Keamanan Data dan Jaringan Komputer

1. Keamanan Data dan Jaringan Komputer Pertemuan 3 Keamanan Sistem Operasi 1

2. Keamanan Sistem Operasi • Cara populer untuk melindungi sistem operasi komputer: • Menggunakan UserID/Password • Kelemahan/keunggulan? • Screen Pattern • Kelemahan/Keunggulan • Ada lagi?

3. 2 Langkah Proses Login Identifikasi: proses untuk memberitahu kepada sistem oprrasi jika user akan login Otentikasi: proses untuk membuktikan bahwa legitimate user tersebut berhak login Keamanan Data dan Jaringan Komputer STIS 3

4. Identifikasi dan Otentikasi Ada 3 cara untuk identifikasi dan otentikasi: • Sesuatu yang kita tahu, misalnya password, PIN secara teori, yang mengetahui password adalah pemiliknya sendiri, namun dalam prakteknya terdapat beberapa permasalahan: • diberikan ke orang lain lalu orang lain itu memberitahukan ke orang lain • dicuri orang lain • dituliskan di suatu tempat • terlalu mudah ditebak

5. Identifikasi dan Otentikasi • Sesuatu yang kita miliki, misalnya ID Card, security token, kunci • Secara teori, yang punya kunci adalah pemilik. • Masalahnya: • Kunci hilang atau dipinjam ke seseorang lalu diduplikasi • Sesuatu yang ada di tubuh kita, misalnya fingerprint, signature, voice Saat ini yang masih paling sering digunakan untuk identifikasi dan otentikasi adalah account dan password

6. Tipe Penyerangan terhadap Password • Brute Force • Mencoba segala kombinasi huruf dan angka (trial and error) • Dictionary based • Dengan bantuan file yang berisi daftar password-password yang sering dipakai orang • Password sniffing • Menyadap data yang lewat di jaringan komputer • Social Engineering • Menyadap pembicaraan orang • Membuat agar orang menyebutkan passwordnya

7. Petunjuk Proteksi terhadap Password • Jangan biarkan user/account tanpa password • Jangan biarkan password awal yang berasal dari sistem operasi • Jangan menuliskan password • Jangan mengetik password, selagi diawasi • Jangan mengirim password secara online • Segera ubah bila password kita bocor • Jangan menggunakan password sebelumnya

8. Memilih Password yang "baik" • Pilih yang sukar ditebak dan mudah diingat • Jangan menggunakan data pribadi, seperti nama, tanggal lahir, no. telepon • Pilih password yang panjang, minimal 8 karakter • Gunakan gabungan antara huruf, angka dan spesial karakter. Jangan semuanya angka atau huruf • Bedakan password antar host yang satu dengan yang lain • Jangan menggunakan password sebelumnya • Hati-hati dengan penggunaan kata dalam bahasa Inggris sebagai password • Boleh juga menggunakan kata-kata yang tidak ada artinya, misalnya: s1(z/a%zo2

9. Pengontrolan terhadap UserID/Password • Membatasi kesalahan gagal login • Periode waktu login setiap user dibatasi • Munculkan pesan login terakhir • Munculkan pesan kapan terakhir gagal login • User dapat merubah password • Password disediakan oleh suatu sistem • Password diberi batas waktu • Panjang minimum suatu password harus ditentukan

10. Sniffer machine Target machine Target machine Target machine Network Hub 192.168.0.101 192.168.0.20 192.168.0.30 Password Sniffing

11. Password Sniffing (2)

12. Pencegahan Password Sniffing • Gunakan switch (jangan hub) • Gunakan aplikasi yang mendukung enkripsi • VPN

13. Pencegahan Social Engineering • Perlunya pelatihan dan pendidikan bagi user dalam masalah keamanan komputer

14. Analisis untuk Password Breaking

15. Access Control • Sekali user login ke sistem, maka user tersebut diberikan otorisasi untuk mengakses sumber daya sistem, misalnya file, directory, dll Yang perlu diperhatikan adalah: • Siapa saja yang boleh membaca isi file kita • Siapa saja yang boleh merubah isi file kita • Bolehkah file kita di-share ke user lain

16. Access Control (2) Ada 3 tipe dasar pengaksesan file • Read (r) • Write (w) • Execute (x)

17. Metode Ownership • Pembuat file adalah pemilik file • Id pembuat file disimpan • Hanya pemilik yang dapat mengakses file miliknya • Administrator dapat mengakses juga

18. Metode File Types • File akan didefinisikan sebagai public file, semipublic file atau private file • Public file -> semua user mempunyai hak penuh (rwx) • Semi public file -> user lain hanya mempunyak hak read execute(rx) • Private file -> user lain tidak punya hak

19. Metode Self/Group/Public Controls • Disebut juga user/group/other user – pemilik file group – sekelompok user other – user yang tidak termasuk di atas • Setiap file/directory memiliki sekumpulan bit-bit yang disebut file permissions/ Protection mode • Tipe proteksi untuk file: r -> hak untuk membaca file w -> hak untuk menulis ke file x -> hak untuk menjalankan file - -> tidak mempunyai hak • Tipe proteksi untuk directory: r -> hak untuk membaca Isi directory w -> hak untuk membuat dan menghapus file x -> hak untuk masuk ke directory - -> tidak mempunyai hak

20. Metode Self/Group/Public Controls Contoh: -rwxrw-r-- 1 budi staff 81904 nov 7 13:25 program.c -rwx rw- r-- U G O • Tanda (–) menunjukkan bahwa user tidak punya hak • Abaikan tanda (-) pertama • Pemilik file (budi) mempunyai hak rwx • Anggota group staff mempunyai hak rw • User lainnya hanya mempunyai hak r

21. Metode Access Control List • Berisi daftar users dan groups dengan haknya masing-masing. • Contoh: file penggajian.exe diberi ACL <john.akun,r> <jane.pengj,rw> <*.persn,r>

22. Diskusi Diskusikan berbagai aspek tentang keamanan sistem operasi Windows 7