cyber crime 11
PENELITIAN INTERNET
Etika penelitian internet yaitu subdisiplin yang cocok dengan banyak disiplin ilmu,
mulai dari ilmu sosial, seni dan humaniora, kedokteran/biomedis, dan ilmu keras. Kerangka
kerja etika yang ada, termasuk konsekuensialisme, utilitarianisme, deontologi, etika
kebajikan, dan etika feminis telah berkontribusi pada cara-cara di mana masalah etika dalam
penelitian Internet dipertimbangkan dan dievaluasi. Secara konseptual dan historis, etika
penelitian Internet terkait dengan komputer dan etika informasi dan mencakup masalah etika
seperti privasi dan kerahasiaan data, integritas data, masalah kekayaan intelektual, dan
standar profesional. Sepanjang evolusi Internet, ada perdebatan apakah ada dilema etika baru
yang muncul, atau apakah dilema yang ada konsisten di seluruh penelitian atau terlepas dari
pengaruh teknologi (Elgesem 2002; Walther 2002; Ess & AoIR 2002). Perdebatan ini mirip
dengan debat filosofis dalam etika komputer dan informasi. Misalnya, bertahun-tahun yang
lalu, Moor bertanya "apa yang istimewa tentang komputer" untuk memahami apa yang unik
secara etis dan pertanyaan yang sama berlaku untuk penelitian Internet (Moor 1985; Ess &
AoIR 2002; King 1996).
Namun, karena Internet telah berkembang menjadi alat dan tempat yang lebih sosial
dan komunikatif, masalah etika telah bergeser dari murni berbasis data menjadi lebih
manusiawi terpusat. Analogi "di lapangan" atau tatap muka mungkin tidak berlaku untuk
penelitian online. Misalnya, konsep taman umum telah dipakai sebagai situs di mana
peneliti dapat mengamati orang lain, namun secara online, konsep publik dan privat jauh lebih
kompleks. Dengan demikian, beberapa ahli menyarankan bahwa kekhususan etika penelitian
Internet memerlukan pedoman peraturan dan/atau profesional dan disiplin baru. Untuk
alasan ini, konsep kebijakan dan peraturan penelitian subyek manusia menginformasikan entri
ini, bersama dengan standar disiplin, yang akan mengeksplorasi area yang berkembang dari
kompleksitas etika dan metodologis, termasuk identifikasi pribadi, risiko dan bahaya reputasi,
gagasan tentang ruang publik dan teks publik. , kepemilikan, dan umur panjang data yang
terkait dengan penelitian Internet.
Secara khusus, kemunculan web sosial menimbulkan masalah seputar praktik
perekrutan subjek atau peserta, model persetujuan berdasar informasi berjenjang, dan
perlindungan berbagai harapan dan bentuk privasi di dunia teknologi yang tersebar dan ada
di mana-mana yang terus meningkat; anonimitas dan kerahasiaan data di ruang di mana
peneliti dan subjeknya mungkin tidak sepenuhnya memahami syarat dan ketentuan tempat
atau alat ini ; tantangan terhadap integritas data karena proyek penelitian dapat
dialihdayakan ke mekanik atau bot; dan masalah yurisdiksi karena lebih banyak penelitian
diproses, disimpan, dan disebarluaskan melalui komputasi awan atau di server lokal yang jauh,
menghadirkan berbagai kompleksitas hukum mengingat perbedaan yurisdiksi dalam undangundang data.
Akibatnya, para peneliti menggunakan Internet sebagai alat atau ruang penelitian —
dan dewan etika penelitian (REB), juga dikenal sebagai dewan peninjau institusional (IRB) di
Amerika Serikat atau komite etika penelitian manusia (HREC) di negara lain. seperti Australia—
telah dihadapkan dengan serangkaian pertanyaan etika baru: Kewajiban etis apa yang dimiliki
peneliti untuk melindungi privasi subjek yang terlibat dalam aktivitas di ruang Internet
"publik"? Bagaimana kerahasiaan atau anonimitas dijamin secara online? Bagaimana dan
haruskah informed consent diperoleh secara online? Bagaimana seharusnya penelitian
tentang anak di bawah umur dilakukan, dan bagaimana Anda membuktikan bahwa suatu
subjek bukan anak di bawah umur? Apakah penipuan (berpura-pura menjadi seseorang yang
bukan Anda, menyembunyikan informasi yang dapat diidentifikasi, dll) secara online
merupakan norma atau bahaya? Bagaimana "bahaya" mungkin terjadi pada seseorang yang
ada di ruang online?
9.4 MASALAH KEAMANAN INTERNET
Semua komunikasi melalui Internet menggunakan Transmission Control
Protocol/Internet Protocol (TCP/IP). TCP/IP memungkinkan informasi dikirim dari satu
komputer ke komputer lain melalui berbagai komputer perantara dan jaringan terpisah
sebelum mencapai tujuannya. Fleksibilitas TCP/IP yang luar biasa telah menyebabkan
penerimaannya di seluruh dunia sebagai protokol komunikasi Internet dan intranet dasar.
Pada saat yang sama, fakta bahwa TCP/IP memungkinkan informasi melewati komputer
perantara memungkinkan pihak ketiga untuk mengganggu komunikasi dengan cara berikut:
• Menguping. Informasi tetap utuh, namun privasinya terganggu. Misalnya, seseorang
dapat mempelajari nomor kartu kredit Anda, merekam percakapan sensitif, atau
mencegat informasi rahasia.
• Merusak. Informasi dalam perjalanan diubah atau diganti dan kemudian dikirim ke
penerima. Misalnya, seseorang dapat mengubah pesanan barang atau mengubah
resume seseorang.
• Peniruan identitas. Informasi diteruskan ke orang yang menyamar sebagai penerima
yang dituju. Peniruan identitas dapat mengambil dua bentuk:
• Pemalsuan. Seseorang bisa berpura-pura menjadi orang lain. Misalnya, seseorang
dapat berpura-pura memiliki alamat email jdoe@example.net, atau komputer dapat
mengidentifikasi dirinya sebagai situs yang disebut www.example.net padahal
sebenarnya tidak. Jenis peniruan ini dikenal sebagai spoofing.
• Representasi yang salah. Seseorang atau organisasi dapat salah menggambarkan
dirinya sendiri. Misalnya, situs www.example.net berpura-pura menjadi toko furnitur
padahal sebenarnya hanya situs yang menerima pembayaran kartu kredit namun tidak
pernah mengirim barang apa pun.
Biasanya, pengguna dari banyak komputer yang bekerja sama yang membentuk Internet atau
jaringan lain tidak memantau atau mengganggu lalu lintas jaringan yang terus menerus
melewati mesin mereka. Namun, banyak komunikasi pribadi dan bisnis yang sensitif melalui
Internet memerlukan tindakan pencegahan yang mengatasi ancaman yang tercantum di atas.
Untungnya, seperangkat teknik dan standar mapan yang dikenal sebagai kriptografi kunci
publik membuatnya relatif mudah untuk mengambil tindakan pencegahan ini .
Kriptografi kunci publik memfasilitasi tugas-tugas berikut:
• Enkripsi dan dekripsi memungkinkan dua pihak yang berkomunikasi untuk
menyamarkan informasi yang mereka kirimkan satu sama lain. Pengirim mengenkripsi,
atau mengacak, informasi sebelum mengirimnya. Penerima mendekripsi, atau
menguraikan, informasi sesudah menerimanya. Saat dalam perjalanan, informasi
terenkripsi tidak dapat dipahami oleh penyusup.
• Deteksi kerusakan memungkinkan penerima informasi untuk memverifikasi bahwa
informasi ini tidak diubah dalam perjalanan. Setiap upaya untuk mengubah data
atau mengganti pesan palsu dengan yang sah akan terdeteksi.
• Otentikasi memungkinkan penerima informasi untuk menentukan asalnya- yaitu,
untuk mengkonfirmasi identitas pengirim.
• Non repudiation mencegah pengirim informasi untuk mengklaim di kemudian hari
bahwa informasi ini tidak pernah dikirim.44
9.5 ENKRIPSI DAN DEKRIPSI
Enkripsi yaitu proses mengubah informasi sehingga tidak dapat dipahami oleh siapa
pun kecuali penerima yang dituju. Dekripsi yaitu proses mengubah informasi terenkripsi
sehingga dapat dipahami kembali. Algoritma kriptografi, juga disebut cipher, yaitu fungsi
matematika yang dipakai untuk enkripsi atau dekripsi. Dalam kebanyakan masalah , dua fungsi
terkait dipakai , satu untuk enkripsi dan yang lainnya untuk dekripsi. Dengan sebagian besar
kriptografi modern, kemampuan untuk menjaga kerahasiaan informasi terenkripsi tidak
didasarkan pada algoritma kriptografi, yang dikenal luas, namun pada nomor yang disebut
kunci yang harus dipakai dengan algoritma untuk menghasilkan hasil terenkripsi atau untuk
mendekripsi informasi yang sebelumnya dienkripsi. . Dekripsi dengan kunci yang benar
sederhana. Dekripsi tanpa kunci yang benar sangat sulit, dan dalam beberapa masalah tidak
mungkin untuk semua tujuan praktis.
Bagian berikut memperkenalkan penggunaan kunci untuk enkripsi dan dekripsi.
• Enkripsi Kunci Simetris
• Enkripsi Kunci Publik
• Panjang Kunci dan Kekuatan Enkripsi
• Enkripsi Kunci Simetris: Dengan enkripsi kunci simetris, kunci enkripsi dapat dihitung
dari kunci dekripsi dan sebaliknya. Dengan sebagian besar algoritma simetris, kunci
yang sama dipakai untuk enkripsi dan dekripsi, seperti yang ditunjukkan pada
Gambar 9.1.
Skema yang ditunjukkan pada Gambar 9.2 memungkinkan Anda mendistribusikan
kunci publik secara bebas, dan hanya Anda yang dapat membaca data yang dienkripsi
menggunakan kunci ini. Secara umum, untuk mengirim terenkripsi data ke seseorang, Anda
mengenkripsi data dengan kunci publik orang itu, dan orang yang menerima data terenkripsi
mendekripsi dengan kunci pribadi yang sesuai.
Dibandingkan dengan enkripsi kunci simetris, enkripsi kunci publik membutuhkan
lebih banyak komputasi dan oleh karena itu tidak selalu sesuai untuk data dalam jumlah besar.
Namun, dimungkinkan untuk menggunakan enkripsi kunci publik untuk mengirim kunci
simetris, yang kemudian dapat dipakai untuk mengenkripsi data tambahan. Ini yaitu
pendekatan yang dipakai oleh protokol SSL.
Seperti yang terjadi, kebalikan dari skema yang ditunjukkan pada Gambar 9.2 juga
berfungsi: data yang dienkripsi dengan kunci pribadi Anda hanya dapat didekripsi dengan
kunci publik Anda. Namun, ini bukan cara yang diinginkan untuk mengenkripsi data sensitif,
karena ini berarti bahwa siapa pun yang memiliki kunci publik Anda, yang menurut definisi
dipublikasikan, dapat mendekripsi data. Namun demikian, enkripsi kunci pribadi berguna,
karena itu berarti Anda dapat menggunakan kunci pribadi Anda untuk menandatangani data
dengan tanda tangan digital Anda—persyaratan penting untuk perdagangan elektronik dan
aplikasi kriptografi komersial lainnya. Perangkat lunak klien seperti Firefox kemudian dapat
menggunakan kunci publik Anda untuk mengonfirmasi bahwa pesan telah ditandatangani
dengan kunci pribadi Anda dan bahwa pesan ini belum diubah sejak ditandatangani.
"Tanda Tangan Digital" dan bagian selanjutnya menjelaskan cara kerja proses konfirmasi ini.
Panjang Kunci dan Kekuatan Enkripsi
Secara umum, kekuatan enkripsi terkait dengan kesulitan menemukan kunci, yang
pada gilirannya tergantung pada cipher yang dipakai dan panjang kunci. Misalnya, kesulitan
menemukan kunci untuk cipher RSA yang paling umum dipakai untuk enkripsi kunci publik
bergantung pada kesulitan memfaktorkan bilangan besar, masalah matematika yang terkenal.
Kekuatan enkripsi sering digambarkan dalam hal ukuran kunci yang dipakai untuk
melakukan enkripsi: secara umum, kunci yang lebih panjang memberikan enkripsi yang lebih
kuat. Panjang kunci diukur dalam bit. Misalnya, kunci 128-bit untuk dipakai dengan cipher
kunci simetris RC4 yang didukung oleh SSL memberikan perlindungan kriptografi yang jauh
lebih baik dibandingkan kunci 40-bit untuk dipakai dengan cipher yang sama. Secara kasar,
enkripsi RC4 128-bit 3 x 1026 kali lebih kuat dari enkripsi RC4 40-bit. (Untuk informasi lebih
lanjut tentang RC4 dan sandi lain yang dipakai dengan SSL.
Cipher yang berbeda mungkin memerlukan panjang kunci yang berbeda untuk
mencapai tingkat kekuatan enkripsi yang sama. Cipher RSA yang dipakai untuk enkripsi
kunci publik, misalnya, hanya dapat menggunakan subset dari semua nilai yang mungkin untuk
kunci dengan panjang tertentu, karena sifat masalah matematika yang menjadi dasarnya.
Cipher lainnya, seperti yang dipakai untuk enkripsi kunci simetris, dapat menggunakan
semua nilai yang mungkin untuk kunci dengan panjang tertentu, dibandingkan subset dari nilai
ini . Jadi kunci 128-bit untuk dipakai dengan cipher enkripsi kunci simetris akan
memberikan enkripsi yang lebih kuat dibandingkan kunci 128-bit untuk dipakai dengan cipher
enkripsi kunci publik RSA. Perbedaan ini menjelaskan mengapa cipher enkripsi kunci publik
RSA harus menggunakan kunci 512-bit (atau lebih lama) untuk dianggap kuat secara
kriptografis, sedangkan cipher kunci simetris dapat mencapai tingkat kekuatan yang kira-kira
sama dengan kunci 64-bit. Bahkan tingkat kekuatan ini mungkin rentan terhadap serangan
dalam waktu dekat.
Karena kemampuan untuk secara diam-diam mencegat dan mendekripsi informasi
terenkripsi secara historis merupakan aset militer yang signifikan, Pemerintah AS membatasi
ekspor perangkat lunak kriptografi, termasuk sebagian besar perangkat lunak yang
mengizinkan penggunaan kunci enkripsi simetris yang lebih panjang dari 40 bit.
9.6 SERTIFIKAT DAN OTENTIKASI
Sertifikat yaitu dokumen elektronik yang dipakai untuk mengidentifikasi individu,
server, perusahaan, atau entitas lain dan untuk mengaitkan identitas itu dengan kunci publik.
Seperti SIM, paspor, atau tanda pengenal pribadi lainnya yang umum dipakai , sertifikat
memberikan bukti identitas seseorang yang diakui secara umum. Kriptografi kunci publik
menggunakan sertifikat untuk mengatasi masalah peniruan identitas. Untuk mendapatkan
SIM, Anda biasanya mengajukan permohonan ke lembaga pemerintah, seperti Departemen
Kendaraan Bermotor, yang memverifikasi identitas Anda, kemampuan Anda mengemudi,
alamat Anda, dan informasi lain sebelum menerbitkan SIM. Untuk mendapatkan ID pelajar,
Anda mendaftar ke sekolah atau perguruan tinggi, yang melakukan pemeriksaan berbeda
(seperti apakah Anda telah membayar uang sekolah) sebelum mengeluarkan ID. Untuk
mendapatkan kartu perpustakaan, Anda mungkin hanya perlu memberikan nama dan tagihan
listrik dengan alamat Anda.
Sertifikat bekerja dengan cara yang sama seperti bentuk identifikasi yang sudah
dikenal ini. Otoritas sertifikat (CA) yaitu entitas yang memvalidasi identitas dan menerbitkan
sertifikat. Mereka dapat berupa pihak ketiga yang independen atau organisasi yang
menjalankan perangkat lunak server penerbit sertifikat mereka sendiri (seperti Sistem
Sertifikat Red Hat). Metode yang dipakai untuk memvalidasi identitas berbeda-beda
tergantung pada kebijakan CA yang diberikan-sama seperti metode untuk memvalidasi bentuk
identifikasi lainnya bervariasi tergantung pada siapa yang mengeluarkan ID dan tujuan
penggunaannya. Secara umum, sebelum menerbitkan sertifikat, CA harus menggunakan
prosedur verifikasi yang dipublikasikan untuk jenis sertifikat ini guna memastikan bahwa
entitas yang meminta sertifikat sebenarnya yaitu yang diklaimnya. Sertifikat yang
dikeluarkan oleh CA mengikat kunci publik tertentu ke nama entitas yang diidentifikasi oleh
sertifikat (seperti nama karyawan atau server). Sertifikat membantu mencegah penggunaan
kunci publik palsu untuk peniruan identitas. Hanya kunci publik yang disertifikasi oleh
sertifikat yang akan bekerja dengan kunci privat terkait yang dimiliki oleh entitas yang
diidentifikasi oleh sertifikat.
Selain kunci publik, sertifikat selalu menyertakan nama entitas yang diidentifikasi,
tanggal kedaluwarsa, nama CA yang mengeluarkan sertifikat, nomor seri, dan informasi
lainnya. Yang terpenting, sertifikat selalu menyertakan tanda tangan digital dari CA yang
menerbitkan. Tanda tangan digital CA memungkinkan sertifikat berfungsi sebagai "surat
pengantar" bagi pengguna yang mengetahui dan mempercayai CA namun tidak mengetahui
entitas yang diidentifikasi oleh sertifikat.
Otentikasi Mengonfirmasi Identitas:
Otentikasi yaitu proses konfirmasi identitas. Dalam konteks interaksi jaringan,
otentikasi melibatkan identifikasi percaya diri dari satu pihak oleh pihak lain. Otentikasi
melalui jaringan dapat mengambil banyak bentuk. Sertifikat yaitu salah satu cara untuk
mendukung otentikasi.
Interaksi jaringan biasanya terjadi antara klien, seperti perangkat lunak browser yang
berjalan pada komputer pribadi, dan server, seperti perangkat lunak dan perangkat keras yang
dipakai untuk meng-host situs Web. Otentikasi klien mengacu pada identifikasi klien secara
meyakinkan oleh server (yaitu, identifikasi orang yang dianggap menggunakan perangkat
lunak klien). Otentikasi server mengacu pada identifikasi server oleh klien (yaitu, identifikasi
organisasi yang dianggap bertanggung jawab atas server di alamat jaringan tertentu).
Otentikasi klien dan server bukan satu-satunya bentuk otentikasi yang didukung oleh
sertifikat. Misalnya, tanda tangan digital pada pesan email, dikombinasikan dengan sertifikat
yang mengidentifikasi pengirim, memberikan bukti kuat bahwa orang yang diidentifikasi oleh
sertifikat itu memang mengirim pesan itu. Demikian pula, tanda tangan digital pada formulir
HTML, dikombinasikan dengan sertifikat yang mengidentifikasi penandatangan, dapat
memberikan bukti, sesudah fakta, bahwa orang yang diidentifikasi oleh sertifikat itu setuju
dengan isi formulir. Selain otentikasi, tanda tangan digital dalam kedua masalah memastikan
tingkat non-penolakan-yaitu, tanda tangan digital mempersulit penandatangan untuk
mengklaim kemudian tidak mengirim email atau formulir. Otentikasi klien yaitu elemen
penting dari keamanan jaringan di sebagian besar intranet atau ekstranet. Bagian yang
mengikuti kontras dua bentuk otentikasi klien:
• Otentikasi Berbasis Sandi. Hampir semua perangkat lunak server mengizinkan
otentikasi klien melalui nama dan kata sandi. Misalnya, server mungkin mengharuskan
pengguna untuk mengetikkan nama dan kata sandi sebelum memberikan akses ke
server. Server menyimpan daftar nama dan kata sandi; jika nama tertentu ada dalam
daftar, dan jika pengguna mengetikkan kata sandi yang benar, server memberikan
akses.
• Otentikasi Berbasis Sertifikat. Otentikasi klien berdasar sertifikat yaitu bagian dari
protokol SSL. Klien secara digital menandatangani sepotong data yang dihasilkan
secara acak dan mengirimkan sertifikat dan data yang ditandatangani melalui jaringan.
Server menggunakan teknik kriptografi kunci publik untuk memvalidasi tanda tangan
dan mengonfirmasi validitas sertifikat.
Otentikasi Berbasis Kata Sandi
Gambar 9.2 menunjukkan langkah-langkah dasar yang terlibat dalam otentikasi klien
dengan menggunakan nama dan kata sandi. Gambar 9.2 mengasumsikan sebagai berikut:
• Pengguna telah memutuskan untuk mempercayai server, baik tanpa otentikasi atau
berdasar otentikasi server melalui SSL.
• Pengguna telah meminta sumber daya yang dikendalikan oleh server.
• Server memerlukan otentikasi klien sebelum mengizinkan akses ke sumber daya yang
diminta.
Ini yaitu langkah-langkah yang ditunjukkan pada Gambar 9.2:
1. Menanggapi permintaan otentikasi dari server, klien menampilkan kotak dialog yang
meminta nama pengguna dan kata sandi untuk server itu. Pengguna harus
memberikan nama dan kata sandi secara terpisah untuk setiap server baru yang ingin
dipakai pengguna selama sesi kerja.
2. Klien mengirimkan nama dan kata sandi melalui jaringan, baik secara jelas atau melalui
koneksi SSL terenkripsi.
3. Server mencari nama dan kata sandi di basis data kata sandi lokalnya dan, jika cocok,
menerimanya sebagai bukti yang mengotentikasi identitas pengguna.
4. Server menentukan apakah pengguna yang diidentifikasi diizinkan untuk mengakses
sumber daya yang diminta, dan jika demikian, memungkinkan klien untuk
mengaksesnya.
Dengan pengaturan ini, pengguna harus memberikan kata sandi baru untuk setiap server, dan
administrator harus melacak nama dan kata sandi untuk setiap pengguna, biasanya di server
terpisah. Implementasi yang tepat tidak menyimpan kata sandi dalam teks biasa. Alih-alih itu
menggabungkan kata sandi dengan nilai per pengguna acak (disebut "garam") dan
menyimpan nilai hash dari hasilnya bersama dengan garamnya. Ini membuat beberapa jenis
serangan brute force lebih sulit. Seperti yang ditunjukkan pada bagian berikutnya, salah satu
keuntungan dari otentikasi berbasis sertifikat yaitu dapat dipakai untuk menggantikan
tiga langkah pertama pada Gambar 9.2 dengan mekanisme yang memungkinkan pengguna
untuk memberikan hanya satu kata sandi (yang tidak dikirim ke seluruh jaringan) dan
memungkinkan administrator untuk mengontrol otentikasi pengguna secara terpusat.
Otentikasi Berbasis Sertifikat
Gambar 9.3 menunjukkan cara kerja otentikasi klien menggunakan sertifikat dan
protokol SSL. Untuk mengautentikasi pengguna ke server, klien secara digital menandatangani
sepotong data yang dihasilkan secara acak dan mengirimkan sertifikat dan data yang
ditandatangani melalui jaringan. Untuk tujuan diskusi ini, tanda tangan digital yang terkait
dengan beberapa data dapat dianggap sebagai bukti yang diberikan oleh klien ke server.
Server mengotentikasi identitas pengguna pada kekuatan bukti ini. Seperti Gambar 9.2,
Gambar 9.3 mengasumsikan bahwa pengguna telah memutuskan untuk mempercayai server
dan telah meminta sumber daya, dan bahwa server telah meminta otentikasi klien dalam
proses mengevaluasi apakah akan memberikan akses ke sumber daya yang diminta.
Berbeda dengan proses yang ditunjukkan pada Gambar 9.2, proses yang ditunjukkan
pada Gambar 9.3 membutuhkan penggunaan SSL. Gambar 9.3 juga mengasumsikan bahwa
klien memiliki sertifikat yang valid yang dapat dipakai untuk mengidentifikasi klien ke
server. Otentikasi berbasis sertifikat umumnya dianggap lebih disukai dibandingkan otentikasi
berbasis kata sandi karena didasarkan pada gandum yang dimiliki pengguna (kunci pribadi)
serta apa yang diketahui pengguna (kata sandi yang melindungi kunci pribadi). Namun,
penting untuk dicatat bahwa kedua asumsi ini benar hanya jika personel yang tidak
berwenang belum memperoleh akses ke mesin atau kata sandi pengguna, kata sandi untuk
basis data kunci pribadi perangkat lunak klien telah ditetapkan, dan perangkat lunak diatur
untuk meminta kata sandi pada interval frekuensi yang wajar.
Baik otentikasi berbasis kata sandi maupun otentikasi berbasis sertifikat tidak
mengatasi masalah keamanan yang terkait dengan akses fisik ke mesin atau kata sandi
individual. Kriptografi kunci publik hanya dapat memverifikasi bahwa kunci pribadi yang
dipakai untuk menandatangani beberapa data sesuai dengan kunci publik dalam sertifikat.
Merupakan tanggung jawab pengguna untuk melindungi keamanan fisik mesin dan menjaga
kerahasiaan kata sandi kunci pribadi. Ini yaitu langkah-langkah yang ditunjukkan pada
Gambar 9.3:
1. Perangkat lunak klien, seperti Communicator, memelihara basis data kunci privat yang
sesuai dengan kunci publik yang diterbitkan dalam sertifikat apa pun yang diterbitkan
untuk klien ini . Klien meminta kata sandi ke database ini saat pertama kali klien
perlu mengaksesnya selama sesi tertentu-misalnya, pertama kali pengguna mencoba
mengakses server berkemampuan SSL yang memerlukan otentikasi klien berbasis
sertifikat. sesudah memasukkan kata sandi ini sekali, pengguna tidak perlu
memasukkannya lagi selama sisa sesi, bahkan saat mengakses server lain yang
mendukung SSL.
2. Klien membuka kunci basis data kunci privat, mengambil kunci privat untuk sertifikat
pengguna, dan menggunakan kunci privat ini untuk menandatangani secara
digital beberapa data yang telah dibuat secara acak untuk tujuan ini berdasar input
dari klien dan server . Data ini dan tanda tangan digital merupakan "bukti" validitas
kunci pribadi. Tanda tangan digital hanya dapat dibuat dengan kunci pribadi itu dan
dapat divalidasi dengan kunci publik yang sesuai terhadap data yang ditandatangani,
yang unik untuk sesi SSL.
3. Klien mengirimkan sertifikat pengguna dan bukti (sepotong data yang dihasilkan
secara acak yang telah ditandatangani secara digital) melalui jaringan.
4. Server menggunakan sertifikat dan bukti untuk mengotentikasi identitas pengguna.
Pada titik ini, server secara opsional dapat melakukan tugas autentikasi lainnya, seperti
memeriksa apakah sertifikat yang diberikan oleh klien disimpan dalam entri pengguna di
direktori LDAP. Server kemudian melanjutkan untuk mengevaluasi apakah pengguna yang
diidentifikasi diizinkan untuk mengakses sumber daya yang diminta. Proses evaluasi ini dapat
menggunakan berbagai mekanisme otorisasi standar, berpotensi menggunakan informasi
tambahan dalam direktori LDAP, database perusahaan, dan sebagainya. Jika hasil evaluasi
positif, server mengizinkan klien untuk mengakses sumber daya yang diminta.
Seperti yang Anda lihat dengan membandingkan Gambar 9.3 dengan Gambar 9.2,
sertifikat menggantikan bagian otentikasi dari interaksi antara klien dan server. Alih-alih
mengharuskan pengguna untuk mengirim kata sandi di seluruh jaringan sepanjang hari, sistem
masuk tunggal mengharuskan pengguna untuk memasukkan kata sandi basis data kunci
pribadi sekali saja, tanpa mengirimkannya ke seluruh jaringan. Selama sisa sesi, klien
menyajikan sertifikat pengguna untuk mengautentikasi pengguna ke setiap server baru yang
ditemuinya. Mekanisme otorisasi yang ada berdasar identitas pengguna yang diautentikasi
tidak terpengaruh.
9.7 BAGAIMANA SERTIFIKAT dipakai ?
• Jenis Sertifikat
• Protokol SSL
• Email yang Ditandatangani dan Dienkripsi
• Penandatanganan Formulir
• Sistem Masuk Tunggal
• Jenis Sertifikat Penandatanganan Obyek
Lima jenis sertifikat yang umum dipakai dengan produk Red Hat:
• Sertifikat SSL klien: dipakai untuk mengidentifikasi klien ke server melalui SSL
(otentikasi klien). Biasanya, identitas klien diasumsikan sama dengan identitas
manusia, seperti karyawan di suatu perusahaan. Lihat "Otentikasi Berbasis Sertifikat",
untuk penjelasan tentang cara sertifikat SSL klien dipakai untuk otentikasi klien.
Sertifikat SSL klien juga dapat dipakai untuk penandatanganan formulir dan sebagai
bagian dari solusi sistem masuk tunggal.
• Contoh: Bank memberi pelanggan sertifikat SSL klien yang memungkinkan server bank
mengidentifikasi pelanggan ini dan mengizinkan akses ke akun pelanggan.
Perusahaan mungkin memberi karyawan baru sertifikat SSL klien yang memungkinkan
server perusahaan mengidentifikasi karyawan ini dan mengotorisasi akses ke
server perusahaan.
• Sertifikat SSL server: dipakai untuk mengidentifikasi server ke klien melalui SSL
(otentikasi server). Otentikasi server dapat dipakai dengan atau tanpa otentikasi
klien. Otentikasi server yaitu persyaratan untuk sesi SSL terenkripsi.
Contoh: Situs internet yang terlibat dalam perdagangan elektronik (umumnya dikenal sebagai
e-niaga) biasanya mendukung otentikasi server berbasis sertifikat, minimal, untuk membuat
sesi SSL terenkripsi dan untuk meyakinkan pelanggan bahwa mereka berurusan dengan situs
web yang diidentifikasi dengan perusahaan tertentu. Sesi SSL terenkripsi memastikan bahwa
informasi pribadi yang dikirim melalui jaringan, seperti nomor kartu kredit, tidak dapat dengan
mudah disadap.
• Sertifikat S/MIME: dipakai untuk email yang ditandatangani dan dienkripsi. Seperti
halnya sertifikat SSL klien, identitas klien biasanya diasumsikan sama dengan identitas
manusia, seperti karyawan di suatu perusahaan. Satu sertifikat dapat dipakai
sebagai sertifikat S/MIME dan sertifikat SSL. Sertifikat S/MIME juga dapat dipakai
untuk penandatanganan formulir dan sebagai bagian dari solusi sistem masuk tunggal.
• Contoh: Perusahaan menyebarkan gabungan S/MIME dan sertifikat SSL semata-mata
untuk tujuan mengautentikasi identitas karyawan, sehingga mengizinkan email yang
ditandatangani dan otentikasi SSL klien namun bukan email terenkripsi. Perusahaan lain
menerbitkan sertifikat S/MIME semata-mata untuk tujuan menandatangani dan
mengenkripsi email yang berhubungan dengan masalah keuangan atau hukum yang
sensitif.
• Sertifikat penandatanganan objek: dipakai untuk mengidentifikasi penanda kode
Java, skrip JavaScript, atau file bertanda tangan lainnya. Untuk informasi lebih lanjut,
lihat "Penandatanganan Objek".
• Contoh: Perusahaan perangkat lunak menandatangani perangkat lunak yang
didistribusikan melalui Internet untuk memberikan jaminan kepada pengguna bahwa
perangkat lunak ini yaitu produk yang sah dari perusahaan ini .
Menggunakan sertifikat dan tanda tangan digital dengan cara ini juga memungkinkan
pengguna untuk mengidentifikasi dan mengontrol jenis akses yang dimiliki perangkat
lunak yang diunduh ke komputer mereka.
• sertifikat CA. dipakai untuk mengidentifikasi CA. Perangkat lunak klien dan server
menggunakan sertifikat CA untuk menentukan sertifikat lain yang dapat dipercaya.
Untuk informasi lebih lanjut .
• Contoh: Sertifikat CA yang disimpan di Communicator menentukan sertifikat lain yang
dapat diautentikasi oleh salinan Communicator. Administrator dapat menerapkan
beberapa aspek kebijakan keamanan perusahaan dengan mengontrol sertifikat CA
yang disimpan dalam salinan Communicator setiap pengguna.
• Protokol SSL
Protokol Secure Sockets Layer (SSL) yaitu seperangkat aturan yang mengatur otentikasi
server, otentikasi klien, dan komunikasi terenkripsi antara server dan klien. SSL banyak
dipakai di Internet, terutama untuk interaksi yang melibatkan pertukaran informasi rahasia
seperti nomor kartu kredit. SSL membutuhkan sertifikat SSL server, minimal. Sebagai bagian
dari proses "jabat tangan" awal, server menyajikan sertifikatnya kepada klien untuk
mengotentikasi identitas server. Proses otentikasi menggunakan enkripsi kunci publik dan
tanda tangan digital untuk mengonfirmasi bahwa server sebenarnya yaitu server yang
diklaimnya. sesudah server diautentikasi, klien dan server menggunakan teknik enkripsi kunci
simetris, yang sangat cepat, untuk mengenkripsi semua informasi yang mereka tukarkan
untuk sisa sesi dan untuk mendeteksi gangguan yang mungkin terjadi. Server secara opsional
dapat dikonfigurasi untuk memerlukan otentikasi klien serta otentikasi server. Dalam hal ini,
sesudah otentikasi server berhasil diselesaikan, klien juga harus menunjukkan sertifikatnya ke
server untuk mengotentikasi identitas klien sebelum sesi SSL terenkripsi dapat dibuat. Untuk
gambaran umum tentang otentikasi klien melalui SSL dan perbedaannya dari otentikasi
berbasis kata sandi.
Email yang Ditandatangani dan Dienkripsi:
Beberapa program email (termasuk Messenger, yang merupakan bagian dari
Communicator) mendukung email yang ditandatangani secara digital dan dienkripsi
menggunakan protokol yang diterima secara luas yang dikenal sebagai Secure Multipurpose
Internet Mail Extension (S/MIME). Menggunakan S/MIME untuk menandatangani atau
mengenkripsi pesan email mengharuskan pengirim pesan memiliki sertifikat S/MIME. Pesan
email yang menyertakan tanda tangan digital memberikan beberapa jaminan bahwa pesan itu
sebenarnya dikirim oleh orang yang namanya muncul di header pesan, sehingga memberikan
otentikasi pengirim. Jika tanda tangan digital tidak dapat divalidasi oleh perangkat lunak email
di pihak penerima, pengguna akan diberi tahu. Tanda tangan digital unik untuk pesan yang
menyertainya. Jika pesan yang diterima berbeda dari pesan yang dikirim-bahkan dengan
penambahan atau penghapusan koma-tanda tangan digital tidak dapat divalidasi. Oleh karena
itu, email yang ditandatangani juga memberikan jaminan bahwa email ini tidak dirusak.
Sebagaimana dibahas di awal dokumen ini, jaminan semacam ini dikenal sebagai
nonrepudiation. Dengan kata lain, email yang ditandatangani mempersulit pengirim untuk
menyangkal telah mengirim pesan. Ini penting untuk banyak bentuk komunikasi bisnis.
S/MIME juga memungkinkan untuk mengenkripsi pesan email. Ini juga penting bagi beberapa
pengguna bisnis. Namun, menggunakan enkripsi untuk email memerlukan perencanaan yang
matang. Jika penerima pesan email terenkripsi kehilangan kunci pribadinya dan tidak memiliki
akses ke salinan cadangan kunci, misalnya, pesan terenkripsi tidak akan pernah dapat
didekripsi.
Penandatanganan Formulir:
Banyak jenis e-commerce membutuhkan kemampuan untuk memberikan bukti yang
terus-menerus bahwa seseorang telah mengesahkan transaksi. Meskipun SSL menyediakan
otentikasi klien sementara selama koneksi SSL, SSL tidak menyediakan otentikasi terusmenerus untuk transaksi yang mungkin terjadi selama koneksi ini . S/MIME
menyediakan otentikasi terus-menerus untuk email, namun e-commerce sering kali melibatkan
pengisian formulir di halaman web dibandingkan mengirim email. Teknologi Red Hat yang dikenal
sebagai penandatanganan formulir menjawab kebutuhan akan autentikasi transaksi keuangan
yang terus-menerus. Penandatanganan formulir memungkinkan pengguna untuk mengaitkan
tanda tangan digital dengan data berbasis web yang dihasilkan sebagai hasil transaksi, seperti
pesanan pembelian atau dokumen keuangan lainnya. Kunci pribadi yang terkait dengan
sertifikat SSL klien atau sertifikat S/MIME dapat dipakai untuk tujuan ini. Saat pengguna
mengklik tombol Kirim pada formulir berbasis web yang mendukung penandatanganan
formulir, kotak dialog akan muncul yang menampilkan teks yang tepat untuk ditandatangani.
Perancang formulir dapat menentukan sertifikat yang harus dipakai atau mengizinkan
pengguna untuk memilih sertifikat dari antara sertifikat SSL dan S/MIME klien yang diinstal di
Communicator. Ketika pengguna mengklik OK, teks ditandatangani, dan teks dan tanda tangan
digital dikirimkan ke server. Server kemudian dapat menggunakan utilitas Red Hat yang
disebut Alat Verifikasi Tanda Tangan untuk memvalidasi tanda tangan digital.
Sistem Masuk Tunggal:
Pengguna jaringan sering diminta untuk mengingat beberapa kata sandi untuk
berbagai layanan yang mereka gunakan. Misalnya, pengguna mungkin harus mengetikkan
kata sandi yang berbeda untuk masuk ke jaringan, mengumpulkan email, menggunakan
layanan direktori, menggunakan program kalender perusahaan, dan mengakses berbagai
server. Beberapa kata sandi yaitu sakit kepala yang berkelanjutan bagi pengguna dan
administrator sistem. Pengguna mengalami kesulitan melacak kata sandi yang berbeda,
cenderung memilih kata sandi yang buruk, dan cenderung menuliskannya di tempat yang
jelas. Administrator harus melacak database kata sandi terpisah di setiap server dan
menangani potensi masalah keamanan yang terkait dengan fakta bahwa kata sandi dikirim
melalui jaringan secara rutin dan sering.
Memecahkan masalah ini memerlukan beberapa cara bagi pengguna untuk masuk
sekali, menggunakan satu kata sandi, dan mendapatkan akses terautentikasi ke semua sumber
daya jaringan yang diizinkan pengguna untuk dipakai -tanpa mengirim kata sandi apa pun
melalui jaringan. Kemampuan ini dikenal sebagai sistem masuk tunggal. Baik sertifikat SSL
klien maupun sertifikat S/MIME dapat memainkan peran penting dalam solusi sistem masuk
tunggal yang komprehensif. Misalnya, satu bentuk sistem masuk tunggal yang didukung oleh
produk Red Hat bergantung pada otentikasi klien SSL. Seorang pengguna dapat masuk sekali,
menggunakan satu kata sandi ke basis data kunci pribadi klien lokal, dan mendapatkan akses
terotentikasi ke semua server berkemampuan SSL yang diizinkan untuk dipakai oleh
pengguna-tanpa mengirim kata sandi apa pun melalui jaringan. Pendekatan ini
menyederhanakan akses bagi pengguna, karena mereka tidak perlu memasukkan kata sandi
untuk setiap server baru. Ini juga menyederhanakan manajemen jaringan, karena
administrator dapat mengontrol akses dengan mengontrol daftar otoritas sertifikat (CA)
dibandingkan daftar pengguna dan kata sandi yang lebih panjang. Selain menggunakan sertifikat,
solusi masuk tunggal yang lengkap harus memenuhi kebutuhan untuk beroperasi dengan
sistem perusahaan, seperti sistem operasi yang mendasarinya, yang mengandalkan kata sandi
atau bentuk autentikasi lainnya.
Penandatanganan Objek
Komunikator mendukung seperangkat alat dan teknologi yang disebut
penandatanganan objek. Penandatanganan objek menggunakan teknik standar kriptografi
kunci publik untuk memungkinkan pengguna mendapatkan informasi yang dapat dipercaya
tentang kode yang mereka unduh dengan cara yang sama seperti mereka dapat memperoleh
informasi yang dapat diandalkan tentang perangkat lunak yang dibungkus dengan shrink. Yang
paling penting, penandatanganan objek membantu pengguna dan administrator jaringan
menerapkan keputusan tentang perangkat lunak yang didistribusikan melalui intranet atau
Internet-misalnya, apakah mengizinkan applet Java yang ditandatangani oleh entitas tertentu
untuk menggunakan kemampuan komputer tertentu pada mesin pengguna tertentu. "Objek"
yang ditandatangani dengan teknologi penandatanganan objek dapat berupa applet atau
kode Java lainnya, skrip JavaScript, plug-in, atau jenis file apa pun. "Tanda tangan" yaitu
tanda tangan digital. Objek yang ditandatangani dan tanda tangannya biasanya disimpan
dalam file khusus yang disebut file JAR. Pengembang perangkat lunak dan orang lain yang ingin
menandatangani file menggunakan teknologi penandatanganan objek harus terlebih dahulu
mendapatkan sertifikat penandatanganan objek.
9.8 INFRASTRUKTUR KUNCI PUBLIK (PKI)
Infrastruktur kunci publik (PKI) mendukung distribusi dan identifikasi kunci enkripsi
publik, memungkinkan pengguna dan komputer untuk bertukar data dengan aman melalui
jaringan seperti Internet dan memverifikasi identitas pihak lain. Infrastruktur kunci publik (PKI)
mendukung distribusi dan identifikasi kunci enkripsi publik, memungkinkan pengguna dan
komputer untuk bertukar data dengan aman melalui jaringan seperti Internet dan
memverifikasi identitas pihak lain.
Tanpa PKI, informasi sensitif masih dapat dienkripsi (memastikan kerahasiaan) dan
dipertukarkan, namun tidak akan ada jaminan identitas (otentikasi) pihak lain. Segala bentuk
data sensitif yang dipertukarkan melalui Internet bergantung pada PKI untuk keamanan.
PKI khas terdiri dari perangkat keras, perangkat lunak, kebijakan dan standar untuk
mengelola pembuatan, administrasi, distribusi dan pencabutan kunci dan sertifikat digital.
Sertifikat digital yaitu inti dari PKI karena mereka menegaskan identitas subjek sertifikat dan
mengikat identitas itu ke kunci publik yang terkandung dalam sertifikat. PKI tipikal mencakup
elemen-elemen kunci berikut:
• Pihak tepercaya, yang disebut otoritas sertifikat (CA), bertindak sebagai akar
kepercayaan dan menyediakan layanan yang mengotentikasi identitas individu,
komputer, dan entitas lain
• Otoritas pendaftaran, sering disebut CA bawahan, disertifikasi oleh CA root untuk
menerbitkan sertifikat untuk penggunaan khusus yang diizinkan oleh root
• Basis data sertifikat, yang menyimpan permintaan dan penerbitan sertifikat serta
mencabut sertifikat
• Sebuah toko sertifikat, yang berada di komputer lokal sebagai tempat untuk
menyimpan sertifikat dan kunci pribadi yang dikeluarkan
CA mengeluarkan sertifikat digital kepada entitas dan individu sesudah memverifikasi identitas
mereka. Itu menandatangani sertifikat ini menggunakan kunci pribadinya; kunci publiknya
tersedia untuk semua pihak yang berkepentingan dalam sertifikat CA yang ditandatangani
sendiri. CA menggunakan sertifikat root tepercaya ini untuk membuat "rantai kepercayaan" -
- banyak sertifikat root disematkan di browser Web sehingga mereka memiliki kepercayaan
bawaan dari CA ini . Server web, klien email, ponsel pintar, dan banyak jenis perangkat
keras dan perangkat lunak lainnya juga mendukung PKI dan berisi sertifikat root tepercaya
dari CA utama. Bersama dengan kunci publik entitas atau individu, sertifikat digital berisi
informasi tentang algoritme yang dipakai untuk membuat tanda tangan, orang atau entitas
yang diidentifikasi, tanda tangan digital CA yang memverifikasi data subjek dan menerbitkan
sertifikat, tujuan kunci publik enkripsi, tanda tangan dan penandatanganan sertifikat, serta
rentang tanggal di mana sertifikat dapat dianggap valid.
PKI menyediakan rantai kepercayaan, sehingga identitas pada jaringan dapat
diverifikasi. Namun, seperti rantai lainnya, PKI hanya sekuat mata rantai terlemahnya. Ada
berbagai standar yang mencakup aspek-aspek PKI -- seperti Internet X.509 Public Key
Infrastructure Certificate Policy and Certification Practices Framework (RFC2527) -- namun
tidak ada badan pengatur utama yang menerapkan standar ini. Meskipun CA sering disebut
sebagai "pihak ketiga yang tepercaya", kekurangan dalam prosedur keamanan berbagai CA
dalam beberapa tahun terakhir telah membahayakan kepercayaan di seluruh PKI tempat
Internet bergantung. Jika satu CA dikompromikan, keamanan seluruh PKI terancam. Misalnya,
pada tahun 2011, vendor browser web terpaksa memasukkan semua sertifikat yang
dikeluarkan oleh CA DigiNotar Belanda ke daftar hitam sesudah lebih dari 500 sertifikat palsu
ditemukan.
9.9 OTORITAS PENDAFTARAN
Otoritas pendaftaran (RA) yaitu otoritas dalam jaringan yang memverifikasi
permintaan pengguna untuk sertifikat digital dan memberi tahu otoritas sertifikat (CA) untuk
menerbitkannya. Otoritas pendaftaran (RA) yaitu otoritas dalam jaringan yang
memverifikasi permintaan pengguna untuk sertifikat digital dan memberi tahu otoritas
sertifikat (CA) untuk menerbitkannya. RA yaitu bagian dari infrastruktur kunci publik (PKI),
sistem jaringan yang memungkinkan perusahaan dan pengguna untuk bertukar informasi dan
uang dengan aman dan terjamin. Sertifikat digital berisi kunci publik yang dipakai untuk
mengenkripsi dan mendekripsi pesan dan tanda tangan digital.
Sertifikat tepercaya biasanya dipakai untuk membuat koneksi aman ke server
melalui Internet. Sertifikat diperlukan untuk menghindari masalah bahwa pihak jahat yang
kebetulan berada di jalur ke server target berpura-pura menjadi target. Skenario seperti itu
biasanya disebut sebagai serangan man-in-the-middle. Klien menggunakan sertifikat CA untuk
memverifikasi tanda tangan CA pada sertifikat server, sebagai bagian dari pemeriksaan
sebelum membuat sambungan aman. Biasanya, perangkat lunak klien—misalnya, browser—
menyertakan serangkaian sertifikat CA tepercaya. Itu masuk akal sebanyak pengguna perlu
memercayai perangkat lunak klien mereka: Klien yang jahat atau disusupi dapat melewati
pemeriksaan keamanan apa pun dan masih membodohi penggunanya agar percaya
sebaliknya.
Pelanggan CA yaitu administrator server yang memerlukan sertifikat yang akan
diberikan server mereka kepada klien. CA komersial mengenakan biaya untuk menerbitkan
sertifikat, dan pelanggan mereka mengharapkan sertifikat CA disertakan oleh sebagian besar
browser web, sehingga koneksi aman ke server bersertifikat bekerja dengan lancar di luar
kotak. Jumlah browser web dan perangkat serta aplikasi lain yang mempercayai otoritas
sertifikat tertentu disebut sebagai ubiquity. Mozilla, yang merupakan organisasi nirlaba,
mendistribusikan beberapa sertifikat CA komersial dengan produknya.[1] Sementara Mozilla
mengembangkan kebijakan mereka sendiri, CA/Forum Browser mengembangkan pedoman
serupa untuk kepercayaan CA. Sertifikat CA tunggal dapat dibagikan di antara beberapa CA
atau pengecernya. Sertifikat CA root mungkin menjadi dasar untuk mengeluarkan beberapa
sertifikat CA perantara dengan persyaratan validasi yang bervariasi.
Selain CA komersial, beberapa penyedia menerbitkan sertifikat digital kepada publik
tanpa biaya; contoh yang patut diperhatikan yaitu CAcert. Institusi besar atau entitas
pemerintah mungkin memiliki PKI sendiri, masing-masing termasuk CA mereka sendiri. Secara
formal, situs apa pun yang menggunakan sertifikat yang ditandatangani sendiri juga bertindak
sebagai CA-nya sendiri. Bagaimanapun, klien yang layak memungkinkan pengguna untuk
menambah atau menghapus sertifikat CA sesuka hati. Meskipun sertifikat server biasanya
bertahan untuk waktu yang agak singkat, sertifikat CA bertahan lebih lama, [2] jadi, untuk
server yang sering dikunjungi, lebih sedikit kesalahan untuk mengimpor dan memercayai CA
yang menerbitkan sertifikatnya dibandingkan mengonfirmasi pengecualian keamanan setiap
waktu sertifikat server diperbarui.
Penggunaan sertifikat tepercaya yang lebih jarang yaitu untuk mengenkripsi atau
menandatangani pesan. CA juga mengeluarkan sertifikat pengguna akhir, yang dapat
dipakai dengan S/MIME. Namun, enkripsi memerlukan kunci publik penerima dan, karena
penulis dan penerima pesan terenkripsi mungkin saling mengenal, kegunaan pihak ketiga yang
tepercaya tetap terbatas pada verifikasi tanda tangan dari pesan yang dikirim ke milis publik.
9.10 APA YANG HARUS DILAKUKAN
Sistem pertahanan terhadap serangan Internet telah berkembang berdampingan
dengan agresi dalam semacam versi serius dari serial kartun "Spy vs. Spy" yang dibuat terkenal
oleh Mad Magazine. Tiga tindakan penting yang tersedia untuk individu dan bisnis, betapapun
kecilnya, yaitu 1) penggunaan sistem komputer secara disiplin termasuk kata sandi dan
kontrol email yang cermat, 2) pemasangan dan peningkatan firewall antara jaringan internal
dan Internet, 3) kewaspadaan terhadap berita. tentang virus dan pelanggaran baru dan segera
melaksanakan rekomendasi publik, dan 4) pelaporan pelanggaran segera kepada pihak
berwenang segera sesudah terdeteksi.
Pemilik bisnis memiliki tanggung jawab utama untuk menolak akses ke sistemnya
kepada individu yang seharusnya tidak menggunakannya. Ini biasanya dicapai dengan
menggunakan kontrol kata sandi. Di lingkungan modern kita diharuskan menggunakan terlalu
banyak kata sandi. Tidak mengherankan, kami memilih salah satu yang kami sukai dan
cenderung bertahan dengannya. Kami menggunakan kata sandi yang sama untuk sejumlah
akun online yang berbeda, di rumah, di kantor. Penangkapan satu di suatu tempat dapat
menyebabkan penggunaannya di tempat lain. Dalam masalah di mana disiplin yang baik
ditegakkan, kata sandi baru dikeluarkan secara berkala—namun orang cenderung
melupakannya, dengan konsekuensi bahwa kata sandi itu sering dicoret-coret di monitor
komputer dengan pensil. Praktik ceroboh seperti itu, tentu saja, sebagian bertanggung jawab
atas pelanggaran besar dan banyak kerusakan. Sebagian besar virus ditransmisikan sebagai
lampiran email. Membuka lampiran dari pemancar email yang tidak dikenal umumnya
merupakan ide yang buruk—bahkan ketika pesannya terdengar masuk akal. Aturan yang baik
untuk diikuti dalam masalah seperti itu yaitu jika pengirim benar-benar ingin saya membuka
surat itu, dia akan menelepon. Keingintahuan yang menganggur menyebabkan banyak virus
menyebar.
Sebagian besar usaha kecil dengan jaringan akan melibatkan perusahaan jasa untuk
memelihara dan secara berkala memeriksa sistemnya atau akan ada staf internal yang
mengelola fungsi ini . Firewall dan perangkat lunak pendeteksi virus memerlukan
pemeliharaan dan peningkatan berkala. Kegagalan untuk melakukannya dapat membuka
sistem perusahaan untuk spammer yang akan menggunakannya sebagai titik transmisi—
menggunakan kekuatan prosesor yang berharga dan akhirnya menyebabkan email
perusahaan sendiri ditolak oleh orang lain—atau lebih buruk lagi. Paket pemantauan virus
lama tidak akan menyadari worm baru, Trojan horse, dan bom logika. Ketika ada berita yang
menunjukkan bahwa beberapa program perangkat lunak memiliki kelemahan besar,
produsen perangkat lunak segera memiliki "tambalan" yang siap untuk memperbaiki
kerentanan. Mengunduh dan memasang tambalan semacam itu akan merepotkan, namun
kegagalan untuk melakukannya mungkin akan lebih mahal. Bayar saya sekarang atau bayar
saya nanti! Beberapa situs Web menyediakan peringatan virus gratis dan patch antivirus yang
dapat diunduh untuk browser Web. Contohnya termasuk www.symantec.com/avcenter dan
www.ciac.org. Institut Keamanan Komputer menyediakan survei tahunan tentang
pelanggaran keamanan di www.gocsi.com.
Sumber daya lain yang bermanfaat yaitu National Computer Security Association
(www.ncsa.com), yang memberikan tip tentang keamanan Internet untuk pemilik bisnis dan
menyediakan definisi istilah teknologi tinggi.
Pelanggaran sistem harus segera dilaporkan. Bisnis dapat melakukannya dengan
menghubungi US-CERT (Tim Kesiapan Darurat Komputer Amerika Serikat). Organisasi federal
ini, yang dibentuk pada tahun 2003, bekerja dengan komunitas Internet untuk meningkatkan
kesadaran akan masalah keamanan dan mengatur respons terhadap ancaman keamanan.
Situs web CERT memposting peringatan keamanan terbaru dan juga menyediakan dokumen,
alat, dan seminar pelatihan yang terkait dengan keamanan. Terakhir, CERT menawarkan
bantuan teknis 24 jam jika terjadi pelanggaran keamanan Internet. Pemilik usaha kecil yang
menghubungi CERT tentang masalah keamanan akan diminta untuk memberikan alamat
Internet perusahaan mereka, model komputer yang terpengaruh, jenis sistem operasi dan
perangkat lunak yang dipakai , dan langkah-langkah keamanan yang ada.
Untuk sebagian besar usaha kecil, Internet yaitu sumber daya yang berharga. Upaya
yang diperlukan untuk bermain sesuai aturan relatif rendah. Biaya, minimal dalam waktu,
seringkali dalam dolar, bisa sangat tinggi bahkan untuk masalah kecil seperti server seseorang
dibajak untuk spamming. Ketika virus menghancurkan disk yang menyimpan data berharga,
biaya bisa meroket. Kehati-hatian, kewaspadaan, dan disiplin dapat mencegah masalah
terburuk seperti itu. Oleh karena itu, kebijakan keamanan yang baik harus menjadi agenda
utama pemilik bisnis.
Munculnya bentuk-bentuk baru komunikasi massa melalui teknologi telah
menimbulkan hambatan dan tantangan regulasi. Mungkin salah satu isu yang paling sensitif
dan bermasalah dari sudut pandang model ekonomi terkait dan konflik dengan hak
kon
.jpg)
.jpg)
.jpg)
.jpg)
