Pengenalan Keamanan Perangkat Lunak

Pengenalan Keamanan Perangkat Lunak

     Perangkat lunak (software) sudah menjadi bagian dari kehidupan kita sehari-hari. Bahkan dapat dikatakan sebagian dari sudah bergantung kepada perangkat lunak.
     Berapa banyak di antara kita yang masih mengambil uang melalui kantor cabang? Sementara itu, berapa kali kita sudah mengunjungi mesin ATM dalam satu bulan terakhir? Dapatkah kita hidup tanpa kenyamanan mesin ATM? Semestinya jawabannya adalah iya, tetapi siapa di antara kita yang mau menjadi nasabah sebuah bank yang tidak memiliki layanan ATM? Maukah Anda? Di belakang layanan ATM ini ada perangkat lunak yang menjalankannya. 

    Pemesanan tiket pesawat terbang sekarang banyak yang dilakukan dengan menggunakan web. Penerbangan Air Asia, misalnya, memiliki situs AirAsia.com yang dapat digunakan untuk memesan tiket. Tiketpun tidak harus berbentuk fisik tiket yang dicetak dengan kertas khusus. Tiket dapat kita cetak sendiri dengan menggunakan printer kita. Bahkan kita dapat hanya menunjukkan berkas tiket tersebut dengan menggunakan perangkat tablet, misalnya. 

     Pemesanan tiket kereta api pun sekarang dapat dilakukan melalui gerai Alphamart dengan menggunakan software yang sudah tersedia di sana. Kalau kita ke stasiun kereta api pun, penjualan tiket juga sudah menggunakan software. Sesampainya di stasiun kereta api, kertas tiket dapat dicetak sendiri oleh pengguna dengan menggunakan terminal yang tersedia di sana. Ini software. Situs tiket.com menyediakan layanan pembelian tiket pesawat, kereta api, dan sebagainya secara online. Saya sering menggunakan
layanan ini. Ini jelas-jelas menggunakan software. Saat ini telah beredar ratusan juta handphone di Indonesia. Kebanyakan handphone yang beredar berupa smartphone yang berbasis sistem operasi Android. Selain Android ada banyak juga handphone iPhone yang menggunakan sistem operasi iOS. Aplikasi untuk handphone tersebut dapat ditambahkan sendiri oleh pengguna melalui toko (store) yang tersedia untuk masing-masing sistem operasi tersebut, misalnya Playstore untuk Android dan Apple Store untuk iPhone. Ini semua merupakan software. Perangkat yang terkait dengan kesehatan juga menggunakan software. Bahkan devices yang berbentuk perangkat keras (hardware) (embedded system) sebetulnya di dalamnya memiliki software juga
yang disebut firmware.

Dasar-Dasar Keamanan

      Ada tiga faktor utama yang disebut sebagai tujuan (goals) atau aspek dari keamanan, yaitu Confidentiality, Integrity, dan Availability. Mereka sering disebut CIA berdasarkan singkatan dari huruf depan mereka. 

Confidentiality
      Confidentiality atau kerahasian menyatakan bahwa data tidak dapat diakses oleh orang yang tidak berhak. Ketika orang berbicara mengenai keamanan data, faktor ini yang hadir di dalam pikiran kita.Serangan terhadap aspek ini dilakukan dengan berbagai cara seperti misalnya menyadap jaringan, menerobos akses dari sistem komputer, sampai ke menanamkan trojan horse dan keylogger6 untuk mengambil data secara ilegal. Cara non-teknis dapat dilakukan dengan social engineering, yaitu berpura-pura sebagai orang yang berhak mengakses data dan meminta orang lain untuk memberikan data tersebut.

      Cara-cara pengamanan terhadap serangan kerahasiaan antara lain adalah dengan menggunakan kriptografi (yaitu mengubah data sehingga terlihat seperti sampah), membatasi akses ke sistem dengan menggunakan userid dan password sehingga ini dikaitkan juga dengan access control.

       Salah satu masalah yang terkait dengan aspek kerahasiaan adalah memilah dan melabel data apa saja yang dianggap sebagai data rahasia. Sebagai contoh, apakah data kepegawaian di kantor kita dianggap sebagai rahasia? Apakah data nilai (transkrip) mahasiswa di kampus merupakan data yang rahasia? Apakah klasifikasi data itu hanya rahasia atau tidak rahasia saja? Atukah ada tingkatannya - seperti top secret, rahasia, untuk keperluan internal saja, dan untuk publik? Lantas, siapa yang berhak menentukan tingkat kerahasiaan data ini?7 Ini masih merupakan masalah besar di berbagai institusi

karena umumnya mereka tidak memiliki panduan atau standar mengenai klasifikasi data.

Integrity
     Integrity mengatakan bahwa data tidak boleh berubah tanpa ijin dari pihak yang berhak. Sebagai contoh, data saldo rekening bank miliki kita tidak boleh berubah secara tiba-tiba. Transaksi bernilai Rp. 3.000.000,- tidak boleh dapat diubah oleh penyerang menjadi Rp. 3.500.000,-. Atau tujuan transaksi tidak boleh diubah tanpa diketahui. Contoh lain adalah data jumlah pemilih dalam sebuah sistem pemilu atau e-voting tidak boleh berubah tanpa melalui proses yang sah.

      Serangan terhadap aspek ini dilakukan melalui serangan man in the middle (MITM). Data transaksi ditangkap (intercepted) di tengah jalan, dimodifikasi, dan kemudian diteruskan ke tujuan. Penerima tidak sadar bahwa data sudah berubah dan memproses yang sudah berubah ini.

      Perlindungan terhadap serangan dapat dilakukan dengan menambahkan message digest (signature, checksum) dalam pesan yang dikirimkan secara terpisah sehingga ketika terjadi perubahan akan terdeteksi di sisi penerima. Banyak aplikasi atau sistem yang belum menerapkan ini sehingga perubahan data yang tidak sah tidak diketahui.

      Pencatatan (logging) terhadap perubahan data juga harus dilakukan sebagai upaya untuk mengetahui terjadinya serangan terhadap integritas ini. Perlu diingat bahwa pencatatan tidak mencegah terjadinya serangan.

Availability
      Aspek availability menyatakan bahwa data harus tersedia ketika dibutuhkan. Pada mulanya aspek ini tidak dimasukkan ke dalam aspek keamanan, tetapi ternyata kegagalan berfungsinya sistem dapat mengakibatkan kerugian finansial atau bahkan hilangnya nyawa. Serangan terhadap aspek ini adalah dengan cara membuat sistem gagal berfungsi, misalnya dengan melakukan permintaan (request) yang bertubi-tubi. Serangan ini disebut sebagai Denial of Service (DoS). DoS attack ini dapat dilakukan pada jaringan dan aplikasi. 

      Serangan yang dilakukan melalui jaringan dapat dilakukan secara terdistribusi, yaitu menggunakan penyerang dalam jumlah yang banyak. Maka muncullah istilah Distributed DoS atau DDoS attack.

      Perlindungan terhadap serangan ini dapat dilakukan dengan menggunakan sistem redundant dan backup. Keberadaan sistem yang redundan membuat sistem menjadi lebih tahan terhadap serangan.

      Sebagai contoh, apabila ada satu sistem tidak berfungsi (misal mendapat serangan DoS atau listrik mati), maka sistem lainnya dapat menggantikan fungsinya sehingga layanan tetap dapat diberikan.
Permasalahan terhadap sistem yang redundan ini adalah masalah
finansial.

Sekian ^^