KEAMANAN dan KERAHASIAAN DATA

Tujuan menjelaskan konsep keamanan dan kerahsiaan data dalam system keamanan computer, jaringan / internet menjelaskan aspek yang terkait dengan permasalahan keamanan dan kerahasian data menjelaskan aspek layanan keamanan komputer

?

Attack, Mechanism dan Serve Security Attack: Any action that compromises the security of information. Security Mechanism: A mechanism that is designed to detect, prevent, or recover from a security attack. Security Service: A service that enhances the security of data processing systems and information transfers. A security service makes use of one or more security mechanisms.

Klasifikasi Keamanan Sistem Menurut David Icove: Keamanan yang bersifat fisik (physical security). Keamanan yang berhubungan dengan orang (personel). Keamanan dari data dan media serta teknik komunikasi. Keamanan dalam operasi (policy & procedures)

Klasifikasi berdasarkan elemen Network security fokus kepada saluran (media) pembawa informasi Application security fokus kepada aplikasinya sendiri, termasuk di dalamnya adalah database Computer security fokus kepada keamanan dari komputer (end system), termasuk operating system (OS)

Aspek Layanan (Serve) Keamanan Privacy / confidentiality Integrity Authentication Availability Non-repudiation Access control

Privacy / confidentiality Proteksi data [hak pribadi] yang sensitif Nama, tempat tanggal lahir, agama, hobby, penyakit yang pernah diderita, status perkawinan Data pelanggan Sangat sensitif dalam e-commerce, healthcare Serangan: sniffer, SOP tidak jelas Proteksi: enkripsi Electronic Privacy Information Center http://www.epic.org Electronic Frontier Foundartion http://www.eff.org

Integrity Informasi tidak berubah tanpa ijin (tampered, altered, modified) Serangan: spoof, virus, trojan horse, man in the middle attack Proteksi: signature, certificate, hash

Authentication Meyakinkan keaslian data, sumber data, orang yang mengakses data, server yang digunakan penggunaan digital signature, biometrics Serangan: password palsu, terminal palsu, situs web palsu Proteksi: certificates

Availability Informasi harus dapat tersedia ketika dibutuhkan Serangan terhadap server: dibuat hang, down, crash, lambat Serangan: Denial of Service (DoS) attack (mulai banyak) Virus yang menghancurkan / menghapus file Proteksi: backup, IDS, filtering router, firewall

Non-repudiation Tidak dapat menyangkal (telah melakukan transaksi) menggunakan digital signature / certificates perlu pengaturan masalah hukum (bahwa digital signature sama seperti tanda tangan konvensional)

Access Control Mekanisme untuk mengatur siapa boleh melakukan apa biasanya menggunakan password, token adanya kelas / klasifikasi pengguna dan data

Tujuan Confidentiality Integrity Avalaibility Dibaca dan diakses oleh yang diberi otoritas Jenis akses meliputi: Mencetak Membaca Bentuk-bentuk lain (membuka suatu objek) Tujuan Dimodifikasi oleh yang berhak, meliputi: Menulis Mengubah Mengubah status Menghapus Membuat yang baru Confidentiality Tersedia untuk pihak yang berwenang Integrity Avalaibility

Katergori serangan Serangan pasif >> sulit dideteksi Membuka isi file (release of message contents) Informasi rahasia dan sensitif >> mencegah penyerang mempelajari pentransmisian Menganalisis lalu lintas (traffic analysis) Teknik pengiriman dengan enskripsi Serangan aktif >> memodifikasi data / menciptakan aliran yang menyesatkan Penyamaran (masquerade) Suatu entitas berpura-pura sebagai entitas yang berbeda Menangkap yang asli >> dibalas setelah rangkaian asi yang valid diganti Jawaban (replay) Penangkapan secara pasif Mendapatkan efek yang tidak terotorisasi Modifikasi pesan (modification of message contents) Mengubah beberapa bagian yang asli Untuk menghasilkan efek tidak terotorisasi Penolakan layanan (denial of service) Mencegah dari yang normal atau manajemen fasilitas tertentu Memiliki tujuan tertentu Bentuk >> gangguan jaringan dengan cara melumpuhkan jaringan atau memenuhi jaringan sehingga mengurangi kinerjanya

Jenis Serangan (menurut Stalling) Ancaman Availabiliti DoS Attack, Network Fooding Memotong jalur komunikasi Ancaman secrecy / confidentially Yang tidak berhak mendapatkan informasi Password sniffing Ancaman integritas Yang tidak berhak mendapatkan informasi Dapat melakukan perubahan Virus, trojan horse Ancaman authentication Yang tidak berhak dapat memalsukan / menirukan suatu objek kedalam sistem

Prinsip-prinsip yang harus diperhatikan didalam merancang sistem keamanan Menurut Saltzer, J & Schroder, M “The Protection of Information in Computer System” Proceeding of the IEEE September 1975 Least privilege program dan user dari sistem harus beroperasi pada level terendah (tidak ada hak istimewa) Economy of mechanisms mekanisme harus sederhana yang holistic tak terpisahkan Acceptability mudah digunakan user Complete mediation yang akses diperiksa kedalam kontrol informasi Open design mekanisme keamanan sistem dapat disebarluaskan, umpan baliknya untuk perbaikan keamanan