Jumat, 24 April 2009

Keamanan Word Wide Web pertemuan_6

Penjelasan Singkat Tentang WWW
Sering disingkat sebagai WWW atau web saja, yakni sebuah sistem dimana informasi dalam bentuk teks, gambar, suara, dan lain-lain dipresentasikan dalam bentuk hypertext dan dapat diakses oleh perangkat lunak yang disebut browser. Informasi di web pada umumnya ditulis dalam format HTML. Informasi lainnya disajikan dalam bentuk grafis (dalam format GIF, JPG, PNG), suara (dalam format AU, WAV), dan objek multimedia lainnya (seperti MIDI, Shockwave, Quicktime Movie, 3D World). WWW dijalankan dalam server yang disebut HTTPD.
WWW Adalah fasilitas internet yang menghubungkan dokumen dalam lingkup lokal maupun jarak jauh. Dokumen Web disebut Web Page dan link dalam Web menyebabkan user bisa pindah dari satu page ke page lain (hyper text), baik antar page yang disimpan dalam server yang sama maupun server diseluruh dunia. Pages diakses dan dibaca melalui Web Browser seperti Netscape Navigator atau Internet Explorer.
Web menjadi pusat kegiatan internet karena Web Pages yang berisi text dan grafik mudah diakses melalui Web Browser, Web menyediakan interface bagi jaringan informasi online terbesar di dunia, dan jumlah informasi ini terus bertambah dengan pesat.
Web juga menjadi sistem pengiriman multimedia, karena fitur browser dan browser plug-in extension yang terus bermunculan menyediakan peluang untuk suara, gambar, telepon, animasi 3D dan videoconferencing melalui Net.
Browser terbaru juga mengerti bahasa Java yang memungkinkan down load semua aplikasi untuk di-run secara lokal. Dasar format Web adalah dokumen text yang digabung dengan HTML yang bisa mengatur format page serta Hypertext Link (URL) ke page lain. Kode HTML yang umum adalah karakter alfanumerik yang dapat diketik dengan text editor atau world processor. Banyak program terbitan Web yang menyertakan interfage grafis untuk kreasi Web Page dan membuat kode dengan otomatis.
Banyak word processor dan program-program yang mengalihkan dokumen ke format HTML. Oleh karena itu Web Pages dapat dibuat oleh user tanpa harus mempelajari sistem pengkodean. Kemudahan kreasi membantu cepatnya pertumbuhan Web.
World Wide Web dirancang oleh tim Berners-Lee dan staf ahli di laboratorium CERN di Jenewa Swiss tahun 1991.

Cara Mengamankan Sistem Informasi
Pada umunya, pengamanan dapat dikategorikan menjadi dua jenis: pencegahan (preventif) dan pengobatan (recovery). Usaha pencegahan dilakukan agar sistem informasi tidak memiliki lubang keamanan, sementara usaha-usaha pengobatan dilakukan apabila lubang keamanan sudah dieksploitasi.

Mengatur akses (Access Control)
Salah satu cara yang umum digunakan untuk mengamankan informasi adalah dengan mengatur akses ke informasi melalui mekanisme “authentication” dan “access control”. Implementasi dari mekanisme ini antara lain dengan menggunakan “password”.

Menutup servis yang tidak digunakan
Seringkali sistem (perangkat keras dan/atau perangkat lunak) diberikan dengan beberapa servis dijalankan sebagai default. Sebagai contoh, pada sistem UNIX servis-servis berikut sering dipasang dari vendornya: finger, telnet, ftp, smtp, pop, echo, dan seterusnya. Servis tersebut tidak semuanya dibutuhkan. Untuk mengamankan sistem, servis yang tidak diperlukan di server (komputer) tersebut sebaiknya dimatikan.

Memasang Proteksi
Untuk lebih meningkatkan keamanan sistem informasi, proteksi dapat ditambahkan. Proteksi ini dapat berupa filter (secara umum) dan yang lebih spesifik adalah firewall. Filter dapat digunakan untuk memfilter e-mail, informasi, akses, atau bahkan dalam level packet.

Firewall
Firewall merupakan sebuah perangkat yang diletakkan antara Internet dengan jaringan internal. Informasi yang keluar atau masuk harus melalui firewall ini. Tujuan utama dari firewall adalah untuk menjaga (prevent) agar akses (ke dalam maupun ke luar) dari orang yang tidak berwenang (unauthorized access) tidak dapat dilakukan.

Pemantau adanya serangan
Sistem pemantau (monitoring system) digunakan untuk mengetahui adanya tamu tak diundang (intruder) atau adanya serangan (attack). Nama lain dari sistem ini adalah “intruder detection system” (IDS). Sistem ini dapat memberitahu administrator melalui e-mail maupun melalui mekanisme lain seperti melalui pager.

Pemantau integritas system
Pemantau integritas sistem dijalankan secara berkala untuk menguji integratitas sistem. Salah satu contoh program yang umum digunakan di sistem UNIX adalah program Tripwire. Program paket Tripwire dapat digunakan untuk memantau adanya perubahan pada berkas.

Audit: Mengamati Berkas Log
Segala (sebagian besar) kegiatan penggunaan sistem dapat dicatat dalam berkas yang biasanya disebut “logfile” atau “log” saja. Berkas log ini sangat berguna untuk mengamati penyimpangan yang terjadi. Kegagalan untuk masuk ke sistem (login), misalnya, tersimpan di dalam berkas log. Untuk itu para administrator diwajibkan untuk rajin memelihara dan menganalisa berkas log yang dimilikinya

Backup secara rutin
Seringkali tamu tak diundang (intruder) masuk ke dalam sistem dan merusak sistem dengan menghapus berkas-berkas yang dapat ditemui. Jika intruder ini berhasil menjebol sistem dan masuk sebagai super user (administrator), maka ada kemungkinan dia dapat menghapus seluruh berkas.

Penggunaan Enkripsi untuk meningkatkan keamanan
Salah satau mekanisme untuk meningkatkan keamanan adalah dengan menggunakan teknologi enkripsi. Data-data yang anda kirimkan diubah sedemikian rupa sehingga tidak mudah disadap. Banyak servis di Internet yang masih menggunakan “plain text” untuk authentication, seperti penggunaan pasangan userid dan password. Informasi ini dapat dilihat dengan mudah oleh program penyadap atau pengendus (sniffer).

Keamanan Server WWW
Keamanan server WWW biasanya merupakan masalah dari seorang administrator. Dengan memasang server WWW di sistem anda, maka anda membuka akses (meskipun secara terbatas) kepada orang luar. Apabila server anda terhubung ke Internet dan memang server WWW anda disiapkan untuk publik, maka anda harus lebih berhati-hati sebab anda membuka pintu akses ke seluruh dunia.

Membatasi akses melalui Kontrol Akses
Sebagai penyedia informasi (dalam bentuk berkas-berkas), sering diinginkan pembatasan akses. Misalnya, diinginkan agar hanya orang-orang tertentu yang dapat mengakses berkas (informasi) tertentu. Pada prinsipnya ini adalah masalah kontrol akses.

Secure Socket Layer (SSL)
-Menggunakan enkripsi untuk mengamankan transmisi data
-Mulanya dikembangkan oleh Netscape Implementasi gratis pun tersedia
*openSSL
-Beberapa masalah dengan SSL
*ASN.1 compiler yang bermasalah menimbulkan masalah di beberapa implementasi
SSL

Proteksi halaman dengan menggunakan password
Salah satu mekanisme mengatur akses adalah dengan menggunakan pasangan userid (user identification) dan password. Untuk server Web yang berbasis Apache[6], akses ke sebuah halaman (atau sekumpulan berkas yang terletak di sebuah directory di sistem Unix) dapat diatur dengan menggunakan berkas “.htaccess”.
Mengetahui Jenis Server
Informasi tentang web server yang digunakan dapat dimanfaatkan oleh perusak untuk melancarkan serangan sesuai dengan tipe server dan operating system yang digunakan.

Keamanan Program CGI
Common Gateway Interface (CGI) digunakan untuk menghubungkan sistem WWW dengan software lain di server web. Adanya CGI memungkinkan hubungan interaktif antara user dan server web.
-CGI digunakan sebagai interface dengan
sistem informasi lainnya (gopher, WAIS)
-Diimplementasikan dengan berbagai bahasa
(perl, C, C++, python, dll.)
-Skrip CGI dijalankan di server sehingga
membuka potensi lubang keamanan

Lubang Keamanan CGI
Beberapa contoh
-CGI dipasang oleh orang yang tidak berhak
-CGI dijalankan berulang-ulang untuk menghabiskan
resources (CPU, disk): DoS
-Masalah setuid CGI di sistem UNIX, dimana CGI dijalankan
oleh userid web server
-Penyisipan karakter khusus untuk shell expansion
-Kelemahan ASP di sistem Windows
-Guestbook abuse dengan informasi sampah (pornografi)
-Akses ke database melalui perintah SQL (SQL injection)

Keamanan client WWW
Dalam bagian terdahulu dibahas masalah yang berhubungan dengan server WWW. Dalam bagian ini akan dibahas masalah-masalah yang berhubungan dengan keamanan client WWW, yaitu pemakai (pengunjung) biasa. Keamanan di sisi client biasanya berhubungan dengan masalah privacy dan penyisipan virus atau trojan horse.

Berhubungan dengan masalah privacy
-Cookies untuk tracking kemana saja browsing
-Pengiriman informasi pribadi

Attack (via active script, javascript, java)
-Pengiriman data-data komputer (program apa yang
terpasang, dsb.)
-DoS attack (buka windows banyak)
-Penyusupan virus, trojan horse, spyware

Tidak ada komentar:

Posting Komentar