ya.
2.3.2 Metode – Peluang–Motif
Seorang hacker harus memiliki tiga hal untuk
memastikan keberhasilan serangan jahatnya:
metode, peluang, dan motif, yang digambarkan
pada Gambar 1-11. Secara kasar, metode
yaitu caranya; peluang yaitu kapan; dan
motif, mengapa menyerang. Dengan menolak
penyerang dengan salah satu dari ketiganya
dan serangan tidak akan berhasil. Mari kita
bahas properti ini satu per satu.
Metode (Method)
Yang kami maksud dengan metode yaitu
keterampilan, pengetahuan, alat, dan hal-
hal lain yang dipakai untuk melakukan
serangan. Pikirkan tokoh komik yang ingin
melakukan sesuatu, misalnya, untuk mencuri
perhiasan berharga, namun karakternya sangat
tidak kompeten sehingga setiap gerakannya
pasti akan gagal. Orang-orang ini tidak memiliki kemampuan atau metode untuk berhasil, sebagian
sebab tidak ada kelas dalam pencurian permata atau artikel tentang perampokan untuk boneka.
Namun, siapa pun dapat menemukan banyak kursus dan artikel tentang komputasi. Pengetahuan
tentang model tertentu dari sistem komputer tersedia secara luas di toko artikel dan di Internet. Sistem
pasar massal (seperti sistem operasi Microsoft atau Apple atau Unix) sudah tersedia untuk dibeli,
seperti juga produk perangkat lunak umum, seperti pengolah kata atau sistem manajemen basis
data, sehingga penyerang potensial bahkan dapat memperoleh perangkat keras dan perangkat
lunak untuk bereksperimen dan menyempurnakan serangan.
Beberapa produsen merilis spesifikasi terperinci tentang bagaimana sistem dirancang atau
bagaimana sistem itu beroperasi, sebagai panduan bagi pemakai dan integrator yang ingin
menerapkan produk pelengkap lainnya. Berbagai alat serangan—skrip, program model, dan alat
untuk menguji kelemahan—tersedia dari situs peretas di Internet, sampai-sampai banyak serangan
hanya membutuhkan kemampuan penyerang untuk mengunduh dan menjalankan program. Istilah
script kiddie menggambarkan pelaku yang mengunduh paket kode serangan lengkap dan hanya
perlu memasukkan beberapa detail untuk mengidentifikasi target dan membiarkan skrip melakukan
serangan. Seringkali, hanya waktu dan kecenderungan yang membatasi penyerang.
Kesempatan (Opportunity)
Opportunity yaitu waktu dan akses untuk melakukan serangan. Anda mendengar bahwa apartemen
yang luar biasa baru saja dibangun dan mulai dipasarkan, jadi Anda bergegas ke agen persewaan,
hanya untuk menemukan orang lain menyewanya lima menit sebelumnya. Anda melewatkan
kesempatan Anda.
Banyak sistem komputer memberikan banyak kesempatan untuk menyerang. Sistem yang tersedia
untuk publik, menurut definisi, dapat diakses; seringkali pemiliknya sangat berhati-hati untuk
membuatnya tersedia sepenuhnya sehingga jika salah satu komponen perangkat keras gagal,
pemilik memiliki suku cadang yang langsung siap untuk dipakai . Orang lain tidak menyadari
kebutuhan untuk melindungi komputer mereka, sehingga laptop tanpa pengawasan dan koneksi
jaringan yang tidak aman memberikan banyak peluang untuk diserang. Beberapa sistem memiliki
titik masuk pribadi atau tidak berdokumen untuk administrasi atau pemeliharaan, namun penyerang
juga dapat menemukan dan memakai titik masuk ini untuk menyerang sistem.
Motif
Terakhir, seorang penyerang harus memiliki motif atau alasan ingin menyerang. Anda mungkin
memiliki banyak kesempatan dan kemampuan untuk melempar batu melalui jendela tetangga
Anda, namun Anda tidak melakukannya. Kenapa tidak? sebab Anda tidak punya alasan untuk ingin
menyakiti tetangga Anda: Anda tidak memiliki motif.
Kami telah menjelaskan beberapa motif kejahatan komputer: uang, ketenaran, harga diri, politik,
teror. Seringkali sulit untuk menentukan motif serangan. Beberapa tempat yaitu "target yang
menarik", yang berarti mereka sangat menarik bagi penyerang. Target populer termasuk penegakan
hukum dan komputer departemen pertahanan, mungkin sebab mereka dianggap terlindungi dengan
baik terhadap serangan (sehingga mereka menghadirkan tantangan dan serangan yang berhasil
menunjukkan kehebatan penyerang). Sistem lain diserang sebab mudah diserang. Dan beberapa
sistem diserang secara acak hanya sebab mereka ada di sana.
Dengan menunjukkan kelayakan, faktor metode, peluang, dan motif menentukan apakah suatu
serangan dapat berhasil. Faktor-faktor ini memberikan keuntungan bagi penyerang sebab merupakan
kualitas atau kekuatan yang harus dimiliki penyerang. Faktor lain, kali ini memberikan keuntungan
bagi pembela, menentukan apakah serangan akan berhasil: Penyerang membutuhkan kerentanan,
tempat yang tidak dipertahankan untuk menyerang. Jika bek menghilangkan kerentanan, penyerang
tidak bisa menyerang.
1.4 Kerentanan
Seperti yang kita catat sebelumnya dalam bab ini, kerentanan yaitu kelemahan dalam keamanan
sistem komputer, misalnya, dalam prosedur, desain, atau implementasi, yang mungkin dieksploitasi
untuk memicu kerugian atau bahaya. Pikirkan sebuah bank, dengan penjaga bersenjata di
pintu depan, kaca antipeluru yang melindungi teller, dan brankas logam berat yang membutuhkan
banyak kunci untuk masuk. Untuk merampok bank, Anda harus memikirkan cara mengeksploitasi
kelemahan yang tidak tercakup oleh pertahanan ini. Misalnya, Anda mungkin menyuap teller atau
menyamar sebagai pekerja pemeliharaan.
Sistem komputer juga memiliki kerentanan. Dalam artikel ini kami mempertimbangkan banyak hal,
seperti otentikasi yang lemah, kurangnya pengendalian akses, kesalahan dalam program, sumber daya
yang terbatas atau tidak mencukupi, dan perlindungan fisik yang tidak memadai. Dipasangkan
dengan serangan yang kredibel, masing-masing kerentanan ini dapat membahayakan kerahasiaan,
integritas, atau ketersediaan. Setiap vektor serangan berusaha untuk mengeksploitasi kerentanan
tertentu.
Analis keamanan berbicara tentang permukaan serangan sistem, yang merupakan rangkaian
lengkap kerentanan sistem—aktual dan potensial. Dengan demikian, permukaan serangan
mencakup bahaya fisik, serangan jahat oleh orang luar, pencurian data sembunyi-sembunyi oleh
orang dalam, kesalahan, dan peniruan identitas. Meskipun serangan semacam itu berkisar dari yang
mudah hingga yang sangat tidak mungkin, analis harus mempertimbangkan semua kemungkinan.
Langkah kami selanjutnya yaitu menemukan cara untuk memblokir ancaman dengan menetralkan
kerentanan.
pengendalian
pengendalian atau penanggulangan yaitu sarana untuk melawan ancaman. Harm terjadi saat ancaman
diwujudkan terhadap kerentanan. Untuk melindungi dari bahaya, maka, kita dapat menetralisir
ancaman, menutup kerentanan, atau keduanya. Kemungkinan terjadinya kerugian disebut risiko.
Kita dapat menangani kerusakan dengan beberapa cara:
• mencegahnya, dengan memblokir serangan atau menutup kerentanan
• mencegahnya, dengan membuat serangan lebih keras namun bukan tidak mungkin
• menangkisnya, dengan membuat target lain lebih menarik (atau yang ini kurang menarik)
• menguranginya, dengan membuat dampaknya tidak terlalu parah
• mendeteksinya, baik saat itu terjadi atau beberapa saat sesudah fakta
• pulih dari efeknya
28
Tentu saja, lebih dari satu pengendalian ini dapat dipakai secara bersamaan. Jadi, misalnya, kami
mungkin mencoba mencegah penyusupan—namun jika kami curiga kami tidak dapat mencegah
semuanya, kami mungkin juga memasang perangkat pendeteksi untuk memperingatkan serangan
yang akan segera terjadi. Dan kita harus memiliki prosedur tanggap insiden untuk membantu
pemulihan jika penyusupan berhasil.
Gambar 1-12 Pengaruh pengendalian
Untuk mempertimbangkan pengendalian atau tindakan pencegahan yang berupaya mencegah eksploitasi
kerentanan sistem komputasi, kita mulai dengan memikirkan cara tradisional untuk meningkatkan
keamanan fisik. Pada Abad Pertengahan, kastil dan benteng dibangun untuk melindungi orang-
orang dan properti berharga di dalamnya.
Benteng mungkin memiliki satu atau lebih sifat keamanan, termasuk
• gerbang atau pintu yang kuat untuk mengusir penjajah
• dinding berat untuk menahan benda yang dilempar atau diproyeksikan ke sana
• parit di sekitarnya untuk mengontrol akses
• celah panah untuk membiarkan pemanah menembak musuh yang mendekat
• crenellations untuk memungkinkan penghuni bersandar keluar dari atap dan menuangkan cairan
panas atau keji ke penyerang
• jembatan gantung untuk membatasi akses ke orang yang berwenang
• portcullis untuk membatasi akses di luar jembatan gantung
• penjaga gerbang untuk memverifikasi bahwa hanya orang dan barang yang berwenang yang
bisa masuk
Demikian pula, hari ini kami memakai pendekatan multi-cabang untuk melindungi rumah dan
kantor kami. Kami dapat menggabungkan kunci kuat di pintu dengan alarm pencuri, jendela yang
diperkuat, dan bahkan tetangga yang usil untuk mengawasi barang-barang berharga kami. Dalam
setiap penelitian Kasus, kami memilih satu atau lebih cara untuk mencegah penyusup atau penyerang,
dan kami mendasarkan pilihan kami tidak hanya pada nilai dari apa yang kami lindungi namun juga
pada upaya yang kami pikir akan dilakukan penyerang atau penyusup untuk masuk ke dalam.
Keamanan komputer memiliki sifat yang sama. Kami memiliki banyak pengendalian yang dimiliki.
Beberapa lebih mudah dipakai atau diimplementasikan dibandingkan yang lain. Beberapa lebih murah
dibandingkan yang lain untuk dipakai atau diimplementasikan. Dan beberapa lebih sulit dibandingkan yang
lain untuk ditimpa oleh penyusup. Gambar 1-12 mengilustrasikan bagaimana kami memakai
kombinasi pengendalian untuk mengamankan sumber daya kami yang berharga. Kami memakai
satu atau lebih pengendalian , sesuai dengan apa yang kami lindungi, bagaimana biaya perlindungan
dibandingkan dengan risiko kerugian, dan seberapa keras kami berpikir penyusup akan bekerja
untuk mendapatkan apa yang mereka inginkan.
Di bagian ini, akan disajikan ikhtisar pengendalian yang tersedia. Di sisa artikel ini, kita akan membahas
cara memakai pengendalian terhadap jenis ancaman tertentu.
Kita dapat mengelompokkan pengendalian ke dalam tiga kelas yang sebagian besar independen. Daftar
berikut menunjukkan kelas dan beberapa contoh dari setiap jenis pengendalian .
• pengendalian fisik menghentikan atau memblokir serangan dengan memakai sesuatu yang nyata
juga, seperti tembok dan pagar
– kunci
– (manusia) penjaga
– alat penyiram dan alat pemadam kebakaran lainnya
• pengendalian prosedural atau administratif memakai perintah atau persetujuan yang
– membutuhkan atau menasihati orang bagaimana harus bertindak; sebagai contoh,
– hukum, peraturan
– kebijakan, prosedur, pedoman
– hak cipta, paten
– kontrak, perjanjian
• pengendalian teknis melawan ancaman dengan teknologi (perangkat keras atau perangkat lunak),
termasuk
– kata sandi
– pengendalian akses program atau sistem operasi
– protokol jaringan
– firewall, sistem deteksi intrusi
– enkripsi
– pengatur arus lalu lintas jaringan
(Perhatikan bahwa istilah "pengendalian logis" juga dipakai , namun beberapa orang memakai nya
untuk berarti pengendalian administratif, sedangkan yang lain memakai nya untuk berarti pengendalian teknis.
Untuk menghindari kebingungan, kami tidak memakai istilah itu.)
Seperti yang ditunjukkan pada Gambar 1-13, Anda dapat memikirkan properti yang akan dilindungi
dan jenis ancaman saat Anda memilih jenis tindakan pencegahan yang tepat. Tak satu pun dari
kelas-kelas ini selalu lebih baik dari atau lebih baik dari yang lain; mereka bekerja dengan cara yang
berbeda dengan hasil yang berbeda. Dan bisa efektif untuk memakai pengendalian yang tumpang
tindih atau pertahanan secara mendalam: lebih dari satu pengendalian atau lebih dari satu kelas pengendalian
untuk mencapai perlindungan.
Keamanan komputer berusaha untuk memastikan kerahasiaan, integritas, dan ketersediaan sistem
komputasi dan komponennya. Tiga bagian utama dari sistem komputasi tunduk pada serangan:
perangkat keras, perangkat lunak, dan data. Ketiganya, dan komunikasi di antara mereka, rentan
terhadap kerentanan keamanan komputer. Pada gilirannya, orang-orang dan sistem yang tertarik
untuk mengkompromikan sistem dapat merancang serangan yang mengeksploitasi kerentanan.
Dalam bab ini kami telah menjelaskan konsep keamanan komputer berikut:
• Situasi keamanan muncul dalam banyak aktivitas sehari-hari, meskipun terkadang sulit untuk
membedakan antara serangan keamanan dan gangguan manusia atau teknologi biasa.
Sayangnya, penyerang yang cerdik menyadari kebingungan ini, sehingga mereka mungkin
membuat serangan mereka tampak seperti kegagalan acak yang sederhana.
• Ancaman yaitu kejadian yang dapat menimbulkan kerugian. Kerentanan yaitu kelemahan
di mana kerusakan dapat terjadi. Kedua masalah ini digabungkan: Tanpa yang lain tidak
memicu kerugian, namun ancaman yang memakai kerentanan berarti kerusakan.
Untuk mengendalikan situasi seperti itu, kita dapat memblokir atau mengurangi ancaman, atau
menutup kerentanan (atau keduanya).
• Jarang sekali kita dapat mencapai keamanan yang sempurna: tidak ada ancaman yang dapat
dijalankan dan tidak ada kerentanan yang dapat dijalankan. Terkadang kita gagal mengenali
ancaman, atau di lain waktu kita mungkin tidak mampu atau tidak mau menutup kerentanan.
Keamanan yang tidak lengkap bukanlah situasi yang buruk; sebaliknya, ini menunjukkan tindakan
penyeimbang: Mengontrol ancaman dan kerentanan tertentu, menerapkan tindakan pencegahan
yang masuk akal, dan menerima risiko kerugian dari penelitian Kasus yang tidak dapat diatasi.
• Seorang penyerang membutuhkan tiga hal: metode—keterampilan dan pengetahuan untuk
melakukan serangan yang berhasil; kesempatan—waktu dan akses untuk menyerang; dan
motif—Alasan untuk ingin menyerang. Sayangnya, tidak satu pun dari ketiganya kekurangan
pasokan, yang berarti serangan tidak dapat dihindari.
Dalam bab ini kami telah memperkenalkan gagasan tentang ancaman dan bahaya, kerentanan,
serangan dan penyerang, dan penanggulangan. Penyerang memanfaatkan ancaman yang
mengeksploitasi kerentanan terhadap aset berharga untuk memicu kerugian, dan kami
berharap dapat merancang tindakan balasan untuk menghilangkan sarana, peluang, dan motif.
Konsep-konsep inilah yang menjadi dasar kita perlu mempelajari, memahami, dan menguasai
keamanan komputer.
Penanggulangan dan pengendalian dapat diterapkan pada data, program, sistem, perangkat fisik, hubungan
komunikasi, lingkungan, dan personel. Terkadang beberapa pengendalian diperlukan untuk menutupi satu
kerentanan, namun terkadang satu pengendalian mengatasi banyak masalah sekaligus.
Bahan Evaluasi
1. Jelaskan perbedaan antara kerentanan, ancaman, dan pengendalian .
2. Pencurian biasanya mengakibatkan beberapa jenis kerusakan. Misalnya, jika pelaku mencuri
mobil Anda, Anda mungkin menderita kerugian finansial, ketidaknyamanan (sebab kehilangan
moda transportasi), dan gangguan emosional (sebab invasi properti dan ruang pribadi Anda).
Sebutkan tiga jenis kerugian yang mungkin dialami perusahaan dari pencurian peralatan
komputer.
3. Sebutkan setidaknya tiga jenis kerugian yang dapat dialami perusahaan dari spionase elektronik
atau melihat materi rahasia perusahaan secara tidak sah.
4. Sebutkan setidaknya tiga jenis kerusakan yang dapat diderita perusahaan saat integritas
program atau data perusahaan dikompromikan.
5. Sebutkan setidaknya tiga jenis kerugian yang dapat dihadapi perusahaan dari hilangnya layanan,
yaitu kegagalan ketersediaan. Buat daftar produk atau kemampuan yang aksesnya hilang, dan
jelaskan bagaimana kerugian ini merugikan perusahaan.
6. Jelaskan situasi di mana Anda mengalami kerugian sebagai akibat dari kegagalan keamanan
komputer. Apakah kegagalan itu berbahaya atau tidak? Apakah serangan itu menargetkan Anda
secara khusus atau umum dan Anda yaitu korban yang malang?
7. Jelaskan dua contoh kerentanan dalam mobil yang pengendalian nya telah ditetapkan oleh pabrikan
mobil. Jelaskan mengapa menurut Anda pengendalian ini efektif, agak efektif, atau tidak
efektif.
8. Salah satu pengendalian terhadap penghapusan perangkat lunak yang tidak disengaja yaitu dengan
menyimpan semua versi lama dari suatu program. Tentu saja, pengendalian ini sangat mahal dalam
hal biaya penyimpanan. Sarankan pengendalian yang lebih murah terhadap penghapusan perangkat
lunak yang tidak disengaja. Apakah pengendalian Anda efektif terhadap semua kemungkinan penyebab
penghapusan perangkat lunak? Jika tidak, ancaman apa yang tidak tercakup?
9. Di komputer pribadi Anda, siapa yang dapat menginstal program? Siapa yang dapat mengubah
data sistem operasi? Siapa yang dapat menggantikan bagian dari sistem operasi? Bisakah salah
satu dari tindakan ini dilakukan dari jarak jauh?
10. Misalkan sebuah program untuk mencetak gaji secara diam-diam membocorkan daftar nama
karyawan yang berpenghasilan lebih dari jumlah tertentu setiap bulannya. pengendalian apa yang
dapat diterapkan untuk membatasi kerentanan kebocoran ini?
11. Menjaga kerahasiaan, integritas, dan ketersediaan data merupakan pernyataan kembali
kekhawatiran atas interupsi, intersepsi, modifikasi, dan fabrikasi. Bagaimana tiga konsep pertama
berhubungan dengan empat konsep terakhir? Artinya, apakah salah satu dari empat itu setara
dengan satu atau lebih dari ketiganya? Apakah salah satu dari tiga dicakup oleh satu atau lebih
dari empat?
12. Apakah menurut Anda mencoba masuk ke (yaitu, mendapatkan akses ke atau memakai )
sistem komputasi tanpa otorisasi harus ilegal? Mengapa atau mengapa tidak??
13. Jelaskan contoh (selain yang disebutkan dalam bab ini) data yang kerahasiaannya memiliki
ketepatan waktu yang singkat, katakanlah, sehari atau kurang. Jelaskan contoh data yang
kerahasiaannya memiliki ketepatan waktu lebih dari satu tahun.
14. Apakah saat ini Anda memakai tindakan pengendalian keamanan komputer? Jika demikian,
apa? Terhadap serangan apa yang Anda coba lindungi?
15. Jelaskan sebuah contoh di mana penolakan mutlak layanan kepada pemakai (yaitu, pemakai
tidak mendapat tanggapan dari komputer) merupakan masalah serius bagi pemakai ini .
Jelaskan contoh lain di mana 10 persen penolakan layanan kepada pemakai (yaitu, komputasi
pemakai berlangsung, namun pada tingkat 10 persen lebih lambat dari biasanya) merupakan
masalah serius bagi pemakai ini . Bisakah akses oleh orang yang tidak berwenang ke
sistem komputasi menghasilkan penolakan layanan 10 persen kepada pemakai yang sah?
Bagaimana?
16. saat Anda mengatakan bahwa perangkat lunak berkualitas tinggi, apa maksud Anda? Bagaimana
keamanan sesuai dengan definisi kualitas Anda? Misalnya, dapatkah suatu aplikasi tidak aman
dan tetap “baik”?
17. Pengembang sering memikirkan kualitas perangkat lunak dalam hal kesalahan dan kegagalan.
Kesalahan yaitu masalah (misalnya, perulangan yang tidak pernah berhenti atau salah
menempatkan koma dalam pernyataan) yang dapat dilihat oleh pengembang dengan melihat
kodenya. Kegagalan yaitu masalah, seperti sistem crash atau permintaan fungsi yang salah,
yang terlihat oleh pemakai . Dengan demikian, kesalahan bisa ada dalam program namun
tidak pernah menjadi kegagalan, sebab kondisi di mana kesalahan menjadi kegagalan tidak
pernah tercapai. Bagaimana kerentanan perangkat lunak cocok dengan skema kesalahan dan
kegagalan ini? Apakah setiap kesalahan yaitu kerentanan? Apakah setiap kerentanan yaitu
kesalahan?
18. Pertimbangkan sebuah program untuk menampilkan waktu dan suhu kota Anda saat ini di situs
web Anda. Siapa yang mungkin ingin menyerang program Anda? Jenis kerusakan apa yang
mungkin ingin mereka timbulkan? Jenis kerentanan apa yang mungkin mereka eksploitasi untuk
memicu kerusakan?
19. Pertimbangkan sebuah program yang memungkinkan konsumen memesan produk dari web.
Siapa yang mungkin ingin menyerang program? Jenis kerusakan apa yang mungkin ingin
mereka timbulkan? Jenis kerentanan apa yang mungkin mereka eksploitasi untuk memicu
kerusakan?
20. Pertimbangkan program untuk menerima dan mentabulasi suara dalam pemilihan. Siapa yang
mungkin ingin menyerang program? Jenis kerusakan apa yang mungkin ingin mereka timbulkan?
Jenis kerentanan apa yang mungkin mereka eksploitasi untuk memicu kerusakan?
Dalam keamanan sistem komputer yang perlu kita lakukan yaitu untuk mempersulit orang lain
mengganggu sistem yang kita pakai, baik kita memakai komputer yang sifatnya sendiri, jaringan
local maupun jaringan global. Harus dipastikan system bisa berjalan dengan baik dan kondusif,
selain itu program aplikasinya masih bisa dipakai tanpa ada masalah.
Pada saat computer diperkenalkan pertama kali, ukuran komputer sangat besar, langka, dan sangat
mahal. Oleh sebab itu organisasi atau perusahaan yang cukup beruntung memiliki komputer akan
mencoba dengan cara terbaik untuk melindungi computer ini . Keamanan komputer hanya
salah satu aspek dari keamanan secara keseluruhan dari asset organisasi. Keamanan difokuskan
pada fisik pembobolan, pencurian peralatan komputer, dan pencurian atau perusakan kemasan
disk, gulungan pita, dan media lainnya. Hanya sedikit orang yang tahu bagaimana memakai
komputer, dan dengan demikian pemakai harus dengan hati-hati dipilih. Pada saat itu computer
tidak terhubung dengan jaringan internet sehingga memang masalah keamanan hanya berfokus
pada fisik dan lingkungannya saja.
Dalam beberapa hal, keamanan tidak berubah sejak makhluk hidup mulai mengumpulkan hal-hal
yang layak dilindungi. Pemilik sistem menetapkan kebijakan keamanan, secara formal atau informal,
eksplisit atau implisit — sesederhana semboyan “no one is allowed to take my food” (tak seorang
boleh mengambil makanan saya) — dan mulai mengambil tindakan untuk menegakkan kebijakan
Bab ini akan membahas tentang:
• Otentikasi, kemampuan, dan keterbatasan
• Tiga dasar otentikasi: pengetahuan, sifat , kepemilikan
• Kekuatan mekanisme otentikasi
• Implementasi pengendalian akses
• memakai enkripsi
• Enkripsi simetris dan asimetris
• Message Digest
• Tanda tangan digital dan sertifikat
Otentikasi, pengendalian Akses, dan
Kriptografi
itu. Karakter ancaman berubah saat sang penjaga keamanan mulai bertranformasi dari cara
tradisional yang kuno dengan mengukiti perkembangan kemajuan IT atau Internet, seperti halnya
sifat perlindungan yang tersedia, namun esensi strategis mereka sebagian besar tetap konstan:
Seorang penyerang menginginkan sesuatu yang dimiliki oleh sistem keamanan, jadi penyerang
mengejarnya. Penjaga keamanan memiliki sejumlah opsi — bertarung, membangun penghalang
atau sistem alarm, berlari dan bersembunyi, mengurangi daya tarik target terhadap penyerang —
dan semua opsi ini memiliki analog dalam keamanan komputer modern. Spesifiknya berubah, namun
garis besarnya tetap sama.
Dalam bab ini, kami meletakkan dasar untuk keamanan komputer dengan mempelajari goresan
luas ini . Kami melihat sejumlah strategi keamanan di mana-mana, mengidentifikasi ancaman
terhadap mana masing-masing strategi ini efektif, dan memberikan contoh tindakan pencegahan
yang representatif. Sepanjang sisa artikel ini, saat kami mempelajari langkah-langkah keamanan
teknis khusus yang dipakai dalam sistem operasi, pemrograman, situs web dan browser, dan
jaringan, kami meninjau kembali strategi yang sama ini berulang kali. Bertahun-tahun dari sekarang,
saat kita semua memakai teknologi yang bahkan belum pernah dibayangkan, bab ini harus
relevan seperti sekarang ini.
Seorang profesional keamanan menganalisis situasi dengan menemukan ancaman dan kerentanan
terhadap kerahasiaan, integritas, dan/atau ketersediaan sistem komputasi. Untuk engendalikan
ancaman dan kerentanan ini melibatkan kebijakan yang menentukan siapa (subjek mana) dapat
mengakses apa (objek mana) bagaimana (dengan cara apa). Agar efektif, penegakan kebijakan harus
menentukan siapa secara akurat. Artinya, jika kebijakan mengatakan bahwa A dapat mengakses
sesuatu, keamanan gagal jika orang lain meniru A. Jadi, untuk menegakkan kebijakan keamanan
dengan benar, kami memerlukan cara untuk menentukan tanpa keraguan bahwa identitas subjek itu
akurat. Properti identifikasi yang akurat disebut otentikasi. Alat penting pertama untuk profesional
keamanan yaitu otentikasi dan teknik serta teknologinya.
saat pertama kali memperkenalkan kebijakan keamanan, tidak secara eksplisit menyatakan
sebaliknya: Subjek diizinkan untuk mengakses objek dalam mode tertentu namun , kecuali diizinkan,
semua subjek lain tidak diizinkan untuk mengakses objek. Kebijakan tanpa batasan seperti itu praktis
menjadi sia-sia belaka. Apa gunanya mengatakan satu subjek dapat mengakses objek jika subjek
lain dapat melakukannya tanpa diizinkan oleh kebijakan. Akibatnya, kita memerlukan cara untuk
membatasi akses hanya pada subjek-subjek dalam daftarnya, seperti mengizinkan pengunjung teater
untuk bermain (dengan tiket) atau memasukkan undangan ke pesta (pada daftar tamu). pelaku
atau sesuatu mengontrol akses, misalnya, seorang penerima tamu mengumpulkan tiket atau tuan
rumah mengelola daftar tamu. Mengizinkan secara tepat akses yang diotorisasi disebut pengendalian akses.
Mekanisme untuk menerapkan pengendalian akses yaitu alat keamanan komputer mendasar lainnya.
Misalkan Anda mencoba membatasi akses ke pertandingan sepak bola yang diadakan di taman
terbuka di kota berpenduduk padat. Tanpa pagar, gerbang, atau parit, Anda tidak bisa membatasi siapa
yang bisa melihat permainan. Tapi misalkan Anda memiliki kekuatan super dan bisa menyelubungi
para pemain dengan seragam tembus pandang. Anda akan mengeluarkan kacamata khusus hanya
untuk orang yang diizinkan untuk melihat pertandingan; orang lain mungkin melihat namun tidak
melihat apa-apa. Meskipun skenario ini murni fantasi, teknologi tembus pandang seperti itu memang
ada, yang disebut enkripsi. Sederhananya, enkripsi yaitu alat yang dengannya kita dapat mengubah
data sehingga hanya penerima yang dituju (yang memiliki kunci, setara dengan kacamata anti-
penyelubungan) yang dapat menyimpulkan bit yang disembunyikan. Alat keamanan mendasar
ketiga dan terakhir dalam bab ini yaitu enkripsi.
Dalam bab ini kami menjelaskan alat-alat ini dan kemudian memberikan beberapa contoh untuk
membantu memahami cara kerja alat-alat ini . namun sebagian besar aplikasi dari alat-alat ini
datang di bab-bab selanjutnya, di mana kami menguraikan pemakaian nya dalam konteks situasi
keamanan yang lebih lengkap. Di sebagian besar bab ini, kami membedah tiga alat keamanan
sebagai dasar utama : otentikasi, pengendalian akses, dan enkripsi.
Otentikasi
Kepercayaan dan pengakuan telah menjadi pokok hubungan manusia sejak awal waktu, memaksa
manusia purba untuk menciptakan cara mengidentifikasi satu sama lain melalui pemakaian tanda
tangan, fitur wajah, nama, dan baru-baru ini melalui pemakaian dokumen seperti identifikasi resmi
dan paspor. Konsep otentikasi telah menjadi sangat rumit dengan munculnya dan pemakaian
internet dalam kehidupan sehari-hari. Administrator duduk di belakang layar, tidak dapat memverifikasi
identitas pemakai yang tidak terlihat dengan melihat, nama, atau tanda tangan – sekarang mereka
memakai teknologi untuk melindungi jaringan mereka dari mereka yang ingin melewati metode
otentikasi dengan maksud jahat. Mari kita lihat beberapa informasi tentang autentikasi digital untuk
mempelajari apa yang berhasil dan apa yang tidak, dan bagaimana autentikasi perlu berkembang
untuk mendukung masa depan online kita.
Komputer telah menggantikan banyak interaksi tatap muka dengan sistem elektronik. Tanpa ada
pihak lain yang waspada untuk menyadari bahwa ada sesuatu yang salah, orang membutuhkan
mekanisme lain untuk memisahkan pihak yang berwenang dari pihak yang tidak berwenang.
Untuk alasan ini, dasar keamanan komputer yaitu akses terpengendalian : pelaku berwenang untuk
mengambil tindakan atas sesuatu. Kita memeriksa pengendalian akses nanti dalam bab ini. namun agar
pengendalian akses berfungsi, kita perlu yakin siapa "pelaku " itu. Di bagian ini kami memperkenalkan
otentikasi, proses memastikan atau mengkonfirmasi identitas.
Otentikasi yaitu aspek cybersecurity yang paling dikenal untuk sebagian besar pemakai , ditemui
dan dipakai beberapa kali per hari di berbagai perangkat dan layanan. Ini pada dasarnya tentang
memastikan bahwa orang yang tepat memiliki akses, dengan memeriksa bahwa mereka yaitu siapa
yang mereka klaim. Akibatnya, otentikasi mewakili aspek kunci dari keamanan, sebab biasanya
mewakili garis depan perlindungan yang berdiri antara sistem dan calon penipu.
Proses otentikasi dalam konteks sistem komputer berarti jaminan dan konfirmasi identitas
pemakai . Sebelum pemakai mencoba mengakses informasi yang tersimpan di jaringan, dia
harus membuktikan identitas dan izin mereka untuk mengakses data. Saat masuk ke jaringan ,
pemakai harus memberikan informasi masuk unik termasuk nama pemakai dan kata sandi,
praktik yang dirancang untuk melindungi jaringan dari penyusupan oleh peretas. Otentikasi telah
berkembang lebih jauh dalam beberapa tahun terakhir untuk memerlukan lebih banyak informasi
pribadi pemakai , misalnya, biometrik, untuk memastikan keamanan akun dan jaringan dari mereka
yang memiliki keterampilan teknis untuk memanfaatkannya.
Sebuah sistem komputer tidak memiliki isyarat yang kita lakukan dengan komunikasi tatap muka yang
memungkinkan kita mengenali teman-teman kita. Sebaliknya komputer bergantung pada data untuk
mengenali orang lain. Menentukan siapa pelaku sebenarnya terdiri dari dua langkah terpisah:
• Identifikasi yaitu tindakan untuk menegaskan siapa pelaku .
• Otentikasi yaitu tindakan membuktikan identitas yang ditegaskan: bahwa orang ini yaitu
siapa yang dia katakan.
Kami telah mengungkapkan langkah-langkah ini dari sudut pandang pelaku yang ingin dikenali,
memakai istilah "orang" untuk kesederhanaan. Bahkan, pengakuan ini terjadi antara
orang-orang, proses komputer (pelaksana program), koneksi jaringan, perangkat, dan entitas aktif
serupa. Dalam keamanan, semua entitas ini disebut subjek.
Dua konsep identifikasi dan otentikasi mudah dan sering membingungkan. Identitas, seperti nama,
sering kali dikenal publik, dan tidak dilindungi. Di sisi lain, otentikasi harus dilindungi. Jika identitas
pelaku bersifat publik, siapa pun dapat mengklaim sebagai orang itu. Apa yang membedakan
orang yang berpura-pura dari orang yang sebenarnya yaitu bukti dengan otentikasi.
Identifikasi Versus Otentikasi
Identitas sering dikenal, dapat diprediksi, atau dapat ditebak. Jika Anda mengirim email ke pelaku ,
Anda secara implisit mengirimkan ID akun email Anda sehingga orang lain dapat membalas Anda.
Dalam diskusi online, Anda dapat memposting komentar di bawah nama layar sebagai cara untuk
menautkan berbagai postingan Anda. Nomor rekening bank Anda tercetak pada cek yang Anda tulis;
nomor rekening kartu debit Anda ditampilkan di kartu Anda, dan seterusnya. Dalam setiap penelitian
Kasus ini Anda mengungkapkan sebagian dari identitas Anda. Perhatikan bahwa identitas Anda
lebih dari sekadar nama Anda: Nomor rekening bank, nomor kartu debit, alamat email, dan hal-hal
lain yaitu cara orang dan proses mengidentifikasi Anda.
Beberapa ID akun tidak sulit ditebak. Beberapa tempat menetapkan ID pemakai sebagai nama
belakang pemakai diikuti dengan inisial depan. Yang lain memakai tiga inisial atau skema
lain yang dapat diprediksi dengan mudah oleh orang luar. Seringkali untuk transaksi online ID akun
Anda yaitu alamat email Anda, untuk memudahkan Anda mengingatnya. Akun lain mengidentifikasi
Anda melalui telepon, jaminan sosial, atau nomor identitas lainnya. Dengan terlalu banyak akun
untuk diingat, Anda mungkin menyambut tempat-tempat yang mengidentifikasi Anda dengan sesuatu
yang Anda ketahui dengan baik sebab Anda sering memakai nya. namun memakai nya
sering juga berarti orang lain dapat mengetahui atau menebaknya juga. sebab alasan ini, banyak
orang dapat dengan mudah, meskipun salah, mengaku sebagai Anda dengan menunjukkan salah
satu pengenal Anda yang diketahui.
Otentikasi, di sisi lain, harus dapat diandalkan. Jika identifikasi menegaskan identitas Anda, otentikasi
menegaskan bahwa Anda yaitu siapa yang Anda maksudkan. Meskipun pengidentifikasi dapat
diketahui secara luas atau mudah ditentukan, otentikasi harus bersifat pribadi. Namun, jika proses
otentikasi tidak cukup kuat, itu tidak akan aman. Pertimbangkan, misalnya, bagaimana email seorang
kandidat politik disusupi oleh proses autentikasi yang tidak cukup pribadi seperti yang dijelaskan
di penelitian Kasus 2-1.
Salah satu screenshot akun Palin
Selama kampanye presiden AS 2008, akun email
pribadi calon wakil presiden Sarah Palin diretas.
Isi pesan email dan daftar kontak Palin diposting
di papan buletin publik. Seorang mahasiswa
Universitas Tennessee berusia 20 tahun, David
Kernell, kemudian dihukum sebab akses tidak sah
untuk mendapatkan informasi dari komputernya dan
dijatuhi hukuman satu tahun satu hari.
Bagaimana mungkin seorang mahasiswa mengakses
komputer pejabat publik terkenal yang pada saat itu
yaitu gubernur Alaska dan calon wakil presiden AS di bawah perlindungan Dinas
Rahasia AS? Mudah: Dia hanya berpura-pura menjadi dirinya. Tapi tentunya tidak
ada seorang pun (selain, mungkin, komedian Tina Fey) yang berhasil menyamar
sebagai dirinya. Berikut yaitu betapa mudahnya serangan itu.
Akun email Gubernur Palin yaitu gov.palin@yahoo.com. ID akun terkenal sebab
laporan berita tentang insiden sebelumnya yang melibatkan Palin memakai
akun pribadinya untuk komunikasi resmi negara; bahkan tanpa publisitas nama
akun tidak akan sulit ditebak.
Tapi kata sandinya? Tidak, siswa tidak menebak kata sandinya. Yang harus dia
lakukan hanyalah berpura-pura menjadi Palin dan mengklaim bahwa dia lupa kata
sandinya. Yahoo menanyakan Kernell pertanyaan keamanan yang diajukan Palin
ke Yahoo saat membuka akun: tanggal lahir (ditemukan dari Wikipedia), kode
pos (pengetahuan publik, terutama sebab dia mendapat perhatian publik sebab
tidak memakai rumah gubernur resmi), dan di mana dia bertemu dengannya.
suami (bagian dari biografi tidak resminya yang beredar selama kampanye: dia dan
suaminya bertemu di sekolah menengah). Dengan tiga jawaban itu, Kernell dapat
mengubah kata sandinya (menjadi “popcorn,” sesuatu yang menarik bagi sebagian
besar mahasiswa). Sejak saat itu, Kernell bukan hanya Palin yang efektif, Palin yang
asli tidak dapat mengakses akun emailnya sendiri sebab dia tidak mengetahui kata
sandi barunya.
penelitian Kasus 2-1 : Email Calon Wakil Presiden Sarah Palin Terungkap
Mekanisme otentikasi memakai salah satu dari tiga kualitas untuk mengonfirmasi identitas
pemakai :
• Sesuatu yang diketahui pemakai . Kata sandi, nomor PIN, frasa sandi, jabat tangan rahasia,
dan nama gadis ibu yaitu contoh yang mungkin diketahui pemakai .
• Sesuatu pemakai . Pengautentikasi ini, yang disebut biometrik, didasarkan pada sifat
fisik pemakai , seperti sidik jari, pola suara pelaku , atau wajah (gambar). Metode otentikasi
ini sudah lama (kami mengenali teman secara langsung dari wajah mereka atau melalui telepon
dengan suara mereka) namun baru mulai dipakai dalam otentikasi komputer.
• Sesuatu yang dimiliki pemakai . Lencana identitas, kunci fisik, SIM, atau seragam yaitu contoh
umum dari hal-hal yang dimiliki orang yang membuatnya dapat dikenali.
Dua atau lebih bentuk dapat digabungkan; misalnya, kartu bank dan PIN menggabungkan sesuatu
yang dimiliki pemakai (kartu) dengan sesuatu yang diketahui pemakai (PIN).
Meskipun kata sandi yaitu bentuk otentikasi komputer pertama dan tetap populer, bentuk lain ini
menjadi lebih mudah dipakai , lebih murah, dan lebih umum. Pada bagian berikut, kami memeriksa
masing-masing bentuk otentikasi ini.
Otentikasi berdasar Frasa dan Fakta: Sesuatu yang Anda Ketahui
Perlindungan kata sandi tampaknya menawarkan sistem yang relatif aman untuk mengonfirmasi
informasi terkait identitas, namun praktik manusia terkadang menurunkan kualitasnya. Mari kita jelajahi
kerentanan dalam otentikasi, dengan fokus pada parameter otentikasi yang paling umum, kata
sandi. Di bagian ini kami mempertimbangkan sifat kata sandi, kriteria untuk memilihnya, dan cara
memakai nya untuk otentikasi. Saat Anda membaca diskusi berikut tentang kerentanan kata
sandi, pikirkan seberapa baik serangan identitas ini akan bekerja melawan pertanyaan keamanan
dan skema otentikasi lain yang mungkin Anda kenal. Dan ingat berapa banyak informasi tentang
kita yang diketahui — terkadang sebab kita mengungkapkannya sendiri — seperti yang dijelaskan
di penelitian Kasus 2-2.
penelitian Kasus 2-2 : Halaman Facebook Menjawab Pertanyaan Keamanan
George Bronk, 23 tahun penduduk Sacramento, California, mengaku bersalah pada
13 Januari 2011 atas tuduhan termasuk intrusi komputer, peniruan identitas palsu,
dan kepemilikan pornografi anak. Kejahatannya melibatkan peniruan identitas wanita
dengan data yang diperoleh dari akun Facebook mereka.
Menurut berita Associated Press, Bronk memindai halaman Facebook untuk halaman
yang menunjukkan alamat email wanita. Dia kemudian membaca profil Facebook
mereka dengan hati-hati untuk petunjuk yang dapat membantunya menjawab
pertanyaan keamanan, seperti warna favorit atau nama tengah ayah. Dengan petunjuk
profil ini, Bronk kemudian beralih ke penyedia akun email. memakai teknik yang
sama seperti Kernell, Bronk berpura-pura lupa kata sandinya dan terkadang berhasil
menjawab pertanyaan keamanan yang diperlukan untuk memulihkan kata sandi
yang terlupakan. Dia terkadang memakai teknik yang sama untuk mendapatkan
akses ke akun Facebook.
sesudah dia memiliki kata sandi wanita, dia meneliti folder surat terkirim mereka
untuk foto-foto memalukan; dia terkadang mengirimkannya ke kontak korban atau
mempostingnya di halaman Facebook-nya. Dia melakukan kegiatannya dari Desember
2009 hingga Oktober 2010. saat polisi menyita komputernya dan menganalisis
pemakaian Kata Sandi
pemakaian kata sandi cukup mudah, sebab Anda mungkin sudah tahu dari pengalaman. Seorang
pemakai memasukkan beberapa bagian identifikasi, seperti nama atau ID pemakai yang ditetapkan;
Identifikasi ini dapat tersedia untuk umum atau mudah ditebak sebab tidak memberikan perlindungan
yang nyata. Sistem perlindungan kemudian meminta kata sandi dari pemakai . Jika kata sandi
cocok dengan yang ada di file untuk pemakai , pemakai diautentikasi dan diizinkan mengakses.
Jika pencocokan kata sandi gagal, sistem meminta kata sandi lagi, jika pemakai salah ketik.
Meskipun kata sandi dipakai secara luas, mereka mengalami beberapa kesulitan
pemakaian :
• pemakaian . Memberikan kata sandi untuk setiap akses ke suatu objek bisa merepotkan dan
memakan waktu.
• Pengungkapan. Jika pemakai mengungkapkan kata sandi kepada individu yang tidak berwenang,
objek ini segera dapat diakses. Jika pemakai kemudian mengubah kata sandi untuk
melindungi kembali objek, pemakai harus memberi tahu pemakai lain yang sah tentang kata
sandi baru sebab kata sandi lama mereka akan gagal.
• Pencabutan/Pembatalan. Untuk mencabut hak akses satu pemakai ke suatu objek,
pelaku harus mengubah kata sandi, sehingga memicu masalah yang sama seperti
pengungkapan.
• Hilang. Bergantung pada bagaimana kata sandi diterapkan, mungkin tidak mungkin untuk
mengambil kata sandi yang hilang atau terlupakan. Operator atau administrator sistem tentu
saja dapat mengintervensi dan memberikan kata sandi baru, namun seringkali mereka tidak dapat
menentukan kata sandi apa yang telah dipilih pemakai sebelumnya. Jika pemakai kehilangan
(atau lupa) kata sandi, administrator harus menetapkan yang baru.
Menyerang dan Melindungi Kata Sandi
Seberapa amankah kata sandi itu sendiri? Kata sandi agak terbatas sebagai perangkat perlindungan
sebab jumlah bit informasi yang dikandungnya relatif kecil. Lebih buruk lagi, orang memilih kata
sandi yang bahkan tidak memanfaatkan jumlah bit yang tersedia: Memilih string yang terkenal,
seperti qwerty, kata sandi, atau 123456 mengurangi ketidakpastian atau kesulitan penyerang pada
dasarnya menjadi nol.
isinya, mereka menemukan 3.200 kontak Internet dan 172 file email yang berisi
foto-foto eksplisit; polisi mengirim surat ke semua kontak untuk menanyakan apakah
mereka telah menjadi korban, dan 46 menjawab bahwa mereka pernah. Para korban
tinggal di Inggris, Washington, D.C., dan 17 negara bagian dari California hingga
New Hampshire.
Kantor jaksa agung California menyarankan mereka yang memakai email dan
situs jejaring sosial untuk memilih pertanyaan keamanan dan jawaban yang tidak
diposting di situs publik, atau menambahkan angka atau karakter lain ke jawaban
keamanan umum. Kiat keamanan tambahan ada di situs web jaksa agung.
40
Knight dan Hartley [KNI98] daftar, secara berurutan, 12 langkah yang mungkin dicoba penyerang
untuk menentukan kata sandi. Langkah-langkah ini meningkatkan tingkat kesulitan (jumlah tebakan),
dan sebab nya menunjukkan jumlah pekerjaan yang harus dilakukan penyerang untuk mendapatkan
kata sandi. Berikut yaitu langkah-langkah menebak kata sandi mereka:
• tanpa kata sandi
• sama dengan ID pemakai
• yaitu , atau berasal dari, nama pemakai
• pada daftar kata umum (misalnya, kata sandi, rahasia, pribadi) ditambah nama dan pola
umum (misalnya, qwerty, aaaaaa)
• ada dalam kamus singkat perguruan tinggi
• ada dalam daftar kata bahasa Inggris lengkap
• terkandung dalam kamus umum non-bahasa Inggris
• ada dalam kamus singkat perguruan tinggi dengan huruf kapital (PassWorD) atau
substitusi (angka 0 untuk huruf O, dan seterusnya)
• ada dalam kamus bahasa Inggris lengkap dengan huruf besar atau substitusi
• ada dalam kamus umum non-Inggris dengan kapitalisasi atau substitusi
• diperoleh dengan kekerasan, mencoba semua kemungkinan kombinasi karakter alfabet
• diperoleh dengan kekerasan, mencoba semua kemungkinan kombinasi dari set karakter
lengkap
Meskipun langkah terakhir akan selalu berhasil, langkah-langkah yang mendahuluinya sangat
memakan waktu sehingga akan menghalangi semua kecuali penyerang yang paling berdedikasi
yang waktu bukan merupakan faktor pembatas.
Kami sekarang memperluas beberapa pendekatan ini.
2.1.4 Dictionary Attack
Dictionary attack dianggap efektif sebab memanfaatkan psikologi manusia, yaitu kebiasaan bahwa
pemakai akun akan memakai kata-kata yang lumrah dan mudah diingat sebagai password
suatu akun tertentu, misalnya tanggal lahir, makanan kesukaan, nama orang tua, dan lain-lain.
Kata-kata ini merupakan kata yang ada dalam kamus (sebab merupakan kata yang dipakai
sehari-hari) dan mudah diingat. Psikologi manusia dalam membuat password juga telah dikaji
dan dibuktikan dengan penelitian. Saat ini dictionary attack telah dikembangkan variasinya dan
semakin tinggi efektivitasnya, sehingga teknik ini masih sering dipakai untuk membobol password
pemakai sebuah akun. Sekarang situs Internet menawarkan apa yang disebut perangkat lunak
pemulihan kata sandi sebagai freeware atau shareware dengan harga di bawah $20. (Ini yaitu
program pembobol kata sandi.)
Orang berpikir mereka bisa pintar dengan memilih kata sandi yang sederhana dan mengganti
karakter tertentu, seperti 0 (nol) untuk huruf O, 1 (satu) untuk huruf I atau L, 3 (tiga) untuk huruf
E atau @ (at) untuk huruf A. namun pemakai bukan satu-satunya orang yang dapat memikirkan
penggantian ini.
Menyimpulkan 'Kemungkinan' Kata Sandi pemakai
Salah satu kunci keamanan online yaitu memiliki kata sandi atau password yang kuat. Namun
sebagian besar pemakai sulit membuat kata sandi berbeda yang tepat, dan mengingatnya dengan
benar. Kata sandi merupakan hal yang penting. Alasannya, jika data pemakai disusupi, kata sandi
yang lemah bisa menimbulkan konsekuensi serius seperti pencurian identitas.
Jika pelaku memilih kata sandi, dia mungkin tidak memilih kata secara acak. Kemungkinan besar
kata sandi pelaku yaitu sesuatu yang berarti baginya. Orang biasanya memilih kata sandi
pribadi, seperti nama pasangan, anak, anggota keluarga lain, atau hewan peliharaan. Untuk setiap
orang tertentu, jumlah kemungkinan seperti itu hanya selusin atau dua. Mencoba banyak kata sandi
ini dengan komputer membutuhkan waktu kurang dari satu detik! Bahkan pelaku yang bekerja
dengan tangan dapat mencoba sepuluh kandidat yang mungkin dalam satu atau dua menit.
Morris dan Thompson mengkonfirmasi
ketakutan kami dalam laporan mereka
tentang hasil mengumpulkan kata sandi
dari banyak pemakai , ditunjukkan pada
Gambar 2-1 (berdasar data dari penelitian
itu) menunjukkan sifat dari 3.289
kata sandi yang dikumpulkan. Hasil dari
penelitian itu menyedihkan, dan situasi saat
ini kemungkinan besar akan sama. Dari kata
sandi itu, 86 persen dapat ditemukan dalam
pengujian 24 jam sehari selama sekitar satu
minggu, memakai perkiraan yang sangat
murah hati 1 milidetik per pemeriksaan kata
sandi.
Menurut LogMeIn, perusahaan di balik pengelola kata sandi LastPass, ada 5.183 pelanggaran
data pada 2019 yang mengungkapkan informasi pribadi seperti alamat rumah, dan kredensial
masuk yang dapat dengan mudah dipakai untuk mencuri identitas pemakai atau melakukan
penipuan. (https://www.suara.com/tekno/2020/09/05/064500/ini-5-cara-membuat-dan-mengingat-kata-sandi-yang-
kuat-dan-aman)
Kaspersky Lab melakukan penelitian terhadap pemakaian kata sandi oleh netizen. Dari hasil
penelitian yang dirilis beberapa waktu lalu oleh Kaspersky, para netizen mengalami dilema terhadap
kata sandi.
Beberapa netizen mengaku, kata sandi yang rumit memang aman namun sulit untuk mengingat.
Berbeda dengan kata sandi berkombinasi mudah namun rentan diretas.
berdasar penelitian ini , banyak responden memahami kebutuhan kata sandi yang kuat
untuk mengamankan akun. Tiga akun online yang membutuhkan kata sandi kuat versi reponden,
yakni akun perbankan (63 persen), aplikasi pembayaran termasuk e-wallet (42 persen), dan aplikasi
belanja online (41 persen). Namun para responden mengaku bahwa kata sandi kuat cukup sulit
untuk dihapal.
Lima karakter,
semua huruf (14%)
Lima karakter, sama
semua (22%)Enam kata huruf kecil
(19%)
Nama/Kata (15%)
Pasword baik lain
(14%)
Tiga karakter,
(14%)
2 karakter (1%)
1 karakter (0%)
Kesulitan ini membuat responden memiliki kecenderungan lupa dengan kata sandi. Akibatnya,
responden tidak bisa mengakses akun ini . Sebanyak 38 persen pemakai tidak dapat dengan
cepat mengingat kata sandi untuk akun online pribadi. Bahkan kondisi ini membuat pemakai
frustasi hingga stres sehingga mengganggu aktivitas normal. Kemudian sebesar 51 persen dari
responden tidak menyimpan kata sandi dengan aman, sementara 23 persen lainnya menulis kata
sandi di dalam notepad untuk memudahkan ingatan.
Dari hasil penelitian, untuk menghindari frustasi ini akhirnya para netizan memakai kata
sandi lemah agar mudah diingat. Sebanyak 10 persen hanya memakai satu kata sandi saja
untuk semua akun online. Hal ini membuat 17 persen responden sudah mendapat ancaman
hingga mengalami peretasan akun selama satu tahun terakhir.
Sebanyak 41 persen email responden menjadi target peretasan, kemudian 37 persen akun sosial
media, 18 persen rekening perbankan, dan 18 persen akun belanja online. Head of Consumer
Business Kaspersky Lab Andrei Mochola mengatakan, jika pemakai mempunyai kata sandi kuat
yang dapat diingat setiap saat maka akun online akan jauh lebih aman. "Hal ini sangat penting bagi
pemakai ," kata Mochola.
Mochola mengatakan, apabila hal ini dirasa sulit maka pemakai memerlukan sebuah platform
yang bisa menjadi solusi pengingat. Kaspersky memiliki platform bernama 'Password Manager'
sehingga netizen bisa memiliki kata sandi yang kuat tanpa harus menuliskannya pada notepad.
Bahkan pemakai tidak perlu mengingat rangkaian huruf rumit dari kata sandi ini . pemakai
hanya cukup mengingat satu kata sandi utama untuk mengakses semua akun online. (https://republika.
co.id/berita/p2mqdb359/netizen-dilema-terhadap-pemakai -kata-sandi)
Kesimpulan yang kami tarik dari insiden ini yaitu bahwa orang lebih sering memilih kata sandi yang
lemah dan mudah ditebak dibandingkan yang diperkirakan. Jelas, orang menemukan sesuatu dalam
proses kata sandi yang sulit atau tidak menyenangkan: Entah orang tidak dapat memilih kata sandi
yang baik, mungkin sebab tekanan situasi, atau mereka takut akan lupa kata sandi yang solid.
Dalam kedua penelitian Kasus ini , kata sandi tidak selalu merupakan autentikator yang baik.
Menebak Kemungkinan Kata Sandi
Pikirkan sebuah kata. Apakah kata yang Anda pikirkan panjang? Apakah itu tidak biasa? Apakah
sulit untuk mengeja atau mengucapkan? Jawaban untuk ketiga pertanyaan ini mungkin tidak.
'Penyusup' yang mencari kata sandi menyadari sifat yang sangat manusiawi ini dan
memakai nya untuk keuntungan mereka. Oleh sebab itu, penyusup mencoba teknik yang
kemungkinan besar dengan cepat dapat berhasil mengetahui kata sandi pelaku . Jika orang
lebih suka kata sandi yang pendek dibandingkan kata sandi yang panjang, penyusup akan mencoba
semua kata sandi namun mencoba mengurutkannya berdasar panjangnya. Hanya ada 261 + 262
+ 263 = 18.278 (tidak peka huruf besar/kecil) kata sandi dengan panjang 3 atau kurang. Menguji
banyak kata sandi akan sulit namun mungkin bagi manusia, namun pengujian kata sandi berulang
yaitu aplikasi komputer yang mudah. Pada tingkat asumsi satu kata sandi per milidetik, semua
kata sandi ini dapat diperiksa dalam 18,278 detik, hampir tidak ada tantangan dengan komputer.
Bahkan memperluas percobaan ke 4 atau 5 karakter meningkatkan hitungan hanya menjadi 475
detik (sekitar 8 menit) atau 12.356 detik (sekitar 3,5 jam), masing-masing.
Analisis ini mengasumsikan bahwa orang memilih kata sandi seperti 'vxlag' dan 'msms' sesering
mereka memilih enter dan beer. Namun, orang cenderung memilih nama atau kata yang dapat
mereka ingat. Banyak sistem komputasi memiliki pemeriksa ejaan yang dapat dipakai untuk
memeriksa kesalahan ejaan dan kesalahan tipografi dalam dokumen. Pemeriksa ejaan ini terkadang
membawa kamus online dari kata-kata bahasa Inggris yang paling umum. Satu berisi kamus 80.000
kata. Mencoba semua kata ini sebagai kata sandi hanya membutuhkan waktu 80 detik dengan
perkiraan yang tidak realistis, yaitu satu tebakan per milidetik.
Sebuah survey dilakukan oleh Keeper Security untuk menemukan password apa yang paling sering
dipakai oleh pemakai komputer dan internet di seluruh dunia. Dan ditemukan kalau password
urutan angka masih jadi pilihan favorit.
Keeper Security mencatatkan setidaknya ada 1,7 juta akun dalam surveinya yang memakai
password '123456'. Sementara data lainnya mengatakan sekitar 17% dari 10 juta akun yang kena
hack memakai password ini . (https://inet.detik.com/cyberlife)
Berikut daftar 25 password paling populer sepanjang 2016,
1. 123456
2. 123456789
3. qwerty
4. 12345678
5. 111111
6. 1234567890
7. 1234567
8. password
9. 123123
10. 987654321
11. qwertyuiop
12. mynoob
13. 123321
14. 666666
15. 18atcskd2w
16. 7777777
17. 1q2w3e4r
18. 654321
19. 555555
20. 3rjs1la7qe
21. google
22. 1q2w3e4r5t
23. 123qwe
24. zxcvbnm
25. 1q2w3e
'Mengalahkan' Penyembunyian Password
Lebih mudah dibandingkan menebak kata sandi hanya dengan membaca satu dari tabel, seperti tabel
contoh yang ditunjukkan pada Tabel 2.1. Sistem operasi mengotentikasi pemakai dengan meminta
nama dan kata sandi, yang kemudian harus divalidasi, kemungkinan besar dengan membandingkan
dengan nilai yang disimpan dalam tabel. namun tabel itu kemudian menjadi harta karun bagi para
pelaku kejahatan: Mendapatkan tabel ini memberikan akses ke semua akun sebab tidak
hanya berisi satu namun semua ID pemakai dan kata sandi yang sesuai.
Tabel 2.1 Contoh Tabel Kata Sandi
Identitas Kata Sandi
Rizky qwerty
Wahyu aaaaa
Karla guessme
Jaelani zxcvbnm
Titin aaaaa
Rasyid 261220
Gabriel 3rjs1la7qe
Sistem operasi menghalangi pendekatan itu dengan menyimpan kata sandi tidak dalam bentuk
publiknya namun dalam bentuk tersembunyi (memakai enkripsi, yang akan kami jelaskan nanti
dalam bab ini), seperti yang ditunjukkan pada Tabel 2.2. saat pemakai membuat kata sandi, sistem
operasi menerima dan segera menyembunyikannya, menyimpan versi yang tidak dapat dibaca.
Kemudian saat pemakai mencoba untuk mengautentikasi dengan memasukkan ID pemakai
dan kata sandi, sistem operasi menerima apa pun yang diketik, menerapkan fungsi penyembunyian
yang sama, dan membandingkan versi yang disembunyikan dengan apa yang disimpan. Jika kedua
formulir cocok, otentikasi lolos.
Kami memakai istilah "menyembunyikan" di paragraf sebelumnya sebab terkadang sistem
operasi melakukan beberapa bentuk pengacakan yang sebenarnya bukan enkripsi, atau terkadang
itu yaitu bentuk enkripsi terbatas. Satu-satunya poin penting yaitu bahwa prosesnya satu arah:
Mengubah kata sandi ke bentuk penyembunyiannya sederhana, namun sebaliknya (dimulai dengan
versi tersembunyi dan mendapatkan kata sandi yang sesuai) secara efektif tidak mungkin. (Untuk
alasan ini, di beberapa situs web jika Anda lupa kata sandi Anda, sistem dapat mengatur ulang kata
sandi Anda ke nilai acak yang baru, namun sistem tidak dapat memberi tahu Anda apa kata sandi
Anda yang terlupakan.)
Tabel 2.2 Contoh Tabel Kata Sandi dengan Nilai Kata Sandi Tersembunyi
Rizky
Wahyu
Jaelani
Titin
Titin
Rasyid
Untuk otentikasi aktif, yaitu memasukkan identitas dan autentikator untuk dapat mengakses sistem,
sebagian besar sistem mengunci pemakai yang gagal dalam sejumlah kecil upaya login berturut-
turut. Jumlah kegagalan ini mencegah penyerang mencoba lebih dari beberapa tebakan. (Namun,
perhatikan bahwa fitur penguncian ini memberi penyerang cara untuk mencegah akses oleh pemakai
yang sah: cukup masukkan kata sandi yang salah sehingga sistem memblokir akun.) Namun, jika
penyerang memperoleh tabel kata sandi terenkripsi dan mempelajari algoritma penyembunyian,
program komputer dapat dengan mudah menguji ratusan ribu tebakan dalam hitungan menit.
Seperti yang dikonfirmasi oleh banyak penelitian dalam bab ini, orang sering memakai salah
satu dari beberapa kata sandi yang dapat diprediksi. Pencegat dapat membuat apa yang disebut tabel
pelangi, daftar bentuk tersembunyi dari kata sandi umum, seperti yang ditunjukkan pada Tabel 2.3.
Mencari entri yang cocok dalam tabel kata sandi yang dicegat, penyusup dapat mengetahui bahwa
kata sandi Rizky yaitu 123456 dan kata sandi Manda yaitu qwerty. Penyerang mengurutkan
tabel untuk melakukan pencarian dengan cepat.
45
Kata sandi yang diacak memiliki kerentanan lain. Perhatikan
pada Tabel 2-2 bahwa Wahyu dan Titin keduanya memilih
kata sandi yang sama. Kedua salinan akan memiliki nilai
tersembunyi yang sama, sehingga pelaku yang mencegat
tabel dapat mengetahui bahwa pemakai Wahyu dan Titin
memiliki kata sandi yang sama. Mengetahui hal itu, pencegat
juga dapat menebak bahwa Wahyu dan Titin sama-sama
memilih kata sandi yang sama, dan mulai mencoba yang
biasa; saat satu bekerja, yang lain juga akan bekerja.
Untuk mengatasi kedua ancaman ini, beberapa sistem
memakai bagian tambahan yang disebut Salt. Salt
yaitu bidang data tambahan yang berbeda untuk setiap
pemakai , mungkin tanggal akun dibuat atau bagian dari
nama pemakai . Nilai Salt digabungkan ke kata sandi
sebelum kombinasi diubah dengan penyembunyian.
Dengan cara ini, Wahyu+aaaaaa memiliki nilai penyembunyian yang berbeda dari Titin+aaaaaa,
seperti yang ditunjukkan pada Tabel 2.4. Selain itu, penyerang tidak dapat membuat tabel pelangi
sebab kata sandi umum sekarang semuanya memiliki komponen unik juga.
Tabel 2-4 Contoh Tabel Kata Sandi dengan Nilai Kata Sandi Tersembunyi yang Dipersonalisasi
Rizky
Wahyu
Karla
Titin
Jaelani
Rasyid
Riz+qwerty
Wah+aaaaaa
Kar+oct31witch
Jae+guessme
Tit+aaaaaa
Ras+261220
2.1.5 Exhaustive Attack (Brute Force Attack)
Dalam Exhaustive attack atau brute force attack, penyerang mencoba semua kemungkinan kata
sandi, biasanya dengan cara otomatis. Tentu saja, jumlah kemungkinan kata sandi tergantung
pada penerapan sistem komputasi tertentu. Misalnya, jika kata sandi yaitu kata yang terdiri dari
26 karakter A–Z dan dapat terdiri dari 1 hingga 8 karakter, ada 261 kata sandi dengan 1 karakter,
262 kata sandi dengan 2 karakter, dan 268 kata sandi dengan 8 karakter. Oleh sebab itu, sistem
secara keseluruhan memiliki 261 + 262 + … + 268 = 269 – 1 5 * 1012 atau lima juta kemungkinan
Tabel 2.3 Contoh Tabel Pelangi untuk
Kata Sandi Umum
kata sandi. Jumlah itu tampaknya cukup keras. Jika kita memakai komputer untuk membuat
dan mencoba setiap kata sandi dengan kecepatan pemeriksaan satu kata sandi per milidetik,
dibutuhkan waktu 150 tahun untuk menguji semua kata sandi delapan huruf. namun jika kami dapat
mempercepat pencarian menjadi satu kata sandi per mikrodetik, faktor kerja turun menjadi sekitar
dua bulan. Jumlah waktu ini masuk akal bagi penyerang untuk berinvestasi jika hadiahnya besar.
Misalnya, seorang penyusup dapat mencoba secara brutal untuk memecahkan kata sandi pada file
nomor kartu kredit atau informasi rekening bank.
namun waktu istirahat dapat dibuat lebih mudah diatur dalam beberapa cara. Mencari satu kata sandi
tertentu tidak selalu mengharuskan semua kata sandi dicoba; penyusup hanya perlu mencoba sampai
kata sandi yang benar diidentifikasi. Jika kumpulan semua kemungkinan kata sandi didistribusikan
secara merata, penyusup kemungkinan hanya perlu mencoba setengah dari ruang kata sandi:
jumlah pencarian yang diharapkan untuk menemukan kata sandi tertentu. Namun, penyusup juga
dapat memanfaatkan distribusi kata sandi yang tidak merata. sebab kata sandi harus diingat,
orang cenderung memilih kata sandi yang sederhana; oleh sebab itu, penyusup harus mencoba
kombinasi karakter yang pendek sebelum mencoba yang lebih panjang. Fitur ini mengurangi waktu
rata-rata untuk menemukan kecocokan sebab mengurangi bagian dari ruang kata sandi yang dicari
sebelum menemukan kecocokan. Dan seperti yang kami jelaskan sebelumnya, penyerang dapat
membuat tabel pelangi dari kata sandi umum, yang mengurangi upaya serangan menjadi pencarian
tabel sederhana.
Semua teknik untuk mengalahkan kata sandi ini, dikombinasikan dengan masalah kegunaan,
menunjukkan bahwa kita perlu mencari metode otentikasi lain. Di bagian berikutnya, kami
mengeksplorasi cara menerapkan otentikasi yang kuat sebagai pengendalian terhadap serangan peniruan
identitas. Untuk contoh lain dari masalah otentikasi, lihat penelitian Kasus 2-3.
penelitian Kasus 2-3 : Akankah Earl of Buckingham yang Asli mau tampil di muka
umum?
Seorang pria yang mengaku sebagai Earl of Buckingham diidentifikasi sebagai
Charlie Stopford, seorang pria yang telah menghilang dari keluarganya di Florida
pada tahun 1983 dan mengambil identitas Christopher Buckingham, bayi berusia
8 bulan yang meninggal pada tahun 1963. Dipertanyakan di Inggris pada tahun
2005 sesudah pemeriksaan detail paspor mengungkapkan hubungan dengan bayi
Buckingham yang telah meninggal, Stopford ditangkap saat dia tidak mengetahui
detail keluarga terkait lainnya. (Pekerjaannya pada saat penangkapannya? Konsultan
keamanan komputer.)
Pihak berwenang Inggris tahu dia bukan Christopher Buckingham, tapi apa identitas
aslinya? Jawabannya ditemukan hanya sebab keluarganya di Amerika Serikat
mengira itu mengenalinya dari foto dan berita: Stopford yaitu seorang suami dan
ayah yang telah menghilang lebih dari 20 tahun sebelumnya. sebab dia pernah
berada di Angkatan Laut AS (dalam intelijen militer, tidak kurang) dan sidik jari
dewasanya tercatat, pihak berwenang dapat membuat identifikasi positif.
Kata Sandi yang Baik
Dipilih dengan hati-hati, kata sandi bisa menjadi autentikator yang kuat. Istilah "kata sandi"
menyiratkan satu kata, namun Anda sebenarnya dapat memakai kata atau frasa yang tidak
ada. Jadi 2Brn2Bti? bisa berupa kata sandi (berasal dari “menjadi atau tidak, itulah pertanyaannya”)
seperti halnya “PayTaxesApril15th.” Perhatikan bahwa pilihan ini memiliki beberapa sifat
penting: String panjang, dipilih dari kumpulan karakter yang besar, dan tidak muncul dalam kamus.
Properti ini membuat kata sandi sulit (namun , tentu saja, bukan tidak mungkin) untuk ditentukan.
Jika kami memakai kata sandi, kami dapat meningkatkan keamanannya dengan beberapa
praktik sederhana:
• Gunakan karakter selain hanya a–z. Jika kata sandi dipilih dari huruf a– z, hanya ada 26
kemungkinan untuk setiap karakter. Menambahkan angka akan memperluas jumlah kemungkinan
menjadi 36. memakai huruf besar dan kecil ditambah angka akan menambah jumlah
karakter yang mungkin menjadi 62. Meskipun perubahan ini tampak kecil, efeknya besar saat
pelaku menguji ruang penuh dari semua kemungkinan kombinasi karakter. Dibutuhkan sekitar
100 jam untuk menguji semua kata 6-huruf yang dipilih dari huruf-huruf satu huruf saja, namun
dibutuhkan sekitar 2 tahun untuk menguji semua kata sandi 6-simbol dari huruf besar dan kecil
serta angka. Meskipun 100 jam masuk akal, 2 tahun cukup menekan untuk membuat serangan
ini jauh kurang menarik.
• Pilih kata sandi yang panjang. Eksplosi secara kombinatorial kesulitan menebak kata
sandi dimulai sekitar panjang 4 atau 5. Memilih kata sandi yang lebih panjang membuat kecil
kemungkinan kata sandi akan terungkap. Ingatlah bahwa penyusup brute force dapat berhenti
segera sesudah kata sandi ditemukan. Beberapa penyusup akan mencoba penelitian Kasus yang
mudah—kata-kata yang diketahui dan kata sandi pendek—dan beralih ke target lain jika serangan
itu gagal.
• Hindari nama atau kata yang sebenarnya. Secara teoritis, ada 26, atau sekitar 300 juta "kata"
6 huruf (berarti kombinasi huruf apa pun), namun hanya ada sekitar 150.000 kata dalam kamus
perguruan tinggi yang bagus, mengabaikan panjangnya. Dengan memilih salah satu dari 99,95
persen bukan kata, Anda memaksa penyerang untuk memakai pencarian brute-force yang
lebih lama dibandingkan pencarian kamus yang disingkat.
• Gunakan deret kata yang Anda ingat. Pilihan kata sandi yaitu ikatan ganda. Untuk mengingat
kata sandi dengan mudah, Anda menginginkan kata sandi yang memiliki arti khusus bagi Anda.
Adapun gelar yang dia ambil untuk dirinya sendiri, tidak ada Earl of Buckingham
sejak 1687.
Dalam masyarakat modern kita terbiasa dengan jejak kertas penuh yang
mendokumentasikan peristiwa sejak lahir hingga mati, namun tidak semua orang
cocok dengan model itu. Pertimbangkan penelitian Kasus orang-orang tertentu yang
sebab berbagai alasan perlu mengubah identitas mereka.
saat pemerintah mengubah identitas pelaku (misalnya, saat seorang
saksi bersembunyi), identitas baru itu mencakup catatan sekolah, alamat, catatan
pekerjaan, dan sebagainya.
Namun, Anda tidak ingin orang lain dapat menebak arti khusus ini. Satu kata sandi yang mudah
diingat yaitu UcnB2s. Kekacauan yang tampak tidak biasa itu yaitu transformasi sederhana
dari "Anda tidak akan pernah bisa terlalu aman." Huruf pertama kata dari sebuah lagu, beberapa
huruf dari kata yang berbeda dari frasa pribadi, atau sesuatu yang melibatkan skor bola basket
yang mudah diingat yaitu contoh kata sandi yang masuk akal. Tapi jangan terlalu mencolok.
Alat peretas kata sandi juga menguji penggantian seperti 0 (nol) untuk o atau O (huruf “oh”)
dan 1 (satu) untuk l (huruf “ell”) atau $ untuk S (huruf “ess”). Jadi I10v3U sudah ada di file
pencarian.
• Gunakan varian untuk beberapa sandi. Dengan akun, situs web, dan langganan, pelaku
dapat dengan mudah mengumpulkan 50 atau 100 kata sandi, yang jelas terlalu banyak
untuk diingat. Kecuali jika Anda memakai trik. Mulailah dengan frasa seperti pada saran
sebelumnya: Ih1b2s (Saya punya satu saudara laki-laki, dua saudara perempuan). Kemudian
tambahkan beberapa pola yang melibatkan beberapa vokal dan konsonan pertama dari entitas
untuk kata sandi: Ih1b2sIvs untuk vIsa, Ih1b2sAfc untuk fAcebook, dan seterusnya.
• Ganti sandi secara berkala. Bahkan jika Anda tidak memiliki alasan untuk mencurigai bahwa
pelaku telah mengkompromikan kata sandi, Anda harus mengubahnya dari waktu ke waktu.
Penyusup dapat merusak sistem kata sandi dengan mendapatkan daftar lama atau bekerja
secara mendalam pada daftar terenkripsi.
• Jangan ditulis. Catatan: Nasihat jangka panjang ini hanya relevan jika keamanan fisik merupakan
risiko serius. Orang yang memiliki akun di banyak mesin dan server, dan dengan banyak aplikasi
atau situs, mungkin mengalami kesulitan mengingat semua kode akses. Menyetel semua kode
sama atau memakai kata sandi yang tidak aman namun mudah diingat mungkin lebih
berisiko dibandingkan menulis kata sandi pada daftar yang cukup terlindungi. (Jelas, An
