Physical Security

     Faktor yang perlu dipertimbangkan Physical Security

1.  Faktor lingkungan

kebakaran, banjir, embun, suhu, listrik, gempa bumi dan bentuk-bentuk bencana alam lainnya

2.  Faktor manusia

Sering kali eksploitasi dilakukan oleh orang dalam, Digunakan teknologi biometric, Biasanya digunakan sebagai otentikasi untuk masuk ke ruangan khusus, seperti ruang server, ruang komputer atau untuk mengakses suatu sistem.

3.   Faktor finansial 

Hal –hal penting yang diperlukan untuk membangun web server yang aman:

-  Mengerti tentang pembagian akses user ID.

 - Mengerti struktur  direktori server.

-  Membuat Script dan program CGI dengan aman.

-  Mengembangkan Strategi Password.

-  Mencatat semua aktivitas yang terjadi.

-  Waspadai kegiatan browser user.

-  Perhatikan HTTP dan Anonymous FTP.

-  Nonaktifkan servis-servis (daemon) yang tidak penting.

-  Perhatikan port-port yang terbuka.

Selengkapnya...

SIstem Keamanan Biometric

      Teknologi biometrics adalah teknologi keamanan yang menggunakan bagian tubuh sebagai identitas.

Biometric Identifier

1.  Wajah

Pemakaian wajah dalam biometrics sangat alami, karena umumnya manusia mengenali seseorang berdasarkan ciri wajah.  Karakteristik pemakaian wajah dalam biometrics sistem memiliki ciri antara lain sebagai berikut :

-  Mampu dikenali dari jarak yang relatif lebih jauh dibandingkan biometrics yang lain.

-  Tidak ada keharusan memakaikan satu piranti kepada orang yang akan diambil data wajah.

Akan tetapi pemakaian wajah dalam biometrics juga memiliki kelemahan antara lain:

-  Sulit mengidentifikasikan orang kembar.

-  Sangat dipengaruhi oleh iluminasi, perubahan wajah karena usia.

-  Timbulnya masalah perlindungan privasi  saat dipakai  di wilayah publik, karena publik langsung mengenali identitas orang tersebut.

2.  Iris

Tekstur iris manusia berasal dari proses chaotic morphogenetic selama perkembangan embrio, dan memiliki ciri yang mampu dipakai untuk identifikasi seseorang. Pemakaian iris dalam biometrics sistem memiliki ciri khas  sbb:

-  Akurasi tinggi.

-  Tidak memerlukan kontak dalam pengambilan data.

-  Tidak mudah dipalsukan.

-  Informasi iris relatif stabil, sehingga tidak diperlukan registrasi ulang.

Evaluasi terhadap performa Iris untuk biometrics terakhir diselenggarakan pada tahun 2006. Kompetisi yang dinamakan ICE 2006 (Iris Challenge Evaluation) oleh The National Institute of Standards and Technology (NIST). Algoritma yang diujikan berasal dari tiga vendor Sagem-Iridian, Iritech, dan Cambridge. Sampel yang diujikan sebanyak 59,558 (29,056 iris mata kanan dan 30,502 iris mata kiri) dari 240 subjects dengan 30 partisi untuk tiap mata. Hasil terbaik dicapai oleh Sagem-Iridian, dengan median FRR 0.012 pada FAR 0.001.

3.  Suara (voice)

Sistem biometrics yang memanfaatkan suara memiliki kelebihan bahwa perekaman suara seseorang tidak menyolok. Sistem biometrik yang berdasarkan suara juga satu-satunya yang dapat dipakai untuk proses pengenalan lewat telpon. Pengolahan suara dilakukan dengan melakukan ekstraksi fitur memakai berbagai metode seperti Fast Fourier Transform (FFT), Cepstrum. Selanjutnya proses matching dilakukan memakai berbagai metode statistik seperti Hidden Markov Model (HMM) atau Dynamic Programming (DP).  Tetapi kualitas suara seseorang sangat dipengaruhi oleh microphone, karakteristik digitizer, kesehatan, stress, emosi seseorang. Selain itu suara seseorang dapat ditirukan oleh orang lain. Faktor-faktor ini yang menyebabkan suara tidak tepat apabila dimanfaatkan dalam biometrics.

4.  Deoxyribo Nucleic Acid (DNA)

Deoxyribo Nucleic Acid (DNA) adalah data berdimensi satu, yang terdiri dari sekuens basa Adenin (A), Thiamin (T), Guanin (G), dan Cytosin (C). DNA tersimpan dalam nukleus sel, terdiri dari sekitar 3 milyar basa tersebar dalam 46 kromosom. DNA merupakan informasi yang sangat akurat sebagai alat identifikasi seseorang, tetapi memiliki beberapa kelemahan, antara lain:

-  kontaminasi & sensitifitas, yaitu mudah untuk mencuri DNA seseorang yang sebenarnya tidak bersalah, tetapi kemudian dapat dimanfaatkan untuk tujuan yang tidak dikehendaki.

-  memerlukan proses kimia dan keterlibatan seorang ahli untuk mengekstrak karakteristik DNA  seseorang, sehingga tidak dapat untuk sebuah automatic real-time sistem.

-  masalah privasi; dari kode genetik seseorang dapat diketahui kecenderungan seseorang mudah tidaknya terkena sebuah penyakit, dan hal ini berpotensi untuk disalahgunakan, misalnya diskriminasi.

5.  Sidik Jari (Fingerprint)

Berbagai peninggalan purbakala memperlihatkan bahwa sejak dahulu, telah diketahui bahwa sidik jari yang dimiliki seseorang berbeda dengan orang lain. Di beberapa batu terpahat pola sidik jari yang berusia ribuan tahun sebelum Masehi. Tetapi,  kajian ilmiah mengenai inividuality dari biometrics baru dilakukan pertamakali pada abad 16.  Publikasi ilmiah tertua tercatat dilakukan oleh Nehemiah Grew, pada tahun 1684, yang membahas secara sistematis struktur sidik jari, meliputi ridge, furrow dan pore.  Pada tahun 1880, Henry Fauld  menyampaikan presentasi ilmiah yang membahas mengenai keunikan sidik jari berdasarkan observasi secara empiris. Sedangkan Sir Francis Galton pada tahun 1892 memperkenalkan minutiae sebagai dasar untuk melakukan proses matching.Sebuah sidik jari dapat direpresentasikan dengan berbagai cara, misalnya citra, minutiae, dan sebagainya. Agar dapat dipakai dalam proses matching, representasi sebuah fingerprint tersebut harus memenuhi dua syarat :

-  Saliency - sidik jari harus memiliki informasi yang cukup memadai sehingga dapat dipakai untuk membedakan sidik jari seseorang dengan yang lain.

-  Suitability - sidik jari harus mudah diekstrak, compact, sehingga dapat disimpan untuk proses matching.

Pola sidik jari dapat dibagi menjadi tiga: loop, whorl dan arch. Pola loop paling banyak, yaitu sekitar 65%, whorl sekitar 30% dan arch sekitar 5%.  Dari pola sidik jari tsb. Informasi yang diperlukan dapat diperoleh dengan mengekstrak minutiae.  Arti minutiae adalah detail kecil. Minutiae pada sidik jari adalah titik dimana sebuah ridge (bukit) diskontinu (putus). The American National Standards Institute (ANSI) pada tahun 1986 mengusulkan taksonomi berdasarkan 4 kelas: terminations,bifurcations, trifurcations (atau crossovers) dan undetermined. Berbeda dengan ANSI, FBI menetapkan model koordinat minutiae hanya berdasarkan termination dan bifurcations, yaitu tiap minutia dinotasikasikan berdasarkan class, koordinat x dan y, dan sudut yang dibentuk oleh garis ridge dan sumbu horizontal pada titik minutia tersebut .

Dalam proses matching, untuk menyatakan bahwa dua buah sidik jari berasal dari jari yang sama harus dipenuhi syarat-syarat sbb.

-  kesesuaian konfigurasi pola global antara kedua buah sidik jari.

-  kesesuaian kualitatif (qualitative concordance), yaitu minutiae yang bersesuaian harus identik.

-  faktor kuantitatif, yaitu banyaknya minutiae bersesuaian yang ditemukan harus memenuhi syarat minimal (guideline forensik di AS mensyaratkan minimal 12 minutiae).

-  detail minute yang bersesuaian harus identik.

Teknik matching sidik jari yang dikembangkan sangat beragam, dan dapat dikategorisasikan ke dalam 3 tipe:

-  Correlation-based matching

Proses matching dilakukan berdasarkan perbandingan antar pixel dari kedua citra sidik jari, dilakukan dengan mencoba berbagai penyelarasan (alignment) kedua citra.

-  Minutiae-based matching

Teknik kedua adalah yang paling populer dilakukan, dimana proses matching dilakukan berdasarkan perbandingan minutiae yang diekstrak dari kedua sidik jari, yang dilakukan dengan mencoba berbagai penyelarasan (alignment) kedua citra.

-  Ridge feature-based matching

Apabila kualitas citra sidik jari sangat rendah, proses ektraksi minutiae sangat sulit dilakukan. Sebagai gantinya, pola ridge (orientasi lokal, frekuensi, bentuk dan tekstur) pada sidik jari yang diekstrak dan dipakai dalam proses matching.

Pemanfaatan fingerprint sebagai alat identifikasi telah diuji sejak lama, dan standardisasi maupun evaluasinya telah jauh lebih maju dibandingkan dengan biometrics yang lain.

6.  Retina Mata

-  Setiap manusia memiliki pola retina yang unik.

-  Menggunakan sinar infra merah.

-  Pengukuran dilakukan intensitas cahaya dari pembuluh darah pada retina.

-  Sangat terpercaya, tetapi kurang diterima.

-  Ditakutkan membutakan mata.

7.  TELAPAK TANGAN

-  Setiap manusia memiliki pola telapak tangan yang unik.

-  Pemeriksaan dilakukan pada guratan tangan.

-  Luka, bengkak dan pemakaian cincin pada tangan dapat mempengaruhi sistem ini.

8.  POLA TANDATANGAN

-  Setiap manusia memiliki pola tandatangan yang unik.

-  Menggunakan pad dan pen biometric yang dihubungkan ke computer.

-  Tandatangan dikonversi ke dalam bentuk signal digital.

-  Tekanan pen pada saat tandatangan dapat mempengaruhi bentuk signal digital.

9.  POLA KETIKAN (Tambahan)

-  Setiap manusia memiliki pola atau ritme mengetik.

- Sistem memberikan sebuah kalimat untuk kita ketik.

-  Pola dan ritme mengetik yang kita lakukan akan dibandingkan dengan pola yang telah tersimpan.

Selengkapnya...

Serangan pada sistem keamanan

      Beberapa Macam Serangan:

1.  Intrusion Detection Sistem (disingkat IDS) adalah sebuah aplikasi perangkat lunak atau perangkat keras yang dapat mendeteksi aktivitas yang mencurigakan dalam sebuah sistem atau jaringan. IDS dapat melakukan inspeksi terhadap lalu lintas inbound dan outbound dalam sebuah sistem atau jaringan, melakukan analisis dan mencari bukti dari percobaan intrusi (penyusupan).

Ada Dua Jenis IDS yaitu:

-  Network-based Intrusion Detection Sistem (NIDS): Semua lalu lintas yang mengalir ke sebuah jaringan akan dianalisis untuk mencari apakah ada percobaan serangan atau penyusupan ke dalam sistem jaringan. NIDS umumnya terletak di dalam segmen jaringan penting di mana server berada atau terdapat pada "pintu masuk" jaringan.

-  Host-based Intrusion Detection Sistem (HIDS): Aktivitas sebuah host jaringan individual akan dipantau apakah terjadi sebuah percobaan serangan atau penyusupan ke dalamnya atau tidak. HIDS seringnya diletakkan pada server-server kritis di jaringan, seperti halnya firewall, web server, atau server yang terkoneksi ke Internet.

2.  Brute Force adalah sebuah teknik serangan terhadap sebuah sistem keamanan komputer yang menggunakan percobaan terhadap semua kunci yang mungkin. Pendekatan ini pada awalnya merujuk pada sebuah program komputer yang mengandalkan kekuatan pemrosesan komputer dibandingkan kecerdasan manusia. Teknik yang paling banyak digunakan untuk memecahkan password, kunci, kode atau kombinasi. Cara kerja metode ini sangat sederhana yaitu mencoba semua kombinasi yang mungkin.

3.  Injeksi SQL adalah sebuah teknik yang menyalahgunakan sebuah celah keamanan yang terjadi dalam lapisan basis data sebuah aplikasi. Celah ini terjadi ketika masukan pengguna tidak disaring secara benar dari karakter-karakter pelolos bentukan string yang diimbuhkan dalam pernyataan SQL atau masukan pengguna tidak bertipe kuat dan karenanya dijalankan tidak sesuai harapan. Teknik manipulasi database, tanpa perlu mempunyai account, dan Blind injection adalah serangan melalui jalur query pada alamat browser.

4.  Dictionary based adalah merupakan bantuan file yang berisi daftar password-password yang sering dipakai orang .

5.  Password Sniffing adalah penggunaan suatu sniffer untuk menangkap password ketika mereka lintas jaringan. Jaringan dapat berupa jaringan area lokal, atau Internet itu sendiri. Para sniffer bisa hardware atau software. Kebanyakan sniffers bersifat pasif dan hanya login password.

6.  Social engineering adalah pemerolehan informasi atau maklumat rahasia/sensitif dengan cara menipu pemilik informasi tersebut. Social engineering umumnya dilakukan melalui telepon atau Internet. Social engineering merupakan salah satu metode yang digunakan oleh hacker untuk memperoleh informasi tentang targetnya, dengan cara meminta informasi itu langsung kepada korban atau pihak lain yang mempunyai informasi itu.

Selengkapnya...

Database

     Database merupakan sekumpulan data yang disimpan dan harus di control dan di atur dengan baik yang berisi suatu informasi yang sangat penting.

Langkah-langkah dalam mengamankan database:

1.  Database server harus dikonfigurasi dengan benar, baik database enginenya maupun infrastrukturnya .

2.  Pemberian otoritas user harus sesuai dengan kebutuhan aplikasi.

3.  Sebaiknya password database tidak diberikan kepada user.

4.  Hanya diperbolehkan untuk mengakses data yang diperlukan saja .

5.  Jangan menggunakan user root, sistem atau selevelnya pada aplikasi untuk mengakses database server.

6.  Jangan pernah user root atau selevelnya tanpa password.

Kontrol-kontrol yang digunakan untuk mengamankan database:

1.  Theft and fraud

Kontrol : membatasi hak akses bagi user dan memberikan proteksi pada database.

2.  Loss of confidentiality (secrecy)

Kontrol : sebuah data yang sangat penting dan hanya orang yang bersangkutan yang boleh mengetahuinya (contoh : password dan nomor kartu kredit) harus ditangani oleh mesin dan harus dienkripsi terlebih dahulu.

3.  Loss of privacy

Kontrol : sebuah data yang amat penting (contoh : cookies) tidak boleh diberikan kepada orang lain tanpa persetujuan orang yang bersangkutan.

4.  Loss of integrity

Kontrol : Setiap data yang dikirim dan diterima perlu adanya rekaman log agar data yang diterima dan dikirim sama.

5.  Loss of availability

Kontrol : sebelum memberikan informasi (apalagi yang penting) kepada database maka perlu adanya konfirmasi ulang (untuk memastikan bahwa si pengirim informasi benar-benar yakin).

Selengkapnya...

Aspek keamanan Informasi

      Aspek-Aspek Keamanan Informasi

1.  Identification  - Sistem informasi memiliki karakteristik identifikasi jika bisa mengenali individu pengguna. Identifikasi adalah langkah pertama dalam memperoleh hak akses ke informasi yang diamankan. Identifikasi secara umum dilakukan dalam penggunaan user name atau user ID.

2.  Authentication - Autentikasi terjadi pada saat sistem dapat membuktikan bahwa pengguna memang benar-benar orang yang memiliki identitas yang mereka klaim.

3.  Integritas - aspek yang menjamin bahwa data tidak dirubah tanpa ada ijin fihak yang berwenang (authorized), menjaga keakuratan dan keutuhan informasi serta metode prosesnya untuk menjamin aspek ini.

4.  otorisasi, pemberian hak/kewenangan kepada entitas lain di dalam sistem.

5.  kontrol akses, pembatasan akses terhadap entitas di dalam sistem.

6.  privasi/kerahasiaan, menjaga kerahasiaan informasi dari semua pihak, kecuali yang memiliki kewenangan.

7.  tanda tangan, mengesahkan suatu informasi menjadi satu kesatuan di bawah suatu otoritas.

8.  validasi, pengecekan keabsahan suatu otorisasi.

9.  sertifikasi, pengesahan/pemberian kuasa suatu informasi kepada entitas yang terpercaya.

10.  pencatatan waktu, mencatat waktu pembuatan atau keberadaan suatu informasi di dalam sistem.

11. persaksian, memverifikasi pembuatan dan keberadaan suatu informasi di dalam sistem bukan oleh  pembuatnya.

12. tanda terima, pemberitahuan bahwa informasi telah diterima.

13. konfirmasi, pemberitahuan bahwa suatu layanan informasi telah tersedia.

14. kepemilikan, menyediakan suatu entitas dengan sah untuk menggunakan atau mengirimkan kepada      pihak lain.

15. anonimitas, menyamarkan identitas dari entitas terkait dalam suatu proses transaksi.

      16.  penarikan, penarikan kembali suatu sertifikat atau otoritas. Selengkapnya...

Virus

      Virus Adalah suatu program computer yang umumnya dapat merusak perangkat lunak komputer dan tidak dapat secara langsung merusak perangkat keras komputer dengan cara memuat program yang memaksa over process ke perangkat tertentu misalnya VGA, Memory bahkan Procesor dan  pada sistem operasi. Efek negatif virus computer Adalah menduplikasi atau menggandakan diri dengan menyisipkan kopian atau salinan dirinya ke dalam media penyimpanan / dokumen serta ke dalam jaringan secara diam-diam tanpa sepengetahuan pengguna komputer tersebut.

Jenis-Jenis Virus Komputer:

ð  Worm - Menduplikatkan dirinya sendiri pada harddisk. Ini membuat sumber daya komputer (Harddisk) menjadi penuh akan worm itu.

ð  Trojan - Mengambil data pada komputer yang telah terinfeksi dan mengirimkannya pada pembuat trojan itu sendiri.

ð  Hacking - merupakan serangan langsung dari hacker terhadap komputer pengguna yang mengakses laman internet tertentu, dengan atau tanpa program bantuan yang telah disisipkan di komputer pengguna.

ð  Backdoor - Hampir sama dengan trojan. Namun, Backdoor bisanya menyerupai file yang baik-baik saja. Misalnya game.

ð  Spyware - Virus yang memantau komputer yang terinfeksi.

ð  Rogue dan Ransomware - merupakan program yang meniru program antivirus dan menampilkan aktivitas layaknya antivirus normal, dan memberikan peringatan-peringatan palsu tentang adanya virus. Tujuannya adalah agar pengguna membeli dan mengaktivasi program antivirus palsu itu dan mendatangkan uang bagi pembuat virus rogue tersebut.

ð  Rootkit - Virus yang bekerja menyerupai kerja sistem komputer yang biasa saja.

ð  Polymorphic Virus Virus yang gemar beubah-ubah agar tidak dapat terdeteksi.

ð  Virus Telepon Seluler - merupakan virus yang khusus berjalan di telepon seluler, dan dapat menimbulkan berbagai macam efek, mulai dari merusak telepon seluler, mencuri data-data di dalam telepon seluler, sampai membuat panggilan-panggilan diam-diam dan menghabiskan pulsa pengguna telepon seluler.

ð  Spam - Spam adalah sejenis komersial email yang menjadi sampah mail (junkmail).

Selengkapnya...

keamanan sistem informasi

Aspek keamanan informasi adalah aspek-aspek yang dilingkupi dan melingkupi keamanan informasi dalam sebuah sistem informasi. Aspek-aspek ini adalah :

privasi/kerahasiaan, menjaga kerahasiaan informasi dari semua pihak, kecuali yang memiliki kewenangan;
integritas, meyakinkan bahwa data tidak mengalami perubahan oleh yang tidak berhak atau oleh suatu hal lain yang tidak diketahui (misalnya buruknya transmisi data);

otentikasi/identifikasi, pengecekan terhadap identitas suatu entitas, bisa berupa orang, kartu kredit atau mesin;
tanda tangan, mengesahkan suatu informasi menjadi satu kesatuan di bawah suatu otoritas;
otorisasi, pemberian hak/kewenangan kepada entitas lain di dalam sistem;
validasi, pengecekan keabsahan suatu otorisasi;

kontrol akses, pembatasan akses terhadap entitas di dalam sistem;

sertifikasi, pengesahan/pemberian kuasa suatu informasi kepada entitas yang terpercaya;

pencatatan waktu, mencatat waktu pembuatan atau keberadaan suatu informasi di dalam sistem;

persaksian, memverifikasi pembuatan dan keberadaan suatu informasi di dalam sistem bukan oleh pembuatnya
tanda terima, pemberitahuan bahwa informasi telah diterima;

konfirmasi, pemberitahuan bahwa suatu layanan informasi telah tersedia;

kepemilikan, menyediakan suatu entitas dengan sah untuk menggunakan atau mengirimkan kepada pihak lain;

anonimitas, menyamarkan identitas dari entitas terkait dalam suatu proses transaksi;

nirpenyangkalan, mencegah penyangkalan dari suatu entitas atas kesepakatan atau perbuatan yang sudah dibuat;

penarikan, penarikan kembali suatu sertifikat atau otoritas. Selengkapnya...