Identifikasi dan Autentifikasi dalam Keamanan Komputer

IDENTIFIKASI DAN AUTENTIFIKASI

Pengungkapan sandi terenkripsi dapat menjadi perhatian.  Kemudian serangan kamus dapat dilakukan secara off-line dan tindakan perlindungan seperti membatasi jumlah gagalnya upaya untuk login. Untuk melindungi file password, kita harus memiliki :

·            Proteksi Kryptografi

·            Kotrol akses yang diterapkan oleh Sistem Operasi

·            Kombinasi dari proteksi Kryptografi dan control akses , mungkin dengan peningkatan lebih lanjut untuk memperlambat serangan kamus

Untuk perlindungan Kriptografi, kita tidak perlu algoritma enskripsi. Dapat dilakukan dengan fungsi satu arah. Untuk sekarang, dapat dilakukan dengan mengikuti definisi kerja.

Fungsi satu arah. Sebuah fungsi yang pada umumnya mudah untuk di hitung tapi secara siknifikan sulit untuk dibatalkan atau dimundurkan. Yaitu, x mudah di hitung f(x) nya, tapi f(x) sulit untuk menghitung x nya.

Bab 11 mempunya lebih banyak detil mengenai fungsi satu arah. Fungsi satu arah telah digunakan untuk melindungi password yang telah disimpan untuk beberapa waktu (Wilkes, 1968, pp. 91ff). selain password x, nilai F(x) disimpan di file password. Ketika seorang user log in dan menginputkan password, misalkan x’, system akan menerapkan fungsi satu arah f dan membandingkan f(x’) dengan nilai f(x). apabila nilainya sama, user telah terutentikasi. Jika f adalah sebuah fungsi satu arah yang seharusnya, tidak bisa merekonstruksi sebuah password x dari f(x). kita akan menggunakan password “terenskripsi” bahkan jika kita sedang menggunakan fungsi satu arah pada password.

File password tidak bisa dibaca karena serangan kamus off-line. Pada sebuah serangan kamus, penyerang “mengenskripsi” semua kata di kamus dan membandingkan hasilnya dengan entri terenskripsi di file password. Jika ditemukan kesamaan, penyerang mengetahui password user tersebut. Fungsi satu arah dapat dipilih untuk memperlambat serangan kamus. Pemahaman ini telah mengatur fungsi satu arus crypt(3) dulunya pada sistem Unix , yang mana mengulang dan memodifikasi algoritma DES 25kali, menggunakan semua blok adalah 0 sebagai nilai awal dan password sebagai kuci (Morris and Thompson, 1979). Tentu saja, terdapat sedikit performa untuk melegitimasi user pada login, tapi jika anda mengoptimasi funsi satu arah, untuk kecepatan, anda juga akan meningkatkan performa serangan kamus.

Mekanisma kontrol akses pada sistem operasi membatasi akses file dan sumber daya lain pada user menahan prioritas pribadi yang bersangkutan. Hanya kepada user prioritas yang dapat menulis akses untuk file password. Selain itu, seorang penyerang dapat mendapat akses ke data dari user, dengan hanya mengganti passwordnya, bahkan apabila mereka terproteksi oleh kriptografi. Apabila akses membaca dibatasi kepada user prioritas, kemudan password password pada teori dapat disimpan tanpa dienskripsi. Jika file password berisi informasi yang juga diperlukan oleh user yang tidak diprioritaskan, maka file password harus mengandung password yang terenskripsi. Bagaimanapun juga, sebuah file dapat tetap digunakan pada serangan kamus. Misalnya /etc/passwd pada Unix. Oleh karena itu, banyak versi dari Unix store password tidak terchiper pada file yang tidak dapat diakses secara public. Seperti shadow password files

Sebuah form yang lemah dalam proteksi baca di dukung oleh format simpan. Misalnya,Windows NT dulunya menyimpan password terenskripsi pada format binary. User yang tidak mengerti akan kalah tapi penyerang akan menerima atau menerima informasi yang diperlukan untuk mendeteksi lokasi dari data yang bersangkutan. Pada keadaan ini “keamanan oleh ketidaktahuan” tidaklah sangat kuat tapi dapat ditambahkan ke mekanisme lain seperti penenskripsian password

Bagaimanapun juga, bahaya dari retakan dari sebuah alat pertahanan dapat terhancurkan. Pada awal 1997, terdapat sebuah klaim bahwa keamanan password Windows NT telah rusak. Terdengar seangat serius bukan? Faktanya dibalik semuanya cerita tersebut merupakan pengumuman untuk sebuah program yang mengkonversi password terenskripsi dari format binary ke bentuk yang lebih bisa dibaca. Bukan masalah bsear setelah semuanya.

Jika anda khawatir mengenai serangan kamus tapi tidak bisa menyembunyikan file password, anda dapat mempertimbangkan password salting. Ketika sebuah password dienskripsi di penyimpana, informasi tambahan, salt-nya, tergantung pada password sebelum enskripsi. Salt kemudian disipman dengan password terenskripsi. Jika dua user mempunya password yang sama, mereka akan memiliki entri berbeda pada file dari password terenskripsi. Salting (penggaraman) memperlambat serangan kamus sehingga tidak lagi mungkin untuk mencari password dari user yang berbeda secara simultan.

Pelajaran

·                        Sebuah kombinasi dari mekanisme dapat meningkatkan proteksi. Enskripsi dan akses control digunakan untuk menjaga file-file password

·                        Keamanan oleh ketidaktahuan hanya meproteksi pengganngu, jangan terlalu percaya pada strategi

·                        Jika anda bisa, pisahkan data sekuritas yang relevan dari data yang harus tersedia untuk dibuka. Pada Unix, /etc/passwd berisi kedua tipe data tersebut. File Shadow password disimpan pada tempat yang terpisah

Single Sign-on

Password telah memisahkan teman dari musuh selama berabad-abad. Pada lingkungan IT, mereka mengkontrol akses ke computer, jaringan, program, file dsb. Sebagai seorang user, anda tidak akan menemukan kenyamanan jika anda harus memasukkan password lagidan lagi ketia browsing di internet hanya demi mencari sedikit informasi. Duduk pada tempat kerja dan memerlukan informasi dari database pada server ataujaringan, akankah lebih menyenangkan apabila anda harus :

·                     Menginputkan  sebuah password pertama pada tempat kerja

·                     Menginputkan password kedua untuk keluar dari jaringan

·                     Menginputkan password ketiga utnuk mengakses server

·                     Menginputkan password keempat untuk mengakses sistem manajemen database

·                     Menginputkan password kelima untuk membuka table pada database?

Lupakan semua masalah dari potensi mengingat kelima password dan memilih yang benar untuk tiap kegiatan. Harus menginputkan kembali password yang sama sebanyak lima kali sudah sangat buruk.

Layanan Single sign-on menjawab masalah ini. Anda menginputkan password sekali. Sistem menyipan password ini dan kemanapun anda harus mengautentifikasi anda lagi, sistem akan melakukannya untuk anda. Layanan Single sign-on akan menambah kenyamanan tapi juga meningkatkan masalah keamanan lainnya. Bagaimana anda melindungi password yang tersimpan? Beberapa teknik kriptografi tidak akan bekerja karena sistem sekarang memelukan password anda bersih.

Pelajaran

Pendesain sistem harus menyeimbangkan kenyamanan dan keamanan. Kemudahan penggunaan adalah factor penting pada pembuatan sistem IT. Sayangnya, banyak praktek yang nyaman tapi juga memperkenalkan kemudahan kemudahan baru. Ini bukan terakhir kalinya “sumpah dari kenyamanan” mengejar anda

Pendekatan Alternatif

Apabila anda tidak puas dengan level dari keamanan yang didukung oleh password, apa yang dapat anda lakukan? Pada pandangan umum, ada beberapa pilihan, sebagai user anda dapat terautentifikasi berdasarkan :

·                     Sesuatu yang anda tahu

·                     Sesuatu yang anda pegang

·                     Siapa anda

·                     Apa yang anda lakukan

·                     Dimana anda berada

Sesuatu yang anda tahu

User harus tahu beberapa rahasia untuk diautentifikasi. Anda telah melihat contoh pertama dari mode dari autentifikasi. Password adalah sesuatu yang anda tahu. Contoh lain adalah PIN, digunakan dengan kartu bank dan hal-hal yang serupa. Contoh ketiga, berdasarkan situasi ketika anda menggunakan telp mengenai akun bank anda. Pengetik akan berhadapan dengan telp anda mungkin akan bertanya kepada anda mengenai informasi pribadi yang lbeih seperti alamat rumah, tangal lahir, nama sebelum memeberikan informasi.

Pada mode autentifiasi ini, orang yang memiliki rahasia anda adalah anda. Selain itu anda harus tidak meninggalkan jejak jika anda memberikan rahasia anda ke orang lain. Ketika terdapat masalha komputerisasi pada organisasi anda dimana seseorang harus login menggunakan username dan password anda, dapatkah anda pembuktikan bahwa anda tidak bersalah? Dapatkah anda membuktikan bahwa anda tidak merahasakan password anda?

Sesuatu yang anda pegang

User harus menperlihatkan sesuatu untuk diautentifikasi. Kunci yang membuka kuncian adalah sesuatu yang anda pegang. Kartu atau tag identitas digunakan untuk akses control pada perusahaan adalah salah satu contohnya. Berdasarkan biaya manajemen password, perusahaan besar harus mulai memperkenalkan smart card untuk autentifikasi user.

Benda fisik dapat hilang atau dicuri. Seperti sebelumnya, semua orang yang pada posisi benda tersebut memiliki hak yang sama sebagai pemilik terlegitimasi. Untuk meningkatkan security, benda fisik sering digunakan untuk digabungkan dengan sesuatu yang anda ketauhi seperti katru bank dengan PINJ, atau berisi informasi mengidentifikasi user. Contoh sebuah foto pada kartu bank. Bagaimanapun juga, tidak setiap mekanisme kombinasi dapat terlindung dari para pengkorupsi dalam mendapatkan informasi yang diperlukan untuk melegitimasinya sebagai user ataupun untuk menghentikan user melewati batas informasi

Siapa diri anda

Skema biometric yang menggunakan karakter unik fisik dari seseorang seperti muka, kulit, dan bentuknya (Daugman, 1993), geometri tangan, atau DNA pada waktu yang sama di masa depan, mungkin dapat menawarkan solusi untuk autentifikasi user.

Kita akan menggunakan contoh dari sidik jari untuk mengsketsa bagaimana autentifiasi biometric bekerja. Pertama contoh dari sidik jari user, yang disebut dengan template referensi, harus di kumpulkan. Untuk keakuratan yang lebih, beberapa template dapat di rekam, kemungkinan lebih dari 1 jari. Template ini disimpan pada database yang aman. Proses ini disebut enrollment. Pada saat user log on, sebuah pembaca sidik jari akan mengambil sidik jari dan  membandingkannya ke template yang terlah disimpan. Skema biometric digunakan untuk 2 tujuan :

·                     Identifikasi

·                     Verifikasi

USERNAME DAN PASSWORD

Secara harfiah, Anda membuat kontak pertama Anda dengan keamanan komputer saat Anda lama ke komputer dan diminta untuk memasukkan username dan password. Langkah pertama dalam identifikasi yang disebut. Anda mengumumkan siapa Anda. Langkah kedua disebut otentikasi. Anda membuktikan dari Anda yang Anda klaim untuk menjadi. Untuk membedakan penggunaan 'otentifikasi' kata dari interpretasi lain, kami secara khusus bisa merujuk kepada:

otentikasi entitas Proses verifikasi identitas diklaim

Setelah Anda memasukkan username dan password, komputer akan membandingkan masukan Anda terhadap entri yang disimpan dalam file password. Login akan berhasil jika Anda memasukkan username dan password yang valid sesuai. Jika username atau password salah, login gagal. Biasanya, layar login akan ditampilkan lagi ketika akhir Anda bisa memulai usaha Anda berikutnya. Beberapa sistem menyimpan hitungan usaha login diajukan dan mencegah atau menunda upaya lebih lanjut ketika sebuah ambang tertentu telah tercapai. Untuk mengurangi kemungkinan penyerang menggunakan dan mesin tanpa pengawasan di mana pengguna lain yang login, otentikasi saya akan dituntut tidak hanya pada awal sesi, namun juga pada interval certaint selama sesi (diulang otentikasi). Anda juga dapat memilih untuk mengunci layar atau untuk menutup sesi secara otomatis jika mesin idle terlalu lama.

Pelajaran
Otentikasi berulang alamat masalah akrab di keamanan komputer, yang dikenal sebagai TOCTTOU (saat check ke waktu penggunaan). Sistem operasi memeriksa identitas pengguna pada awal sesi, namun menggunakan identitas tersebut untuk membuat keputusan akses kontrol di kemudian hari selama sesi.

Sekali waktu, Anda akan mendalami meteri masukkan username dan passowrd pada layar berisi pesan selamat datang yang ramah dan beberapa informasi pada sistem Anda tentang untuk mengakses. Hari ini, manajer sistem hati-hati tidak akan membuat terlalu banyak informasi yang tersedia untuk kata luar dan mengganti pesan selamat datang dengan peringatan bagi orang yang tidak berhak untuk tinggal di luar. Sebagai contoh, jendela menawarkan opsi menampilkan rubah pemberitahuan dialog hukum. Pengguna harus mengakui ini pesan peringatan sebelum logon dapat dilanjutkan

Hari ini, sistem komputer kebanyakan menggunakan identifikasi dan otentikasi melalui username dan password sebagai garis pertama pertahanan mereka. Untuk sebagian besar pengguna mekanisme ini telah menjadi bagian intergal dari rutin memulai sesi pada komputer mereka. Kami telah demikian mekanisme yang diterima secara luas dan tidak terlalu sulit untuk diterapkan. Di sisi lain, mengelola keamanan password dapat cukup mahal dan mendapatkan password yang valid adalah cara yang umum memperoleh akses anauthorized ke sistem komputer. Oleh karena itu marilah kita tha keamanan sebenarnya password ketika digunakan sebagai suatu mekanisme otentikasi

Kita akan melihat isu-isu:

·         lupa password

·         menebak password

·         sandi spoofing

·         kompromi dari file password.

jangan lupa bahwa pengguna juga memiliki peran penting dalam perlindungan sandi. otentikasi terganggu ketika Anda mengungkapkan password Anda, baik dengan bercerita kepada seseorang atau dengan menulis itu dan meninggalkannya di tempat di mana orang lain dapat menemukannya. Untuk memberitahukan pengguna tentang kompromi sandi atau serangan tentang percobaan baru-baru ini, sistem dapat menampilkan, setelah login berhasil, waktu login terakhir dan jumlah usaha login yang gagal sejak saat itu. Tentu saja, kita telah mengasumsikan semua sepanjang bahwa password telah ditetapkan untuk account pengguna. Jika administrator sistem atau pengguna lupa untuk mengatur password, penyerang terhindar kesulitan untuk menemukan itu.

MENGELOLA PASSWORD

Password dimaksudkan untuk rahasia yang dibagi antara pengguna dan sistem otentikasi pengguna. Jadi, bagaimana Anda mem-bootstrap sistem sehingga password berakhir di tempat yang benar, namun di tempat lain? Dalam suatu perusahaan, pengguna bisa diminta untuk datang ke kantor dan mengumpulkan password mereka secara pribadi. Jika thes tidak layak, password bisa disampaikan melalui surat, email atau telepon, atau dimasukkan oleh pengguna pada halaman web. Anda sekarang harus mempertimbangkan yang mungkin mencegat pesan dan yang paling penting, yang mungkin sebenarnya mengambilnya. Sebagai contoh, kedua berisi password untuk rekening bank on-line mungkin dicuri atau peniru sebuah telepon saya di meminta password pengguna lain. Bagaimana Anda mengotentikasi pengguna remote ketika pengguna tidak punya password belum? Untuk mengatasi masalah ini:

·         tidak memberikan password ke pemanggil tetapi memanggil kembali nomor telepon yang resmi dari file Anda, misalnya dari sebuah buku alamat internal perusahaan;

·         memanggil kembali orang lain, misalnya pemanggil manajer atau petugas keamanan setempat;

·         mengirimkan password yang hanya berlaku untuk atau permintaan login sehingga pengguna

·         harus mengubah segera password tidak diketahui oleh pengirim;

·         mengirim mail dengan sedikit pun kurir delevery pribadi;

·         permintaan konfirmasi pada saluran yang berbeda untuk mengaktifkan account pengguna, misalnya masukkan sandi pada halaman web dan mengirim konfirmasi melalui SMS (telepon).

Saat membuat akun user baru Anda mungkin mentolerir beberapa penundaan dalam mendapatkan password Anda. Namun, ketika Anda berada di tengah-tengah dalam tugas penting dan mewujudkan Anda lupa sandi Anda, Anda memerlukan obat instan. Prosedur untuk mereset password yang hampir sama seperti yang disebutkan di atas, tapi sekarang organisasi harus mampu staf meja panas di semua permintaan waktu bisa masuk Dalam organisasi global seperti meja panas harus tersedia sepanjang waktu. Pelatihan keamanan yang tepat harus diberikan kepada personil pada meja panas. Dengan demikian, dukungan password dapat menjadi faktor biaya utama.

Pelajaran
Mekanisme keamanan mungkin gagal untuk memberikan akses kepada pengguna yang sah. Solusi keamanan secara keseluruhan Anda harus mampu menangani situasi yang efisien

MEMILIH PASSWORD

Password pilihan merupakan isu keamanan yang kritis. Meskipun Anda tidak dapat menghilangkan risiko penyerang menebak password yang benar, Anda dapat mencoba menjaga probabilitas peristiwa serendah mungkin. Untuk melihat bagaimana, Anda harus menyadari stratigies apa untuk menebak dasar seorang penyeran, sebagai berikut:

·         exhaustive search (brute force): mencoba semua kemungkinan kombinasi dari simbol yang valid, sampai panjang tertentu

·         pencarian cerdas: pencarian melalui ruang nama dibatasi, misalnya coba password yang entah bagaimana berarosiasi dengan pengguna seperti nama, nama teman-teman dan relatif, merek mobil, mobil nomor pendaftaran, nomor telepon, dll, atau mencoba sandi utama yang pupuler. Sebagai contoh yang khas untuk pendekatan kedua adalah mencoba semua password dari kamus online.

jadi, apa yang kamu pertahankan?

·         Ubah password default: ketika sistem penyerahan, kemudian sering datang dengan account default seperti 'sistem' dengan password default seperti 'manajer'. Hal ini membantu insinyur lapangan untuk menginstal sistem, tetapi password yang tersisa tidak berubah, penyerang memiliki pekerjaan yang mudah masuk ke sistem. Dalam contoh saja diberikan, penyerang bahkan mendapatkan akses ke account pribadi secara khusus.

·         Panjang password: untuk menggagalkan pencarian lengkap, panjang password minimal harus diresepkan. Sayangnya, sistem Unix tradisional memiliki panjang password maksimal, set ke delapan charecter saja.

·         Password format: campuran simbol nonalphabetical atas dan bawah kasus simbol dan mencakup numerik dan lainnya di sandi Anda. Ukuran ruang sandi minimal | A | dimana n adalah panjang password minimal dan | A | adalah ukuran dari set karakter yang digunakan untuk membangun password.

·         Hindari sandi jelas: jangan heran untuk mengetahui bahwa penyerang dilengkapi dengan daftar password populer dan menyadari bahwa serangan kamus telah memperluas ruang lingkup 'jelas' cukup substansial. Hari ini, Anda dapat menemukan kamus online untuk hampir setiap bahasa

Pelajaran
Anda tidak harus melihat mekanisme keamanan dalam isolasi. Terlalu banyak penekanan pada satu mekanisme keamanan benar-benar dapat melemahkan sistem, paling tidak pengguna akan menemukan cara menghindari keamanan jika mereka tidak bisa melakukan tugasnya dengan benar ketika mekanisme keamanan tidak sesuai. Dengan password, Anda harus mengamati trade-off antara kompleksitas password dan fakultas dalam memori manusia.

SPOOFING SERANGAN

Identifikasi dan otentikasi melalui username dan password menyediakan otentikasi imilateral. Seorang pengguna memasuki password dan komputer varifies identitas pengguna. Tapi apakah pengguna mengetahui siapa yang telah menerima password ini? Sejauh ini, jawabannya adalah tidak. User tidak memiliki jaminan tentang identitas partai di ujung baris.

Ini adalah masalah nyata, mengarah ke jenis kedua dari kompromi password. Dalam serangan spoofing, penyerang, yang mungkin menjadi pengguna yang sah, menjalankan sebuah program yang menyajikan layar login palsu di terminal / workstation. Pengguna tidak curiga datang ke terminal ini dan mencoba untuk log in korban ini dipimpin melalui apa yang tampaknya menjadi menu login normal dan diminta untuk username dan password. Ini adalah disimpan oleh penyerang. Eksekusi kemudian bisa diserahkan kepada pengguna, atau login sebagai dibatalkan dengan pesan kesalahan (palsu) dan program spoofing berakhir. Kontrol dikembalikan ke sistem operasi yang sekarang meminta pengguna dengan permintaan login asli. Pengguna mencoba lagi, berhasil pada upaya kedua dan mungkin tetap sepenuhnya unawere fakta bahwa password telah diganggu.

apa yang dapat dilakukan tentang seperti serangan Spoofing?

·         Menampilkan jumlah login gagal dapat mengindikasikan kepada pengguna bahwa serangan tersebut telah terjadi. Jika login pertama gagal tetapi Anda diberitahu pada upaya kedua Anda yang belum ada upaya login yang gagal sejak sesi terakhir Anda, Anda harus menjadi curiga