berperan juga dalam proses komunikasi, yang digunakan untuk melakukan enkripsi (pengacakan) data yang ditransaksikan selama perjalanan dari sumber ke tujuan dan juga melakukan dekripsi (menyusun kembali) data yang telah teracak tersebut.

Integrity Aspek ini menekankan bahwa informasi tidak boleh diubah tanpa seijin pemilik informasi. Adanya virus, trojan horse, atau pemakai lain yang mengubah informasi tanpa ijin merupakan contoh masalah yang harus dihadapi. Sebuah e-mail dapat saja ditangkap (intercept) di tengah jalan, diubah isinya, kemudian diteruskan ke alamat yang dituju. Dengan kata lain, integritas dari informasi sudah tidak terjaga. Penggunaan enkripsi dan digital signature, misalnya, dapat mengatasi masalah ini. Salah satu contoh kasus trojan horse adalah distribusi paket program TCP Wrapper (yaitu program populer yang dapat digunakan untuk mengatur dan membatasi akses TCP/IP) yang dimodifikasi oleh orang yang tidak bertanggung jawab. Jika anda memasang program yang berisi trojan horse tersebut, maka ketika anda merakit (compile) program tersebut, dia akan mengirimkan eMail kepada orang tertentu yang kemudian memperbolehkan dia masuk ke sistem anda. Informasi ini berasal dari CERT Advisory, CA -99-01 TrojanTCP-Wrappers yang didistribusikan 21 Januari 1999. Contoh serangan lain adalah yang disebut man in the middle attack dimana seseorang menempatkan diri di ten gah pembicaraan dan menyamar sebagai orang lain. Availability Aspek availability atau ketersediaan berhubungan dengan ketersediaan informasi ketika dibutuhkan. Sistem informasi yang diserang atau dijebol dapat menghambat atau meniadakan akses ke informasi. Contoh hambatan adalah serangan yang sering disebut dengan denial of service attack (DoS attack), dimana server dikirimi permintaan (biasanya palsu) yang bertubi-tubi atau permintaan yang diluar perkiraan sehingga tidak dapat melayani permintaan lain atau bahkan sampai down, hang, crash. Contoh lain adalah adanya mailbomb, dimana seorang pemakai dikirimi e-mail bertubitubi (katakan ribuan email) dengan ukuran yang besar sehingga sang pemakai tidak dapat membuka e-mailnya atau kesulitan mengakses e-mailnya (apalagi jika akses dilakukan melalui saluran telepon). Bayangkan apabila anda dikirimi 5000 email dan anda harus mengambil (download) email tersebut melalui telepon dari rumah. Serangan terhadap availability dalam bentuk DoS attack merupakan yang terpopuler pada saat naskah ini ditulis. Pada bagian lain akan dibahas tentang serangan DoS ini secara lebih rinci. Authentication Aspek ini berhubungan dengan metoda untuk menyatakan bahwa informasi betul-betul asli, atau orang yang mengakses atau memberikan informasi adalah betul-betul orang yang dimaksud. Masalah pertama, membuktikan keaslian dokumen, dapat dilakukan dengan teknologi watermarking dan digital signature. Watermarking juga dapat digunakan untuk menjaga intellectual property, yaitu dengan men andai dokumen atau hasil karya dengan tanda tangan pembuat . Masalah kedua biasanya berhubungan dengan access control, yaitu berkaitan dengan pembatasan orang yang dapat mengakses informasi. Dalam hal ini pengguna harus menunjukkan bukti bahwa memang dia adalah pengguna yang sah, misalnya dengan menggunakan password, biometric (ciri-ciri khas orang), dan sejenisnya. Penggunaan teknologi smart card, saat ini kelihatannya dapat meningkatkan keamanan aspek ini Non-repudiation Aspek ini menjaga agar seseorang tidak dapat menyangkal telah melakukan sebuah transaksi. Sebagai contoh, seseorang yang mengirimkan email untuk memesan barang tidak dapat menyangkal bahwa dia telah mengirimkan email tersebut. Aspek ini sangat penting dalam hal electronic commerce. Penggunaan digital signature dan teknologi kriptografi secara umum dapat menjaga aspek ini. Akan tetapi hal ini masih harus didukung oleh hukum sehingga status dari digital signature itu jelas legal. Hal ini akan dibahas lebih rinci pada bagian tersendiri. Authority Informasi yang ada pada sistem jaringan tidak dapat dimodifikasi oleh pihak yang tidak berhak akses. Hannya seorang administrator ynag boleh mengakses kedalam sistem computer, bila orang lain ditakutkan akan terjadi kerusakan didalam sistem computer dan melakukan perubahan dalam sistem computer tanpa se-ijin administrator. Access Control Aspek ini berhubungan dengan cara pengaturan akses kepada informasi. Hal ini biasanya berhubun gan dengan masalah authentication dan juga privacy. Access control seringkali dilakukan dengan menggunakan kombinasi userid/password atau dengan menggunakan mekanisme lain.

Ada beberapa aspek yang berhubungan dengan permasalahan keamanan data, yaitu aspek yang berhubungan dengan persyaratan keamanan data dan aspek yang berhubungan dengan ancaman terhadap keamanan. a. Aspek yang berhubungan dengan persyaratan keamanan data Menurut Garfinkel [Simon Garfinkel, PGP: Pretty Good Privacy, OReilly & Associ ates, Inc., 1995.] 1. Confidentiality dan Privacy Confidentiality berarti sistem mengijinkan user hanya untuk melihat data yang diperbolehkan. Berhubungan dengan data yang diberikan ke pihak lain untuk keperluan tertentu dan hanya diperbolehkan untuk keperluan tertentu tersebut. Jadi confidentiality merupakan data yang diberikan ke pihak lain untuk tujuan khusus tetapi tetap dijaga penyebarannya. . Contohnya data yang bersifat pribadi seperti : nama, alamat, no ktp, telpon dan sebagainya. Confidentiality akan terlihat apabila diminta untuk membuktikan kejahatan seseorang, apakah pemegang informasi akan memberikan infomasinya kepada orang yang memintanya atau menjaga klientnya. Sedangkan privacy lebih kearah data data yang bersifat privat. Jadi intinya adalah pencegahan agar informasi tersebut tidak diakses oleh orang yang tidak berhak. Contohnya adalah email atau file-file lain yang tidak boleh dibaca orang lain meskipun oleh administrator. Bentuk serangannya adalah usaha penyadapan (dengan program sniffer). Beberapa aspek yang tercakup didalamnya ialah Privacy komunikasi. Mengamankan data yang sensitif. Autentikasi user. Metode autentikasi menjamin identitas user didalam sistem. Kontrol akses sampai ke tingkat terkecil (granule). Granularity berarti kontrol akses dapat dibedakan untuk tabel, view, baris, dan kolom tertentu dari database. Usaha usaha yang dapat dilakukan untuk meningkatkan privacy dan confidentiality adalah dengan menggunakan teknologi kriptografi. 2. Integritas Sistem yang aman menjamin data yang terkandung valid. Integritas data berarti data diproteksi dari penghapusan dan kerusakan ketika berada dalam database dan ketika ditransmisikan pada jaringan. Jadi informasi tidak boleh diubah tanpa seijin pemilik informasi. Contoh : email di intercept di tengah jalan, diubah isinya, kemudian diteruskan ke alamat yang dituju. Serangan yang terjadi dapat dalam bentuk man in the middle attack dimana seseorang menempatkan diri di tengah pembicaraan dan menyamar sebagai orang lain. Beberapa aspek yang tercakup didalamnya ialah : Pengaturan hak kontrol akses sehingga hanya user tertentu yang diijinkan mengubah data. Menjaga hubungan yang valid diantara nilai dalam database sesuai dengan aturan yang telah didefinisikan. Perlindungan terhadap virus. Traffic jaringan harus dijaga dari penghapusan, perusakan, dan pembajakan data. 3. Authentication Sistem untuk menyatakan bahwa data betul betul asli, atau orang yang mengakses atau memberi data adalah betul betul orang yang dimaksud. Akses ini akan dilakukan sewaktu user login dengan menggunakan nama user dan passwordnya, apakah cocok atau tidak, jika cocok diterima dan tidak akan ditolak. Ini biasanya berhubungan dengan hak akses seseorang, apakah dia pengakses yang sah atau tidak. Beberapa aspek yang terkandung didalamnya adalah : Adanya tools membuktikan keaslian data, dapat dilakukan dengan teknologi watermarking (untuk menjaga intellectual property, yaitu dengan menandai data) dan digital signature. Access control, yaitu berkaitan dengan pembatasan orang yang dapat mengakses data. Menggunakan password, biometric, dan sejenisnya. 4. Availability Sistem yang aman mampu menyediakan data ke user yang diijinkan tanpa delay. Aspek ini berkaitan dengan apakah sebuah data tersedia saat dibutuhkan / diperlukan. Apabila sebuah data atau informasi terlalu ketat pengamanannya akan menyulitkan dalam akses data tersebut. Disamping itu akses yang lambat juga menghambat terpenuhnya aspek availability. Serangan yang biasanya terjadi adalah denial of service yang berusaha untuk menahan user untuk mengakses dan menggunakan sistem ketika dibutuhkan atau dimana server dikirimi permintaan (biasanya palsu) yang bertubi-tubi / permintaan yang diluar perkiraan sehingga tidak dapat melayani permintaan lain bahkan sampai down, hang, crash. Dan juga serangan dalam bentuk mailbomb, dimana seorang pemakai dikirimi e-mail bertubi-tubi (katakan ribuan e-mail) dengan ukuran yang besar sehingga sang pemakai tidak dapat membuka e-mailnya atau kesulitan mengakses e-mailnya.

Beberapa aspek yang terkandung didalam ketersediaan sistem ialah : Ketahanan. Sistem didesain untuk dapat bertahan dari serangan yang dapat mengubah kuasa. Misalnya profil user harus dibatasi dalam menggunakan resource. Dengan cara ini sistem dapat dilindungi dari user yang mengkonsumsi memori terlalu banyak. Scalability. Kinerja sistem harus selalu memadai tanpa menghiraukan jumlah user atau proses yang harus dijalankan. Fleksibilitas. Administrator harus memilik cara yang memadai untuk mengatur populasi user. Mudah digunakan. Implementasi keamanan tidak boleh mengurangi kemampuan user yang valid untuk melaksanakan tugasnya. 5. Access Control Merupakan cara pengaturan akses kepada informasi, berhubungan dengan masalah authentication dan juga privacy. Metode yang digunakan adalah kombinasi user id / password atau dengan menggunakan mekanisme lainnya. 6. Non repudiation Merupakan hal yang bersangkutan dengan si pengirim, pengirim tidak dapat mengelak bahwa dia lah yang mengirim informasi tersebut. Aspek ini menjaga agar seseorang tidak dapat menyangkal telah melakukan sebuah transaksi. Dukungan bagi electronic commerce. 7. Secrecy Berhubungan dengan akses membaca data dan informasi yang mana hanya bisa diakses dan dibaca oleh orang yang berhak. b. Aspek yang berhubungan dengan ancaman keamanan data Menurut W. Stallings [William Stallings, Network and Internetwork Security, Prentice Hall, 1995.] : 1. Interruption Merupakan ancaman terhadap ketersediaan availability dimana data dan informasi yang berada dalam sistem komputer dirusak atau dibuang sehingga menjadi tidak ada dan tidak berguna. (Contoh : Denial of service attack, Harddisk dirusak, kabel telekomunikasi dipotong, dll.) 2. Interception Merupakan ancaman terhadap secrecy dimana orang yang tidak berhak namun berhasil mendapatkan akses informasi dari dalam sistem komputer. (Contoh : Wiretapping (penyadapan) atau mencopy data secara tidak sah, dll) 3. Modification Merupakan ancaman terhadap integrity dimana orang yang tidak berhak dapat mengakses maupun merubah suatu informasi. Contoh : merubah suatu program, dll. 4. Fabrication Merupakan ancaman terhadap integrity juga namun disini orang yang tidak berhak meniru atau memalsukan suatu object ke dalam system. Contoh : menambahkan record ke dalam file, memasukkan pesan pesan palsu seperti email palsu ke dalam jaringan komputer, dll.