Sistem Keamanan Jaringan TKJ 015

Sistem Keamanan Jaringan

 Sistem Keamanan Jaringan Komputer

Keamanan Komputer seperti yang dikatakan oleh John D. Howard, seorang Analisys Of Security Incidents On The Internet pada tahun 1989-1995, mengatkan bahwa : Computer Security is preventing attackers form achieving objectives through unathorized access or unauthorized use of computers & networks.

Jaringan internet bersifat publik. Sehingga memungkinkan arus informasi bisa disadap oleh pihak lain. Untuk itu keamanan menjadi useful terhadap kenyamanan jaringan komputer dan vulnerability suatu jaringan.

Adapun yang termasuk sistem keamanan komputer sebagai berikut “ 

• Hacker

Asal pertama kata “Hacker” sendiri berawal dari sekitar thun 60-an di Las Vegas di adakan sebuah permainan (Game) yang menggunakan system jaringan komputer (networking) dimana cara permainan itu satu sama lain berusaha untuk masuk ke system komputer lawan (pemain lainya) dan melumpuhkannya. dari sinilah kemudian orang-orang menamakan sekelompok anak-anak muda yang mengikuti permainanan ini sebagai “Hackers” yaitu sekelompok anak-anak muda yang mampu menjebol dan melumpuhkan system komputer orang.

• Cracker

Sebutan untuk mereka yang masuk ke sistem orang lain dan cracker lebih bersifat destruktif, biasanya di jaringan komputer, mem-bypass password atau lisensi program komputer, secara sengaja melawan keamanan komputer, men-deface (merubah halaman muka web) milik orang lain bahkan hingga men-delete data orang lain, mencuri data dan umumnya melakukan cracking untuk keuntungan sendiri, maksud jahat, atau karena sebab lainnya karena ada tantangan. Beberapa proses pembobolan dilakukan untuk menunjukan kelemahan keamanan sistem.

• White Hat

Istilah teknologi informasi dalam bahasa Inggris yang mengacu kepada peretas yang secara etis menunjukkan suatu kelemahan dalam sebuah sistem komputer. White hat secara umum lebih memfokuskan aksinya kepada bagaimana melindungi sebuah sistem, dimana bertentangan dengan black hat yang lebih memfokuskan aksinya kepada bagaimana menerobos sistem tersebut.

• Black Hat

Istilah teknologi informasi dalam bahasa Inggris yang mengacu kepada peretas yaitu mereka yang menerobos keamanan sistem komputer tanpa ijin, umumnya dengan maksud untuk mengakses komputer-komputer yang terkoneksi ke jaringan tersebut. Istilah cracker diajukan oleh Richard Stallman untuk mengacu kepada peretas dalam arti ini.

• Script Kiddies

Tingkatan level yang paling rendah, Mereka hanya tahu tentang dasar bagaimana memodifikasi Script atau Program dengan mencari artikel pendukung di internet, forum maupun Youtube. Segala informasi mereka kumpulkan untuk mengubah script yang sudah ada dengan cara coba-coba. Kemampuan mereka dalam membuat atau merusak suatu program tergolong rendah.

• Elite Hacker

Juga dikenal sebagai 3l33t, 3l337, 31337 atau kombinasi dari itu; merupakan ujung tombak industri keamanan jaringan. Mereka mengerti sistemoperasi luar dalam, sanggup mengkonfigurasi & menyambungkan jaringan secara global. Sanggup melakukan pemrogramman setiap harinya. Sebuah anugrah yang sangat alami, mereka biasanya effisien & trampil,menggunakan pengetahuannya dengan tepat. Mereka seperti siluman dapat memasuki sistem tanpa di ketahui, walaupun mereka tidak akan menghancurkan data-data. Karena mereka selalu mengikuti peraturan yang ada.

• Vulnerable

Sesuatu yang bertalian dengan sistem komputer yang memungkinkan seseorang mengoperasikan dan menjalankannya dengan benar, atau memungkinkan pihak tak berwenang (bisa hacker) mengambil alih. Ada banyak tipe vulnerability. Ada miskonfigurasi dalam setup service, atau flaw programming service.

• Security Hole

Merupakan Celah dari keamanan system/ mesin Hal tersebut disebabkan karena adanya kelemahan-kelemahan di dalam konfigurasi suatu sistem (Configuration Vulnerabilities) dll,sehingga dimanfaatkan untuk menyusup ke dalam suatu jaringan komputer tanpa diketahui pengelolanya

•  Bug

sebuah kesalahan, error, kekurangan, atau kegagalan yang sering terjadi pada program komputer sehingga menghambat jalannya program sebagaimana mestinya

•  Exploit

perangkat lunak yang menyerang kerapuhan keamanan (security vulnerability) yang spesifik namun tidak selalu bertujuan untuk melancarkan aksi yang tidak diinginkan. Banyak peneliti keamanan komputer menggunakan exploit untuk mendemonstrasikan bahwa suatu sistem memiliki kerapuhan.

• Logical Bomb

merupakan program yang dimasukkan ke dalam suatu komputer yang bekerja untuk memeriksa kumpulan kondisi di dalam suatu sistem. Jika kondisi yang dimaksud terpenuhi, maka program akan mengeksekusi perintah yang ada di dalamnya. Program ini berjalan jika ada pemicu. Biasanya pemicunya adalah jika user menjalankan program tertentu atau menekan salah satu tombol keyboard.

• Penetration Testing

Uji coba yang melakukan verifikasi dari mekanisme perlindungan yang dibuat oleh sistem/Pengujian Terhadap Kelemahan Sistem Informasi Perusahaan 

sumber : http://www.it-artikel.com/2012/05/sistem-keamanan-jaringan-komputer.html

3 Kasus Pembobolan Keamanan Jaringan Komputer Sepanjang 2011

Cybercrime atau kejahatan dunia maya terdiri atas 3 (tiga) kategori utama, yaitu sebagai berikut :

1. Kejahatan Dunia Maya yang berkaitan dengan kerahasiaan, integritas dan keberadaan data dan sistem komputer;
2. Kejahatan Dunia Maya yang menggunakan komputer sebagai alat kejahatan; dan
3. Kejahatan Dunia Maya yang berkaitan dengan isi atau muatan data atau sistem komputer.

Bagai pisau yang sekaligus mempunyai fungsi mencelakakan dan bermanfaat bagi kehidupan manusia, demikian pula dengan internet dan komputer.

Indonesia sebagai salah satu dari 5 negara terbesar pengguna internet di Asia, pun tak luput dari cybercrime tersebut.

Sepanjang tahun 2011 diwarnai dengan beberapa kasus-kasus cybercrime. Paparan ini akan lebih diciutkan lagi menjadi cybercrime yang terkait dengan pembobolan keamanan jaringan informasi, dan hanya menampilkan 3 (tiga) kasus saja yang berada dalam wilayah hukum negara Republik Indonesia.

1. Pembobolan distributor pulsa isi ulang. Diduga kerugian mencapai Rp. 1 Miliar. Kasus ini tergolong jarang terjadi, namun meskipun demikian harus menjadi perhatian khusus bagi aparat penegak hukum, karena banyak pengguna layanan pulsa isi ulang ini adalah pengusaha UKM dengan modal yang tidak seberapa. 
2. Pembobolan ATM masih terus berlanjut. Dengan peralatan yang lumayan sederhana, beberapa ATM dapat “diserap” dananya dengan bebas, tanpa harus mempunyai akun di bank ATM bersangkutan. Kali ini lokasi kejahatan berada di Bali, dan tersangkanya yang ditangkap adalah Warga Negara Malaysia. 
3. Kasus defacing website instansi pemerintah masih marak terjadi. Kali ini, website resmi Kepolisian Republik Indonesia diretas oleh hacker, dan diganti dengan content yang berbau SARA. 

Demikian 3 (tiga) kasus pembobolan keamanan jaringan komputer di beberapa organisasi dan instansi di Indonesia, selama kurun waktu tahun 2011.

sumber : http://blogs.itb.ac.id/aprisetiawan/2011/09/20/3-kasus-pembobolan-keamanan-jaringan-komputer-sepanjang-2011/

Sistem Keamanan Jaringan

Kejahatan KOmputer

Kejahatan Dunia Komputer 
Kejahatan komputer adalah perbuatan melawan hukum yang dilakukan dengan memakai komputer sebagai sarana/alat atau komputer sebagai objek, baik untuk memperoleh keuntungan ataupun tidak, dengan merugikan pihak lain. Secara ringkas kejahatan komputer didefinisikan sebagai perbuatan melawan hukum yang dilakukan dengan penggunakan teknologi komputer yang canggih (Wisnubroto, 1999).
Kejahatan dunia maya secara teknis dikelompokkan menjadi kejahatan langsung (online crime), semi-online crime dan cybercrime. Dalam prakteknya kejahatan dunia maya ini dikelompokkan menjadi :

1. Illegal Access (Akses Tanpa Ijin ke Sistem Komputer)
   Tanpa hak dan dengan sengaja mengakses secara tidak sah terhadap seluruh atau sebagian sistem komputer, dengan maksud untuk mendapatkan data komputer atau maksud-maksud tidak baik lainnya, atau berkaitan dengan sistem komputer yang dihubungkan dengan sistem komputer lain. Hacking merupakan salah satu dari jenis kejahatan ini yang sangat sering terjadi.
2. Illegal Contents (Konten Tidak Sah)
   Merupakan kejahatan dengan memasukkan data atau informasi ke internet tentang sesuatu hal yang tidak benar, tidak etis, dan dapat dianggap melanggar hukum atau mengganggu ketertiban umum.
3. Data Forgery (Pemalsuan Data)
   Merupakan kejahatan dengan memalsukan data pada dokumen-dokumen penting yang tersimpan sebagai scriptless document melalui internet. Contoh kejahatan ini pada dokumen-dokumen e-commerce dengan membuat seolah-olah terjadi salah ketik yang pada akhirnya akan menguntungkan pelaku.
4. Spionase Cyber (Mata-mata)
   Merupakan kejahatan yang memanfaatkan jaringan internet untuk melakukan kegiatan memata-matai pihak lain, dengan memasuki sistem jaringan komputer (computer network system) sasaran. Kejahatan ini biasanya ditujukan terhadap saingan bisnis yang dokumen ataupun data-data pentingnya tersimpan dalam suatu sistem yang bersifat komputerisasi.
5. Data Theft (Mencuri Data)
   Kegiatan memperoleh data komputer secara tidak sah, baik untuk digunakan sendiri ataupun untuk diberikan kepada orang lain. Identity theft merupakan salah satu dari jenis kejahatan ini yang sering diikuti dengan kejahatan penipuan (fraud). Kejahatan ini juga sering diikuti dengan kejahatan data leakage.
6. Misuse of devices (Menyalahgunakan Peralatan Komputer)
   Dengan sengaja dan tanpa hak, memproduksi, menjual, berusaha memperoleh untuk digunakan, diimpor, diedarkan atau cara lain untuk kepentingan itu, peralatan, termasuk program komputer, password komputer, kode akses, atau data semacam itu, sehingga seluruh atau sebagian sistem komputer dapat diakses dengan tujuan digunakan untuk melakukan akses tidak sah, intersepsi tidak sah, mengganggu data atau sistem komputer, atau melakukan perbuatan-perbuatan melawan hukum lain.

 Pengertian Cyber Crime

Perkembangan yang pesat dari teknologi telekomunikasi dan teknologi komputer menghasilkan internet yang multifungsi. Perkembangan ini membawa kita ke ambang revolusi keempat dalam sejarah pemikiran manusia bila ditinjau dari konstruksi pengetahuam umat manusia yang dicirikan dengan cara berfikir yang tanpa batas.

Motif Pelaku Cybercrime

• Motif intelektual, yaitu kejahatan yang dilakukan hanya untuk kepuasan pribadi dan menunjukkan bahwa dirinya telah mampu untuk merekayasa dan mengimplementasikan bidang teknologi informasi.
• Motif ekonomi, politik, dan kriminal, yaitu kejahatan yang dilakukan untuk keuntungan pribadi atau golongan tertentu yang berdampak pada kerugian secara ekonomi dan politik pada pihak lain.

Contoh-contoh Cybercrime

• Spamming
• Pemalsuan Kartu Kredit
• Virus
• dll

       Hacker dan Cracker
       Pengertian Hacker
Hacker adalah sekelompok orang yang menggunakan keahliannya dalam hal komputer untuk melihat, menemukan dan memperbaiki kelemahan sistem keamanan dalam sebuah sistem komputer ataupun dalam sebuah software. Ada juga yang bilang hacker adalah orang yang secara diam-diam mempelajari sistem yang biasanya sukar dimengerti untuk kemudian mengelolanya dan men-share hasil ujicoba yang dilakukannya. Hacker tidak merusak sistem.
Beberapa tingkatan hacker antara lain :
• Elite
Mengerti sistem luar dalam, sanggup mengkonfigurasi & menyambungkan jaringan secara global, melakukan pemrogramman setiap harinya, effisien & trampil, menggunakan pengetahuannya dengan tepat, tidak menghancurkan data-data, dan selalu mengikuti peraturan yang ada. Tingkat Elite ini sering disebut sebagai ‘suhu’.
• Semi Elite
Mempunyai kemampuan & pengetahuan luas tentang komputer, mengerti tentang sistem operasi (termasuk lubangnya), kemampuan programnya cukup untuk mengubah program eksploit.
• Developed Kiddie
Kebanyakkan masih muda & masih sekolah, mereka membaca tentang metoda hacking & caranya di berbagai kesempatan, mencoba berbagai sistem sampai akhirnya berhasil & memproklamirkan kemenangan ke lainnya, umumnya masih menggunakan Grafik User Interface (GUI) & baru belajar basic dari UNIX tanpa mampu menemukan lubang kelemahan baru di sistem operasi.
• Script Kiddie
Kelompok ini hanya mempunyai pengetahuan teknis networking yang sangat minimal, tidak lepas dari GUI, hacking dilakukan menggunakan trojan untuk menakuti & menyusahkan hidup sebagian pengguna Internet.
• Lamer
Kelompok ini hanya mempunyai pengalaman & pengetahuan tapi ingin menjadi hacker sehingga lamer sering disebut sebagai ‘wanna-be’ hacker, penggunaan komputer mereka terutama untuk main game, IRC, tukar menukar software prirate, mencuri kartu kredit, melakukan hacking dengan menggunakan software trojan, nuke & DoS, suka menyombongkan diri melalui IRC channel, dan sebagainya.
Hacker juga mempunyai kode etik antara lain sebagai beikut :

• Mamapu mengakses komputer tanpabatas dan totalitas
• Tidak percaya pada otoritas artinya memperluas desentralisasi
• Pekerjaan semata-mata demi kebenaran informasi yang harus disebar luaskan

(sumber: echo.org)
     Pengertian Cracker
Cracker adalah sebutan untuk orang yang mencari kelemahan system dan memasukinya untuk kepentingan pribadi dan mencari keuntungan dari system yang di masuki seperti: pencurian data, penghapusan, dan banyak yang lainnya.
Ciri-ciri seorang cracker adalah :

• Bisa membuat program C, C++ atau pearl
• Mengetahui tentang TCP/IP
• Menggunakan internet lebih dari 50 jam perbulan
• Mengetahaui sitem operasi UNIX atau VMS
• Mengoleksi sofware atau hardware lama
• Lebih sering menjalankan aksinya pada malam hari kare tidak mudah diketahui orang lain
• dll

Penyebab cracker melakukan penyerangan antara lain :

• Kecewa atau balas dendam
• Petualangan
• Mencari keuntungan
• Dll

     Perbedaan Hacker dan Cracker
Walaupun terkesan sama dalam konteks tertentu akan tetapi hacker dan cracker sangat berbeda sama sekali. Perbedaan-perbedaan antara hacker dan cracker, antara lain :

• Sama-sama memiliki kemampuan menganalisa sistem,i hacker setelah mengetahui kelemahan yang dimiliki oleh sistem akan melaporkan ke pihak yang dianggap berkepentingan seperti vendor yang membuat sistem tersebut, sedangkan cracker bersifat destruktif, artinya cracker merusak pada sistem tersebut atau memamfaatkannya untuk meraih keuntungan sendiri.
• Hacker memiliki etika dan kreatif menciptakan program atau kemudahan-kemudahan untuk dipakai oleh orang banyak dan mau berbagi ilmu dengan siapa saja, sedangkan cracker bersifat sembunyi-sembunyi dan tidak ingin diketahui oleh orang banyak, mereka memiliki komunitas tersendiri dan cara berhubungan tersendiri dalam jaringan internet.

   Spyware
Spyware adalah aplikasi yang membocorkan data informasi kebiasaan atau perilaku pengguna dalam menggunakan komputer ke pihak luar tanpa kita sadari. Biasanya spyware masuk atau menginfeksi komputer karena mendownload kontent dari internet atau menginstall program tertentu dari situs yang tidak jelas
Tanda-tanda komputer yang terinfeksi spyware

• Kinerja Computer akan terasa lambat, terutama jika terhubung dengan internet
• Browser  terkadang atau seringkali macet ( hang / crash ) saat akan  membuka halaman web tertentu
• Alamat situs yang sudah di-set secara default sering berubah
• Terkadang browser terbuka dengan sendirinya secara massal dan langsung  mengakses situs tertentu

Langkah-langkah menghindari spyware :

• Lakukan update atau patch pada software atau sistem operasi yang digunakan dari pembuatnya.
• Install anti spyware dan lakukan update secara berkala.
• Hati-hati terhadap situs yang meminta installasi program tertentu.
• Untuk penggunaan aplikasi gratisan, perhatikan review dari penggunanya, apakah terdapat spyware atau tidak.
• Usahakan tidak menggunakan jarinang PeertoPeer sharing.

  Spam
Spam adalah penyalahgunaan dalam pengiriman berita elektronik untuk menampilkan berita iklan dan keperluan lainnya yang mengakibatkan ketidaknyamanan bagi para pengguna web.
Spammer adalah orang yang mengirimkan spam, spammer biasanya menawarkan produk yang dijual atau informasi lain yang tidak berguna bagi penerimanya. Cara termudah untuk memasarkan suatu produk ke banyak orang adalah dengan mengirimkannya ke email.
Dampak spam :

• Terbuangnya waktu penerima spam untuk mengidentifikasi dan membuang spam tersebut.
• Bandwith yang terbuang karena pemakaian spam, termasuk biaya yang digunakan untuk bandwith tersebut.
• Komputer korban kadang terkena virus atau trojan yang seringkali diikut sertakan dalam spam.

Cara penanggulangan spam, antara lain:

• Memakai anti spam.
• Gunakan program firewall.

Berikut adalah 10 contoh kasus Cyber Crime yang pernah terjadi beserta modus dan analisa penyelesaiannya:

KASUS 1 :
Pada tahun 1982 telah terjadi penggelapan uang di bank melalui komputer sebagaimana diberitakan “Suara Pembaharuan” edisi 10 Januari 1991 tentang dua orang mahasiswa yang membobol uang dari sebuah bank swasta di Jakarta sebanyak Rp. 372.100.000,00 dengan menggunakan sarana komputer. Perkembangan lebih lanjut dari teknologi komputer adalah berupa computer network yang kemudian melahirkan suatu ruang komunikasi dan informasi global yang dikenal dengan internet.
Pada kasus tersebut, kasus ini modusnya adalah murni criminal, kejahatan jenis ini biasanya menggunakan internet hanya sebagai sarana kejahatan.
Penyelesaiannya, karena kejahatan ini termasuk penggelapan uang pada bank dengan menggunaka komputer sebagai alat melakukan kejahatan. Sesuai dengan undang-undang yang ada di Indonesia maka, orang tersebut diancam dengan pasal 362 KUHP atau Pasal 378 KUHP, tergantung dari modus perbuatan yang dilakukannya.
KASUS 2 :
Kasus ini terjadi saat ini dan sedang dibicarakan banyak orang, kasus video porno Ariel “PeterPan” dengan Luna Maya dan Cut Tari, video tersebut di unggah di internet oleh seorang yang berinisial ‘RJ’ dan sekarang kasus ini sedang dalam proses.
Pada kasus tersebut, modus sasaran serangannya ditujukan kepada perorangan atau individu yang memiliki sifat atau kriteria tertentu sesuai tujuan penyerangan tersebut.
Penyelesaian kasus ini pun dengan jalur hukum, penunggah dan orang yang terkait dalam video tersebut pun turut diseret pasal-pasal sebagai berikut, Pasal 29 UURI No. 44 th 2008 tentang Pornografi Pasal 56, dengan hukuman minimal 6 bulan sampai 12 tahun. Atau dengan denda minimal Rp 250 juta hingga Rp 6 milyar. Dan atau Pasal 282 ayat 1 KUHP.
KASUS 3 :
Istilah hacker biasanya mengacu pada seseorang yang punya minat besar untuk mempelajari sistem komputer secara detail dan bagaimana meningkatkan kapabilitasnya. Adapun mereka yang sering melakukan aksi-aksi perusakan di internet lazimnya disebutcracker. Boleh dibilang cracker ini sebenarnya adalah hacker yang yang memanfaatkan kemampuannya untuk hal-hal yang negatif. Aktivitas cracking di internet memiliki lingkup yang sangat luas, mulai dari pembajakan account milik orang lain, pembajakan situs web, probing, menyebarkan virus, hingga pelumpuhan target sasaran. Tindakan yang terakhir disebut sebagai DoS (Denial Of Service). Dos attack merupakan serangan yang bertujuan melumpuhkan target (hang, crash) sehingga tidak dapat memberikan layanan.
Pada kasus Hacking ini biasanya modus seorang hacker adalah untuk menipu atau mengacak-acak data sehingga pemilik tersebut tidak dapat mengakses web miliknya. Untuk kasus ini Pasal 406 KUHP dapat dikenakan pada kasus deface atau hacking yang membuat sistem milik orang lain, seperti website atau program menjadi tidak berfungsi atau dapat digunakan sebagaimana mestinya.

KASUS 4 :
Carding, salah satu jenis cyber crime yang terjadi di Bandung sekitar Tahun 2003. Carding merupakan kejahatan yang dilakukan untuk mencuri nomor kartu kredit milik orang lain dan digunakan dalam transaksi perdagangan di internet. Para pelaku yang kebanyakan remaja tanggung dan mahasiswa ini, digerebek aparat kepolisian setelah beberapa kali berhasil melakukan transaksi di internet menggunakan kartu kredit orang lain. Para pelaku, rata-rata beroperasi dari warnet-warnet yang tersebar di kota Bandung. Mereka biasa bertransaksi dengan menggunakan nomor kartu kredit yang mereka peroleh dari beberapa situs. Namun lagi-lagi, para petugas kepolisian ini menolak menyebutkan situs yang dipergunakan dengan alasan masih dalam penyelidikan lebih lanjut.
Modus kejahatan ini adalah pencurian, karena pelaku memakai kartu kredit orang lain untuk mencari barang yang mereka inginkan di situs lelang barang. Karena kejahatan yang mereka lakukan, mereka akan dibidik dengan pelanggaran Pasal 378 KUHP tentang penipuan, Pasal 363 tentang Pencurian dan Pasal 263 tentang Pemalsuan Identitas.
KASUS 5 :
Penyebaran virus dengan sengaja, ini adalah salah satu jenis kasus cyber crime yang terjadi pada bulan Juli 2009, Twitter (salah satu jejaring social yang sedang naik pamor di masyakarat belakangan ini) kembali menjadi media infeksi modifikasi New Koobface, worm yang mampu membajak akun Twitter dan menular melalui postingannya, dan menjangkiti semua follower. Semua kasus ini hanya sebagian dari sekian banyak kasus penyebaran malware di seantero jejaring social. Twitter tak kalah jadi target, pada Agustus 2009 diserang oleh penjahat cyber yang mengiklankan video erotis. Ketika pengguna mengkliknya, maka otomatis mendownload Trojan-Downloader.Win32.Banload.sco.
Modus serangannya adalah selain menginfeksi virus, akun yang bersangkutan bahkan si pemiliknya terkena imbas. Karena si pelaku mampu mencuri nama dan password pengguna, lalu menyebarkan pesan palsu yang mampu merugikan orang lain, seperti permintaan transfer uang . Untuk penyelesaian kasus ini, Tim keamanan dari Twitter sudah membuang infeksi tersebut. Tapi perihal hukuman yang diberikan kepada penyebar virusnya belum ada kepastian hukum.
KASUS 6 :
Cybersquatting adalah mendaftar, menjual atau menggunakan nama domain dengan maksud mengambil keuntungan dari merek dagang atau nama orang lain. Umumnya mengacu pada praktek membeli nama domain yang menggunakan nama-nama bisnis yang sudah ada atau nama orang orang terkenal dengan maksud untuk menjual nama untuk keuntungan bagi bisnis mereka . Contoh kasus cybersquatting, Carlos Slim, orang terkaya di dunia itu pun kurang sigap dalam mengelola brandingnya di internet, sampai domainnya diserobot orang lain. Beruntung kasusnya bisa digolongkan cybersquat sehingga domain carlosslim.com bisa diambil alih. Modusnya memperdagangkan popularitas perusahaan dan keyword Carlos Slim dengan cara menjual iklan Google kepada para pesaingnya. Penyelesaian kasus ini adalah dengan menggunakan prosedur Anticybersquatting Consumer Protection Act (ACPA), memberi hak untuk pemilik merek dagang untuk menuntut sebuah cybersquatter di pengadilan federal dan mentransfer nama domain kembali ke pemilik merek dagang. Dalam beberapa kasus, cybersquatter harus membayar ganti rugi uang.
KASUS 7 :
Salah satu contoh kasus yang terjadi adalah pencurian dokumen terjadi saat utusan khusus Presiden Susilo Bambang Yudhoyono yang dipimpin Menko Perekonomian Hatta Rajasa berkunjung di Korea Selatan. Kunjungan tersebut antara lain, guna melakukan pembicaraan kerja sama jangka pendek dan jangka panjang di bidang pertahanan. Delegasi Indonesia beranggota 50 orang berkunjung ke Seoul untuk membicarakan kerja sama ekonomi, termasuk kemungkinan pembelian jet tempur latih supersonik T-50 Golden Eagle buatan Korsel dan sistem persenjataan lain seperti pesawat latih jet supersonik, tank tempur utama K2 Black Panther dan rudal portabel permukaan ke udara. Ini disebabkan karena Korea dalam persaingan sengit dengan Yak-130, jet latih Rusia. Sedangkan anggota DPR yang membidangi Pertahanan (Komisi I) menyatakan, berdasar informasi dari Kemhan, data yang diduga dicuri merupakan rencana kerja sama pembuatan 50 unit pesawat tempur di PT Dirgantara Indonesia (DI). Pihak PT DI membenarkan sedang ada kerja sama dengan Korsel dalam pembuatan pesawat tempur KFX (Korea Fighter Experiment). Pesawat KFX lebih canggih daripada F16. Modus dari kejahatan tersebut adalah mencuri data atau data theft, yaitu kegiatan memperoleh data komputer secara tidak sah, baik digunakan sendiri ataupun untuk diberikan kepada orang lain. Indentity Theft merupakan salah satu jenis kejahatan ini yang sering diikuti dengan kejahatan penipuan. Kejahatan ini juga sering diikuti dengan kejahatan data leakage.Perbuatan melakukan pencurian dara sampai saat ini tidak ada diatur secara khusus.
KASUS 8 :
Perjudian online, pelaku menggunakan sarana internet untuk melakukan perjudian. Seperti yang terjadi di Semarang, Desember 2006 silam. Para pelaku melakukan praktiknya dengan menggunakan system member yang semua anggotanya mendaftar ke admin situs itu, atau menghubungi HP ke 0811XXXXXX dan 024-356XXXX. Mereka melakukan transaki online lewat internet dan HP untuk mempertaruhkan pertarungan bola Liga Inggris, Liga Italia dan Liga Jerman yang ditayangkan di televisi. Untuk setiap petaruh yang berhasil menebak skor dan memasang uang Rp 100 ribu bisa mendapatkan uang Rp 100 ribu, atau bisa lebih. Modus para pelaku bermain judi online adalah untuk mendapatkan uang dengan cara instan. Dan sanksi menjerat para pelaku yakni dikenakan pasal 303 tentang perjudian dan UU 7/1974 pasal 8 yang ancamannya lebih dari 5 tahun.
KASUS 9 :
Pencurian dan penggunaan account Internet milik orang lain . Salah satu kesulitan dari sebuah ISP (Internet Service Provider) adalah adanya account pelanggan mereka yang “dicuri” dan digunakan secara tidak sah. Berbeda dengan pencurian yang dilakukan secara fisik, “pencurian” account cukup menangkap “userid” dan “password” saja. Hanya informasi yang dicuri. Sementara itu orang yang kecurian tidak merasakan hilangnya “benda” yang dicuri. Pencurian baru terasa efeknya jika informasi ini digunakan oleh yang tidak berhak. Akibat dari pencurian ini, penggunan dibebani biaya penggunaan acocunt tersebut. Kasus ini banyak terjadi di ISP. Namun yang pernah diangkat adalah penggunaan account curian oleh dua Warnet di Bandung.
KASUS 10 :
Probing dan port scanning . Salah satu langkah yang dilakukan cracker sebelum masuk ke server yang ditargetkan adalah melakukan pengintaian. Cara yang dilakukan adalah dengan melakukan “port scanning” atau “probing” untuk melihat servis-servis apa saja yang tersedia di server target. Sebagai contoh, hasil scanning dapat menunjukkan bahwa server target menjalankan program web server Apache, mail server Sendmail, dan seterusnya. Analogi hal ini dengan dunia nyata adalah dengan melihat-lihat apakah pintu rumah anda terkunci, merek kunci yang digunakan, jendela mana yang terbuka, apakah pagar terkunci (menggunakan firewall atau tidak) dan seterusnya. Yang bersangkutan memang belum melakukan kegiatan pencurian atau penyerangan, akan tetapi kegiatan yang dilakukan sudah mencurigakan. Apakah hal ini dapat ditolerir (dikatakan sebagai tidak bersahabat atau unfriendly saja) ataukah sudah dalam batas yang tidak dapat dibenarkan sehingga dapat dianggap sebagai kejahatan?
Berbagai program yang digunakan untuk melakukan probing atau portscanning ini dapat diperoleh secara gratis di Internet. Salah satu program yang paling populer adalah “nmap” (untuk sistem yang berbasis UNIX, Linux) dan “Superscan” (untuk sistem yang berbasis Microsoft Windows). Selain mengidentifikasi port, nmap juga bahkan dapat mengidentifikasi jenis operating system yang digunakan.

Keamanan Sistem Operasi

Macam-Macam Cyber Crime Berdasarkan Sasaran Kejahatannya 1. Kejahatan telematika terhadap individu Jenis kejahatan ini, sasaran serangannya ditujukan kepada perorangan atau individu yang memiliki sifat atau kriteria tertentu sesuai tujuan penyerangan tersebut. Beberapa contoh kejahatan ini antara lain : • Pornografi Kegiatan yang dilakukan dengan membuat, memasang, mendistribusikan, dan menyebarkan material yang berbau pornografi, cabul, serta mengekspos hal-hal yang tidak pantas. • Cyberstalking Kegiatan yang dilakukan untuk mengganggu atau melecehkan seseorang dengan memanfaatkan komputer, misalnya dengan menggunakan e-mail yang dilakukan secara berulang-ulang seperti halnya teror di dunia cyber. Gangguan tersebut bisa saja berbau seksual, religius, dan lain sebagainya. • Cyber-Tresspass Kegiatan yang dilakukan melanggar area privasi orang lain seperti misalnya Web Hacking. Breaking ke PC, Probing, Port Scanning dan lain sebagainya. Contoh kasus lainnya adalah lima orang hacker (penyusup) yang berada di Moskow telah mencuri sekitar 5400 data kartu kredit milik orang Rusia dan orang asing yang didapat dengan menyusup pada sistem komputer beberapa internet retailer, terhitung dari tahun 1999 sampai dengan April 2000. Kerugian yang diderita ditaksir sebesar US$ 630.000.18 Kejahatan ini dapat ditangani oleh Pemerintah Rusia, dengan menjatuhkan hukuman pencurian pada kelima orang carder tersebut. Akan tetapi kerugian yang diderita para korban sampai saat ini belum ditangani. 2. Cybercrime menyerang hak milik (Againts Property) Cybercrime yang dilakukan untuk menggangu atau menyerang hak milik orang lain. Beberapa contoh kejahatan jenis ini misalnya pengaksesan komputer secara tidak sah melalui dunia cyber, pemilikan informasi elektronik secara tidak sah/pencurian informasi, carding, cybersquating, hijacking, data forgery dan segala kegiatan yang bersifat merugikan hak milik orang lain. 3. Kejahatan telematika terhadap perusahaan atau organisasi Pada tahun 1995, Julio Cesar Ardita, seorang mahasiswa dari Argentina berhasil menyusup dan mengganti (cracking) data sistem yang ada di Fakultas Arts and Science Universitas Harvard, Departemen Pertahanan Amerika, the US Naval Command, the San Diegobased Control and Ocean Surveillance Center, dan beberapa organisasi vital di Amerika Sayangnya, Hukum Argentina tidak mengatur tindakan Ardita sebagai kejahatan. Meskipun begitu, mengingat kerugian yang diderita oleh Pemerintah Amerika, pada akhirnya Julio Cesar Ardita menyerahkan diri dengan sukarela kepada FBI.19 4. Kejahatan telematika terhadap negara Majalah New York Times melaporkan sering kali terjadi serangan terhadap situssitus resmi di beberapa Negara di dunia, yang dilakukan bahkan bukan oleh warga Negaranya. Serangan yang paling merugikan adalah pengrusakan yang dilakukan oleh hacker asing pada situs Kementrian keuangan Romania pada tahun 1999, sehingga merugikan pemerintah Romania milyaran dollar. Serangan ini dilakukan dengan mengganti besaran kurs mata uang Romania sehingga banyak pembayar pajak online yang terkecoh dengan data yang telah diganti tersebut. Hanya sayangnya, kejahatan ini tidak berlanjut ke pengadilan karena tidak adanya hukum yang mengatur kejahatan telematika yang bersifat transnasional. Kejahatan telematika yang merugikan banyak negara adalah kasus “Virus Melissa”. Virus ini dibuat oleh David L. Smith, seorang programmer dari New Jersey. Dia menciptakan virus Melissa dan menggunakan situs X-rated untuk menyebarkan virus tersebut atau melalui email. Virus ini tidak bisa dijinakan sehingga merugikan banyak perusahaan-perusahaan di dunia dengan perkiraan kerugian sebesar US$ 80 milyar. Untuk kejahatannya ini Smith dijatuhi hukuman penjara 5 tahun oleh Pengadilan Negara Bagian New Jersey. Bagi Amerika, kejahatan telematika sudah menjadi agenda penting dalam peraturan perundang-undangan negara tersebut, sehingga sejak tahun 1997, Amerika terus memperbaharui hukum mengenai kejahatan telemtika. Akan tetapi bagi Negara-negara lain, terutama Negara berkembang yang sering menjadi lahan kejahatan telematika, sulit untuk mengadili pelaku kejahatan tersebut, terutama apabila kejahatan itu dilakukan bukan oleh warga negaranya dan dilakukan tidak didalam wilayah teritorialnya, meskipun Negara tersebut mengalami kerugian. Hal ini yang mendorong beberapa negara melakukan berbagai upaya untuk membuat aturan mengenai tindakan pencegahan dan penanganan kejahatan telematika, akan tetapi efektifitas aturan tersebut bergantung pada masing-masing negara. Misalnya, pada tanggal 4 Desember 2000, Sidang Umum Perserikatan Bangsa-Bangsa (PBB) telah menandatangani Resolusi PBB 55/63 mengenai anjuran bagi negara-negara anggota PBB untuk memerangi tindakan kejahatan telematika atau tindakan penyalahgunaan teknologi informasi. Menindaklanjuti Resolusi PBB 55/63, para pemimpin ekonomi yang tergabung dalam organisasi Kerja Sama Ekonomi Asia Pasifik (APEC) sepakat membentuk APEC Cyber Crime Strategy yang bertujuan mengupayakan secara bersama keamanan internet (cyber security) dan mencegah serta menghukum pelaku kejahatan telematika. Sementara itu, Negara-negara anggota ASEAN sepakat membentuk Manila Declaration on Prevention and Control of Transnational Crime, yaitu deklarasi mengenai pencegahan dan pengawasan kejahatan transnasional termasuk kejahatan yang menggunakan ICT atau kejahatan telematika. Akan tetapi upaya masayarakat internasional tersebut di atas hanya sebatas morally and political binding bagi negara-negara anggota, sehingga pelaksanaannya diserahkan atas dasar kemauan dan kemampuan negara-negara tersebut. Lain halnya dengan Eropa dimana negara-negara yang tergabung dalam European Union telah membentuk International Convention on Cyber Crime pada tahun 2001, dan efektif dilaksanakan pada pertengahan tahun 2004. Konvensi ini mengikat negara-negara eropa union yang meratifikasinya, sehingga kejahatan telematika yang terjadi di wilayah eropa dapat ditangani secara regional. Namun timbul pertanyaan yang mendasar, bagaimana Negara-negara tersebut melakukan penanganan kejahatan telematika yang bersifat transnasional? Berkaitan dengan ketentuan mengenai yurisdiksi Negara. Hal yang penting adalah bagaimana pendekatan yurisdiksi negara terhadap kejahatan telematika yang bersifat transnasional. Yurisdiksi secara konseptual dibagi menjadi tiga yaitu: • Jurisdiction To Prescribe Negara berwenang menetapkan ketentuan hukum baik pidana ataupun perdata pada subjek hukum atau peristiwa hokum yang terjadi diwilayahnya atau yang dilakukan oleh warga negaranya. • Jurisdiction To Adjudicate Negara berwenang untuk memaksa subjek hukum untuk tunduk pada proses peradilan, baik proses pidana maupun perdata • Jurisdiction To Enforce Negara berwenang untuk memaksa subjek hukum untuk memenuhi kewajibannya, atau melaksanakan hukuman yang telah diputuskan oleh badan peradilan negara tersebut. Pada dasarnya ketiga konsep ini termasuk dalam prinsip yurisdiksi territorial, dimana satu Negara memiliki kewenangan dalam menetapkan hokum pidananya terhadap kejahatan yang berlangsung didalam wilayah teritorialnya. Ketentuan mengenai apakah bentuk kegiatan tersebut dapat dipidana tergantung dari hokum Negara dimana tindakan tersebut dilakukan. Hal ini terjadi pada tahun 2000, kasus virus ‚“I love You“ yang merugikan sekitar 40 juta orang di Amerika, menimbulkan permasalahan yurisdiksi. Virus yang dibuat oleh Guzman warga negara Philipina tidak dianggap sebagai kejahatan berdasarkan hukum Philipina, sebaliknya Amerika menetapkan Guzman sebagai penjahat cyber yang harus ditindak dan diadili. Kenyataan ini menggambarkan bahwa, kejahatan telematika yang bersifat transnasional membutuhkan adannya pengakuan „“double criminality“, yaitu baik Amerika maupun Philipina sama – sama mengakui bahwa penyebaran virus termasuk sebagai kejahatan. Sehingga dimungkinkan adanya ekstradisi, atau paling tidak adanya legal mutual assistance, dimana kejahatan itu dilaporkan oleh pihak Amerika, sedangkan penangannya dapat dilakukan oleh Philipina. Kasus lain adalah Yahoo.com Inc. yang dilarang didownload di wilayah Jerman dan Inggris pada tahun 2004-2005. Hal ini dikarekan Yahoo.com dan America Online.Com menampilkan memoribilia Nazi. Pemerintah Jerman memerintahkan untuk mendenda setiap ISP yang menampilkan Yahoo.com tersebut. Hal ini tentu diprotes oleh Yahoo.inc, karena kegiatan uploading Nazi memoribilia ini tidak bertentangan dengan hukum Federal Amerika. Kasus lain terjadi antara Pemerintah Amerika dan Antigua, ketika pada tahun 2006, FBI meminta Interpol untuk mengeluarkan 'Red Notice' untuk menangkap Presiden Perusahaan Gambling Online dari Antigua. Amerika menganggap bahwa gambling online yang berasal dari Antigua adalah melawan hukum Federal. Hanya saja, permintaan FBI untuk menangkap pelaku yang menyebarkan online gambling ditolak oleh Antigua karena kegiatan online gambling tersebut tidak bertentangan dengan hukum Antigua. Permasalahan yurisdiksi ini kemudian timbul ketika masing – masing negara mengklaim memiliki ketentuan yurisdiksi tersendiri dalam menangani kejahatan telematika.
Kejahatan Internet yang pernah di Indonesia 1. Kejahatan dengan target online banking 1. Jenis kejahatan ini muncul dengan memanfaatkan kelemahan sistem layanan online banking 2. Modus yang pernah terjadi di Indonesia adalah typosite (situs palsu)Pelaku 3. pembuat typosite mengharapkan nasabah melakukan salah ketik dan salah alamat masuk ke situsnya 2. Acak-acak Situs Penting Saat ini penanganan kejahatan di dunia maya (cyber crime) masih minim, padahal Indonesia termasuk negara dengan kasus cyber crime tertinggi di bawah Ukrania. Penanganan kasus kejahatan jenis ini memang membutuhkan kemampuan khusus dari para penegak hukum. Dari kasus-kasus yang terungkap selama ini, pelaku diketahui memiliki tingkat kepandaian di atas rata-rata. Selain karena motif ekonomi, sebagian hacker melakukan tindakan merusak website orang lain hanya sekadar untuk pamer kemampuan. Kasus terakhir, Rizky Martin, 27, alias Steve Rass, 28, dan Texanto alias Doni Michael melakukan transaksi pembelian barang atas nama Tim Tamsin Invex Corp, perusahaan yang berlokasi di AS melalui internet. Keduanya menjebol kartu kredit melalui internet banking sebesar Rp350 juta. Dua pelaku ditangkap aparat Cyber Crime Polda Metro Jaya pada 10 Juni 2008 di sebuah warnet di kawasan Lenteng Agung, Jaksel. Awal Mei 2008 lalu, Mabes Polri menangkap “hacker” bernama Iqra Syafaat, 24, di satu warnet di Batam, Riau, setelah melacak IP addressnya dengan nick name Nogra alias Iqra. Pemuda tamatan SMA tersebut dinilai polisi berotak encer dan cukup dikenal di kalangan hacker. Dia pernah menjebol data sebuah website lalu menjualnya ke perusahaan asing senilai Rp600 ribu dolar atau sekitar Rp6 miliar. Dalam pengakuannya, hacker lokal ini sudah pernah menjebol 1.257 situs jaringan yang umumnya milik luar negeri. Bahkan situs Presiden SBY pernah akan diganggu, tapi dia mengurungkan niatnya. Kasus lain yang pernah diungkap polisi pada tahun 2004 ialah saat situs milik KPU (Komisi Pemilihan Umum) yang juga diganggu hacker. Tampilan lambang 24 partai diganti dengan nama ‘partai jambu’, ‘partai cucak rowo’ dan lainnya. Pelakunya, diketahui kemudian, bernama Dani Firmansyah,24, mahasiswa asal Bandung yang kemudian ditangkap Polda Metro Jaya. Motivasi pelaku, konon, hanya ingin menjajal sistem pengamanan di situs milik KPU yang dibeli pemerintah seharga Rp 200 miliar itu. Dan ternyata berhasil. 3. BOBOL KARTU KREDIT Data di Mabes Polri, dari sekitar 200 kasus cyber crime yang ditangani hampir 90 persen didominasi carding dengan sasaran luar negeri. Aktivitas internet memang lintas negara. Yang paling sering jadi sasaran adalah Amerika Serikat, Australia, Kanada dan lainnya. Pelakunya berasal dari kota-kota besar seperti Yogyakarta, Bandung, Jakarta, Semarang, Medan serta Riau. Motif utama adalah ekonomi. Peringkat kedua hacking dengan merusak dan menjebol website pihak lain dengan tujuan beragam, mulai dari membobol data lalu menjualnya atau iseng merusak situs tertentu. Kejahatan internet lainnya, pornografi yakni menjadikan internet sebagai arena prostitusi. Sejumlah situs porno yang digunakan sebagai pelacuran terselubung dan penjualan aksesoris seks pernah diusut Polda Metro Jaya, dan pengelolanya ditangkap. Situs judi seperti indobetonline.com, juga pernah dibongkar Mabes Polri. Selain itu, belum lama ini, kepolisian Tangerang juga membongkar judi di situs tangkas.net yang menyediakan judi bola tangkas, Mickey Mouse dan lainnya. Kejahatan lainnya, penipuan lewat internet. “Kejahatan internet ada dua kategori, yakni sasaran utamanya fasilitas komputer sebagai alat teknologi dan tidak hanya sebagai sarana. Kategori ke dua, menjadikan komputer sebagai sarana melakukan kejahatan. Di Indonesia pernah terjadi kasus cybercrime yang berkaitan dengan kejahatan bisnis, tahun 2000 beberapa situs atau web Indonesia diacak-acak oleh cracker yang menamakan dirinya Fabianclone dan naisenodni. Situs tersebut adalah antara lain milik BCA, Bursa Efek Jakarta dan Indosatnet (Agus Raharjo, 2002.37). Selanjutnya pada bulan September dan Oktober 2000, seorang craker dengan julukan fabianclone berhasil menjebol web milik Bank Bali. Bank ini memberikan layanan internet banking pada nasabahnya. Kerugian yang ditimbulkan sangat besar dan mengakibatkan terputusnya layanan nasabah (Agus Raharjo 2002:38). Kejahatan lainnya yang dikategorikan sebagai cybercrime dalam kejahatan bisnis adalah Cyber Fraud, yaitu kejahatan yang dilakukan dengan melakukan penipuan lewat internet, salah satu diantaranya adalah dengan melakukan kejahatan terlebih dahulu yaitu mencuri nomor kartu kredit orang lain dengan meng-hack atau membobol situs pada internet. Satu lagi kasus yang berkaitan dengan cybercrime di Indonesia, kasus tersebut diputus di Pengadilan Negeri Sleman dengan Terdakwa Petrus Pangkur alias Bonny Diobok Obok. Dalam kasus tersebut, terdakwa didakwa melakukan Cybercrime. Dalam amar putusannya Majelis Hakim berkeyakinan bahwa Petrus Pangkur alias Bonny Diobok Obok telah membobol kartu kredit milik warga Amerika Serikat, hasil kejahatannya digunakan untuk membeli barang-barang seperti helm dan sarung tangan merk AGV. Total harga barang yang dibelinya mencapai Rp. 4.000.000,- (Pikiran Rakyat, 31 Agustus 2002). Sementara itu As’ad Yusuf memerinci kasus-kasus kejahatan internet yang sering terjadi di Indonesia menjadi lima, yaitu: 1. Pencurian nomor kartu kredit. 2. Pengambilalihan situs web milik orang lain. 3. Pencurian akses internet yang sering dialami oleh ISP. 4. Kejahatan nama domain. 5. Persaingan bisnis dengan menimbulkan gangguan bagi situs saingannya. C. Penanganan Kriminalitas Internet Oleh Pemerintah Menurut Mas Wigrantoro dalam BisTek No. 10, 24 Juli 2000, h. 52 secara garis besar ada lima topic dari cyberlaw di setiap negara yaitu: a. Information security, menyangkut masalah keotentikan pengirim atau penerima dan integritas dari pesan yang mengalir melalui internet. Dalam hal ini diatur masalah kerahasiaan dan keabsahan tanda tangan elektronik. b. On-line transaction, meliputi penawaran, jual-beli, pembayaran sampai pengiriman barang melalui internet. c. Right in electronic information, soal hak cipta dan hak-hak yang muncul bagi pengguna maupun penyedia content. d. Regulation information content, sejauh mana perangkat hukum mengatur content yang dialirkan melalui internet. e. Regulation on-line contact, tata karma dalam berkomunikasi dan berbisnis melalui internet termasuk perpajakan, retriksi eksport-import, kriminalitas dan yurisdiksi hukum. Saat ini di Indonesia sudah dibuat naskah rancangan undang-undang cyberlaw yang dipersiapkan oleh Fakultas Hukum Universitas Indonesia bekerja sama dengan Departemen Perdagangan dan Fakultas Hukum Universitas Padjajaran Bandung bekerja sama dengan Departemen Pos dan telekomunikasi. Hingga saat ini naskah RUU Cyberlaw tersebut belum disahkan sementara kasus-kasus hukum yang berkaitan dengan kriminalitas di internet terus bermunculan mulai dari pembajakan kartu kredit, banking fraud, akses ilegal ke sistem informasi, perusakan web site sampai dengan pencurian data. Saat ini regulasi yang dipergunakan sebagai dasar hukum atas kasus-kasus kejahatan internet adalah Undang-undang Telekomunikasi dan Kitab Undang-Undang Hukum Pidana (KUHP). Namun demikian, interpetasi yang dilakukan atas pasal-pasal KUHP dalam kasus kejahatan internet terkadang kurang tepat untuk diterapkan. Oleh karena itu pentingnya pengesahan RUU Cyberlaw perlu diprioritaskan untuk menghadapi era cyberspace dengan segala konsekuensi yang menyertainya termasuk maraknya kejahatan internet belakangan ini. Contoh Kasus Cybercrime di Luar Negeri Amerika Serikat memiliki Computer Crime and Intellectual Property Section (CCIPS) of the Criminal Division of the U.S. Departement of Justice. Institusi ini memiliki situs web yang memberikan informasi tentang cybercrime. Namun banyak informasi yang masih terfokus kepada computer crime. National Infrastructure Protection Center (NIPC) merupakan sebuah institusi pemerintah Amerika Serikat yang menangani masalah yang berhubungan dengan infrastruktur. Institusi ini mengidentifikasi bagian infrastruktur yang penting (critical) bagi negara (khususnya bagi Amerika Serikat). Situs web: . Internet atau jaringan komputer sudah dianggap sebagai infrastruktur yang perlu mendapat perhatian khusus. Institusi ini memberikan advisory The National Information Infrastructure Protection Act of 1996 CERT yang memberikan advisory tentang adanya lubang keamanan (Security holes). Korea memiliki Korea Information Security Agency yang bertugas untuk melakukan evaluasi perangkat keamanan komputer & Internet, khususnya yang akan digunakan oleh pemerintah.

sumber : http://pitriimoet.blogspot.com/

Sistem Keamanan Komputer Keamanan sistem komputer adalah untuk menjamin sumber daya sistem tidak digunakan / dimodifikasi, diinterupsi dan diganggu oleh orang yang tidak diotorisasi. Pengamanan termasuk masalah teknis, manajerial, legalitas dan politis. 3 macam keamanan sistem, yaitu : 1. Keamanan eksternal / external security Berkaitan dengan pengamanan fasilitas komputer dari penyusup dan bencana seperti kebakaran /kebanjiran. 2. Keamanan interface pemakai / user interface security Berkaitan dengan indentifikasi pemakai sebelum pemakai diijinkan mengakses program dan data yang disimpan 3. Keamanan internal / internal security Berkaitan dengan pengamanan beragam kendali yang dibangun pada perangkat keras dan sistem operasi yang menjamin operasi yang handal dan tak terkorupsi untuk menjaga integritas program dan data. 2 masalah penting keamanan, yaitu : 1. Kehilangan data / data loss Yang disebabkan karena : · Bencana, contohnya kebakaran, banjir, gempa bumi, perang, kerusuhan, tikus, dll. · Kesalahan perangkat keras dan perangkat lunak, contohnya ketidak berfungsinya pemroses, disk / tape. yang tidak terbaca, kesalahan komunikasi, kesalahan program / bugs. · Kesalahan / kelalaian manusia, contohnya kesalahan pemasukkan data, memasang tape / disk yang salah, kehilangan disk / tape. 2. Penyusup / intruder · Penyusup pasif, yaitu yang membaca data yang tidak terotorisasi · Penyusup aktif, yaitu mengubah data yang tidak terotorisasi. Contohnya penyadapan oleh orang dalam, usaha hacker dalam mencari uang, spionase militer / bisnis, lirikan pada saat pengetikan password. Sasaran keamanan adalah menghindari, mencegah dan mengatasi ancaman terhadap sistem. 3 aspek kebutuhan keamanan sistem komputer, yaitu : 1. Kerahasiaan / secrecy, diantaranya privasi Keterjaminan bahwa informasi di sistem komputer hanya dapat diakses oleh pihak-pihak yang terotorisasi dan modifikasi tetap menjaga konsistensi dan keutuhan data di sistem 2. Integritas / integrity Keterjaminan bahwa sumber daya sistem komputer hanya dapat dimodifikasi oleh pihak-pihak yang terotorisasi 3. Ketersediaan / availability Keterjaminan bahwa sumber daya sistem komputer tersedia bagi pihak-pihak yang diotorisasi saat diperlukan. Tipe ancaman terhadap keamanan sistem komputer dapat dimodelkan dengan memandang fungsi sistem komputeer sebagai penyedia informasi. Berdasarkan fungsi ini, ancaman terhadap sistem komputeer dikategorikan menjadi 4 ancaman, yaitu : 1. Interupsi / interuption Sumber daya sistem komputer dihancurkan / menjadi tak tersedia / tak berguna. Merupakan ancaman terhadap ketersediaan. Contohnya penghancuran harddisk, pemotongan kabel komunikasi. 2. Intersepsi / interception Pihak tak diotorisasi dapat mengakses sumber daya. Merupakan ancaman terhadap kerahasiaan. Pihak tak diotorissasi dapat berupa orang / program komputeer. Contohnya penyadapan, mengcopy file tanpa diotorisasi. 3. Modifikasi / modification Pihak tak diotorisasi tidak hanya mengakses tapi juga merusak sumber daya. Merupakan ancaman terhadap integritas. Contohnya mengubah nilai file, mengubah program, memodifikasi pesan 4. Fabrikasi / fabrication Pihak tak diotorisasi menyisipkan / memasukkan objek-objek palsu ke sistem. Merupakan ancaman terhadap integritas. Contohnya memasukkan pesan palsu ke jaringan, menambah record file. Petunjuk prinsip-prinsip pengamanan sistem komputer, yaitu : 1. Rancangan sistem seharusnya publik Tidak tergantung pada kerahasiaan rancangan mekanisme pengamanan. Membuat proteksi yang bagus dengan mengasumsikan penyusup mengetahui cara kerja sistem pengamanan. 2. Dapat diterima Mekanisme harus mudah diterima, sehingga dapat digunakan secara benar dan mekanisme proteksi tidak mengganggu kerja pemakai dan pemenuhan kebutuhan otorisasi pengaksesan. 3. Pemeriksaan otoritas saat itu Banyak sisten memeriksa ijin ketika file dibuka dan setelah itu (opersi lainnya) tidak diperiksa. 4. Kewenangan serendah mungkin Program / pemakai sistem harusnya beroperasi dengan kumpulan wewenang serendah mungkin yang diperlukan untuk menyelesaikan tugasnya. 5. Mekanisme yang ekonomis Mekanisme proteksi seharusnya sekecil dan sesederhana mungkin dan seragam sehingga mudah untukverifikasi. Otentifikasi pemakai / user authentification adalah identifikasi pemakai ketika login. 3 cara otentifikasi : 1. Sesuatu yang diketahui pemakai, misalnya password, kombinasi kunci, nama kecil ibu mertua, dll Untuk password, pemakai memilih suatu kata kode, mengingatnya dan menggetikkannya saat akan mengakses sistem komputer, saat diketikkan tidak akan terlihat dilaya kecuali misalnya tanda *. Tetapi banyak kelemahan dan mudah ditembus karena pemakai cenderung memilih password yang mudah diingat, misalnya nama kecil, nama panggilan, tanggal lahir, dll. Upaya pengamanan proteksi password : a. Salting, menambahkan string pendek ke string password yang diberikan pemakai sehingga mencapai panjang password tertentu b. one time password, pemakai harus mengganti password secara teratur, misalnya pemakai mendapat 1 buku daftar password. Setiap kali login pemakai menggunakan password berikutnya yang terdapat pada daftar password. c. satu daftar panjang pertanyan dan jawaban, sehingga pada saat login, komputer memilih salah satu dari pertanyaan secara acak, menanyakan ke pemakai dan memeriksa jawaban yang diberikan. d. tantangan tanggapan / chalenge respone, pemakai diberikan kebebasan memilih suatu algoritma misalnya x3, ketika login komputer menuliskan di layar angka 3, maka pemakai harus mengetik angka 27. 2. Sesuatu yang dimiliki pemakai, misalnya bagde, kartu identitas, kunci, barcode KTM, ATM. Kartu pengenal dengan selarik pita magnetik. Kartu ini disisipkan de suatu perangkat pembaca kartu magnetik jika akan mengakses komputer, biasanya dikombinasikan dengan password. 3. Sesuatu mengenai / merupakan ciri pemakai yang di sebut biometrik, misalnya sidik jari, sidik suara, foto, tanda tangan, dll. Pada tanda tangan, bukan membandingkan bentuk tanda tangannya (karena mudah ditiru) tapi gerakan / arah dan tekanan pena saat menulis (sulit ditiru). Untuk memperkecil peluang penembusan keamanan sistem komputer harus diberikan pembatasan, misalnya : 1. Pembatasan login, misalnya pada terminal tertentu, pada waktu dan hari tertentu. 2. Pembatasan dengan call back, yaitu login dapat dilakukan oleh siapapun, bila telah sukses, sistemmemutuskan koneksi dan memanggil nomor telepon yang disepakati. Penyusup tidak dapat menghubungkan lewat sembarang saluran telepon, tapi hanya pada saluran tetepon tertentu. 3. Pembatasan jumlah usaha login, misalnya dibatasi sampai 3 kali, dan segera dikunci dan diberitahukan keadministrator. Objek yang perlu diproteksi : 1. Objek perangkat keras, misalnya pemroses, segment memori, terminal, diskdrive, printer, dll 2. Objek perangkat lunak, misalnya proses, file, basis data, semaphore, dll Masalah proteksi adalah mengenai cara mencegah proses mengakses objek yang tidak diotorisasi. Sehingga dikembangkan konsep domain. Domain adalah himpunan pasangan (objek,hak). Tiap pasangan menspesifikasikan objek dan suatu subset operasi yang dapat dilakukan terhadapnya. Hak dalam konteks ini berarti ijin melakukan suatu operasi. Cara penyimpanan informasi anggota domain beerupa satu matrik besar, dimana : · baris menunjukkan domain · kolom menunjukkan objek Pendahuluan Kriptografi Kriptografi, secara umum adalah ilmu dan seni untuk menjaga kerahasiaan berita [bruceSchneier - Applied Cryptography]. Kata cryptography berasal dari kata Yunani kryptos (tersembunyi) dan graphein (menulis). Selain pengertian tersebut terdapat pula pengertian ilmuyang mempelajari teknik-teknik matematika yang berhubungan dengan aspek keamananinformasi seperti kerahasiaan data, keabsahan data, integritas data, serta autentikasi data [A.Menezes, P. van Oorschot and S. Vanstone - Handbook of Applied Cryptography]. Cryptanalysis adalah aksi untuk memecahkan mekanisme kriptografi dengan cara mendapatkanplaintext atau kunci dari ciphertext yang digunakan untuk mendapatkan informasi berhargakemudian mengubah atau memalsukan pesan dengan tujuan untuk menipu penerima yang sesungguhnya, memecahkan ciphertext. Cryptology adalah ilmu yang mencakup cryptography dan cryptanalysis. Tidak semua aspek keamanan informasi ditangani oleh kriptografi. Tujuan mendasar dari ilmu kriptografi ini yang juga merupakan aspek keamanan informasi yaitu : 􀂃 Kerahasiaan, adalah layanan yang digunakan untuk menjaga isi dari informasi dari siapapun kecuali yang memiliki otoritas atau kunci rahasia untuk membuka/mengupas informasi yang telah disandi. Integritas data, adalah berhubungan dengan penjagaan dari perubahan data secara tidak sah. Untuk menjaga integritas data, sistem harus memiliki kemampuan untuk mendeteksi manipulasi data oleh pihak-pihak yang tidak berhak, antara lain penyisipan, penghapusan, dan pensubsitusian data lain kedalam data yang sebenarnya. 􀂃 Autentikasi, adalah berhubungan dengan identifikasi/pengenalan, baik secara kesatuan sistem maupun informasi itu sendiri. Dua pihak yang saling berkomunikasi harus saling memperkenalkan diri. Informasi yang dikirimkan melalui kanal harus diautentikasi keaslian, isi datanya, waktu pengiriman, dan lain-lain. 􀂃 Non-repudiasi., atau nir penyangkalan adalah usaha untuk mencegah terjadinya penyangkalan terhadap pengiriman/terciptanya suatu informasi oleh yang mengirimkan/membuat. Enkripsi adalah transformasi data kedalam bentuk yang tidak dapat terbaca tanpa sebuah kunci tertentu. Tujuannya adalah untuk meyakinkan privasi dengan menyembunyikan informasi dari orang-orang yang tidak ditujukan, bahkan mereka mereka yang memiliki akses ke data terenkripsi. Dekripsi merupakan kebalikan dari enkripsi, yaitu transformasi data terenkripsi kembali ke bentuknya semula. Keamanan Dan Manajemen Perusahaan Seringkali sulit untuk membujuk manajemen perusahaan atau pemilik sistem informasi untuk melakukan investasi di bidang keamanan. Di tahun 1997 majalah Information Week melakukan survey terhadap 1271 system atau network manager di Amerika Serikat. Hanya 22% yang menganggap keamanan sistem informasi sebagai komponen sangat penting (“extremely important”). Mereka lebih mementingkan “reducing cost” dan “improvingcompetitiveness” meskipun perbaikan sistem informasi setelah dirusak justru dapat menelan biaya yang lebih banyak. Keamanan itu tidak dapat muncul demikian saja. Dia harus direncanakan. Ambil contoh berikut. Jika kita membangun sebuah rumah, maka pintu rumah kita harus dilengkapi dengan kunci pintu. Jika kita terlupa memasukkan kunci pintu pada budget perencanaan rumah, maka kita akan dikagetkan bahwa ternyata harus keluar dana untuk menjaga keamanan. Kalau rumah kita hanya memiliki satu atau dua pintu, mungkin dampak dari budget tidak seberapa. Bayangkan bila kita mendesain sebuah hotel dengan 200 kamar dan lupa membudgetkan kunci pintu. Dampaknya sangat besar. Demikian pula di sisi pengamanan sebuah sistem informasi. Jika tidak kita budgetkan di awal, kita akan dikagetkan dengan kebutuhan akan adanya perangkat pengamanan (firewall, Intrusion Detection System, anti virus, DissasterRecoveryCenter, dan seterusnya). Meskipun sering terlihat sebagai besaran yang tidak dapat langsung diukur dengan uang (intangible), keamanan sebuah sistem informasi sebetulnya dapat diukur dengan besaran yang dapat diukur dengan uang (tangible). Dengan adanya ukuran yang terlihat, mudah-mudahan pihak manajemen dapat mengerti pentingnya investasi di bidang keamanan. Berikut ini adalah berapa contoh kegiatan yang dapat kita lakukan : 􀀗 Hitung kerugian apabila sistem informasi kita tidak bekerja selama 1 jam, selama 1 hari, 1 minggu, dan 1 bulan. (Sebagai perbandingkan, bayangkan jika server Amazon.com tidak dapat diakses selama beberapa hari. Setiap harinya dia dapat menderita kerugian beberapa juta dolar.) 􀀗 Hitung kerugian apabila ada kesalahan informasi (data) pada sistem informasi anda. Misalnya web site anda mengumumkan harga sebuah barang yang berbeda dengan harga yang ada di toko kita. 􀀗 Hitung kerugian apabila ada data yang hilang. Misalnya berapa kerugian yang diderita apabila daftar pelanggan dan invoice hilang dari sistem kita. Berapa biaya yang dibutuhkan untuk rekonstruksi data. 􀀗 Apakah nama baik perusahaan kita merupakan sebuah hal yang harus dilindungi? Bayangkan bila sebuah bank terkenal dengan rentannya pengamanan data-datanya, bolak-balik terjadi security incidents. Tentunya banyak nasabah yang pindah ke bank lain karena takut akan keamanan uangnya. Pengelolaan terhadap keamanan dapat dilihat dari sisi pengelolaan resiko (risk management). Lawrie Brown dalam menyarankan menggunakan “Risk Management Model” untuk menghadapi ancaman (managing threats). Ada tiga komponen yang memberikan kontribusi kepada Risk, yaitu Asset, Vulnerabilities, dan Threats. Nama Komponen Contoh & Keterangan Lebih Lanjut Asset (Aset) 􀂃 Hardware 􀂃 Software 􀂃 Dokumentasi 􀂃 Data 􀂃 Komunikasi 􀂃 Lingkungan 􀂃 Manusia Threats (Ancaman) 􀂃 Pemakai (Users) 􀂃 Teroris 􀂃 Kecelakaan (Accidents) 􀂃 Crackers 􀂃 Penjahat Kriminal 􀂃 Nasib (Acts Of God) 􀂃 Intel Luar Negeri (Foreign Intelligence) Vulnerability (Kelemahan) 􀂃 Software Bugs 􀂃 Hardware Bugs 􀂃 Radiasi (dari layar, transmisi) 􀂃 Tapping, Crosstalk 􀂃 Unauthorized Users 􀂃 Cetakan, Hardcopy 􀂃 Keteledoran (Oversight) 􀂃 Cracker via telepon 􀂃 Strorage media Untuk menanggulangi resiko (Risk) tersebut dilakukan apa yang disebut “countermeasures” yang dapat berupa : 􀀗 Usaha untuk mengurangi Threat 􀀗 Usaha untuk mengurangi Vulnerability 􀀗 Usaha untuk mengurangi impak (impact) 􀀗 Mendeteksi kejadian yang tidak bersahabat (hostile event) 􀀗 Kembali (recover) dari kejadian MeningkatnyaMeningkatnya Kejahatan Komputer Jumlah kejahatan komputer (computer crime), terutama yang berhubungan dengan sistem informasi, akan terus meningkat dikarenakan beberapa hal, antara lain : 􀀗 Aplikasi bisnis yang menggunakan (berbasis) teknologi informasi dan jaringan komputer semakin meningkat. Sebagai contoh saat ini mulai bermunculan aplikasibisnis seperti on-line banking, electronic commerce (e-commerce), Electronic DataInterchange (EDI), dan masih banyak lainnya. Bahkan aplikasi e-commerce akan menjadi salah satu aplikasi pemacu di Indonesia (melalui “Telematika Indonesia” dan Nusantara 21). Demikian pula di berbagai penjuru dunia aplikasi ecommerce terlihat mulai meningkat. 􀀗 Desentralisasi (dan distributed) server menyebabkan lebih banyak sistem yang harus ditangani. Hal ini membutuhkan lebih banyak operator dan administrator yang handal yang juga kemungkinan harus disebar di seluruh lokasi. Padahal mencari operator dan administrator yang handal adalah sangat sulit, apalagi jika harus disebar di berbagai tempat. Akibat dari hal ini adalah biasanya server-server di daerah (bukan pusat) tidak dikelola dengan baik sehingga lebih rentan terhadap serangan. Seorang cracker akan menyerang server di daerah lebih dahulu sebelum mencoba menyerang server pusat. Setelah itu dia akan menyusup melalui jalur belakang. (Biasanya dari daerah / cabang ke pusat ada routing dan tidak dibatasi dengan firewall.) 􀀗 Transisi dari single vendor ke multi-vendor Sehingga lebih banyak sistem atau perangkat yang harus dimengerti dan masalah interoperability antar vendor yang lebih sulit ditangani. Untuk memahami satu jenis perangkat dari satu vendor saja sudah susah, apalagi harus menangani berjenis-jenis perangkat. Bayangkan, untuk router saja sudah ada berbagai vendor; Cisco, Juniper Networks, Nortel, Linux-based router, BSDbased router, dan lain-lain. Belum lagi jenis sistem operasi (operating system) dari server, seperti Solaris (dengan berbagai versinya), Windows (NT, 2000, 2003), Linux (dengan berbagai distribusi), BSD (dengan berbagai variasinya mulai dari FreeBSD, OpenBSD, NetBSD). Jadi sebaiknya tidak menggunakan variasi yang terlalu banyak. 􀀗 Meningkatnya kemampuan pemakai di bidang komputer Sehingga mulai banyak pemakai yang mencoba-coba bermain atau membongkar sistem yang digunakanny (atau sistem milik orang lain). Jika dahulu akses ke komputer sangat sukar, maka sekarang komputer sudah merupakan barang yang mudah diperoleh dan banyak dipasang di sekolah serta rumah-rumah. 􀀗 Mudahnya diperoleh software untuk menyerang komputer dan jaringan komputer. Banyak tempat di Internet yang menyediakan software yang langsung dapat diambil (download) dan langsung digunakan untuk menyerang dengan Graphical User Interface (GUI) yang mudah digunakan. Beberapa program, seperti SATAN, bahkanhanya membutuhkan sebuah web browser untuk menjalankannya. Sehingga, seseorangyang hanya dapat menggunakan web browser dapat menjalankan program penyerang(attack). Penyerang yang hanya bisa menjalankan program tanpa mengerti apamaksudnya disebut dengan istilah script kiddie. 􀀗 Kesulitan dari penegak hukum untuk mengejar kemajuan dunia komputer dan telekomunikasi yang sangat cepat. Hukum yang berbasis ruang dan waktu akan mengalami kesulitan untuk mengatasi masalah yang justru terjadi pada sebuah system yang tidak memiliki ruang dan waktu. Barang bukti digital juga masih sulit diakui oleh pengadilan Indonesia sehingga menyulitkan dalam pengadilan. Akibatnya pelaku kejahatan cyber hanya dihukum secara ringan sehingga ada kecenderungan mereka melakukan hal itu kembali. 􀀗 Semakin kompleksnya sistem yang digunakan, Seperti semakin besarnya program (source code) yang digunakan sehingga semakin besar probabilitas terjadinya lubang keamanan (yang disebabkan kesalahan pemrograman, bugs). Klasifikasi Kejahatan Komputer Kejahatan komputer dapat digolongkan kepada yang sangat berbahaya sampai ke yang hanya mengesalkan (annoying). Menurut David Icove berdasarkan lubang keamanan, dapat diklasifikasikan menjadi empat, yaitu : 1. Keamanan yang bersifat fisik (physical security) Termasuk akses orang ke gedung, peralatan, dan media yang digunakan. Beberapa bekas penjahat komputer (crackers) mengatakan bahwa mereka sering pergi ke tempat sampah untuk mencari berkas-berkas yang mungkin memiliki informasi tentang keamanan. Misalnya pernah diketemukan coretan password atau manual yang dibuang tanpa dihancurkan. Wiretapping atau hal-hal yang berhubungan dengan akses ke kabel atau computer yang digunakan juga dapat dimasukkan ke dalam kelas ini. Pencurian komputer dan notebook juga merupakan kejahatan yang besifat fisik. Menurut statistik, 15% perusahaan di Amerika pernah kehilangan notebook. Padahal biasanya notebook ini tidak dibackup (sehingga data-datanya hilang), dan juga seringkali digunakan untuk menyimpan data-data yang seharusnya sifatnya confidential (misalnya pertukaran email antar direktur yang menggunakan notebook tersebut). Denial of service, yaitu akibat yang ditimbulkan sehingga servis tidak dapat diterima oleh pemakai juga dapat dimasukkan ke dalam kelas ini. Denial of service dapat dilakukan misalnya dengan mematikan peralatan atau membanjiri saluran komunikasi dengan pesan-pesan (yang dapat berisi apa saja karena yang diutamakan adalah banyaknya jumlah pesan). Beberapa waktu yang lalu ada lubang keamanan dari implementasi protokol TCP/IP yang dikenal dengan istilah Syn Flood Attack, dimana sistem (host) yang dituju dibanjiri oleh permintaan sehingga dia menjadi terlalu sibuk dan bahkan dapat berakibat macetnya sistem (hang). Mematikan jalur listrik sehingga sistem menjadi tidak berfungsi juga merupakan serangan fisik. Masalah keamanan fisik ini mulai menarik perhatikan ketika gedung WorldTradeCenter yang dianggap sangat aman dihantam oleh pesawat terbang yang dibajak oleh teroris. Akibatnya banyak sistem yang tidak bisa hidup kembali karena tidak diamankan. Belum lagi hilangnya nyawa. 2. Keamanan yang berhubungan dengan orang (personel) Termasuk identifikasi, dan profil resiko dari orang yang mempunyai akses (pekerja). Seringkali kelemahan keamanan sistem informasi bergantung kepada manusia (pemakai dan pengelola). Ada sebuah teknik yang dikenal dengan istilah “social engineering” yang sering digunakan oleh kriminal untuk berpura-pura sebagai orang yang berhak mengakses informasi. Misalnya kriminal ini berpura-pura sebagai pemakai yang lupa passwordnya dan minta agar diganti menjadi kata lain. 3. Keamanan dari data dan media serta teknik komunikasi (communications). Yang termasuk di dalam kelas ini adalah kelemahan dalam software yang digunakan untuk mengelola data. Seorang kriminal dapat memasang virus atau trojan horse sehingga dapat mengumpulkan informasi (seperti password) yang semestinya tidak berhak diakses. Bagian ini yang akan banyak kita bahas dalam buku ini. 4. Keamanan dalam operasi Termasuk kebijakan (policy) dan prosedur yang digunakan untuk mengatur dan mengelola sistem keamanan, dan juga termasuk prosedur setelah serangan (post attack recovery). Seringkali perusahaan tidak memiliki dokumen kebijakan dan prosedur. Aspek / Service Dari Keamanan (Security) Garfinkel mengemukakan bahwa keamanan komputer (computer security) melingkupi empat aspek, yaitu privacy, integrity, authentication, dan availability. 1. Privacy / Confidentiality Inti utama aspek privacy atau confidentiality adalah usaha untuk menjaga informasi dari orang yang tidak berhak mengakses. Privacy lebih kearah data-data yang sifatnya privat sedangkan confidentiality biasanya berhubungan dengan data yang diberikan ke pihak lain untuk keperluan tertentu (misalnya sebagai bagian dari pendaftaran sebuah servis) dan hanya diperbolehkan untuk keperluan tertentu tersebut. Contoh hal yang berhubungan dengan privacy adalah e-mail seorang pemakai (user) tidak boleh dibaca oleh administrator. Contoh confidential information adalah data-data yang sifatnya pribadi (seperti nama, tempat tanggal lahir, social security number, agama, status perkawinan, penyakit yang pernah diderita, nomor kartu kredit, dan sebagainya) merupakan data-data yang ingin diproteksi penggunaan dan penyebarannya. Contoh lain dari confidentiality adalah daftar pelanggan dari sebuah Internet Service Provider (ISP). Untuk mendapatkan kartu kredit, biasanya ditanyakan data-data pribadi. Jika saya mengetahui data-data pribadi anda, termasuk nama ibu anda, maka saya dapat melaporkan melalui telepon (dengan berpura-pura sebagai anda) bahwa kartu kredit anda hilang dan mohon penggunaannya diblokir. Institusi (bank) yang mengeluarkan kartu kredit anda akan percaya bahwa saya adalah anda dan akan menutup kartu kredit anda. Masih banyak lagi kekacauan yang dapat ditimbulkan bila data-data pribadi ini digunakan oleh orang yang tidak berhak. Ada sebuah kasus dimana karyawan sebuah perusahaan dipecat dengan tidak hormat dari perusahaan yang bersangkutan karena kedapatan mengambil data-data gaji karyawan di perusahaan yang bersangkutan. Di perusahaan ini, daftar gaji termasuk informasi yang bersifat confidential /rahasia. 2. Integrity Aspek ini menekankan bahwa informasi tidak boleh diubah tanpa seijin pemilik informasi. Adanya virus, trojan horse, atau pemakai lain yang mengubah informasi tanpa ijin merupakan contoh masalah yang harus dihadapi. Sebuah e-mail dapat saja “ditangkap” (intercept) di tengah jalan, diubah isinya (altered, tampered, modified), kemudian diteruskan ke alamat yang dituju. Dengan kata lain, integritas dari informasi sudah tidak terjaga. Penggunaan enkripsi dan digital signature, misalnya, dapat mengatasi masalah ini. Salah satu contoh kasus trojan horse adalah distribusi paket program TCP Wrapper (yaitu program populer yang dapat digunakan untuk mengatur dan membatasi akses TCP/IP) yang dimodifikasi oleh orang yang tidak bertanggung jawab. Jika anda memasang program yang berisi trojan horse tersebut, maka ketika anda merakit (compile) program tersebut, dia akan mengirimkan eMail kepada orang tertentu yang kemudian memperbolehkan dia masuk ke sistem anda. Informasi ini berasal dari CERT Advisory, “CA-99-01 Trojan-TCP-Wrappers” yang didistribusikan 21 Januari 1999. Contoh serangan lain adalah yang disebut “man in the middle attack” dimana seseorang menempatkan diri di tengah pembicaraan dan menyamar sebagai orang lain. 3. Authentication Aspek ini berhubungan dengan metoda untuk menyatakan bahwa informasi betulbetul asli, orang yang mengakses atau memberikan informasi adalah betul-betul orang yang dimaksud, atau server yang kita hubungi adalah betul-betul server yang asli. Masalah pertama, membuktikan keaslian dokumen, dapat dilakukan dengan teknologi watermarking dan digital signature. Watermarking juga dapat digunakan untuk menjaga “intelectual property”, yaitu dengan menandai dokumen atau hasil karya dengan “tanda tangan” pembuat. Masalah kedua biasanya berhubungan dengan access control, yaitu berkaitan dengan pembatasan orang yang dapat mengakses informasi. Dalam hal ini pengguna harus menunjukkan bukti bahwa memang dia adalah pengguna yang sah, misalnya dengan menggunakan password, biometric (ciri-ciri khas orang), dan sejenisnya. Ada tiga hal yang dapat ditanyakan kepada orang untuk menguji siapa dia : • What you have (misalnya kartu ATM) • What you know (misalnya PIN atau password) • What you are (misalnya sidik jari, biometric) Penggunaan teknologi smart card, saat ini kelihatannya dapat meningkatkan keamanan aspek ini. Secara umum, proteksi authentication dapat menggunakan digital certificates. Authentication biasanya diarahkan kepada orang (pengguna), namun tidak pernah ditujukan kepada server atau mesin. Pernahkan kita bertanya bahwa mesin ATM yang sedang kita gunakan memang benar-benar milik bank yang bersangkutan? Bagaimana jika ada orang nakal yang membuat mesin seperti ATM sebuah bank dan meletakkannya di tempat umum? Dia dapat menyadap data-data (informasi yang ada di magnetic strip) dan PIN dari orang yang tertipu. Memang membuat mesin ATM palsu tidak mudah. Tapi, bisa anda bayangkan betapa mudahnya membuat web site palsu yang menyamar sebagai web site sebuah bank yang memberikan layanan Internet Banking. (Ini yang terjadi dengan kasus klikBCA.com.) 4. Availability Aspek availability atau ketersediaan berhubungan dengan ketersediaan informasi ketika dibutuhkan. Sistem informasi yang diserang atau dijebol dapat menghambat atau meniadakan akses ke informasi. Contoh hambatan adalah serangan yang sering disebut dengan “denial of service attack” (DoS attack), dimana server dikirimi permintaan (biasanya palsu) yang bertubitubi atau permintaan yang diluar perkiraan sehingga tidak dapat melayani permintaan lain atau bahkan sampai down, hang, crash. Contoh lain adalah adanya mailbomb, dimana seorang pemakai dikirimi e-mail bertubi-tubi (katakan ribuan e-mail) dengan ukuran yang besar sehingga sang pemakai tidak dapat membuka e-mailnya atau kesulitan mengakses e-mailnya (apalagi jika akses dilakukan melalui saluran telepon). Pentingnya Akses Kontrol Bagi para profesional keamanan sistem/teknologi informasi, perhatian harus diberikan pada kebutuhan akses kontrol dan metode-metode implementasinya untuk menjamin bahwa sistem memenuhi availability (ketersediaan), confidentiality (kerahasiaan), dan integrity (integritas). Dalam komputer jaringan, juga diperlukan pemahaman terhadap penggunaan akses kontrol pada arsitektur terdistribusi dan terpusat. Melakukan kontrol akses pada sistem informasi dan jaringan yang terkait juga merupakan hal penting untuk menjaga confidentiality, integrity, dan availability.Confidentiality atau kerahasiaan memastikan bahwa informasi tidak terbuka ke individu, program atau proses yang tidak berhak. Beberapa informasi mungkin lebih sensitive dibandingkan informasi lainnya dan memerlukan level kerahasiaan yang lebih tinggi. Mekanisme kontrol perlu ditempatkan untuk mendata siapa yang dapat mengakses data dan apa yang orang dapat lakukan terhadapnya saat pertama kali diakses. Aktivitas tersebut harus dikontrol, diaudit, dan dimonitor. Beberapa tipe informasi yang dipertimbangkan sebagai informasi rahasia adalah misalnya catatan kesehatan, informasi laporan keuangan, catatan kriminal, kode sumber program, perdagangan rahasia, dan rencana taktis militer. Sedangkan beberapa mekanisme yang memebrikan kemampuan kerahasiaan sebagai contoh yaitu enkripsi, kontrol akses fisikal dan logikal, protokol transmisi, tampilan database, dan alur trafik yang terkontrol. Bagi suatu institusi (skala besar, menengah maupun kecil), adalah merupakan hal penting untuk mengidentifikasi data dan kebutuhan-kebutuhan yang terklasifikasi sehingga dapat dipastikan bahwa suatu peringkat prioritas akan melindungi data dan informasi serta terjaga kerahasiaannya. Jika informasi tidak terklasifikasi maka akan diperlukan banyak waktu dan biaya yang dikeluarkan saat mengimplementasikan besaran yang sama pada tingkat keamanan untuk informasi kritis maupun informasi tidak penting. Integritas memiliki tujuan mencegah modifikasi pada informasi oleh user yang tidak berhak, mencegah modifikasi yang tidak sengaja atau tidak berhak pada informasi oleh orang yang tidak berkepentingan, dan menjaga konsistensi internal maupun eksternal. Konsistensi internal memastikan bahwa data internal selalu konsisten. Misalnya, diasumsikan sebuah database internal memiliki jumlah unit suatu komponen tertentu pada tiap bagian suatu organisasi. Jumlah bilangan dari komponen di tiap bagian tersebut harus sama dengan jumlah bilangan komponen pada database yang terekam secara internal pada keseluruhan organisasi. Konsistensi eksternal menjamin bahwa data yang tersimpan pada database konsisten dengan fisiknya. Sebagai contoh dari konsistensi internal di atas, konsistensi eksternal berarti bahwa besarnya komponen yang tercatat pada database untuk setiap bagian adalah sama dengan banyaknya komponen secara fisik di tiap bagian tersebut. Informasi juga harus akurat, lengkap, dan terlindungi dari modifikasi yang tidak berhak. Ketika suatu mekanisme keamanan memberikan integritas, ia akan melindungi data dari perubahan yang tidak lazim, dan jika memang terjadi juga modifikasi ilegal pada data tersebut maka mekanisme keamanan harus memperingatkan user atau membatalkan modifikasi tersebut. Availability (ketersediaan) memastikan bahwa untuk user yang berhak memakai sistem, memiliki waktu dan akses yang bebas gangguan pada informasi dalam sistem. Informasi,sistem, dan sumberdaya harus tersedia untuk user pada waktu diperlukan sehingga produktifitas tidak terpengaruh. Kebanyakan informasi perlu untuk dapat diakses dan tersedia bagi user saat diminta sehingga mereka dapat menyelesaikan tugas-tugas dan memenuhi tanggung jawab pekerjaan mereka. Melakukan akses pada informasi kelihatannya tidak begitu penting hingga pada suatu saat informasi tersebut tidak dapat diakses. Administrator sistem mengalaminya saat sebuah file server mati atau sebuah database yang pemakaiannya tinggi tiba-tiba rusal untuk suatu alasan dan hal lainnya. Fault tolerance dan mekanisme pemulihan digunakan untuk menjamin kontinuitas ketersediaan sumberdaya. Produktifitas user dapat terpengaruh jika data tidak siap tersedia. Informasi memiliki atribut-atribut yang berbeda seperti akurasi, relevansi, sesuai waktu, privacy, dan keamanan. Mekanisme keamanan yang berbeda dapat memberikan tingkat kerahasiaan, integritas, dan ketersediaan yang berbeda pula. Lingkungan, klasifikasi data yang dilindungi, dan sasaran keamanan perlu dievaluasi untuk menjamin mekanisme keamanan yang sesuai dibeli dan digunakan sebagaimana mestinya. Tujuan kontrol akses lainnya adalah reliability dan utilitas. Tujuan-tujuan tersebut mengalir dari kebijakan keamanan suatu organisasi. Kebijakan ini merupakan pernyataan tingkat tinggi dari pihak manajemen berkaitan dengan kontrol pada akses suatu informasi dan orang yang berhak menerima informasi tersebut. Tiga hal lainnya yang patut dipertimbangkan untuk perencanaan dan implementasi mekanisme kontrol akses adalah ancaman pada sistem (threats), kerawanan sistem pada ancaman (vulnerabilities), dan resiko yang ditimbulkan oleh ancaman tersebut. Ancaman (threats) adalah suatu kejadian atau aktivitas yang memiliki potensi untuk menyebabkan kerusakan pada sistem informasi atau jaringan. Kerawanan (vulnerabilities) adalah kelemahan atau kurangnya penjagaan yang dapat dimanfaatkan oleh suatu ancaman, menyebabkan kerusakan pada sistem informasi atau jaringan. Sedangkan resiko adalah potensi kerusakan atau kehilangan pada sistem informasi atau jaringan; kemungkinan bahwa ancaman akan terjadi. Penjelasan Akses Kontrol Akses kontrol merupakan fitur-fitur keamanan yang mengontrol bagaimana user dan sistem berkomunikasi dan berinteraksi dengan sistem dan sumberdaya lainnya. Akses control melindungi sistem dan sumberdaya dari akses yang tidak berhak dan umumnya menentukan tingkat otorisasi setelah prosedur otentikasi berhasil dilengkapi. Akses adalah aliran informasi antara subjek dan objek. Sebuah subjek merupakan entitas aktif yang meminta akses ke suatu objek atau data dalam objek tersebut. Sebuah subjek dapat berupa user, program, atau proses yang mengakses informasi untuk menyelesaikan suatu tugas tertentu. Ketika sebuah program mengakses sebuah file, program menjadi subjek dan filemenjadi objek. Objek adalah entitas pasif yang mengandung informasi. Objek bisa sebuah komputer, database, file, program komputer, direktori, atau field pada tabel yang berada di dalam database. Kontrol akses adalah sebuah term luas yang mencakup beberapa tipe mekanisme berbeda yang menjalankan fitur kontrol akses pada sistem komputer, jaringan, dan informasi. Kontrol akses sangatlah penting karena menjadi satu dari garis pertahanan pertama yang digunakan untuk menghadang akses yang tidak berhak ke dalam sistem dan sumberdaya jaringan. Saat user diminta memasukan username dan password hal ini disebut dengan control akses. Setelah user log in dan kemudian mencoba mengakses sebuah file, file ini dapat memiliki daftar user dan grup yang memiliki hak akses ke file tersebut. Jika user tidak termasuk dalam daftar maka akses akan ditolak. Hal itu sebagai bentuk lain dari kontrol akses. Hak dan ijin user adalah berdasarkan identitas, kejelasan, dan atau keanggotaan suatu grup. Kontrol akses memberikan organisasi kemampuan melakukan kontrol, pembatasan, monitor, dan melindungi ketersediaan, integritas, dan kerahasiaan sumberdaya. Kontrol diimplementasikan untuk menanggulangi resiko dan mengurangi potensi kehilangan. Kontrol dapat bersifat preventif, detektif, atau korektif. Kontrol preventif dipakai untuk mencegah kejadian-kejadian yang merusak. Kontrol detektif diterapkan untuk menemukan kejadian-kejadian yang merusak. Kontrol korektif digunakan untuk memulihkan sistem yang menjadi korban dari serangan berbahaya. Untuk menerapkan ukuran-ukuran tersebut, kontrol diimplementasikan secara administratif, logikal atau teknikal, dan fisikal. Kontrol administratif termasuk kebijakan dan prosedur, pelatihan perhatian terhadap keamanan, pemeriksaan latar belakang, pemeriksaan kebiasaan kerja, tinjauan riwayat hari libur, dan supervisi yang ditingkatkan. Kontrol logikal atau teknikal mencakup pembatasan akses ke sistem dan perlindungan informasi. Contoh kontrol pada tipe ini adalah enkripsi, smart cards, daftar kontrol akses, dan protokol transmisi. Sedangkan kontrol fisikal termasuk penjagaan dan keamanan bangunan secara umum seperti penguncian pintu, pengamanan ruang server atau laptop, proteksi kabel, pemisahan tugas kerja, dan backup data. Kontrol fisikal merupakan penempatan penjaga dan bangunan secara umum, seperti penguncian pintu, pengamanan ruang server atau laptop, perlindungan pada kabel, pembagian tanggung jawab, dan backup file. Model Kontrol Akses Penerapan akses kontrol pada subjek sistem (sebuah entitas aktif seperti individu atau proses) terhadap objek sistem (sebuah entitas pasif seperti sebuah file) berdasarkan aturan (rules). Model kontrol akses merupakan sebuah framework yang menjelaskan bagaimana subjek mengakses objek. Model ini menggunakan teknologi kontrol akses dan mekanisme sekuriti untuk menerapkan aturan dan tujuan suatu model. Ada tiga tipe utama model kontrol akses yaitu mandatory, discretionary, dan nondiscretionary (sering disebut juga role-based). Tiap tipe model memakai metode berbeda untuk mengkontrol bagaimana subjek mengakses objek dan mempunyai kelebihan serta keterbatasan masing-masing. Tujuan bisnis dan keamanan dari suatu organisasi akan membantu menjelaskan model kontrol akses mana yang sebaiknya digunakan, bersamaan dengan budaya perusahaan dan kebiasaan menjalankan bisnisnya. Beberapa model dipakai secara ekslusif dan kadang-kadang model tersebut dikombinasikan sehingga mampu mencapai tingkat keperluan kemanan lingkungan yang dibutuhkan. Aturan pada akses kontrol diklasifikasikan menjadi : 􀀗 Mandatory access control Otorisasi suatu akses subjek terhadap objek bergantung pada label, dimana label ini menunjukan ijin otorisasi suatu subjek dan klasifikasi atau sensitivitas dari objek. Misalnya, pihak militer mengklasifikasikan dokumen sebagai unclassified, confidential, secret, dan top secret. Untuk hal yang sama, individu dapat menerima ijin otorisasi tentang confidential, secret, atau top secret dan dapat memiliki akses ke dokumen bertipe classified atau tingkatan di bawah status ijin otorisasinya. Sehingga individu dengan ijin otorisasi secret dapat mengakses tingkatan secret dan confidential dokumen dengan suatu batasan. Batasan ini adalah bahwa individu memiliki keperluan untuk mengetahui secara relatif classified dokumen yang dimaksud. Meskipun demikian dokumen yang dimaksud harus benar-benar diperlukan oleh individu tersebut untuk menyelesaikan tugas yang diembannya. Bahkan jika individu memiliki ijin otorisasi untuk tingkat klasifikasi suatu informasi, tetapi tidak memiliki keperluan untuk mengetahui maka individu tersebut tetap tidak boleh mengakses informasi yang diinginkannya. Pada model mandatory access control, user dan pemilik data tidak memiliki banyak kebebasan untuk menentukan siapa yang dapat mengakses file-file mereka. Pemilik data dapat mengijinkan pihak lain untuk mengakses file mereka namun operating system (OS) yang tetap membuat keputusan final dan dapat membatalkan kebijakan dari pemilik data. Model ini lebih terstruktur dan ketat serta berdasarkan label keamanan sistem. User diberikan ijin otorisasi dan data diklasifikasikan. Klasifikasi disimpan di label sekuriti pada sumber daya. Klasifikasi label menentukan tingkat kepercayaan user yang harus dimiliki untuk dapat mengakses suatu file. Ketika sistem membuat keputusan mengenai pemenuhan permintaan akses ke suatu objek, keputusan akan didasarkan pada ijin otorisasi subjek dan klasifikasi objek. Aturan-aturan bagaimana subjek mengakses data dibuat oleh manajemen, dikonfigurasikan oleh administrator, dijalankan oleh operating system, dan didukung oleh teknologi sekuriti. 􀀗 Discretionary access control Subjek memiliki otoritas, dengan batasan tertentu, untuk menentukan objek-objek apa yang dapat diakses. Contohnya adalah penggunaan daftar kontrol akses (access control list). Daftar kontrol akses merupakan sebuah daftar yang menunjuk user-user mana yang memiliki hak ke sumber daya tertentu. Misalnya daftar tabular akan menunjukan subjek atau user mana yang memiliki akses ke objek (file x) dan hak apa yang mereka punya berkaitan dengan file x tersebut. Kontrol akses triple terdiri dari user, program, dan file dengan hubungan hak akses terkait dengan tiap user. Tipe kontrol akses ini digunakan secara lokal, dan mempunyai situasi dinamis dimana subjek-subjek harus memiliki pemisahan untuk menentukan sumber daya tertentu yang user diijinkan untuk mengakses. Ketika user dengan batasan tertentu memiliki hak untuk merubah kontrol akses ke objek-objek tertentu, hal ini disebut sebagai user-directed discretionary access control. Sedangkan kontrol akses berbasis identitas (identity-based access control) adalah tipe kontrol akses terpisah berdasarkan identitas suatu individu. Dalam beberapa kasus, pendekatan hybrid juga digunakan, yaitu yang mengkombinasi-kan fitur-fitur user-based dan identity-based discretionary access control. Jika user membuat suatu file, maka ia merupakan pemilik file tersebut. Kepemilikan juga bisa diberikan kepada individu spesifik. Misalnya, seorang manager pada departemen tertentu dapat membuat kepemilikan suatu file dan sumber daya dalam domain-nya. Pengenal untuk user ini ditempatkan pada file header. Sistem yang menerapkan model discretionary access control memungkinkan pemilik sumber daya untuk menentukan subjek-subjek apa yang dapat mengakses sumber daya spesifik. Model ini dinamakan discretionary karena kontrol akses didasarkan pada pemisahan pemilik. Pada model ini, akses dibatasi berdasarkan otorisasi yang diberikan pada user. Ini berarti bahwa subjek-subjek diijinkan untuk menentukan tipe akses apa yang dapat terjadi pada objek yang mereka miliki. Jika organisasi menggunakan model discretionary access control, administrator jaringan dapat mengijinkan pemilik sumber daya mengkontrol siapa yang dapat mengakses file/sumber daya tersebut. Implemetasi umum dari discretionary access control adalah melalui access control list yang dibuat oleh pemilik, diatur oleh administrator jaringan, dan dijalankan oleh operating system. Dengan demikian kontrol ini tidak termasuk dalam lingkungan terkontrol terpusat dan dapat membuat kemampuan user mengakses informasi secara dinamis, kebalikan dari aturan yang lebih statis pada mandatory access control. 􀀗 Non-Discretionary access control Otoritas sentral menentukan subjek-subjek apa yang mempunyai akses ke objekobjek tertentu berdasarkan kebijakan keamanan organisasi. Kontrol akses bisa berdasarkan peran individu dalam suatu organisasi (role-based) atau tanggung jawab subjek dan tugasnya (task-based). Dalam organisasi dimana sering terdapat adanya perubahan/pergantian personel, nondiscretionary access control merupakan model yang tepat karena kontrol akses didasarkan pada peran individu atau jabatan dalam suatu organisasi. Kontrol akses ini tidak perlu dirubah saat individu baru masuk menggantikan individu lama. Tipe lain dari non-discretionary access control adalah kontrol akses lattice-based. Dalam model lattice (lapis tingkatan), terdapat pasangan-pasangan elemen yang memiliki batas tertinggi terkecil dari nilai dan batas terendah terbesar dari nilai. Untuk menerapkan konsep kontrol akses ini, pasangan elemen adalah subjek dan objek, dan subjek memiliki batas terendah terbesar serta batas tertinggi terkecil untuk hak akses pada suatu objek. Selain itu terdapat model role-based access control yang juga sebagai nondiscretionary access control. Model ini menerapkan seperangkat aturan terpusat pada kontrol untuk menentukan bagaimana subjek dan objek berinteraksi. Tipe model ini mengijinkan akses ke sumber daya berdasarkan peran yang user tangani dalam suatu organisasi. Administrator menempatkan user dalam peran dan kemudian memberikan hak akses pada peran tersebut.peran dan kelompok merupakan hal berbeda meskipun mereka mempunyai tujuan yang sama. Mereka bekerja sebagai penampungan untuk para user. Perusahaan mungkin memiliki kelompok auditor yang terdiri dari beberapa user yang berbeda. Para user ini dapat menjadi bagian suatu kelompok lain dan biasanya memiliki hak individunya masing-masing serta ijin yang diberikan kepada mereka. Jika perusahaan menerapkan peran, tiap user yang ditugaskan pada peran tertentu yang hanya memiliki hak pada peran tersebut. Hal ini menjadikan kontrol yang lebih ketat. sumber : http://rumahradhen.wordpress.com/materi-kuliahku/sistem-keamanan-komputer/pengantar-sistem-keamanan-komputer/

Sistem Keamanan Komputer

Keamanan sistem komputer adalah untuk menjamin sumber daya sistem tidak digunakan / dimodifikasi, diinterupsi dan diganggu oleh orang yang tidak diotorisasi. Pengamanan termasuk masalah teknis, manajerial, legalitas dan politis.

3 macam keamanan sistem, yaitu :

1. Keamanan eksternal / external security

Berkaitan dengan pengamanan fasilitas komputer dari penyusup dan bencana seperti kebakaran /kebanjiran.

2. Keamanan interface pemakai / user interface security

Berkaitan dengan indentifikasi pemakai sebelum pemakai diijinkan mengakses program dan data yang disimpan

3. Keamanan internal / internal security

Berkaitan dengan pengamanan beragam kendali yang dibangun pada perangkat keras dan sistem operasi yang menjamin operasi yang handal dan tak terkorupsi untuk menjaga integritas program dan data.

2 masalah penting keamanan, yaitu :
1. Kehilangan data / data loss

Yang disebabkan karena :

· Bencana, contohnya kebakaran, banjir, gempa bumi, perang, kerusuhan, tikus, dll.
· Kesalahan perangkat keras dan perangkat lunak, contohnya ketidak berfungsinya pemroses, disk / tape.

yang tidak terbaca, kesalahan komunikasi, kesalahan program / bugs.

· Kesalahan / kelalaian manusia, contohnya kesalahan pemasukkan data, memasang tape / disk yang salah, kehilangan disk / tape.

2. Penyusup / intruder

· Penyusup pasif, yaitu yang membaca data yang tidak terotorisasi
· Penyusup aktif, yaitu mengubah data yang tidak terotorisasi.

Contohnya penyadapan oleh orang dalam, usaha hacker dalam mencari uang, spionase militer / bisnis, lirikan pada saat pengetikan password.

Sasaran keamanan adalah menghindari, mencegah dan mengatasi ancaman terhadap sistem.

3 aspek kebutuhan keamanan sistem komputer, yaitu :

1. Kerahasiaan / secrecy, diantaranya privasi

Keterjaminan bahwa informasi di sistem komputer hanya dapat diakses oleh pihak-pihak yang terotorisasi

dan modifikasi tetap menjaga konsistensi dan keutuhan data di sistem

2. Integritas / integrity

Keterjaminan bahwa sumber daya sistem komputer hanya dapat dimodifikasi oleh pihak-pihak yang

terotorisasi

3. Ketersediaan / availability

Keterjaminan bahwa sumber daya sistem komputer tersedia bagi pihak-pihak yang diotorisasi saat diperlukan.

Tipe ancaman terhadap keamanan sistem komputer dapat dimodelkan dengan memandang fungsi sistem

komputeer sebagai penyedia informasi.

Berdasarkan fungsi ini, ancaman terhadap sistem komputeer dikategorikan menjadi 4 ancaman, yaitu :

1. Interupsi / interuption

Sumber daya sistem komputer dihancurkan / menjadi tak tersedia / tak berguna. Merupakan ancaman

terhadap ketersediaan. Contohnya penghancuran harddisk, pemotongan kabel komunikasi.

2. Intersepsi / interception

Pihak tak diotorisasi dapat mengakses sumber daya. Merupakan ancaman terhadap kerahasiaan. Pihak tak

diotorissasi dapat berupa orang / program komputeer. Contohnya penyadapan, mengcopy file tanpa

diotorisasi.

3. Modifikasi / modification

Pihak tak diotorisasi tidak hanya mengakses tapi juga merusak sumber daya. Merupakan ancaman

terhadap integritas. Contohnya mengubah nilai file, mengubah program, memodifikasi pesan

4. Fabrikasi / fabrication

Pihak tak diotorisasi menyisipkan / memasukkan objek-objek palsu ke sistem. Merupakan ancaman terhadap integritas. Contohnya memasukkan pesan palsu ke jaringan, menambah record file.

Petunjuk prinsip-prinsip pengamanan sistem komputer, yaitu :
1. Rancangan sistem seharusnya publik

Tidak tergantung pada kerahasiaan rancangan mekanisme pengamanan. Membuat proteksi yang bagus

dengan mengasumsikan penyusup mengetahui cara kerja sistem pengamanan.

2. Dapat diterima

Mekanisme harus mudah diterima, sehingga dapat digunakan secara benar dan mekanisme proteksi tidak

mengganggu kerja pemakai dan pemenuhan kebutuhan otorisasi pengaksesan.

3. Pemeriksaan otoritas saat itu

Banyak sisten memeriksa ijin ketika file dibuka dan setelah itu (opersi lainnya) tidak diperiksa.

4. Kewenangan serendah mungkin

Program / pemakai sistem harusnya beroperasi dengan kumpulan wewenang serendah mungkin yang

diperlukan untuk menyelesaikan tugasnya.

5. Mekanisme yang ekonomis

Mekanisme proteksi seharusnya sekecil dan sesederhana mungkin dan seragam sehingga mudah untukverifikasi.

Otentifikasi pemakai / user authentification adalah identifikasi pemakai ketika login.

3 cara otentifikasi :

1. Sesuatu yang diketahui pemakai, misalnya password, kombinasi kunci, nama kecil ibu mertua, dll

Untuk password, pemakai memilih suatu kata kode, mengingatnya dan menggetikkannya saat akan mengakses sistem komputer, saat diketikkan tidak akan terlihat dilaya kecuali misalnya tanda *. Tetapi banyak kelemahan dan mudah ditembus karena pemakai cenderung memilih password yang mudah diingat,

misalnya nama kecil, nama panggilan, tanggal lahir, dll.

Upaya pengamanan proteksi password :

a. Salting, menambahkan string pendek ke string password yang diberikan pemakai sehingga mencapai

panjang password tertentu

b. one time password, pemakai harus mengganti password secara teratur, misalnya pemakai mendapat 1

buku daftar password. Setiap kali login pemakai menggunakan password berikutnya yang terdapat pada

daftar password.

c. satu daftar panjang pertanyan dan jawaban, sehingga pada saat login, komputer memilih salah satu dari

pertanyaan secara acak, menanyakan ke pemakai dan memeriksa jawaban yang diberikan.

d. tantangan tanggapan / chalenge respone, pemakai diberikan kebebasan memilih suatu algoritma

misalnya x3, ketika login komputer menuliskan di layar angka 3, maka pemakai harus mengetik angka 27.

2. Sesuatu yang dimiliki pemakai, misalnya bagde, kartu identitas, kunci, barcode KTM, ATM.

Kartu pengenal dengan selarik pita magnetik. Kartu ini disisipkan de suatu perangkat pembaca kartu

magnetik jika akan mengakses komputer, biasanya dikombinasikan dengan password.

3. Sesuatu mengenai / merupakan ciri pemakai yang di sebut biometrik, misalnya sidik jari, sidik suara, foto, tanda tangan, dll. Pada tanda tangan, bukan membandingkan bentuk tanda tangannya (karena mudah ditiru) tapi gerakan / arah dan tekanan pena saat menulis (sulit ditiru).
Untuk memperkecil peluang penembusan keamanan sistem komputer harus diberikan pembatasan,

misalnya :

1. Pembatasan login, misalnya pada terminal tertentu, pada waktu dan hari tertentu.

2. Pembatasan dengan call back, yaitu login dapat dilakukan oleh siapapun, bila telah sukses, sistemmemutuskan koneksi dan memanggil nomor telepon yang disepakati. Penyusup tidak dapat menghubungkan lewat sembarang saluran telepon, tapi hanya pada saluran tetepon tertentu.

3. Pembatasan jumlah usaha login, misalnya dibatasi sampai 3 kali, dan segera dikunci dan diberitahukan keadministrator.

Objek yang perlu diproteksi :

1. Objek perangkat keras, misalnya pemroses, segment memori, terminal, diskdrive, printer, dll

2. Objek perangkat lunak, misalnya proses, file, basis data, semaphore, dll

Masalah proteksi adalah mengenai cara mencegah proses mengakses objek yang tidak diotorisasi. Sehingga dikembangkan konsep domain. Domain adalah himpunan pasangan (objek,hak). Tiap pasangan menspesifikasikan objek dan suatu subset operasi yang dapat dilakukan terhadapnya. Hak dalam konteks ini berarti ijin melakukan suatu operasi.

Cara penyimpanan informasi anggota domain beerupa satu matrik besar, dimana :

· baris menunjukkan domain
· kolom menunjukkan objek

Pendahuluan Kriptografi

Kriptografi, secara umum adalah ilmu dan seni untuk menjaga kerahasiaan berita [bruceSchneier - Applied Cryptography]. Kata cryptography berasal dari kata Yunani kryptos (tersembunyi) dan graphein (menulis). Selain pengertian tersebut terdapat pula pengertian ilmuyang mempelajari teknik-teknik matematika yang berhubungan dengan aspek keamananinformasi seperti kerahasiaan data, keabsahan data, integritas data, serta autentikasi data [A.Menezes, P. van Oorschot and S. Vanstone - Handbook of Applied Cryptography]. Cryptanalysis adalah aksi untuk memecahkan mekanisme kriptografi dengan cara mendapatkanplaintext atau kunci dari ciphertext yang digunakan untuk mendapatkan informasi berhargakemudian mengubah atau memalsukan pesan dengan tujuan untuk menipu penerima yang

sesungguhnya, memecahkan ciphertext. Cryptology adalah ilmu yang mencakup cryptography dan cryptanalysis. Tidak semua aspek keamanan informasi ditangani oleh kriptografi.

Tujuan mendasar dari ilmu kriptografi ini yang juga merupakan aspek keamanan informasi yaitu :
􀂃 Kerahasiaan, adalah layanan yang digunakan untuk menjaga isi dari informasi dari siapapun kecuali yang memiliki otoritas atau kunci rahasia untuk membuka/mengupas informasi yang telah disandi. Integritas data, adalah berhubungan dengan penjagaan dari perubahan data secara tidak sah. Untuk menjaga integritas data, sistem harus memiliki kemampuan untuk mendeteksi manipulasi data oleh pihak-pihak yang tidak berhak, antara lain penyisipan, penghapusan, dan pensubsitusian data lain kedalam data yang sebenarnya.

􀂃 Autentikasi, adalah berhubungan dengan identifikasi/pengenalan, baik secara kesatuan sistem maupun informasi itu sendiri. Dua pihak yang saling berkomunikasi harus saling memperkenalkan diri. Informasi yang dikirimkan melalui kanal harus diautentikasi keaslian, isi datanya, waktu pengiriman, dan lain-lain.

􀂃 Non-repudiasi., atau nir penyangkalan adalah usaha untuk mencegah terjadinya

penyangkalan terhadap pengiriman/terciptanya suatu informasi oleh yang mengirimkan/membuat. Enkripsi adalah transformasi data kedalam bentuk yang tidak dapat terbaca tanpa sebuah kunci tertentu. Tujuannya adalah untuk meyakinkan privasi dengan menyembunyikan informasi dari orang-orang yang tidak ditujukan, bahkan mereka mereka yang memiliki akses ke data terenkripsi. Dekripsi merupakan kebalikan dari enkripsi, yaitu transformasi data terenkripsi kembali ke bentuknya semula.

Keamanan Dan Manajemen Perusahaan

Seringkali sulit untuk membujuk manajemen perusahaan atau pemilik sistem informasi untuk melakukan investasi di bidang keamanan. Di tahun 1997 majalah Information Week melakukan survey terhadap 1271 system atau network manager di Amerika Serikat. Hanya 22% yang menganggap keamanan sistem informasi sebagai komponen sangat penting (“extremely important”). Mereka lebih mementingkan “reducing cost” dan “improvingcompetitiveness” meskipun perbaikan sistem informasi setelah dirusak justru dapat menelan biaya yang lebih banyak. Keamanan itu tidak dapat muncul demikian saja. Dia harus direncanakan. Ambil contoh berikut. Jika kita membangun sebuah rumah, maka pintu rumah kita harus dilengkapi dengan kunci pintu. Jika kita terlupa memasukkan kunci pintu pada budget perencanaan rumah, maka kita akan dikagetkan bahwa ternyata harus keluar dana untuk menjaga keamanan. Kalau rumah kita hanya memiliki satu atau dua pintu, mungkin dampak dari budget tidak seberapa. Bayangkan bila kita mendesain sebuah hotel dengan 200 kamar dan lupa membudgetkan kunci pintu. Dampaknya sangat besar. Demikian pula di sisi pengamanan sebuah sistem informasi. Jika tidak kita budgetkan di awal, kita akan dikagetkan dengan kebutuhan akan adanya perangkat pengamanan (firewall, Intrusion Detection System, anti virus, DissasterRecoveryCenter, dan seterusnya). Meskipun sering terlihat sebagai besaran yang tidak dapat langsung diukur dengan uang (intangible), keamanan sebuah sistem informasi sebetulnya dapat diukur dengan besaran yang dapat diukur dengan uang (tangible). Dengan adanya ukuran yang terlihat, mudah-mudahan pihak manajemen dapat mengerti pentingnya investasi di bidang keamanan.

Berikut ini adalah berapa contoh kegiatan yang dapat kita lakukan :

􀀗 Hitung kerugian apabila sistem informasi kita tidak bekerja selama 1 jam, selama 1 hari, 1 minggu, dan 1 bulan. (Sebagai perbandingkan, bayangkan jika server Amazon.com tidak dapat diakses selama beberapa hari. Setiap harinya dia dapat menderita kerugian beberapa juta dolar.)

􀀗 Hitung kerugian apabila ada kesalahan informasi (data) pada sistem informasi anda. Misalnya web site anda mengumumkan harga sebuah barang yang berbeda dengan harga yang ada di toko kita.

􀀗 Hitung kerugian apabila ada data yang hilang.

Misalnya berapa kerugian yang diderita apabila daftar pelanggan dan invoice hilang dari sistem kita. Berapa biaya yang dibutuhkan untuk rekonstruksi data.

􀀗 Apakah nama baik perusahaan kita merupakan sebuah hal yang harus dilindungi?

Bayangkan bila sebuah bank terkenal dengan rentannya pengamanan data-datanya, bolak-balik terjadi security incidents. Tentunya banyak nasabah yang pindah ke bank lain karena takut akan keamanan uangnya. Pengelolaan terhadap keamanan dapat dilihat dari sisi pengelolaan resiko (risk management). Lawrie Brown dalam menyarankan menggunakan “Risk Management Model” untuk menghadapi ancaman (managing threats). Ada tiga komponen yang memberikan kontribusi kepada Risk, yaitu Asset, Vulnerabilities, dan Threats.

Nama Komponen Contoh & Keterangan Lebih Lanjut

Asset (Aset)

􀂃 Hardware

􀂃 Software

􀂃 Dokumentasi

􀂃 Data

􀂃 Komunikasi

􀂃 Lingkungan

􀂃 Manusia

Threats (Ancaman)

􀂃 Pemakai (Users)

􀂃 Teroris

􀂃 Kecelakaan (Accidents)

􀂃 Crackers

􀂃 Penjahat Kriminal

􀂃 Nasib (Acts Of God)

􀂃 Intel Luar Negeri (Foreign Intelligence)

Vulnerability (Kelemahan)

􀂃 Software Bugs

􀂃 Hardware Bugs

􀂃 Radiasi (dari layar, transmisi)

􀂃 Tapping, Crosstalk

􀂃 Unauthorized Users

􀂃 Cetakan, Hardcopy

􀂃 Keteledoran (Oversight)

􀂃 Cracker via telepon

􀂃 Strorage media

Untuk menanggulangi resiko (Risk) tersebut dilakukan apa yang disebut “countermeasures” yang dapat berupa :

􀀗 Usaha untuk mengurangi Threat

􀀗 Usaha untuk mengurangi Vulnerability

􀀗 Usaha untuk mengurangi impak (impact)

􀀗 Mendeteksi kejadian yang tidak bersahabat (hostile event)

􀀗 Kembali (recover) dari kejadian

MeningkatnyaMeningkatnya Kejahatan Komputer

Jumlah kejahatan komputer (computer crime), terutama yang berhubungan dengan sistem informasi, akan terus meningkat dikarenakan beberapa hal, antara lain :

􀀗 Aplikasi bisnis yang menggunakan (berbasis) teknologi informasi dan jaringan komputer semakin meningkat.

Sebagai contoh saat ini mulai bermunculan aplikasibisnis seperti on-line banking, electronic commerce (e-commerce), Electronic DataInterchange (EDI), dan masih banyak lainnya. Bahkan aplikasi e-commerce akan menjadi salah satu aplikasi pemacu di Indonesia (melalui “Telematika Indonesia” dan Nusantara 21). Demikian pula di berbagai penjuru dunia aplikasi ecommerce terlihat mulai meningkat.

􀀗 Desentralisasi (dan distributed) server menyebabkan lebih banyak sistem yang harus ditangani.

Hal ini membutuhkan lebih banyak operator dan administrator yang handal yang juga kemungkinan harus disebar di seluruh lokasi. Padahal mencari operator dan administrator yang handal adalah sangat sulit, apalagi jika harus disebar di berbagai tempat. Akibat dari hal ini adalah biasanya server-server di daerah (bukan pusat) tidak dikelola dengan baik sehingga lebih rentan terhadap serangan. Seorang cracker akan menyerang server di daerah lebih dahulu sebelum mencoba menyerang server pusat. Setelah itu dia akan menyusup melalui jalur belakang. (Biasanya dari daerah / cabang ke pusat ada routing dan tidak dibatasi dengan firewall.)

􀀗 Transisi dari single vendor ke multi-vendor

Sehingga lebih banyak sistem atau perangkat yang harus dimengerti dan masalah interoperability antar vendor yang lebih sulit ditangani. Untuk memahami satu jenis perangkat dari satu vendor saja sudah susah, apalagi harus menangani berjenis-jenis perangkat. Bayangkan, untuk router saja sudah ada berbagai vendor; Cisco, Juniper Networks, Nortel, Linux-based router, BSDbased router, dan lain-lain. Belum lagi jenis sistem operasi (operating system) dari server, seperti Solaris (dengan berbagai versinya), Windows (NT, 2000, 2003), Linux (dengan berbagai distribusi), BSD (dengan berbagai variasinya mulai dari FreeBSD, OpenBSD, NetBSD). Jadi sebaiknya tidak menggunakan variasi yang terlalu banyak.

􀀗 Meningkatnya kemampuan pemakai di bidang komputer

Sehingga mulai banyak pemakai yang mencoba-coba bermain atau membongkar sistem yang digunakanny (atau sistem milik orang lain). Jika dahulu akses ke komputer sangat sukar, maka sekarang komputer sudah merupakan barang yang mudah diperoleh dan banyak dipasang di sekolah serta rumah-rumah.

􀀗 Mudahnya diperoleh software untuk menyerang komputer dan jaringan komputer.

Banyak tempat di Internet yang menyediakan software yang langsung dapat diambil (download) dan langsung digunakan untuk menyerang dengan Graphical User Interface (GUI) yang mudah digunakan. Beberapa program, seperti SATAN, bahkanhanya membutuhkan sebuah web browser untuk menjalankannya. Sehingga, seseorangyang hanya dapat menggunakan web browser dapat menjalankan program penyerang(attack). Penyerang yang hanya bisa menjalankan program tanpa mengerti apamaksudnya disebut dengan istilah script kiddie.

􀀗 Kesulitan dari penegak hukum untuk mengejar kemajuan dunia komputer dan telekomunikasi yang sangat cepat.

Hukum yang berbasis ruang dan waktu akan mengalami kesulitan untuk mengatasi masalah yang justru terjadi pada sebuah system yang tidak memiliki ruang dan waktu. Barang bukti digital juga masih sulit diakui oleh pengadilan Indonesia sehingga menyulitkan dalam pengadilan. Akibatnya pelaku kejahatan cyber hanya dihukum secara ringan sehingga ada kecenderungan mereka melakukan hal itu kembali.

􀀗 Semakin kompleksnya sistem yang digunakan,

Seperti semakin besarnya program (source code) yang digunakan sehingga semakin besar probabilitas terjadinya lubang keamanan (yang disebabkan kesalahan pemrograman, bugs).

Klasifikasi Kejahatan Komputer

Kejahatan komputer dapat digolongkan kepada yang sangat berbahaya sampai ke yang hanya mengesalkan (annoying). Menurut David Icove berdasarkan lubang keamanan, dapat diklasifikasikan menjadi empat, yaitu :

1. Keamanan yang bersifat fisik (physical security)

Termasuk akses orang ke gedung, peralatan, dan media yang digunakan. Beberapa bekas penjahat komputer (crackers) mengatakan bahwa mereka sering pergi ke tempat sampah untuk mencari berkas-berkas yang mungkin memiliki informasi tentang keamanan. Misalnya pernah diketemukan coretan password atau manual yang dibuang tanpa dihancurkan. Wiretapping atau hal-hal yang berhubungan dengan akses ke kabel atau computer yang digunakan juga dapat dimasukkan ke dalam kelas ini. Pencurian komputer dan notebook juga merupakan kejahatan yang besifat fisik. Menurut statistik, 15% perusahaan di Amerika pernah kehilangan notebook. Padahal biasanya notebook ini tidak dibackup (sehingga data-datanya hilang), dan juga seringkali digunakan untuk menyimpan data-data yang seharusnya sifatnya confidential (misalnya pertukaran email antar direktur yang menggunakan notebook tersebut).

Denial of service, yaitu akibat yang ditimbulkan sehingga servis tidak dapat diterima oleh pemakai juga dapat dimasukkan ke dalam kelas ini. Denial of service dapat dilakukan misalnya dengan mematikan peralatan atau membanjiri saluran komunikasi dengan pesan-pesan (yang dapat berisi apa saja karena yang diutamakan adalah banyaknya jumlah pesan). Beberapa waktu yang lalu ada lubang keamanan dari implementasi protokol TCP/IP yang dikenal dengan istilah Syn Flood Attack, dimana sistem (host) yang dituju dibanjiri oleh permintaan sehingga dia menjadi terlalu sibuk dan bahkan dapat berakibat macetnya sistem (hang). Mematikan jalur listrik sehingga sistem menjadi tidak berfungsi juga merupakan serangan fisik. Masalah keamanan fisik ini mulai menarik perhatikan ketika gedung WorldTradeCenter yang dianggap sangat aman dihantam oleh pesawat terbang yang dibajak oleh teroris. Akibatnya banyak sistem yang tidak bisa hidup kembali karena tidak diamankan. Belum lagi hilangnya nyawa.

2. Keamanan yang berhubungan dengan orang (personel)

Termasuk identifikasi, dan profil resiko dari orang yang mempunyai akses (pekerja). Seringkali kelemahan keamanan sistem informasi bergantung kepada manusia (pemakai dan pengelola). Ada sebuah teknik yang dikenal dengan istilah “social engineering” yang sering digunakan oleh kriminal untuk berpura-pura sebagai orang yang berhak mengakses informasi. Misalnya kriminal ini berpura-pura sebagai pemakai yang lupa passwordnya dan minta agar diganti menjadi kata lain.

3. Keamanan dari data dan media serta teknik komunikasi (communications).

Yang termasuk di dalam kelas ini adalah kelemahan dalam software yang digunakan untuk mengelola data. Seorang kriminal dapat memasang virus atau trojan horse sehingga dapat mengumpulkan informasi (seperti password) yang semestinya tidak berhak diakses. Bagian ini yang akan banyak kita bahas dalam buku ini.

4. Keamanan dalam operasi

Termasuk kebijakan (policy) dan prosedur yang digunakan untuk mengatur dan mengelola sistem keamanan, dan juga termasuk prosedur setelah serangan (post attack recovery). Seringkali perusahaan tidak memiliki dokumen kebijakan dan prosedur.

Aspek / Service Dari Keamanan (Security)

Garfinkel mengemukakan bahwa keamanan komputer (computer security) melingkupi empat

aspek, yaitu privacy, integrity, authentication, dan availability.

1. Privacy / Confidentiality

Inti utama aspek privacy atau confidentiality adalah usaha untuk menjaga informasi dari orang yang tidak berhak mengakses. Privacy lebih kearah data-data yang sifatnya privat sedangkan confidentiality biasanya berhubungan dengan data yang diberikan ke pihak lain untuk keperluan tertentu (misalnya sebagai bagian dari pendaftaran sebuah servis) dan hanya diperbolehkan untuk keperluan tertentu tersebut. Contoh hal yang berhubungan dengan privacy adalah e-mail seorang pemakai (user) tidak boleh dibaca oleh administrator.
Contoh confidential information adalah data-data yang sifatnya pribadi (seperti nama, tempat tanggal lahir, social security number, agama, status perkawinan, penyakit yang pernah diderita, nomor kartu kredit, dan sebagainya) merupakan data-data yang ingin diproteksi penggunaan dan penyebarannya. Contoh lain dari confidentiality adalah daftar pelanggan dari sebuah Internet Service Provider (ISP). Untuk mendapatkan kartu kredit, biasanya ditanyakan data-data pribadi. Jika saya mengetahui data-data pribadi anda, termasuk nama ibu anda, maka saya dapat melaporkan melalui telepon (dengan berpura-pura sebagai anda) bahwa kartu kredit anda hilang dan mohon penggunaannya diblokir. Institusi (bank) yang mengeluarkan kartu kredit anda akan percaya bahwa saya adalah anda dan akan menutup kartu kredit anda. Masih banyak lagi kekacauan yang dapat ditimbulkan bila data-data pribadi ini digunakan oleh orang yang tidak berhak. Ada sebuah kasus dimana karyawan sebuah perusahaan dipecat dengan tidak hormat dari perusahaan yang bersangkutan karena kedapatan mengambil data-data gaji karyawan di perusahaan yang bersangkutan. Di perusahaan ini, daftar gaji termasuk informasi yang bersifat confidential /rahasia.

2. Integrity

Aspek ini menekankan bahwa informasi tidak boleh diubah tanpa seijin pemilik informasi. Adanya virus, trojan horse, atau pemakai lain yang mengubah informasi tanpa ijin merupakan contoh masalah yang harus dihadapi. Sebuah e-mail dapat saja “ditangkap” (intercept) di tengah jalan, diubah isinya (altered, tampered, modified), kemudian diteruskan ke alamat yang dituju. Dengan kata lain, integritas dari informasi sudah tidak terjaga. Penggunaan enkripsi dan digital signature, misalnya, dapat mengatasi masalah ini.

Salah satu contoh kasus trojan horse adalah distribusi paket program TCP Wrapper (yaitu program populer yang dapat digunakan untuk mengatur dan membatasi akses TCP/IP) yang dimodifikasi oleh orang yang tidak bertanggung jawab. Jika anda memasang program yang berisi trojan horse tersebut, maka ketika anda merakit (compile) program tersebut, dia akan mengirimkan eMail kepada orang tertentu yang kemudian memperbolehkan dia masuk ke sistem anda. Informasi ini berasal dari CERT Advisory, “CA-99-01 Trojan-TCP-Wrappers” yang didistribusikan 21 Januari 1999.

Contoh serangan lain adalah yang disebut “man in the middle attack” dimana seseorang menempatkan diri di tengah pembicaraan dan menyamar sebagai orang lain.

3. Authentication

Aspek ini berhubungan dengan metoda untuk menyatakan bahwa informasi betulbetul asli, orang yang mengakses atau memberikan informasi adalah betul-betul orang yang dimaksud, atau server yang kita hubungi adalah betul-betul server yang asli.

Masalah pertama, membuktikan keaslian dokumen, dapat dilakukan dengan teknologi watermarking dan digital signature. Watermarking juga dapat digunakan untuk menjaga “intelectual property”, yaitu dengan menandai dokumen atau hasil karya dengan “tanda tangan” pembuat.

Masalah kedua biasanya berhubungan dengan access control, yaitu berkaitan dengan pembatasan orang yang dapat mengakses informasi. Dalam hal ini pengguna harus menunjukkan bukti bahwa memang dia adalah pengguna yang sah, misalnya dengan menggunakan password, biometric (ciri-ciri khas orang), dan sejenisnya. Ada tiga hal yang dapat ditanyakan kepada orang untuk menguji siapa dia :

• What you have (misalnya kartu ATM)

• What you know (misalnya PIN atau password)

• What you are (misalnya sidik jari, biometric)

Penggunaan teknologi smart card, saat ini kelihatannya dapat meningkatkan keamanan aspek ini. Secara umum, proteksi authentication dapat menggunakan digital certificates. Authentication biasanya diarahkan kepada orang (pengguna), namun tidak pernah ditujukan kepada server atau mesin. Pernahkan kita bertanya bahwa mesin ATM yang sedang kita gunakan memang benar-benar milik bank yang bersangkutan?

Bagaimana jika ada orang nakal yang membuat mesin seperti ATM sebuah bank dan meletakkannya di tempat umum? Dia dapat menyadap data-data (informasi yang ada di magnetic strip) dan PIN dari orang yang tertipu. Memang membuat mesin ATM palsu tidak mudah. Tapi, bisa anda bayangkan betapa mudahnya membuat web site palsu yang menyamar sebagai web site sebuah bank yang memberikan layanan Internet Banking. (Ini yang terjadi dengan kasus klikBCA.com.)

4. Availability

Aspek availability atau ketersediaan berhubungan dengan ketersediaan informasi ketika dibutuhkan. Sistem informasi yang diserang atau dijebol dapat menghambat atau meniadakan akses ke informasi. Contoh hambatan adalah serangan yang sering disebut dengan “denial of service attack” (DoS attack), dimana server dikirimi permintaan (biasanya palsu) yang bertubitubi atau permintaan yang diluar perkiraan sehingga tidak dapat melayani permintaan lain atau bahkan sampai down, hang, crash. Contoh lain adalah adanya mailbomb, dimana seorang pemakai dikirimi e-mail bertubi-tubi (katakan ribuan e-mail) dengan ukuran yang besar sehingga sang pemakai tidak dapat membuka e-mailnya atau kesulitan mengakses e-mailnya (apalagi jika akses dilakukan melalui saluran telepon).

Pentingnya Akses Kontrol

Bagi para profesional keamanan sistem/teknologi informasi, perhatian harus diberikan pada kebutuhan akses kontrol dan metode-metode implementasinya untuk menjamin bahwa sistem memenuhi availability (ketersediaan), confidentiality (kerahasiaan), dan integrity (integritas). Dalam komputer jaringan, juga diperlukan pemahaman terhadap penggunaan akses kontrol pada arsitektur terdistribusi dan terpusat. Melakukan kontrol akses pada sistem informasi dan jaringan yang terkait juga merupakan hal penting untuk menjaga confidentiality, integrity, dan availability.Confidentiality atau kerahasiaan memastikan bahwa informasi tidak terbuka ke individu, program atau proses yang tidak berhak. Beberapa informasi mungkin lebih sensitive dibandingkan informasi lainnya dan memerlukan level kerahasiaan yang lebih tinggi. Mekanisme kontrol perlu ditempatkan untuk mendata siapa yang dapat mengakses data dan apa yang orang dapat lakukan terhadapnya saat pertama kali diakses. Aktivitas tersebut harus dikontrol, diaudit, dan dimonitor. Beberapa tipe informasi yang dipertimbangkan sebagai informasi rahasia adalah misalnya catatan kesehatan, informasi laporan keuangan, catatan kriminal, kode sumber program, perdagangan rahasia, dan rencana taktis militer. Sedangkan beberapa mekanisme yang memebrikan kemampuan kerahasiaan sebagai contoh yaitu enkripsi, kontrol akses fisikal dan logikal, protokol transmisi, tampilan database, dan alur trafik yang terkontrol. Bagi suatu institusi (skala besar, menengah maupun kecil), adalah merupakan hal penting untuk mengidentifikasi data dan kebutuhan-kebutuhan yang terklasifikasi sehingga dapat dipastikan bahwa suatu peringkat prioritas akan melindungi data dan informasi serta terjaga kerahasiaannya. Jika informasi tidak terklasifikasi maka akan diperlukan banyak waktu dan biaya yang dikeluarkan saat mengimplementasikan besaran yang sama pada tingkat keamanan untuk informasi kritis maupun informasi tidak penting. Integritas memiliki tujuan mencegah modifikasi pada informasi oleh user yang tidak berhak, mencegah modifikasi yang tidak sengaja atau tidak berhak pada informasi oleh orang yang tidak berkepentingan, dan menjaga konsistensi internal maupun eksternal. Konsistensi internal memastikan bahwa data internal selalu konsisten. Misalnya, diasumsikan sebuah database internal memiliki jumlah unit suatu komponen tertentu pada tiap bagian suatu organisasi. Jumlah bilangan dari komponen di tiap bagian tersebut harus sama dengan jumlah bilangan komponen pada database yang terekam secara internal pada keseluruhan organisasi. Konsistensi eksternal menjamin bahwa data yang tersimpan pada database konsisten dengan fisiknya. Sebagai contoh dari konsistensi internal di atas, konsistensi eksternal berarti bahwa besarnya komponen yang tercatat pada database untuk setiap bagian adalah sama dengan banyaknya komponen secara fisik di tiap bagian tersebut. Informasi juga harus akurat, lengkap, dan terlindungi dari modifikasi yang tidak berhak. Ketika suatu mekanisme keamanan memberikan integritas, ia akan melindungi data dari perubahan yang tidak lazim, dan jika memang terjadi juga modifikasi ilegal pada data tersebut maka mekanisme keamanan harus memperingatkan user atau membatalkan modifikasi tersebut. Availability (ketersediaan) memastikan bahwa untuk user yang berhak memakai sistem, memiliki waktu dan akses yang bebas gangguan pada informasi dalam sistem. Informasi,sistem, dan sumberdaya harus tersedia untuk user pada waktu diperlukan sehingga produktifitas tidak terpengaruh. Kebanyakan informasi perlu untuk dapat diakses dan tersedia bagi user saat diminta sehingga mereka dapat menyelesaikan tugas-tugas dan memenuhi tanggung jawab pekerjaan mereka. Melakukan akses pada informasi kelihatannya tidak begitu penting hingga pada suatu saat informasi tersebut tidak dapat diakses. Administrator sistem mengalaminya saat sebuah file server mati atau sebuah database yang pemakaiannya tinggi tiba-tiba rusal untuk suatu alasan dan hal lainnya. Fault tolerance dan mekanisme pemulihan digunakan untuk menjamin

kontinuitas ketersediaan sumberdaya. Produktifitas user dapat terpengaruh jika data tidak siap tersedia. Informasi memiliki atribut-atribut yang berbeda seperti akurasi, relevansi, sesuai waktu, privacy, dan keamanan. Mekanisme keamanan yang berbeda dapat memberikan tingkat kerahasiaan, integritas, dan ketersediaan yang berbeda pula. Lingkungan, klasifikasi data yang dilindungi, dan sasaran keamanan perlu dievaluasi untuk menjamin mekanisme keamanan yang sesuai dibeli dan digunakan sebagaimana mestinya. Tujuan kontrol akses lainnya adalah reliability dan utilitas. Tujuan-tujuan tersebut mengalir dari kebijakan keamanan suatu organisasi. Kebijakan ini merupakan pernyataan tingkat tinggi dari pihak manajemen berkaitan dengan kontrol pada akses suatu informasi dan orang yang berhak menerima informasi tersebut. Tiga hal lainnya yang patut dipertimbangkan untuk perencanaan dan implementasi mekanisme kontrol akses adalah ancaman pada sistem (threats), kerawanan sistem pada ancaman (vulnerabilities), dan resiko yang ditimbulkan oleh ancaman tersebut. Ancaman (threats) adalah suatu kejadian atau aktivitas yang memiliki potensi untuk menyebabkan kerusakan pada sistem informasi atau jaringan. Kerawanan (vulnerabilities) adalah kelemahan atau kurangnya penjagaan yang dapat dimanfaatkan oleh suatu ancaman, menyebabkan kerusakan pada sistem informasi atau jaringan. Sedangkan resiko adalah potensi kerusakan atau kehilangan pada sistem informasi atau jaringan; kemungkinan bahwa ancaman akan terjadi.

Penjelasan Akses Kontrol

Akses kontrol merupakan fitur-fitur keamanan yang mengontrol bagaimana user dan sistem berkomunikasi dan berinteraksi dengan sistem dan sumberdaya lainnya. Akses control melindungi sistem dan sumberdaya dari akses yang tidak berhak dan umumnya menentukan tingkat otorisasi setelah prosedur otentikasi berhasil dilengkapi.

Akses adalah aliran informasi antara subjek dan objek. Sebuah subjek merupakan entitas aktif yang meminta akses ke suatu objek atau data dalam objek tersebut. Sebuah subjek dapat berupa user, program, atau proses yang mengakses informasi untuk menyelesaikan suatu tugas tertentu. Ketika sebuah program mengakses sebuah file, program menjadi subjek dan filemenjadi objek. Objek adalah entitas pasif yang mengandung informasi. Objek bisa sebuah komputer, database, file, program komputer, direktori, atau field pada tabel yang berada di dalam database. Kontrol akses adalah sebuah term luas yang mencakup beberapa tipe mekanisme berbeda yang menjalankan fitur kontrol akses pada sistem komputer, jaringan, dan informasi. Kontrol akses sangatlah penting karena menjadi satu dari garis pertahanan pertama yang digunakan untuk menghadang akses yang tidak berhak ke dalam sistem dan sumberdaya jaringan. Saat user diminta memasukan username dan password hal ini disebut dengan control akses. Setelah user log in dan kemudian mencoba mengakses sebuah file, file ini dapat memiliki daftar user dan grup yang memiliki hak akses ke file tersebut. Jika user tidak termasuk dalam daftar maka akses akan ditolak. Hal itu sebagai bentuk lain dari kontrol akses. Hak dan ijin user adalah berdasarkan identitas, kejelasan, dan atau keanggotaan suatu grup. Kontrol akses memberikan organisasi kemampuan melakukan kontrol, pembatasan, monitor, dan melindungi ketersediaan, integritas, dan kerahasiaan sumberdaya. Kontrol diimplementasikan untuk menanggulangi resiko dan mengurangi potensi kehilangan. Kontrol dapat bersifat preventif, detektif, atau korektif. Kontrol preventif dipakai untuk mencegah kejadian-kejadian yang merusak. Kontrol detektif diterapkan untuk menemukan kejadian-kejadian yang merusak. Kontrol korektif digunakan untuk memulihkan sistem yang menjadi korban dari serangan berbahaya. Untuk menerapkan ukuran-ukuran tersebut, kontrol diimplementasikan secara administratif, logikal atau teknikal, dan fisikal. Kontrol administratif termasuk kebijakan dan prosedur, pelatihan perhatian terhadap keamanan, pemeriksaan latar belakang, pemeriksaan kebiasaan kerja, tinjauan riwayat hari libur, dan supervisi yang ditingkatkan. Kontrol logikal atau teknikal mencakup pembatasan akses ke sistem dan perlindungan informasi. Contoh kontrol pada tipe ini adalah enkripsi, smart cards, daftar kontrol akses, dan protokol transmisi. Sedangkan kontrol fisikal termasuk penjagaan dan keamanan bangunan secara umum seperti penguncian pintu, pengamanan ruang server atau laptop, proteksi kabel, pemisahan tugas kerja, dan backup data. Kontrol fisikal merupakan penempatan penjaga dan bangunan secara umum, seperti penguncian pintu, pengamanan ruang server atau laptop, perlindungan pada kabel, pembagian tanggung jawab, dan backup file.

Model Kontrol Akses

Penerapan akses kontrol pada subjek sistem (sebuah entitas aktif seperti individu atau proses) terhadap objek sistem (sebuah entitas pasif seperti sebuah file) berdasarkan aturan (rules). Model kontrol akses merupakan sebuah framework yang menjelaskan bagaimana subjek mengakses objek. Model ini menggunakan teknologi kontrol akses dan mekanisme sekuriti untuk menerapkan aturan dan tujuan suatu model. Ada tiga tipe utama model kontrol akses yaitu mandatory, discretionary, dan nondiscretionary (sering disebut juga role-based). Tiap tipe model memakai metode berbeda untuk mengkontrol bagaimana subjek mengakses objek dan mempunyai kelebihan serta keterbatasan masing-masing. Tujuan bisnis dan keamanan dari suatu organisasi akan membantu menjelaskan model kontrol akses mana yang sebaiknya digunakan, bersamaan dengan budaya perusahaan dan kebiasaan menjalankan bisnisnya. Beberapa model dipakai secara ekslusif dan kadang-kadang model tersebut dikombinasikan sehingga mampu mencapai tingkat keperluan kemanan lingkungan yang dibutuhkan.

Aturan pada akses kontrol diklasifikasikan menjadi :

􀀗 Mandatory access control

Otorisasi suatu akses subjek terhadap objek bergantung pada label, dimana label ini menunjukan ijin otorisasi suatu subjek dan klasifikasi atau sensitivitas dari objek.
Misalnya, pihak militer mengklasifikasikan dokumen sebagai unclassified, confidential, secret, dan top secret. Untuk hal yang sama, individu dapat menerima ijin otorisasi tentang confidential, secret, atau top secret dan dapat memiliki akses ke dokumen bertipe classified atau tingkatan di bawah status ijin otorisasinya. Sehingga individu dengan ijin otorisasi secret dapat mengakses tingkatan secret dan confidential dokumen dengan suatu batasan. Batasan ini adalah bahwa individu memiliki keperluan untuk mengetahui secara relatif classified dokumen yang dimaksud. Meskipun demikian dokumen yang dimaksud harus benar-benar diperlukan oleh individu tersebut untuk menyelesaikan tugas yang diembannya. Bahkan jika individu memiliki ijin otorisasi untuk tingkat klasifikasi suatu informasi, tetapi tidak memiliki keperluan untuk mengetahui maka individu tersebut tetap tidak boleh mengakses informasi yang diinginkannya. Pada model mandatory access control, user dan pemilik data tidak memiliki banyak kebebasan untuk menentukan siapa yang dapat mengakses file-file mereka. Pemilik data dapat mengijinkan pihak lain untuk mengakses file mereka namun operating system (OS) yang tetap membuat keputusan final dan dapat membatalkan kebijakan dari pemilik data. Model ini lebih terstruktur dan ketat serta berdasarkan label keamanan sistem. User diberikan ijin otorisasi dan data diklasifikasikan. Klasifikasi disimpan di label sekuriti pada sumber daya. Klasifikasi label menentukan tingkat kepercayaan user yang harus dimiliki untuk dapat mengakses suatu file. Ketika sistem membuat keputusan mengenai pemenuhan permintaan akses ke suatu objek, keputusan akan didasarkan pada ijin otorisasi subjek dan klasifikasi objek. Aturan-aturan bagaimana subjek mengakses data dibuat oleh manajemen, dikonfigurasikan oleh administrator, dijalankan oleh operating system, dan didukung oleh teknologi sekuriti.

􀀗 Discretionary access control

Subjek memiliki otoritas, dengan batasan tertentu, untuk menentukan objek-objek apa yang dapat diakses. Contohnya adalah penggunaan daftar kontrol akses (access control list). Daftar kontrol akses merupakan sebuah daftar yang menunjuk user-user mana yang memiliki hak ke sumber daya tertentu. Misalnya daftar tabular akan menunjukan subjek atau user mana yang memiliki akses ke objek (file x) dan hak apa yang mereka punya berkaitan dengan file x tersebut.

Kontrol akses triple terdiri dari user, program, dan file dengan hubungan hak akses terkait dengan tiap user. Tipe kontrol akses ini digunakan secara lokal, dan mempunyai situasi dinamis dimana subjek-subjek harus memiliki pemisahan untuk menentukan sumber daya tertentu yang user diijinkan untuk mengakses. Ketika user dengan batasan tertentu memiliki hak untuk merubah kontrol akses ke objek-objek tertentu, hal ini disebut sebagai user-directed discretionary access control.
Sedangkan kontrol akses berbasis identitas (identity-based access control) adalah tipe kontrol akses terpisah berdasarkan identitas suatu individu.

Dalam beberapa kasus, pendekatan hybrid juga digunakan, yaitu yang mengkombinasi-kan fitur-fitur user-based dan identity-based discretionary access control. Jika user membuat suatu file, maka ia merupakan pemilik file tersebut. Kepemilikan juga bisa diberikan kepada individu spesifik. Misalnya, seorang manager pada departemen tertentu dapat membuat kepemilikan suatu file dan sumber daya dalam domain-nya. Pengenal untuk user ini ditempatkan pada file header. Sistem yang menerapkan model discretionary access control memungkinkan pemilik sumber daya untuk menentukan subjek-subjek apa yang dapat mengakses sumber daya spesifik. Model ini dinamakan discretionary karena kontrol akses didasarkan pada pemisahan pemilik. Pada model ini, akses dibatasi berdasarkan otorisasi yang diberikan pada user. Ini berarti bahwa subjek-subjek diijinkan untuk menentukan tipe akses apa yang dapat terjadi pada objek yang mereka miliki. Jika organisasi menggunakan model discretionary access control, administrator jaringan dapat mengijinkan pemilik sumber daya mengkontrol siapa yang dapat mengakses file/sumber daya tersebut.

Implemetasi umum dari discretionary access control adalah melalui access control list yang dibuat oleh pemilik, diatur oleh administrator jaringan, dan dijalankan oleh operating system. Dengan demikian kontrol ini tidak termasuk dalam lingkungan terkontrol terpusat dan dapat membuat kemampuan user mengakses informasi secara dinamis, kebalikan dari aturan yang lebih statis pada mandatory access control.

􀀗 Non-Discretionary access control

Otoritas sentral menentukan subjek-subjek apa yang mempunyai akses ke objekobjek tertentu berdasarkan kebijakan keamanan organisasi. Kontrol akses bisa berdasarkan peran individu dalam suatu organisasi (role-based) atau tanggung jawab subjek dan tugasnya (task-based). Dalam organisasi dimana sering terdapat adanya perubahan/pergantian personel, nondiscretionary access control merupakan model yang tepat karena kontrol akses didasarkan pada peran individu atau jabatan dalam suatu organisasi. Kontrol akses ini tidak perlu dirubah saat individu baru masuk menggantikan individu lama. Tipe lain dari non-discretionary access control adalah kontrol akses lattice-based. Dalam model lattice (lapis tingkatan), terdapat pasangan-pasangan elemen yang memiliki batas tertinggi terkecil dari nilai dan batas terendah terbesar dari nilai. Untuk menerapkan konsep kontrol akses ini, pasangan elemen adalah subjek dan objek, dan subjek memiliki batas terendah terbesar serta batas tertinggi terkecil untuk hak akses pada suatu objek.

Selain itu terdapat model role-based access control yang juga sebagai nondiscretionary access control. Model ini menerapkan seperangkat aturan terpusat pada kontrol untuk menentukan bagaimana subjek dan objek berinteraksi. Tipe model ini mengijinkan akses ke sumber daya berdasarkan peran yang user tangani dalam suatu organisasi. Administrator menempatkan user dalam peran dan kemudian memberikan hak akses pada peran tersebut.peran dan kelompok merupakan hal berbeda meskipun mereka mempunyai tujuan yang sama. Mereka bekerja sebagai penampungan untuk para user. Perusahaan mungkin memiliki kelompok auditor yang terdiri dari beberapa user yang berbeda. Para user ini dapat menjadi bagian suatu kelompok lain dan biasanya memiliki hak individunya masing-masing serta ijin yang diberikan kepada mereka. Jika perusahaan menerapkan peran, tiap user yang ditugaskan pada peran tertentu yang hanya memiliki hak pada peran tersebut. Hal ini menjadikan kontrol yang lebih ketat.

sumber : http://rumahradhen.wordpress.com/materi-kuliahku/sistem-keamanan-komputer/pengantar-sistem-keamanan-komputer/