Showing posts with label Security. Show all posts
Showing posts with label Security. Show all posts

Mar 20, 2020

TSL Podcast: Bagaimana Keamanan Sistem Platform Pembelajaran Jarak Jauh? - Iwan Sumantri










       Bismillah... Ditengah kondisi tersebarnya wabah virus corona diberbagai wilayah, bahkan belahan dunia… dimana manusia yang diciptakan dalam kondisi lemah, diuji oleh makhluk Allah. Ribuan bahkan jutaan manusia mengisolasi diri. Sehingga seluruh aktifitas manusia terhambat, tak terkecuali proses belajar mengajar sehingga menuntut diri kita untuk melakukannya dirumah secara online untuk menghindari wabah ini.

       Sehingga munculah berbagai platform atau sistem pembelajaran yang dapat membantu menunjang proses belajar mengajar secara Online. Beberapa hal yang disampaikan Pak Iwan Sumantri terkait Popcast yang diadakan di Tarbiyah Sunnah Learning yang mengangkat tema “Bagaimana keamanan sistem pada platform pembelajaran jarak jauh?” 

       Disamping itu banyak dari kita, belum aware terkait pembelajaran yang berbasis jarak jauh yang kaitannya dengan security (keamanan informasi). Maka, didalam benak kita bertanya-tanya “apakah platform pembelajaran jarak jauh aman bagi kita.. dalam artian dari sisi penggunanya?”.

       Maka munculah beberapa hal yang ditanyakan moderator. “Security sebenarnya secara umum itu kaitannya apa sih?”. Pak Iwan menjawab : “Sebenernya apapun itu barangnya baik itu hardware atau apapun itu yang mengandung unsur keamanan, seperti halnya bagaimana kita keluar rumah gimana kita merasa nyaman ketika rumah kita tidak tau dikunci atau tidak, kompor nyala atau tidak, dll. Hal ini sering kali kita abaikan. Maka dari itu terkait dengan kemanan pembelajaran jarak jauh ini, yang menariknya ini menjadi issue juga, menarik perhatian dari para kalangan kriminal juga yakni Cyber Crime. Ketika issue Covid 19, ternyata ada juga virus covid dalam bentuk lain, belum lagi dalam bentuk jebakan” yang lain. Mungkin aplikasi” yang membantu pembelajaran jarak jauh ada yang harus didownload baik itu menggunakan Pc atau smartphone, ini juga harus diwaspadai karena banyak juga yang memang sengaja menjadi jebakan. Titik tekannya bagaimana kita menjaga agar kita tidak terjebak oleh aplikasi” emang sengaja disisipi virus lalu disebarkan untuk tujuan” kriminal.

     Ketika seseorang ingin memilih aplikasi, platform, tempatnya apa saja yang harus diperhatikan, dalam artian apakah media yang digunakan ini aman?. Pak Iwan pun menjawab sebenarnya yang perlu kita pahami sebagai landasan security, Bahwa bicara mengenai security itu semua bersifat relatif, relatif aman atau relatif tidak aman, kita tidak bisa mengklaim suatu aplikasi itu aman.. Mungkin saat ini bisa dikatakan aman tapi mungkin besok atau sebulan kemudian ada issue baru yang kemungkinan besar menyebabkan si aplikasi tersebut tidak aman. Berbicara masalah aplikasi yang tidak aman ini bukan masalah pengguna, karena memang itu urusan pihak developer(pengembang aplikasi), Akan tetapi ini sendiri dari sisi penggunanya, bagaimana tidak, kalau misalnya kita sembarangan asal install aplikasi, mendownload aplikasi yang tidak jelas sumbernya ini bisa menjadi sebuah ancaman yang bisa dimanfaatkan para pelaku kejahatan cyber. Nah.. hal ini yang memang harus kita perhatikan sebagai pengguna untuk selalu awarenes dan waspada terhadap hal” diluar sana untuk menjaga data informasi pribadi kita.


Beberapa hal yang bisa saya rangkum dan disimpulkan dari penyampaian Pak Iwan terkait hal” yang perlu kita perhatikan sebagai pengguna :

  • Selalu memperhatikan aplikasi” yang ingin kita install, jangan sembarangan menginstall dari sumber yang tidak jelas dan selalu mengecek “keabsahan” atau keaslian suatu aplikasi yang mungkin bisa jadi aplikasi tersebut telah disisipi virus atau iklan oleh para pelaku kejahatan cyber.
  • Hindari asal mengklik sebuah link yang sengaja disebarkan sehingga bisa menimbulkan ancaman. Seperti halnya link sms hadiah, undian atau yang lainnya. Dimana ketika kita diminta memasukkan data pribadi yang sifatnya sensitif sehingga pelaku bisa saja menggunakan data pribadi kita untuk hal” negatif.
  • Selalu waspada setiap aplikasi yang meminta izin akses ke perangkat kita. Terkadang dari kita sering kali sembarangan memberikan akses aplikasi terhadap perangkat kita, baik itu izin sms, kontak, lokasi dan bahkan kamera sehingga perangkat kita mungkin saja bisa dimata-matai, Maka dari itu hindari dari aplikasi yang tidak ada kaitannya terhadap izin aplikasi tersebut untuk meminimalisir data privasi kita dimanfaatkan oleh pihak yang tidak bertanggung jawab.
  • Hindari penggunaan akses internet public, seperti di cafe atau bandara yang sifatnya umum. Perhatikan SSID Wifi dan pastikan terhubung Wifi yang asli, hindari juga login, transaksi online. Si pelaku kejahatan mungkin bisa saja memanfaatkan hal ini untuk memata-matai korban dengan melakukan sniffing/penyadapan traffic dari korban dengan tujuan utamanya untuk mengambil data dan informasi sensitif kita. Jika memang terpaksa kita bisa menggunakan VPN untuk koneksi yang relatif aman dan penting juga untuk memilih VPN yang dipakai dari pihak terpecaya.
  • Gunakan aplikasi parameter keamanan seperti antivirus yang terpercaya
























Dec 31, 2019

Mengenal apa itu GDPR (Regulasi Umum Perlindungan Data)

APA ITU GDPR?

Rabu, Januari 2020  


 


GDPR atau General Data Protection Regulation yaitu sebuah peraturan mengenai Data Privasi yang telah disetujui oleh otoritas Eropa sejak April 2016.

Dimana diterapkan bagi seluruh perusahaan di dunia yang menyimpan, mengolah, memproses personal data penduduk dari 28 negara yang tergabung dalam EU/Uni Eropa.

Beberapa data yang akan dikontrol dalam oleh peraturan GDPR :

  •          Informasi dasar seperti nama, alamat dan no ID
  •          Data web seperti lokasi, alamat IP, cookie dan RFID
  •          Data kesehatan dan genetik
  •          Data biometrik
  •          Data etnis dan ras
  •          Opini politik
  •          Orientasi seksual

Siapa saja yang menerapkan GDPR ini?


Seluruh perusahaan Uni Eropa yang terdiri dari 28 negara dan ini bertujuan untuk menciptakan perlindungan yang lebih konsisten terhadap data konsumen dan pribadi di seluruh negara UE.



Kapan peraturan GDPR ini berlaku?

Peraturan in sudah disetujui otoritas eropa sejak April 2016 dan akan berkaku efektif di seluruh dunia pad tanggal 25 Mei 2018

Dimana peraturan GDPR ini diberlakukan?

Saat ini Uni Eropa terdiri dari 28 negara yang tentu saja berada di benua Eropa. Lantas, apakah GDPR hanya berlaku di Benua Biru saja? Tentu saja tidak.

Menurut laporan dari CNET, GDPR berlaku secara internasional, tidak peduli dimana perusahaan tersebut bermarkas. GDPR harus ditaati oleh organisasi apapun yang mengumpulkan dan mengolah data dari warga Eropa.

Peraturan ini sejatinya telah disahkan pada 2016 lalu, kemudian perusahaan diberi waktu hingga 2018 untuk menyesuaikan layannnya dengan aturan baru.

Contoh di mana perusahaan harus tunduk pada GDPR :

  •         Maskapai penerbangan/ Hotel yang menyimpan data informasi penumpang penduduk EU
  •         E-Commerce site yang menyimpan data pelanggan, alamat dan transaksi penduduk EU.
  •         Penjual kendaraan atau properti yang di mana beberapa pelanggan nya merupakan penduduk EU.

Dimana saya dapat membaca seluruh peraturan GDPR?

Peraturan dapat dibaca di https://gdpr-info.eu Dokumen tersebut berisi setidaknya 88 halaman yang terbagi 11 bagian dengan pembahasan yang berbeda



Bagaimana jika perusahaan melanggar GDPR?

Apabila terbukti layanannya melanggar GDPR, Uni Eropa akan mengenakan denda kepada perusahaan tersebut sebesar 4 persen dari total pendapatan global.

Hal ini cukup menakutkan bagi perusahaan besar yang kita kenal. Sebagai contoh, 4 persen pendapatan dari situs belanja online seperti Amazon adalah 7 miliar dollar atau hampir Rp 100 triliun.

Salah satu contohnya Facebook dan Google dihari pertama pemberlakuan GDPR yang terkena denda total 8,8 milliar dollar menurut laporan dari The Verge.


Kenapa banyak perusahaan tunduk pada GDPR?

Walaupun GDPR ini secara umum hanya berlaku untuk Uni Eropa akan tetapi perlu diingat bahwa Uni Eropa ia adalah salah satu mitra bisnis strategis bagi banyak perusahaan, ditambah aturan GDPR memiliki hukuman yang serius bagi yang melanggarnya.

Apa itu Cipher Suite?

Cipher Suite

Rabu, January 2020
















Berbicara mengenai bagaimana mengamankan jaringan melalui SSL (Secure Sockets Layer) atau TSL (Transport Layer Security). Cipher Suite inilah serangkaian intruksi tentang pengamanan jaringan.

Dengan demikian cipher suite ini menyediakan informasi penting tentang bagaimana cara mengkomunikasikan data yang secure pada saat menggunakan HTTPS, FTPS, SMTP dan protokol lainnya.

Cipher suites ini diawali dengan handshake (jabat tangan). Selama handshake user mencoba menhubungi server menggunakn clienthello dan serverhello, dan memungkinkan bertukar informasi tentang cipher suites. 

Kemudian server akan membandingkan cipher suite yang cocok/mendukung. Jika cocok maka server akan memberi tahun klien bahwa koneksi entablished, jika tidak cocok maka server akan refuses(menolak) koneksi.



Singkatnya, website Anda menggunakan cipher suites untuk menentukan ...
  •       Seberapa aman itu
  •       Siapa yang bisa melihatnya
  •       Seberapa cepat user dapat mengakses website anda





Ada 4 komponen yang membentuk Cipher suites :

1.   Key Exchange Algorithm(RSA, DH, ECDH, DHE, ECDHE, PSK)
Untuk jaminan dari confidentiality selama pengiriman data melalui Secure File Transfer Protokol yang berbeda seperti SFTP & HTTPS, data harus dienkripsi. 

Proses ini mensyaratkan bahwa kedua pihak yang berkomunikasi memiliki kunci bersama untuk mengenkripsi dan mendekripsi data. Jenis skema enkripsi ini dikenal sebagai symentric encryption.

2.   Authentication Algorithm(RSA, DSA dan ECDSA)
Untuk memastikan transfer data yang benar dan aman, web server perlu memverifikasi identitas pengguna yang menerima data. Biasanya, proses ini melibatkan pengguna memasukkan serangkaian kredensial termasuk nama pengguna dan password. 

Untuk memfasilitasi proses otentikasi ini, cipher suites menggunakan algoritma otentikasi seperti RSA, DSA dan ECDSA.

3.   Bulk Data Encryption
Untuk memastikan transfer data yang aman, cipher suites dilengkapi dengan algoritma Bulk data encryption. AES, 3DES dan CAMELLA adalah beberapa algoritma yang paling umum dalam kategori ini. 

Seperti dicatat oleh Microsoft, Bulk Data Encryption dihasilkan dengan hashing salah satu kunci MAC menggunakan CryptHashSessionKey bersama dengan isi pesan dan data lainnya.

4.   Message Authentication Code (MAC) Algorithm
Algoritma Message Authentication Code (MAC) adalah sepotong informasi yang dikirim bersama dengan konten pesan untuk tujuan otentikasi pesan. Pengirim dan penerima berbagi kunci umum agar algoritma MAC bisa berfungsi.

Tetapi metode ini memiliki kelemahan: metode ini tidak dapat melindungi terhadap perubahan kode otentikasi yang disengaja. 

Di kasus tertentu, penyusup dapat mengubah pesan, lalu menghitung checksum baru dan akhirnya mengganti checksum yang asli dengan value baru. 

Algoritma cyclic redundancy check (CRC) biasa dapat membantu, tetapi ini berguna untuk mendeteksi hanya bagian pesan yang rusak secara acak dan bukan perubahan yang disengaja yang dibuat oleh attacker. 

Beberapa contoh paling umum dari algoritma ini adalah SHA dan MD5.









Example Cipher Suites

Bisa disimpulkan :
  • TLS : mendefinisikan protokolnya
  • ECDHE : mendefinisikan algoritma pertukaran kunci (Elliptic curve Diffie-Hellman, ephemeral)
  • ECDSA : mendefinisikan algoritma autentikasi (Elliptic Curve Digital Signature Algorithm) sertifikat otoritas menggunakan kunci ini unutk menandatangani public key. Contohnya yang digunakan pada Bitcoin.
  • WITH_AES_256_GCM : ini digunakan untuk mengenkripsi aliran pesan (AES = Advanced Encryption Standard, GCM = Galois/Counter Mode) angka 256 ini mengindikasi ukuran bloknya.
  • SHA384 : ini adalah yang disebut message authentication code(MAC) algorithm. SHA= Secure Hash Alghorith. Ini digunakan unutk hash dari blok aliran pesan. Ini dapat digunakan unutk validasi jika konten pesan telah diubah. Angka 384 mengindikasi ukuran hash(lebih besar lebih baik)


Diamana SSL/TSL Cipher suite digunakan?

Cipher suite digunakan dalam koneksi jaringan yang diamankan oleh SSL / TLS. Itu artinya, protokol jaringan seperti HTTPS, FTPS, WebDAVS, AS2, POP3, IMAP, dan SMTP, semuanya menggunakan cipher suites




Bagaimana cara mengetahui cipher suites apa yang digunakan server web Anda?


Anda bisa menggunakan Qualyss SSL Test untuk menentukan cipher suites apa yang mendukung webserver anda.









Dec 28, 2019

Pentingkah Confidentiality, Integrity dan Availability?





Bismillah…
Bicara mengenai Keamanan…
Rasa aman termasuk nikmat yang amatlah besar yang Allah subhanahu wa ta’ala berikan.. Hendaklah kita selalu bersyukur.. Karena nikmat ini ada pada diri kita, dimana ada tiga pokok kenikmatan yaitu sehat, aman dan ada makanan.
Terlebih masih banyak nikmat Allah yang barangkali tidak terpikir dalam diri kita bahwa itu nikmat.. karena sudah seringkali merasakannya, sehingga terkadang kita melupakan bahwa itu adalah bagian dari nikmat.
Nikmat ketika melakukan aktivitas tanpa gangguan…
Nikmat ketika beribadah…
Nikmat ketika data/file kita aman…
Sungguh ini termasuk nikmat yang luar biasa jikalau kita selalu mensyukurinya…
Coba kita renungkan bagaimana hidup di lingkungan yang tak bisa menimbulkan rasa aman,
Beranjak ke topik pembahasan.. Security.. Rasa takut yang ditimbulkan jika ada data – data yang hilang, rusak dan pasti ini berhubungan dengan aspek yang namanya C.I.A 
Confidentiality… Integrity… Availability…
Seseorang professional di dalam bidang Security akan berupaya untuk fokus mencapai dan melindungi tiga hal pokok yang menjadi prinsip dasar pada security (Confidentiality, Integrity, Availability).
Mari kita bahas sedikit prinsip dasar tersebut secara perlahan
1. Confidentiality..
Istilah lainnya privasi, Privasi dalam hal ini yaitu rahasia… hal yang berhubungan dengan data2/informasi yang sifatnya sensitif atau dengan kata lain jika didalam perusahaan yang memiliki kebijakan tertentu yang membatasi hak akses informasi ke karyawannya seperti hanya beberapa staf f berwewenang yang bisa melihat data perusahaan. Bahasa kasarnya data saya tidak ingin disebarkan ke orang lain!
Data adalah harta yang mesti kita jaga agar tidak dicuri…
Atau… bencana yang besar bisa terjadi…. 
Maka dari itu ada beberapa cara yang digunakan untuk tercapainya aspek confidentiality salah satunya yaitu menerapkan enkripsi… apa itu enkripsi?
Enkripsi ini merupakan teknik untuk mengubah Data/file yang awalnya bisa kita mengerti, baca, atau istilah lainnnya Plaintext  menjadi bentuk yang susah dimengerti atau ciphertext. Untuk ngebuka data yang dienkripsi harus punya Key… (baca disini.. https://id.wikipedia.org/wiki/Kunci_(kriptografi))
2. Confidentiality..
Istilah lainnya data ga boleh dirubah… oleh orang yang tidak memiliki izin dan kontrol akses untuk menjaga validitas data terjaga dan memastikan kondisi data benar adanya tanpa adanya perubahan yang disengaja.
Dalam mekanisme ini untuk memproteksi intergritas data dinamakan Hashing.
Ada beberapa metode hashing diataranya :
3. Availability..
Atau ketersediaan, dalam kata lain memastikan sumber daya dapat diakses kapanpun oleh user  dengan membuat cadangan untuk mengantisipasi rusaknya sistem yang disebabkan oleh faktor kesengajaan seperti serangan DoS, Malware, attack dari hacker dan jikalau disebabkan oleh faktor ketidak senganjaan seperti rusak, korsleting listrik, bencana alam dlsb.
Dalam hal ini untuk mencapai aspek availability yaitu organisasi/perusahaan bisa menerapkan :
  • Disaster recovery plan (cadangan resource)
  • Redundant hardware
  • RAID (Redundant Array of Independent Disks) (ganti (baca https://id.wikipedia.org/wiki/RAID)
  • Data Backup (paling penting)