Security System
Penguncian/Penutupan
Account
Jika ada pengguna
yang melakukan kesalahan login beberapa kali melebihi dengan yang sudah ditentukan, maka
server secara otomatis akan melakukan tertutup/terkunci (locking) terhadap account tersebut. Administrator akan menentukan jumlah batas
percobaan kesalahan melakukan login, dan lamanya account akan di
ditutup/kunci (locking). Namun administrator juga dapat melakukan penutupan
terhadap account tertentu secara langsung. Penutupan dengan cara ini, tidak
dapat dilakukan pembukaan (unlocking)
secara otomatis.
Password Aging and Expiration
Administrator
menggunakan perintah membuat bentuk (profile) untuk menentukan masa berlakunya (lifetime) penggunaan password, bila masa berlakunya sudah lewat, maka pengguna atau
administratornya harus mengubah password tersebut.
Administrator juga
akan menentukan grace
periode, yaitu tenggang
waktu yang diberikan kepada pengguna untuk mengganti password-nya. Bila password belum diganti hingga grace periode berakhir, maka accountnya akan hangus dan pengguna tersebut tidak dapat
lagi melakukan login. Administrator juga menggunakan perintah membuat profile
untuk menentukan interval waktu dimana password yang sudah expired tidak dapat digunakan lagi secara langsung.
Verifikasi
Kerumitan Password
Verifikasi
kerumitan password akan mengatur parameter profil default password yang dilakukan dengan pemeriksaan-pemeriksaan sebagai berikut:
- Password memiliki panjang minimum 6.
- Password tidak sama dengan pengguna ID.
- Password sedikitnya memiliki satu alfa, satu numerik, dan satu tanda baca.
- Password tidak boleh sama dengan kata-kata sederhana seperti nama pengguna.
- Password yang baru harus berbeda sedikitnya tiga huruf dengan password yang lama.
Cara
Menggunakan Dan Memilih Password
Perlu mendapat
perhatian dalam mengunakan dan memilih password adalah memberi pengertian yang dapat menumbuhkan sikap bahwa password tidak dapat digunakan disembarang tempat dan mempunyai arti penting.
Misalnya password digunakan ditempat rental warnet pada ruangan yang tidak
mendukung privasi seorang penyewa, sehingga orang lain dapat dengan mudah
melihat pengguna saat memakai password-nya.
Dalam memilih password ada baiknya dibuat dengan mengkombinasi angka dengan huruf. Hal ini
dimaksudkan supaya orang lain sulit mengira atau menebak passsword. Misalnya
membuat password huruf dengan nama diri sendiri, nama istri atau anak, password angka dengan memakai tanggal kelahiran, nomor induk pegawai.
Pemakaian
Account Dan Password Yang Bertanggungjawab
Dalam hal menanamkan
rasa tanggun jawab pada administrator data adalah prinsip bahwa “Awareness is the first line of defense” dari sistem informasi data. Ada beberapa orang yang
membuat kesalahan pada password yang dipunyai. Misalnya menceritakan password yang dipunyai kepada orang lain, membiarkan komputer menyala tanpa ada
penjaganya dan tidak melakukan pembaruan password.
Penggunaan
logoff pada jaringan workstation
Agar komputer
tidak digunakan orang lain yang tidak berkepentingan dan untuk menanamkan
kebiasaan penggunaan logoff pada jaringan workstation computer dapat dilakukan dengan memberi pelatihan tentang keuntungan dan
kerugian penggunaan logoff. Dapat juga membuat selogan tentang bahaya yang
timbul bila tidak logoff pada jaringan workstation komputer. Ada baik bila dapat ditanamkan sikap “Technology alone can’t solve security”. Artinya tidak satu pun teknologi yang dapat menyelesaikan
keamanan.
Pengenalan
Dan Penggunaan Enkripsi Data
Administrator data
diberi pelatihan pengenalan dan penggunaan tentang enkripsi data. Enkripsi
digunakan untuk menyandikan data-data atau informasi data sehingga tidak dapat
dibaca oleh orang yng tidak berhak. Dengan enkripsi, data kita disandikan (encrypted) dengan dengan mengunakan sebuah kunci (key). Untuk membuka
(decrypt) data tersebut digunakan juga sebuah kunci yang dapat sama dengan
kunci mengenkripsi (private
key cryptography) atau dengan kunci
yang berbeda (public key
cryptography). Sedang kriptografi (cryptography)
adalah ilmu dan seni untuk menjaga pesan agar aman.
Sistem
Kriptografi
Untuk menjaga
kerahasiaan informasi, digunakan sistem kripto, yaitu system pengaman yang
dapat mengacak informasi sehingga seolah-olah informasi tersebut menjadi
terkunci. Selanjutnya untuk membaca informasi tersebut, seseorang harus
mempunyai kunci yang sesuai. Sistem kripto yang dipakai di internet terdiri
atas dua macam, yaitu sistem kripto simetris dan system kripto asimetris.
Contoh algoritma yang menggunakan sistem kripto simetris antara lain
adalah DES (Data Encription Standard), Triple DES, IDEA, RC2, RC4, dan RC5.
Sedangkan
algoritma yang menggunakan sistem kripto asimetris antara lain adalah RSA (Rivest Shamir Adleman) dan Diffie-Hellman.
Sistem
Kriptografi Simetris
Sistem kripto
simetris melakukan proses enkripsi dan dekripsi dengan memakai kunci yang sama
(seperti ilustrasi pada Gambar 1). Seorang hacker yang ingin membuka data yang
telah dienkripsi (ciphertext) tanpa mempunyai kunci bias saja berhasil jika bisa
menebak isi kunci secara tepat. Tingkat kesulitan penebakan kunci tersebut
sesuai dengan panjangnya kunci yang digunakan. Kunci simetris tersebut tidak
boleh jatuh ke pihak lain yang tidak berwenang untuk mendapatkan data asli (plaintext).
Sistem kripto
simetris dapat beroperasi dengan mekanisme block cipher ataupun mekanisme stream
cipher. Pada mekanisme block cipher, fungsi enkripsi beroperasi pada blok-blok plaintext yang
berukuran tetap. Jika blok yang digunakan mempunyai panjang n bit, maka blok hasil
enkripsi juga mempunyai panjang n bit. Umumnya panjang blok yang digunakan
adalah 64 bit. Sedangkan pada mekanisme stream cipher, enkripsi dilakukan pada data plaintext yang
ukurannya tidak dibatasi. Stream cipher memproses data sebagai deretan
karakter-karakter, dengan menggunakan karakter berupa satu bit data ataupun sejumlah
kecil bit data. Stream
cipher dapat juga
dikombinasikan dengan block
cipher, yaitu dengan menggunakan blok-blok
sebagai karakter penyusunnya.
Sistem
Kriptografi Asimetris
Berbeda dengan
sistem kripto simetris, sistem kripto asimetris menggunakan dua kunci yang berbeda dalam proses enkripsi
dan dekripsi data Sistem kripto asimetris juga dikenal dengan nama
Kriptografi Kunci Publik. Sistem ini
menggunakan dua kunci/key (berupa kode angka), satu kunci digunakan untuk meng-enkripsi data, dan kunci lainnya
untuk men-dekripsi data tersebut. Kedua
kunci tersebut terhubung secara matematis dengan rumus tertentu, sehingga data yang telah di-enkripsi oleh suatu
kunci hanya bisa didekripsi dengan menggunakan
kunci pasangannya.
Setiap pengguna
mempunyai dua kunci, yaitu kunci publik dan kunci privat. Pengguna dapat
menyebarkan kunci publik secara bebas. Karena adanya hubungan yang khusus
antara kedua kunci, pengguna dan siapa pun yang menerima kunci publik tersebut
mendapat jaminan bahwa data yang telah dienkripsi dengan kunci tersebut hanya
bisa didekripsi oleh kunci pasangannya, berupa kunci privat milik pengguna yang
sama. Keamanan ini terjamin selama pengguna dapat menjaga kerahasiaan kunci
privat. Pasangan kunci ini harus dibuat secara khusus oleh pemiliknya.
Algoritma yang biasanya digunakan untuk pembuatan pasangan kunci adalah
algoritma RSA (dinamakan berdasarkan inisial pembuatnya, yaitu : Rivest,
Shamir, dan Adleman).
Enkripsi dilakukan
oleh pengirim data dengan menggunakan kunci public milik calon penerima. Kunci
ini dapat diambil dari Penyimpanan Kunci Publik (Public Key Inventory), dan digunakan untuk melakukan enkripsi pada suatu
rentetan data (yang biasanya berupa data kunci simetris) sehingga data menjadi
data yang teracak (cipher). Setelah terenkripsi, cipher kemudian dikirimkan.
Waktu sampai di tujuan, cipher didekripsi oleh penerima dengan menggunakan
kunci privat. Kunci privat ini merupakan pasangan dari kunci publik yang tadi
dipakai untuk mengacak data, dan hanya dimiliki oleh pemiliknya. Sejumlah
algoritma kunci publik, seperti RSA, juga memungkinkan proses ini dijalankan
sebaliknya, yaitu kunci privat digunakan untuk melakukan enkripsi data, dan
kunci publik digunakan untuk dekripsi data.
Karena
algoritmanya yang lebih kompleks, komputasi yang diperlukan untuk sistem kripto
asimetris jauh lebih besar dibandingkan dengan sistem kripto simetris. Oleh
karena itu, biasanya data yang dikomunikasikan biasanya tetap dienkrip dengan
menggunakan sistem kripto simetris. Kunci simetris yang digunakan adalah kunci
sesi (session key), bersifat unik untuk tiap sesi komunikasi yang
dilakukan. Kunci sesi itu merupakan kunci simetris yang digunakan untuk
komunikasi data pada jangka waktu tertentu. Di pihak lain, sistem kripto
asimetris digunakan pada awal sesi komunikasi untuk pengiriman kunci sesi yang
diperlukan. Pada umumnya, kunci sesi diganti-ganti terus jika transaksi data
berlangsung dalam waktu yang lama. Penggantian ini diperlukan untukmenghindari
kemungkinan penyerang mencari kunci yang sesuai, karena kunci simetris lebih
cepat untuk di-hack dibandingkan dengan kunci asimetris.
Suatu pihak
pengelola e-commerce harus membuat pasangan kunci khusus untuk webnya. Kunci
privat, pasangan untuk pasangan kunci public disimpan oleh pemiliknya, dan
tidak boleh jatuh ke tangan orang lain. Kunci publik harus disebarkan, tapi
harus ada jaminan bahwa kunci publik tersebut adalah benar-benar dimiliki oleh
pemilik yang sah. Oleh karena itu, maka sertifikat digital, yang menjamin
keaslian kunci publik, adalah entity yang sebenarnya yang disebarkan untuk
konsumsi publik. Sertifikat adalah file data yang berisi kunci publik yang
disertai dengan identitas pemilik, dibuat dan disahkan oleh badan khusus yang
bernama Certification Authority (CA).
Sertifikat dari
beberapa CA disertakan secara otomatis pada web browser tertentu, dan telah
tersedia jika browser tersebut di-install. Dengan adanya sertifikat CA pada
browser, maka semua sertifikat yang dikeluarkan oleh CA tersebut dapat langsung
diverifikasi kebenarannya oleh browser.
0 komentar:
Posting Komentar