INTERNET BANKING SECURITY Kelompok 09 Kelas Ekstensi Eny widaryanti (113088003) Hanif Khairuddin (113088029) Irvan Wahyudi (113088040)

Latar Belakang Teknologi internet mulai menjadi merasuk dan bahkan sebagian sudah menjadi standar de facto. Internet Banking mengacu kepada sistem yang memungkinkan para nasabah bank mengakses akun dan informasi umum terhadap produk-produk dan layanan bank melalui sebuah perangkat komputer atau peralatan canggih lainnya. Internet Banking mulai muncul sebagai salah satu servis dari Bank.

Tujuan & Batasan Masalah Tujuan: menjelaskan aspek keamanan jaringan dan sistem informasi yang menunjang terlaksananya Internet Banking. Bagaimana menerapkan keamanan dalam Internet Banking dari jaringan dan sistem informasi yang menunjang dengan batasan masalah yaitu tidak menjelaskan secara detail keamanan selain jaringan dan sistem informasi

Pembahasan Teknologi Internet Internet Banking Keamanan Internet Pengamanan Evaluasi Keamanan Sistem Informasi Mengamankan Sistem Informasi

Teknologi Internet Dua pengertian internet: teknologi komunikasi yang berbasis kepada protokol TCP/IP sebagai jaringan, salah satu jaringan komputer yang terbesar di dunia

Teknologi Internet (cont.) Kepopuleran Internet sebagai media komunikasi data: Cakupannya yang luas Implementasinya relatif lebih murah Teknologi Internet yang terbuka Penggunaan web browser Memungkinkan konvergensi berbagai aplikasi menjadi satu Tingkat keamanan

Internet Banking Internet Banking: sistem yang memudahkan nasabah mengakses akun dan informasi umum terhadap produk dan layanan bank melalui sebuah perangkat komputer atau peralatan canggih lainnya. Security dan Privacy merupakan penghambat terbesar penggunaan electronic commerce.

Internet Banking keuntungan Business expansion Customer loyality kantor cabang-> ATM-> phone banking-> internet banking Customer loyality Revenue and cost improvement Biaya layanan perbankan. Internet Banking < membuka kantor cabang Competitive advantage New business model layanan (bisnis model) perbankan baru dapat diluncurkan melalui web dengan cepat

Internet Banking keuntungan Cukup dari Meja Kerja Tanpa Batasan Waktu Cakupan Global Siapapun bisa menikmati kemudahannya Fitur Layanan yang beragam Aman dan terlindung Satu akses untuk semua produk Pendaftaran yang mudah

Keamanan Internet Titik rawan di dalam hubungan Internet

Baik pengguna maupun penyedia jasa internet banking terhubung internet melalui ISP Security hole (user) virus dan trojan horse nomor PIN, nomor kartu kredit, dan kunci rahasia lainnya dapat disadap, diubah, dihapus, dan dipalsukan. Security hole (ISP) program penyadap (sniffer) pemalsuan domain meniadakan servis (Denial of Service attack).

Pengamanan Teknis Non-teknis Aspek keamanan firewall Intrusion Detection System (IDS) cryptography Non-teknis awareness membuat policy (procedure) Aspek keamanan authentication confidentiality / privacy non-repudiation availability

Evaluasi Keamanan Sistem Informasi operasi masalah keamanan harus selalu dimonitor, karena Ditemukannya lubang keamanan (security hole) yang baru. Kesalahan konfigurasi Penambahan perangkat baru (hardware dan/atau software) sehingga menurunnya tingkat security/berubahnya metode pengoperasian sistem

Evaluasi Keamanan Sistem Informasi (1) Sumber lubang Keamanan (Security hole) Salah Desain (Design Flaw) contoh: IP spoofing, yaitu sebuah host memalsukan diri seolah-olah menjadi host lain dengan membuat paket palsu Implementasi Kurang Baik contoh: out-of-bound array , buffer overloaded Salah Konfigurasi unwriteable->writeable, setuid root Salah Penggunaan (Program dan Sistem) rm –rt, del *.*

Evaluasi Keamanan Sistem Informasi (2-4) Penguji Keamanan Sistem menggunakan automated dan integrated monitoring tools Penggunaan Program Penyerang paket-paket program penyerang (attack), penyadapan data (sniffer) Penggunaan Sistem Pemantau Jaringan menggunakan protocol SNMP (Simple Network Management Protocol)

Mengamankan Sistem Informasi Mengatur Akses (Acces Control) Menutup Layanan yang tidak Digunakan Memasang Proteksi Firewall Pemantau Adanya Serangan Pemantau Integritas Sistem Audit : Mengamati Berkas Log Backup Secara Rutin Penggunaan Enkripsi Untuk Meningkatkan Keamanan Telnet atau Secure Shell

Mengamankan Sistem Informasi pencegahan (preventif) di layer transport dapat digunakan Secure Socket Layer (SSL) Firewall pemulihan (recovery)

Mengamankan Sistem Informasi Mengatur Akses (Acces Control) authentication dengan userid dan password Informasi tentang kesalahan dicatat dalam berkas log (baik log waktu maupun koneksi) access control berdasarkan group disesuaikan dengan kebutuhan dari penggunaan system anda

Mengamankan Sistem Informasi Menutup Layanan yang tidak Digunakan Menonaktifkan service default yang tidak digunakan Banyak kasus yang menunjukkan abuse dari servis (lubang keamanan) tetapi administrator tidak menyadari bahwa servis tersebut dijalankan.

Mengamankan Sistem Informasi Memasang Proteksi filter (secara umum) memfilter e-mail informasi akses level packet (tcpwrapper) firewall (spesifik )

Mengamankan Sistem Informasi Firewall perangkat yang diletakkan antara Internet dengan jaringan internal informasi yang keluar atau masuk harus melalui firewall tujuan: menjaga (prevent) akses (ke dalam maupun ke luar) dari orang yang tidak berwenang (unauthorized access) konfigurasi: prohibitted atau permitted konfigurasi firewall dapat mengatur akses berdasarkan IP address, port, dan arah informasi. bekerja dengan mengamati paket yang melewatinya

Mengamankan Sistem Informasi Firewall dua fungsi: fungsi (IP) filtering Ipfwadm: standar dari sistem Linux yang dapat diaktifkan pada level kernel Ipchains : versi baru dari Linux kernel packet filtering yang diharapkan dapat menggantikan fungsi ipfwadm fungsi proxy web proxy, rlogin proxy, ftp proxy

Mengamankan Sistem Informasi Firewall Software berbasis UNIX untuk proxy Socks proxy server oleh NEC Network Systems Labs Squid web proxy server

Mengamankan Sistem Informasi Pemantau Adanya Serangan monitoring system untuk mengetahui adanya tamu tak diundang (intruder) atau adanya serangan (attack) Nama lain dari sistem ini adalah “intruder detection system” (IDS) Sistem ini dapat memberitahu administrator melalui e-mail maupun melalui mekanisme lain seperti melalui pager.

Mengamankan Sistem Informasi Pemantau Adanya Serangan Contoh software IDS Autobuse mendeteksi probing dengan memonitor logfile. Courtney dan portsentry mendeteksi probing (port scanning) dengan memonitor packet yang lalu lalang. Portsentry bahkan dapat memasukkan IP penyerang dalam filter tcpwrapper (langsung dimasukkan kedalam berkas /etc/hosts.deny) Shadow dari SANS Snort mendeteksi pola (pattern) pada paket yang lewat dan mengirimkan alert jika pola tersebut terdeteksi. Pola-pola atau rules disimpan dalam berkas yang disebut library yang dapat dikonfigurasi sesuai dengan kebutuhan.

Mengamankan Sistem Informasi Pemantau Integritas Sistem dijalankan secara berkala untuk menguji integratitas sistem. program Tripwire: contoh program yang umum digunakan di sistem UNIX digunakan untuk memantau adanya perubahan pada berkas Tripwire membuat database mengenai berkas-berkas atau direktori yang ingin kita amati beserta “signature” dari berkas tersebut. Signature berisi informasi mengenai besarnya berkas, kapan dibuatnya, pemiliknya, hasil checksum atau hash (misalnya dengan menggunakan program MD5), dan sebagainya. Apabila ada perubahan pada berkas tersebut, maka keluaran dari hash function akan berbeda dengan yang ada di database sehingga ketahuan adanya perubahan.

Mengamankan Sistem Informasi Audit : Mengamati Berkas Log segala kegiatan penggunaan sistem dapat dicatat dalam berkas yang biasanya disebut “logfile” atau “log” saja berguna untuk mengamati penyimpangan yang terjadi. tools digunakan untuk membantu administrator untuk memproses dan menganalisa berkas log yang jumlahnya banyak

Mengamankan Sistem Informasi Backup Secara Rutin adanya backup yang dilakukan secara rutin merupakan sebuah hal yang esensial jika terjadi kehilangan data Untuk sistem yang sangat esensial, secara berkala perlu dibuat backup yang letaknya berjauhan secara fisik

Mengamankan Sistem Informasi Penggunaan Enkripsi Untuk Meningkatkan Keamanan Contoh servis yang menggunakan plain text antara lain : akses jarak jauh menggunakan telnet dan rlogin transfer file dengan menggunakan FTP akses email melalui POP3 dan IMAP4 pengiriman email melalui SMTP akses web melalui HTTP

Mengamankan Sistem Informasi Telnet (Secure Shell) Telnet atau remote login digunakan untuk mengakses sebuah “remote site” memungkinkan adanya sniffing Untuk menghindarinya digunakan enkripsi (algoritma DES atau Blowish) implementasinya berupa SSH Beberapa SSH: untuk UNIX, Windows95, TSSH, SecureCRT, dan putty

Penutup Lubang keamanan (security hole) akan selalu ada. Solusinya adalah menambah tingkat kesulitan untuk masuk dengan menggunakan pengamanan-pengamanan (menggunakan kunci, firewal & IDS)