DATA CENTER

Data Center yang secara harafiah berarti pusat data, adalah suatu fasilitas untuk menempatkan sistem komputer dan equipment-equipment terkait, seperti sistem komunikasi data dan penyimpanan data. Fasilitas ini mencakup catu daya redundant, koneksi komunikasi data redundant, pengontrol lingkungan, pencegah bahaya kebakaran, serta piranti keamanan fisik.

Pada era ICT (Information and Communication Technology) saat ini, Data Center telah menjadi satu issue penting di dunia, khusunya bagi para pelaku bisnis. Sebagai inti dari layanan bisnis, maka Data Center harus mampu memberikan layanan optimal, sekalipun terjadinya suatu bencana, sehingga bisnis dalam suatu korporasi harus tetap bertahan hingga menghasilkan laba. Berawal dari peran Data Center yang sangat signifikan, serta dikaitkan dengan berbagai issue yang ada pada Data Center saat ini, terutama Disaster Recovery Planning, maka kajian secara komprehensif dan holistik mengenai Data Center, telah menjadi critical issue bagi suatu institusi bisnis sebagai User dan profitable issue bagi produsen penyedia infrastruktur dan equipment Data Center.

Secara umum Data Center terbagi dua berdasarkan fungsinya :

Ø  Internet Data Center, biasanya hanya dioperasikan untuk kebutuhan Internet Service Provider dan

Ø  Corporate Data Center, dimiliki oleh suatu korporasi atau institusi, untuk mengoperasikan proses bisnis, dengan menggabungkan layanan Internet dan Intranet.

Aspek-aspek yang harus diperhatikan saat mendesain dan merencanakan Data Center adalah

Ø  Lokasi yang aman serta memenuhi Syarat Sipil Bangunan seperti : Geologi, Vulkanologi dan Topografi.

Ø  Mempunyai Sistem Cadangan untuk Sistem Catudaya,

Ø  Mempunyai Sistem Tata Udara

Ø  Mempunyai Sistem Pengamanan

Ø  Mempunyai Sistem Monitoring Lingkungan

Ø  Mempunyai Sistem Komunikasi Data

Ø  Serta menerapkan tata kelola standar Data Center, meliputi : Standar Prosedur Operasi, Standar Prosedur Perawatan, Standar dan Rencana Pemulihan dan Mitigasi Bencana, serta Standar Jaminan Kelangsungan Bisnis.

Kriteria perancangan sebuah Data Center yang ideal :

Ø  Availability atau Ketersediaan

Data Center diciptakan untuk mampu memberikan operasi yang berkelanjutan dan terus-menerus bagi suatu perusahaan baik dalam keadaan normal maupun dalam keadaan terjadinya suatu kerusakan yang berarti atau tidak. Data Center harus dibuat sebisa mungkin mendekati Zero-Failure untuk seluruh komponennya.

Ø  Scalability dan Flexibility

Data Center harus mampu beradaptasi dengan pertumbuhan kebutuhan yang cepat atau ketika adanya servis baru yang harus disediakan oleh Data Center tanpa melakukan perubahan yang cukup berarti bagi Data Center secara keseluruhan. Security Data Center menyimpan berbagai aset perusahaan yang berharga, oleh karenanya sistem keamanan dibuat seketat mungkin baik pengamanan secara fisik maupun pengamanan non-fisik.

Tier atau Level pada Data Center merupakan perancangan Data Center yang berangkat dari kebutuhan yang ada, dan kemudian didefinisikan pada berbagai perlengkapan IT yang diperlukan beserta pemilihan teknologi berbarengan dengan perencanaan infrastruktur Data Center yang lain. Menurut Telecommunication Industry Association (ANSI/TIA-942), ada 4 Tier atau 4 Level dalam dalam perancangan Data Center, yang setiap tiernya menawarkan tingkat availabilitas yang berbeda disesuaikan dengan kebutuhan suatu Data Center, diantaranya :

1.       Tier-I Basic

2.       Tier-II Redundant Components

3.       Tier-III Concurently Maintainable

4.       Tier-IV Fault Tolerance

Maraknya isu lingkungan hidup terutama Global Warming telah menjadi tema sentral saat ini, tidak terkecuali bagi pelaku bisnis teknologi ICT. Ada berbagai sorotan, gagasan, dan usulan ICT yang berbasis kepada upaya penyelamatan lingkungan hidup demi kemaslahatan umat pada masa yang akan datang, diantaranya Data Center. Selama ini, keberadaan Data Center identik dengan : kebutuhan catu daya listrik yang sangat besar untuk proses komputasi yang kontinnyu (Non Stop), yang akan berdampak pada permasalahan Energi. Menurut lembaga riset global, IDC dan Gartner. IDC menilai bahwa untuk setiap US$1 investasi piranti keras di Data Center, akan muncul tambahan biaya US$0,5 pada Power dan Sistem Pendinginan. Angka tambahan ini naik dua kali lipat dari jumlah tahun sebelumnya. Gartner bahkan memprediksi separuh dari Data Center di dunia pada 2008 akan kekurangan kapasitas Power dan Cooling akibat krisis Energi. Dari permasalahan tersebut, dibutuhkan model baru Data Center yang ramah lingkungan atau Green Data Center.

Untuk menerapkan Green Data Center, banyak hal yang harus dilakukan, diantaranya : Mengaudit efisiensi Data Center, Menggunakan UPS yang memiliki efisiensi hingga 97%, Virtualisasi Server dan Storage Data Center. Selanjutnya, lalukan konsolidasi data Server dan Storage, Penggunaan fitur Manajemen Energi pada CPU, Penggunaan Power Supply dan Voltage Regulator tersertifikasi, Adopsi distribusi Energi terefisien dan Adopsi Sistem Cooling terbaik. Dua langkah terakhir yang tidak kalah pentingnya adalah menerapkan prioritas tindakan dalam mereduksi Energi sekaligus menonaktifkan peralatan ICT yang sudah dalam kondisi idle di sebuah Data Center.

Read More

BACKBONE CABLING

Pengkabelan backbone adalah untuk sistem pengkabelan terstruktur menyediakan koneksi antara main distribution area, horizontal distribution area, dan merupakan entrance area. Sistem pengkabelan backbone terdiri dari kabel backbone, main cross-connect, horizontal cross-connect, terminasi mekanikal, dan patch cord (jumper) yang digunakan untuk koneksi silang backbone-to-backbone. Sistem pengkabelan secara backbone harus mendukung kebutuhan konektivitas yang berbeda, misalnya LAN, WAN, SAN, saluran komputer, dan koneksi console peran.

Backbone merupakan sebuah teknik yang digunakan dalam penggabungan beberapa jaringan lokal pada masing-masing lantai dari bangunan bertingkat dengan menggunakan satu jalur kabel utama dan khusus. Backbone merupakan jalan, saluran utama, atau bisa disebut dengan jalan tol dalam sebuah jaringan.

Teknik backbone merupakan teknik yang paling banyak digunakan karena dapat mencega bottleneck yang terjadi pada server. Kabel yang digunakan biasanya adalah jenis serat optik, kabel RG-58, atau RG-8. Sedangkan konektor yang digunakan adalah ST untuk serat optik, BNC untuk kabel RG-58, dan AUI untuk kabel RG-8.

Hal yang perlu diperhatikan sebelum membangung jaringan backbone:

Ø  Kebutuhan yang berkaitan dengan desain akses jaringan, meliputi jenis data, pelayanan, IP, dan frame relay

Ø  Kapasitas yang dibutuhkan dalam membangun jaringan backbone tergantung pada desain keluarannya

Ø  Topologi dan teknologi yang akan digunakan perlu dipertimbangkan

Ø  Topologi akan berpengaruh pada jumlah dan letak node, desain saluran, maupun keseluruhan desain akses backbone

Backbone menyediakan banyak efisiensi yang tidak disediakan oleh jaringan meshed-access, meliputi:

Ø  Penggabungan lalu lintas (mengeliminasi path (saluran) yang memilki tipe lalu lintas berbeda)

Ø  Platform dengan bandwidth yang tinggi

Ø  Rerouting dan redundancy

Ø  Skala ekonomis

Ø  Arsitektur untuk memperbaiki kerusakan atau gangguan sendiri

Ø  Berbagi perlengkapan dan fasilitas antar berbagai lokasi

Ø  Routing yang cerdas

Ø  Bandwidth dinamik dengan alokasi sumber daya

Ø  Topologi yang fleksibel dengan berbagai gaya desain

Ø  Pengaturan jaringan yang terpusat maupun terdistribusi

Ø  Fleksibilitas

Backbone adalah saluran atau koneksi berkecepatan tinggi yang menjadi lintasan utama dalam sebuah jaringan. Network backbone adalah network yang menghubungkan beberapa jaringan dengan berkecepatan rendah melalui gateway.

Dengan menggunakan jaringan backbone, masalah kecepatan interkoneksi antar jaringan lokal dapat teratasi. Sebenar bisa saja bila kita hanya menggunakan kabel jaringan UTP untuk menggabungkan atar jaringan lokal tersebut, tetapi akan terasa sekali lambatnya. Karena kabel UTP itu hanya bisa di lewati dengan kecepatan transfer data hingga 100 Mbps, jaringan backbone bisa memuat hingga 10 Gbps. Alat yang di butuhkan untuk membangun jaringan backbone misal: bridge atau switch yang memiliki kecepatan antara 1-10 Gbps.selain itu kita bisa menggunakan converter yang mengubah kecepatan 100 Mbps ke 1 Gbps.

Read More

HORIZONTAL CABLING

Sistem pengkabelan horizontal terdiri dari kabel-kabel yang tersusun secara horizontal, terminasi mekanikal, dan patch cords (jumper). Pengertian horizontal disini adalah sistem pengkabelan akan berjalan secara horizontal baik diatas lantai ataupun di bawah atap. Sistem pengkabelan secara horizontal dapat dibuat dalam bentuk under-floor (bawah) atau overhead (atas).

 Ada beberapa servis atau system yang harus diperhatikan ketika mendesain suatu sistem pengkabelan secara horizontal, yaitu :

a.      Servis telekomunikasi meliputi suara, modem dan faksimile.

b.      Perlengkapan dasar switching.

c.       Koneksi manajemen komputer dan telekomunikasi.

d.      Koneksi keyboard/video/mouse (KVM).

e.      Komunikasi data.

f.        Wide Area Network (WAN).

g.      Local Area Network (LAN).

h.      Storage Area Network (SAN).

i.        Sistem pemberian isyarat lainnya pada gedung (seperti kebakaran, keamana, energi, HVAC, EMS, dan lainnya).

Komponen sistem pengkabelan horizontal

Keterangan

a.      Customer Premises Equipment

b.      HC Peralatan Kabel

c.       Patchcords / lintas menghubungkan jumper digunakan dalam HC, termasuk kabel peralatan / kabel, tidak boleh lebih dari 5m (16 ft).

d.      Catatan: ISO / IEC 11801:2002 menetapkan max. patchcord / lintas menghubungkan panjang 5m (16,4 kaki), yang tidak termasuk kabel peralatan / kabel.

e.      Kabel 90m horisontal (295 ft) maks. total

f.        TP atau CP (opsional)

g.      Telekomunikasi outlet / konektor (TO)

h.      Work Area (WA) Peralatan kabel

i.        Catatan: Penyisihan dibuat untuk kabel peralatan WA dari 5m (16 ft).

Kabel horizontal yang paling sering diimplementasikan dengan 100-ohm, empat pasangan, unshielded twisted-pair (UTP), kabel solid-konduktor, sebagaimana ditentukan dalam Standar ANSI/TIA/EIA-568 untuk pembangunan jaringan yang sudah umum. Standar ini juga menyediakan untuk pemasangan kabel horizontal untuk diimplementasikan dengan menggunakanSerat optik multimode 62.5/125-micron atau 50/125-micron.

Read More

PASSIVE AND ACTIVE ATTACK

Apabila berbicara mengenai keamanan jaringan komputer, maka kita akan memahami bahwa jaringan komputer sangat rentan terhadap serangan (attack). William Stallings mengklasifikasikan secara umum serangan (attack) dalam jaringan menjadi dua yaitu passive attack dan active attack.

      1.      Passive Attack  / Serangan Pasiv

Serangan pasif adalah jenis serangan yang tidak membahayakan terhadap sebuah sistem jaringan. Jenis serangan ini tidak menyebabkan hilangnya sumber daya dalam sebuah jaringan maupun menyebabkan kerusakan terhadap sebuah sistem jaringan yang di serang menggunakan jenis serangan ini. Sumber daya yang terdapat dalam sistem jaringan diantaranya berupa data, bandwidth jaringan, printer, memori dalam sebuah komputer, unit pengolah (prosesor) dan masih banyak lagi. Intinya jenis serangan ini hanya melakukan pengamatan terhadap semua sumber daya yang terdapat dalam sebuah sistem jaringan komputer. Seperti memantau lalu lintas jaringan sebuah sistem jaringan komputer. Informasi yang dihasilkan dari hasil pengamatan tersebut sangat bermanfaat bagi pihak yang tidak berhak untuk melakukan penyerangan selanjutnya terhadap sistem tersebut. sehingga jenis serangan ini sangat sulit untuk di deteksi oleh pengelola sebuah sistem jaringan komputer.

Komunikasi jaringan tanpa kabel biasanya menggunakan frekuensi gelombang radio umum yang tidak terdaftar yang dapat di akses oleh siapapun dengan menggunakan kartu jaringan yang kompatibel, sehingga untuk jaringan jenis ini sangat mudah untuk di sadap dengan menggunakan teknik “sniffing” atau “wardriving”. Saat ini banyak “sniffer” menggunakan software seperti NetStumbler dengan kombinasi antena yang saling bekerja bersama dengan kartu jaringan tanpa kabel (wireless) untuk mendeteksi jaringan “access point” (AP) yang berada dalam jangkauan dan sinyalnya dapat diakses kartu jaringan tanpa kabel tersebut. Kemudian traffic data yang terjadi didalam jaringan wireless tersebut ditangkap oleh “sniffer” tersebut untuk kemudian di analisis dengan menggunakan tool seperti Microsoft Network Monitor untuk sistem operasi microsoft windows atau menggunakan Linux TCP Dump untuk sistem operasi Linux.

Seranagan pasif merupakan serangan pada sistem autentikasi yang tidak menyisipkan data pada aliran data, tetapi hanya mengamati atau memonitor pengiriman informasi ke tujuan. Informasi ini dapat digunakan di lain waktu oleh pihak yang tidak bertanggung jawab. Serangan pasif yang mengambil suatu unit data kemudian menggunakannya untuk memasuki sesi autentikasi dengan berpura-pura menjadi user yangg autentik / asli disebut dengan replay attack. Beberapa informasi autentikasi seperti password atau data biometric yang dikirim melalui transmisi elektronik dapat direkam dan kemudian digunakan untuk memalsukan data yang sebenarnya. Serangan pasif ini sulit dideteksi karena penyerang tidak melakukan perubahan data. Oleh sebab itu untuk mengatasi serangan pasif ini lebih ditekankan pada pencegahan daripada pendeteksiannya.

Contoh:

•           Menguping. Penyerang memonitor transmisi isi pesan. Sebuah contoh dari ini adalah seseorang mendengarkan transmisi pada LAN antara dua workstasion atau mencari frekwensi transmisi antara handset wireless dan base station.

•           Analisis lalulintas. Penyerang, dengan cara yang lebih tak terlihat, mendapatkan intelijen dengan memonitor transmisi mengenai pola komunikasi. Banyak informasi yang dibawa pada aliran pesan antara pihak-pihak yang berkomunikasi.

William Stalling menyatakan serangan pasif bertujuan adalah untuk mendapatkan informasi yang sedang di transmisikan. Ada dua jenis serangan pasif yaitu

a.      Release of Message Content  / Pelepasan Isi Pesan

Release of message content adalah serangan yang bertujuan untuk mendapatkan informasi yang dikirim baik melalui percakapan telepon, email, ataupun transfer file dalam jaringan.

b.      Traffic Analysis / Analisis Traffic

Traffic Analysis adalah suatu serangan yang dilakukan dengan mengambil informasi yang telah diberi proteksi (misal enkripsi) dan dikirimkan dalam jaringan, kemudian mencoba menganalisa sistem proteksi informasi tersebut untuk kemudian dapat memecahkan sistem proteksi informasi tersebut.

Misalkan kita memiliki cara menutupi isi pesan atau informasi lalu lintas lain sehingga lawan, bahkan jika mereka menangkap pesan, tidak bisa mengekstrak informasi dari pesan. Teknik umum untuk isi masking adalah enkripsi. Jika kita memiliki perlindungan enkripsi, lawan masih mungkin bisa mengamati pola pesan-pesan. Lawan bisa menentukan lokasi dan identitas host yang berkomunikasi dan bisa mengamati frekuensi dan panjang pesan-pesan yang dipertukarkan. Informasi ini mungkin berguna dalam menebak sifat dari komunikasi yang sedang berlangsung.

      2.      Active Attack / Serangan Aktiv

Jenis serangan active attacks lebih berbahaya dibanding dengan passive attacks. Penyerang  bertujuan  untuk  masuk  ke  jaringan  WLAN,  dan  akan  berusaha mengambil  data  atau  bahkan  merusak  jaringan.  Penyerang  akan  berusaha menembus  sistem  sampai  ke  level  admin  jaringan  WLAN  sehingga  dapat melakukan perubahan konfigurasi seperti seorang admin. Dampak dari serangan jenis  ini  tidak  sebatas  pada  jarinngan wireless LAN  saja,  namun  bisa  melebar hingga ke seluruh jaringan.

Active attacks adalah suatu metode penyerangan yang dilakukan dengan terlibat dalam modifikasi aliran data. Serangan ini mencoba memodifikasi data, mencoba mendapatkan autentikasi, atau mendapatkan autentikasi dengan mengirimkan paket-paket data yang salah ke dalam data stream atau dengan memodifikassi paket-paket yang melewati data stream. Kebalikan dari serangan pasif, serangan aktif sulit untuk dicegah karena untuk melakukannya dibutuhkan perlindungan fisik untuk semua fasilitas komunikassi dan jalur-jalurnya setiap saat. Yang dapat dilakukan adalah mendeteksi dan memulihkan keadaan yang disebabkan oleh serangan ini.

Contoh:

Penyerang memutus komunikasi antara pihak yang berkomunikasi dan bersikap seolah sebagai salah satu pihak yang berkomunikasi. Sehingga penyerang bebas mengambil atau mengubah informasi dari pihak yang berkomunikasi. Baik pengirim atau penerima tidak mengetahui bahwa mereka berkomunikasi dengan pihak yang salah

Serangan aktif melibatkan beberapa modifikasi aliran data atau penciptaan aliran palsu dan dapat dibagi menjadi empat kategori: masquerade, replay, modifikasi pesan (message modification), dan penolakan layanan (denial of service).

a.      Masquerade

Sebuah masquerade terjadi ketika satu entitas berpura-pura menjadi entitas yang berbeda Sebuah serangan masquerade biasanya meliputi salah satu bentuk lain dari serangan aktif. Sebagai contoh, urutan otentikasi dapat ditangkap dan diputar setelah urutan otentikasi yang sah telah terjadi, sehingga memungkinkan suatu entitas yang berwenang dengan hak sedikit untuk mendapatkan hak tambahan dengan menyamar sebagai entitas yang memiliki hak istimewa.

Gambar di atas menunjukan contoh dari masquerade. Alice sebagai penerima pesan yang terhubung dengan jaringan internet menerima pesan atas nama Bob, padahal bob yang tidak terhubung ke jaringan internet tidak pernah mengirim pesan kepada Alice. Pesan tersebut dikirim oleh orang lain yang menyamar  sebagai Bob.

b.      Replay

Replay melibatkan penangkapan pasif unit data dan retransmission selanjutnya untuk menghasilkan efek yang tidak sah.

c.       Modification of Message

Modification of Messages (Modifikasi pesan) hanya berarti bahwa beberapa bagian dari pesan yang sah yang diubah, atau bahwa pesan yang tertunda atau pengaturan kembali, untuk menghasilkan efek yang tidak sah

d.      Denial of Service

Denial of Service (penolakan layanan) mencegah atau menghambat penggunaan secara normal atau pengelolaan fasilitas komunikasi. Serangan ini mungkin memiliki target tertentu, misalnya, suatu entitas dapat menekan semua pesan yang diarahkan ke tujuan tertentu (misalnya, layanan audit keamanan). Bentuk lain dari Denial of Service adalah gangguan seluruh jaringan, baik dengan menonaktifkan jaringan atau dengan overloading dengan pesan sehingga menurunkan kinerja jaringan.

Denial of Services (DoS) ini adalah salah satu ancaman keamanan jaringan yang membuat suatu layanan jaringan jadi mampet, serangan yang membuat jaringan anda tidak bisa diakses atau serangan yang membuat system anda tidak bisa memproses atau merespon terhadap traffic yang legitimasi atau permintaan layanan terhadap object dan resource jaringan. Bentuk umum dari serangan Denial of Services ini adalah dengan cara mengirim paket data dalam jumlah yang sangat bersar terhadap suatu server dimana server tersebut tidak bisa memproses semuanya. Bentuk lain dari serangan keamanan jaringan Denial of Services ini adalah memanfaatkan telah diketahuinya celah yang rentan dari suatu operating system, layanan-2, atau applikasi-2. Exploitasi terhadap celah atau titik lemah system ini bisa sering menyebabkan system crash atau pemakaian 100% CPU.

Tidak semua Denial of Services ini adalah merupakan akibat dari serangan keamanan jaringan. Error dalam coding suatu program bisa saja mengakibatkan kondisi yang disebut DoS ini.

 Disamping itu ada beberapa jenis DoS seperti:

1)      Distributed Denial of Services (DDoS), terjadi saat penyerang berhasil meng-kompromi beberapa layanan system dan menggunakannya atau memanfaatkannya sebagai pusat untuk menyebarkan serangan terhadap korban lain.

2)      Ancaman keamanan jaringan Distributed refelective deniel of service (DRDoS) memanfaatkan operasi normal dari layanan Internet, seperti protocol-2 update DNS dan router. DRDoS ini menyerang fungsi dengan mengirim update, sesi, dalam jumlah yang sangat besar kepada berbagai macam layanan server atau router dengan menggunakan address spoofing kepada target korban.

3)      Serangan keamanan jaringan dengan membanjiri sinyal SYN kepada system yang menggunakan protocol TCP/IP dengan melakukan inisiasi sesi komunikasi. Seperti kita ketahui, sebuah client mengirim paket SYN kepada server, server akan merespon dengan paket SYN/ACK kepada client tadi, kemudian client tadi merespon balik juga dengan paket ACK kepada server. Ini proses terbentuknya sesi komunikasi yang disebut Three-Way handshake yang dipakai untuk transfer data sampai sesi tersebut berakhir. Kebanjiran SYN terjadi ketika melimpahnya paket SYN dikirim ke server, tetapi si pengirim tidak pernah membalas dengan paket akhir ACK.

4)      Serangan keamanan jaringan dalam bentuk Smurf Attack terjadi ketika sebuah server digunakan untuk membanjiri korban dengan data sampah yang tidak berguna. Server atau jaringan yang dipakai menghasilkan response paket yang banyak seperti ICMP ECHO paket atau UDP paket dari satu paket yang dikirim. Serangan yang umum adalah dengan jalan mengirimkan broadcast kepada segmen jaringan sehingga semua node dalam jaringan akan menerima paket broadcast ini, sehingga setiap node akan merespon balik dengan satu atau lebih paket respon.

5)      Serangan keamanan jaringan Ping of Death, adalah serangan ping yang oversize. Dengan menggunakan tool khusus, si penyerang dapat mengirimkan paket ping oversized yang banyak sekali kepada korbannya. Dalam banyak kasus system yang diserang mencoba memproses data tersebut, error terjadi yang menyebabkan system crash, freeze atau reboot. Ping of Death ini tak lebih dari semacam serangan Buffer overflow akan tetapi karena system yang diserang sering jadi down, maka disebut DoS attack.

6)      Stream Attack terjadi saat banyak jumlah paket yang besar dikirim menuju ke port pada system korban menggunakan sumber nomor yang random.

SUMBER

William Stallings. 2011. Network Security Essentials: Applications and Standarts Fourt Edition. Prentice Hall

William Stallings. 2006. Cryptography and Network Security: Principles and Practice Fifth Edition. Prentice Hall

http://kundang.weblog.esaunggul.ac.id/2013/07/16/jenis-serangan-terhadap-keamanan-jaringan-komputer/ di akses pada 21 maret 2014 pukul 11.50

http://techfully.blogspot.com/2011/03/jenis-serangan-terhadap-keamanan.html diakses pada 21 maret 2014 pukul 12.30

http://whitenblackz.blogspot.com/2013/03/x800-rfc-2828-security-system.html diakses pada 21 maret 2014 pukul 13.00

Read More

SECURITY SERVICE / LAYANAN KEAMANAN

Masalah keamanan merupakan salah satu aspek penting dari sebuah sistem informasi. Sayang sekali masalah keamanan ini sering kali kurang mendapat perhatian dari para pemilik dan pengelola sistem informasi. Seringkali masalah keamanan berada di urutan kedua, atau bahkan di urutan terakhir dalam daftar hal-hal yang dianggap penting. Apabila menggangu performansi dari sistem, seringkali keamanan dikurangi atau ditiadakan.

William Stalling (2011) menyatakan bahwa security service adalah sebuah proses atau layanan komunikasi yang disediakan oleh sistem untuk memberikan jenis perlindungan tertentu terhadap sumber daya sistem, layanan keamanan menerapkan kebijakan keamanan dan dilaksanakan oleh mekanisme keamanan.

Garfinkel mengemukakan bahwa keamanan komputer (computer security) melingkupi empat aspek, yaitu privacy, integrity, authentication, dan availability. Selain keempat hal di atas, masih ada dua aspek lain yang juga sering dibahas dalam kaitannya dengan electronic commerce, yaitu access control dan non-repudiation.

1.      Privacy / Confidentiality

Inti utama aspek privacy atau confidentiality adalah usaha untuk menjaga informasi dari orang yang tidak berhak mengakses. Privacy lebih kearah data-data yang sifatnya privat sedangkan confidentiality biasanya berhubungan dengan data yang diberikan ke pihak lain untuk keperluan tertentu (misalnya sebagai bagian dari pendaftaran sebuah servis) dan hanya diperbolehkan untuk keperluan tertentu tersebut. Contoh hal yang berhubungan dengan privacy adalah e-mail seorang pemakai (user) tidak boleh dibaca oleh administrator.  Contoh confidential information adalah data-data yang sifatnya pribadi (seperti nama, tempat tanggal lahir, social security number, agama, status perkawinan, penyakit yang pernah diderita, nomor kartu kredit, dan sebagainya) merupakan data-data yang ingin diproteksi penggunaan dan penyebarannya. Contoh lain dari confidentiality adalah daftar pelanggan dari sebuah Internet Service Provider (ISP).

Untuk mendapatkan kartu kredit, biasanya ditanyakan data-data pribadi. Jika saya mengetahui data-data pribadi anda, termasuk nama ibu anda, maka saya dapat melaporkan melalui telepon (dengan berpura-pura sebagai anda) bahwa kartu kredit anda hilang dan mohon penggunaannya diblokir. Institusi (bank) yang mengeluarkan kartu kredit anda akan percaya bahwa saya adalah anda dan akan menutup kartu kredit anda. Masih banyak lagi kekacauan yang dapat ditimbulkan bila data-data pribadi ini digunakan oleh orang yang tidak berhak.

Dalam bidang kesehatan (health care) masalah privacy merupakan topik yang sangat serius di Amerika Serikat. Health Insurance Portability and Accountability Act (HIPPA), dikatakan akan mulai digunakan di tahun 2002, mengatakan bahwa rumah sakit, perusahaan asuransi, dan institusi lain yang berhubungan dengan kesehatan harus menjamin keamanan dan privacy dari data-data pasien. Data-data yang dikirim harus sesuai dengan format standar dan mekanisme pengamanan yang cukup baik. Partner bisnis dari institusi yang bersangkutan juga harus menjamin hal tersebut. Suatu hal yang cukup sulit dipenuhi. Pelanggaran akan act ini dapat didenda US$ 250.000 atau 10 tahun di penjara.

Serangan terhadap aspek privacy misalnya adalah usaha untuk melakukan penyadapan (dengan program sniffer). Usaha-usaha yang dapat dilakukan untuk meningkatkan privacy dan confidentiality adalah dengan menggunakan teknologi kriptografi (dengan enkripsi dan dekripsi).

Ada beberapa masalah lain yang berhubungan dengan confidentiality.

Apabila kita menduga seorang pemakai (sebut saja X) dari sebuah ISP (Z), maka dapatkah kita meminta ISP (Z) untuk membuka data-data tentang pemakai X tersebut? Di luar negeri, ISP Z akan menolak permintaan tersebut meskipun bukti-bukti bisa ditunjukkan bahwa pemakai X tersebut melakukan kejahatan. Biasanya ISP Z tersebut meminta kita untuk menunjukkan surat dari pihak penegak hukum (subpoena). Masalah privacy atau confidentiality ini sering digunakan sebagi pelindung oleh orang yang jahat/nakal.

Informasi mengenai privacy yang lebih rinci dapat diperoleh dari situs Electronic Privacy Information Center (EPIC, http://www.epic.org) dan Electronic Frontier Foundation (EFF, http://www.eff.org).

Confidentiality merupakan aspek yang menjamin kerahasiaan data atau informasi. Sistem yang digunakan untuk mengimplementasikan e-procurement harus dapat menjamin kerahasiaan data yang dikirim, diterima dan disimpan. Bocornya informasi dapat berakibat batalnya proses pengadaan.

Kerahasiaan ini dapat diimplementasikan dengan berbagai cara, seperti misalnya menggunakan teknologi kriptografi dengan melakukan proses enkripsi (penyandian, pengkodean) pada transmisi data, pengolahan data (aplikasi dan database), dan penyimpanan data (storage). Teknologi kriptografi dapat mempersulit pembacaan data tersebut bagi pihak yang tidak berhak.

Seringkali perancang dan implementor dari sistem informasi atau sistem transaksi elektronik lalai dalam menerapkan pengamanan. Umumnya pengamanan ini baru diperhatikan pada tahap akhir saja sehingga pengamanan lebih sulit diintegrasikan dengan sistem yang ada. Penambahan pada tahap akhir ini menyebabkan sistem menjadi tambal sulam. Akibat lain dari hal ini adalah adanya biaya yang lebih mahal daripada jika pengamanan sudah dipikirkan dan diimplementasikan sejak awal.

Akses terhadap informasi juga harus dilakukan dengan melalui mekanisme otorisasi (authorization) yang ketat. Tingkat keamanan dari mekanisme otorisasi bergantung kepada tingkat kerahasiaan data yang diinginkan.

2.      Integrity

Aspek ini menekankan bahwa informasi tidak boleh diubah tanpa seijin pemilik informasi. Adanya virus, trojan horse, atau pemakai lain yang mengubah informasi tanpa ijin merupakan contoh masalah yang harus dihadapi. Sebuah e-mail dapat saja “ditangkap” (intercept) di tengah jalan, diubah isinya (altered, tampered, modified), kemudian diteruskan ke alamat yang dituju. Dengan kata lain, integritas dari informasi sudah tidak terjaga. Penggunaan enkripsi dan digital signature, misalnya, dapat mengatasi masalah ini.

Salah satu contoh kasus trojan horse adalah distribusi paket program TCP Wrapper (yaitu program populer yang dapat digunakan untuk mengatur dan membatasi akses TCP/IP) yang dimodifikasi oleh orang yang tidak bertanggung jawab. Jika anda memasang program yang berisi trojan horse tersebut, maka ketika anda merakit (compile) program tersebut, dia akan mengirimkan eMail kepada orang tertentu yang kemudian memperbolehkan dia masuk ke sistem anda. Informasi ini berasal dari CERT Advisory, “CA- 99-01 Trojan-TCP-Wrappers” yang didistribusikan 21 Januari 1999.

Contoh serangan lain adalah yang disebut “man in the middle attack” dimana seseorang menempatkan diri di tengah pembicaraan dan menyamar sebagai orang lain.

Integrity merupakan aspek yang menjamin bahwa data tidak boleh berubah tanpa ijin pihak yang berwenang (authorized). Aspek ini menekankan bahwa informasi tidak boleh diubah tanpa seijin pemilik informasi. Adanya virus, trojan horse, atau pemakai lain yang mengubah informasi tanpa ijin merupakan contoh masalah yang harus dihadapi. Sebuah e-mail dapat saja “ditangkap” (intercept) di tengah jalan, diubah isinya (altered, tampered, modified), kemudian diteruskan ke alamat yang dituju. Dengan kata lain, integritas dari informasi sudah tidak terjaga. Penggunaan enkripsi dan digital signature, misalnya, dapat mengatasi masalah ini.

Untuk aplikasi e-procurement, aspek integrity ini sangat penting. Data yang telah dikirimkan tidak dapat diubah oleh pihak yang berwenang. Pelanggaran terhadap hal ini akan berakibat tidak berfungsinya sistem e-procurement.

Secara teknis ada banyak cara untuk menjamin aspek integrity ini, seperi misalnya dengan menggunakan messange authentication code, hash function, digital signature.

·         Contoh : e-mail di intercept di tengah jalan, diubah isinya, kemudian diteruskan ke alamat yang dituju.

·         Bentuk serangan : Adanya virus, trojan horse, atau pemakai lain yang mengubah informasi tanpa ijin, “man in the middle attack” dimana seseorang menempatkan diri di tengah pembicaraan dan menyamar sebagai orang lain.

3.      Authentication

Aspek ini berhubungan dengan metoda untuk menyatakan bahwa informasi betul-betul asli, orang yang mengakses atau memberikan informasi adalah betul-betul orang yang dimaksud, atau server yang kita hubungi adalah betul-betul server yang asli.

Masalah pertama, membuktikan keaslian dokumen, dapat dilakukan dengan teknologi watermarking dan digital signature. Watermarking juga dapat digunakan untuk menjaga “intelectual property”, yaitu dengan menandai dokumen atau hasil karya dengan “tanda tangan” pembuat.

Masalah kedua biasanya berhubungan dengan access control, yaitu berkaitan dengan pembatasan orang yang dapat mengakses informasi. Dalam hal ini pengguna harus menunjukkan bukti bahwa memang dia adalah pengguna yang sah, misalnya dengan menggunakan password, biometric (ciri-ciri khas orang), dan sejenisnya. Ada tiga hal yang dapat ditanyakan kepada orang untuk menguji siapa dia:

•         What you have (misalnya kartu ATM)

•         What you know (misalnya PIN atau password)

•         What you are (misalnya sidik jari, biometric)

Penggunaan teknologi smart card, saat ini kelihatannya dapat meningkatkan keamanan aspek ini. Secara umum, proteksi authentication dapat menggunakan digital certificates. Authentication biasanya diarahkan kepada orang (pengguna), namun tidak pernah ditujukan kepada server atau mesin. Pernahkan kita bertanya bahwa mesin ATM yang sedang kita gunakan memang benar-benar milik bank yang bersangkutan? Bagaimana jika ada orang nakal yang membuat mesin seperti ATM sebuah bank dan meletakkannya di tempat umum? Dia dapat menyadap data-data (informasi yang ada di magnetic strip) dan PIN dari orang yang tertipu. Memang membuat mesin ATM palsu tidak mudah. Tapi, bisa anda bayangkan betapa mudahnya membuat web site palsu yang menyamar sebagai web site sebuah bank yang memberikan layanan Internet Banking. (Ini yang terjadi dengan kasus klikBCA.com.)

4.      Availability

Aspek availability atau ketersediaan berhubungan dengan ketersediaan informasi ketika dibutuhkan. Sistem informasi yang diserang atau dijebol dapat menghambat atau meniadakan akses ke informasi.

Contoh hambatan adalah serangan yang sering disebut dengan “denial of service attack” (DoS attack), dimana server dikirimi permintaan (biasanya palsu) yang bertubi-tubi atau permintaan yang diluar perkiraan sehingga tidak dapat melayani permintaan lain atau bahkan sampai down, hang, crash.

Contoh lain adalah adanya mailbomb, dimana seorang pemakai dikirimi e-mail bertubi-tubi (katakan ribuan e-mail) dengan ukuran yang besar sehingga sang pemakai tidak dapat membuka e-mailnya atau kesulitan mengakses e-mailnya (apalagi jika akses dilakukan melalui saluran telepon). Bayangkan apabila anda dikirimi 5000 email dan anda harus mengambil (download) email tersebut melalui telepon dari rumah.

Availability merupakan aspek yang menjamin bahwa data tersedia ketika dibutuhkan. Dapat dibayangkan efek yang terjadi ketika proses penawaran sedang dilangsungkan ternyata sistem tidak dapat diakses sehingga penawaran tidak dapat diterima. Ada kemungkinan pihak-pihak yang dirugikan karena tidak dapat mengirimkan penawaran, misalnya.

Hilangnya layanan dapat disebabkan oleh berbagai hal, mulai dari benca alam (kebakaran, banjir, gempa bumi), ke kesalahan sistem (server rusak, disk rusak, jaringan putus), sampai ke upaya pengrusakan yang dilakukan secara sadar (attack). Pengamanan terhadap ancaman ini dapat dilakukan dengan menggunakan sistem backup dan menyediakan disaster recovery center (DRC) yang dilengkapi dengan panduan untuk melakukan pemulihan (disaster recovery plan).

5.      Access Control

Aspek ini berhubungan dengan cara pengaturan akses kepada informasi. Hal ini biasanya berhubungan dengan klasifikasi data (public, private, confidential, top secret) & user (guest, admin, top manager, dsb.), mekanisme authentication dan juga privacy. Access control seringkali dilakukan dengan menggunakan kombinasi userid/password atau dengan menggunakan mekanisme lain (seperti kartu, biometrics).

6.      Non-repudiation

Aspek ini menjaga agar seseorang tidak dapat menyangkal telah melakukan sebuah transaksi. Sebagai contoh, seseorang yang mengirimkan email untuk memesan barang tidak dapat menyangkal bahwa dia telah mengirimkan email tersebut. Aspek ini sangat penting dalam hal electronic commerce. Penggunaan digital signature, certifiates, dan teknologi kriptografi secara umum dapat menjaga aspek ini. Akan tetapi hal ini masih harus didukung oleh hukum sehingga status dari digital signature itu jelas legal. Hal ini akan dibahas lebih rinci pada bagian tersendiri.

SUMBER

Budi Rahardjo. 2005. Keamanan Sistem Informasi Berbasis Internet. PT Insan Infonesia: Bandung

Computer Security Institute. 1999. CSI/FBI Computer Crime and Security Survey. CSI, Winter  http://www.gocsi.com

Garfinkel, Simson and Gene Spafford.1996.  Practical UNIX & Internet Security2nd edition. O’Reilly & Associates, Inc.

William Stallings. 2011. Network Security Essentials: Applications and Standarts Fourth Edition. Prentice Hall

William Stallings. 2006. Cryptography and Network Security: Principles and Practice Fifth Edition. Prentice 

Read More