tag:blogger.com,1999:blog-79479752022117719402024-02-20T13:02:37.349+08:00Xynder SandboxBlog ini bertujuan khusus untuk membagikan informasi dan pengetahuan tentang keamanan komputer dan hal2 di sekitarnya. saya menulis blog ini sebagai langkah awal untuk memulai pengembangan kesadaran penggunaan komputer, internet dan informasi di dalamnya di IndonesiaRendy Kharismahttp://www.blogger.com/profile/17736597540820842508noreply@blogger.comBlogger20125tag:blogger.com,1999:blog-7947975202211771940.post-29759960930064840292011-08-23T00:50:00.000+08:002011-08-23T00:50:58.853+08:00Sekarang Semua Orang Bisa Menjadi Mata-mata Seperti James Bond*Post ini juga saya tulis di Kompasiana, dan sempat menjadi HL selama beberapa waktu <br />
<br />
Untuk orang awam seperti kita, kata "menyadap" seringkali terdengar sangat eksotis, canggih, dan tidak terjangkau manusia biasa. jika dahulu kepercayaan ini benar, perkembangan teknologi kini membuat hal ini menjadi sangat terjangkau oleh siapapun, asalkan yang bersangkutan cukup fasih dalam mengoperasikan komputer.<br />
<br />
Suatu ketika, teman saya mengadu pada saya karena dia merasa dibuntuti. konon, seorang "fans"nya mengetahui terlalu banyak informasi tentang dirinya. lagi dimana, bersama siapa, membicarakan apa, bahkan juga sampai sms-an dengan siapa.<br />
<br />
Si "fans" ini berusaha menakuti teman saya dengan menyatakan kalau dirinya adalah aparat yang berwajib, sehingga dia bisa melakukan penyadapan. tapi apakah ini benar ?<br />
<br />
Untungnya tidak, akan tetapi, banyak sekali cara untuk melakukan penyadapan seperti ini. terutama pada lingkungan teknologi seperti komputer dan smart phone. banyak sekali produk mata-mata yang dijual bebas di pasaran. siapapun bisa membelinya, memasangkannya di komputer / HP teman/saudara/tetangga/anaknya, dan melakukan penyadapan ala intel tanpa bersusah payah.<br />
<br />
Software seperti ini terbagi menjadi beberapa kelompok, antara lain :<br />
<ul><li>Keylogger : mengopi hasil ketikan anda di komputer. jadi ketika anda chatting, keylogger menyimpan ketikan yang anda lakukan selama sesi chat tadi, akibatnya keylogger akan mendapatkan data sesi chat anda dengan lengkap.</li>
</ul><ul><li>Spyware : Memata-matai aktivitas anda, termasuk aktivitas browsing, website apa saja yang anda kunjungi dan program apa saja yang berjalan di komputer anda. pada versi smart-phonenya, bisa menguping pembicaraan anda, mengaktifkan GPS untuk mengetahui lokasi anda, membaca SMS / log panggilan, mengaktifkan kamera dan microphone dan banyak hal lain.</li>
</ul>Parahnya, aplikasi ini beredar di internet secara legal. tentu saja, slogan pemasaran mereka seolah-olah menyatakan kalau produk ini legal. contoh beberapa slogan marketing :<br />
<ul><li> Protect your children</li>
</ul><ul><li> Catch cheating spouse</li>
</ul><ul><li> Monitor your employee</li>
</ul><br />
Tentunya, penggunaan "positif" (walaupun tentu saja positif disini bisa diperdebatkan) ini bisa dilakukan. memonitor jika karyawan tidak bekerja dengan benar, mengawasi anak (terutama pada periode pemberontakan), memata-matai pacar/suami/istri yang dicurigai selingkuh, atau bahkan untuk jaga-jaga jikalah suatu saat HP/Komputer dicuri.<br />
<br />
Akan tetapi, kemungkinan penyalahgunaannya juga sangatlah besar. karena produk ini bisa diperjual belikan dengan bebas, serta sangat mudah digunakan, siapapun bisa saja melakukan penyadapan. Si pelaku hanya perlu meminjam HP/komputer korban selama 10 menit, dan software inipun sudah siap bekerja mengirimkan segala informasi korban<br />
<br />
Jika suatu saat anda pergi ke warnet, login ke email/FB/twitter anda dan besoknya tiba2 ada tulisan "akun anda telah saya hack", salah satu kemungkinan besar adalah ada software semacam ini pada komputer warnet tersebut. apakah si pelaku layak disebut hacker ? tidak, karena siapapun bisa mendownload dan menginstall software seperti ini, meninggalkannya selama 1 minggu, dan panen puluhan password.<br />
<br />
Beberapa tips pencegahan dan pendeteksian dari saya :<br />
<ul><li> Komputer / laptop</li>
</ul><ol><li>Jika ada orang yang hendak meminjam laptop/ komputer anda, awasi yang bersangkutan.</li>
<li>Jangan mudah terbujuk mendownload dan menginstall program yang tidak jelas asal muasalnya</li>
<li> Jangan menggunakan 1 password untuk semua akun anda. minimal bedakan antara akun biasa dan akun recovery password (misal : password FB dan password email)</li>
<li>Sebisa mungkin hindari menggunakan komputer umum untuk keperluan yang memerlukan password</li>
<li>Jika akun anda terbajak, dan ini terjadi berkali2 walaupun anda sudah mengganti password, bisa jadi ada software ini.</li>
<li>Jika ada orang yang sepertinya tahu segala aktifitas online anda, anda juga perlu curiga.</li>
<li>Lampu webcam tiba-tiba menyala. ini adalah Indikasi yang sangat jelas, jika ini terjadi, segera tutupi webcam anda dengan plester luka untuk mencegah webcam mengirim foto tanpa ijin anda</li>
<li>Jika ragu, silahkan minta teman anda yang mengerti komputer untuk melakukan pengecekan spyware dan keylogger</li>
</ol><ul><li> Smartphone </li>
</ul><ol><li> Jangan percaya jika disebutkan suatu merk Smartphone aman. semua smartphone bisa dipasangi software ini. baik Iphone, Android, Symbian maupun Blackberry.</li>
<li>Jangan meminjamkan HP anda kepada orang lain dalam waktu yang lama, apalagi diinapkan, karena kita tidak bisa tahu apa saja yg dilakukan dengan HP itu. apalagi software semacam ini cukup canggih dalam menyembunyikan dirinya.</li>
<li>Curigai bila HP anda sering menyala sendiri padahal tidak ada sms / telpon</li>
<li>Jika ditaruh dekat speaker, HP tiba2 membuat speaker berbunyi keras dalam waktu yg cukup lama padahal tidak ada aktifitas.</li>
<li>Pulsa anda terbuang sangat cepat, jika terjadi, mintalah perincian tagihan. jika ada aktifitas data dalam jumlah besar, anda perlu berhati hati.</li>
<li>Ketika anda melakukan panggilan telepon, ada suara aneh sebelum panggilan itu tersambung.</li>
<li>jika terjadi, cara termudah untuk membersihkan spyware ini adalah dengan melakukan installasi ulang pada smartphone.</li>
</ol>Sebagai tambahan, terkadang perusahaan internasional sengaja menanamkan software semacam ini pada peralatan kantor (misalnya HP yang diberikan kantor, laptop kantor dll) untuk tujuan monitoring. penghapusan software ini pada properti kantor anda bisa jadi menyebabkan masalah, karenanya, jika menyangkut properti kantor, konsultasikan terlebih dahulu dengan bagian IT perusahaan. Sebaliknya, jika kantor memasang software seperti ini, dan tidak ada bagian kontrak anda yang menyebutkan soal monitoring, anda bisa saja menuntut kantor anda karena privacy breach.Rendy Kharismahttp://www.blogger.com/profile/17736597540820842508noreply@blogger.com0tag:blogger.com,1999:blog-7947975202211771940.post-643460951498935482011-04-19T12:15:00.004+08:002011-04-19T12:16:59.019+08:00Facebook, Wi-fi Gratis dan Hacking<div style="text-align: justify;">Di Indonesia, wi-fi gratis adalah daya tarik tersendiri untuk menarik konsumen. kafe, restoran, perpustakaan, bahkan berbagai universitas pun menjadikan "Akses Wi-fi" menjadi salah satu alat marketing. Padahal, dari sudut pandang keamanan, penggunaan Wi-Fi biasanya hanya akan digunakan pada saat terpaksa saja, itupun dengan pengamanan yang sangat ketat. Mengapa ?</div><div style="text-align: justify;"><br />
</div><a name='more'></a><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">Berbeda dengan internet kabel, dimana data yang kita kirim dan terima mengalir dalam kabel, teknologi Wireless memungkinkan data tersebut mengalir dalam medium udara.Jadi walaupun tidak kita lihat, sebenarnya ada berbagai data di sekitar kita. ada kalimat2 chatting dalam udara yang kita hirup, ada username dan password dalam pemandangan yang kita lihat, dan dengan peralatan yang tepat, semua data itu bisa kita lihat.</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">Analogi wi-fi ini sebenarnya serupa dengan Radio AM/FM. data tersebut sebenarnya selalu ada di sekitar kita. dan dengan sebuah radio, kita bisa mencari, dan jika saluran gelombang yang kita pilih tepat, mendengarkan siaran radio tersebut.</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">Tentunya ada sedikit perbedaan. karena tidak ada pengamanan sama sekali dalam gelombang radio. Tentunya ini disebabkan karena tujuan dari radio sendiri yang memang justru ingin didengar sebanyak mungkin pendengar. tapi apakah pengamanan dengan WAP/WPA/WPA2 cukup ? sayangnya tidak. Ketiga algoritma tersebut memungkinkan kita menyeleksi siapa saja yang bisa bergabung dengan "siaran" kita. Tugas mereka seperti sebuah gerbang yang akan menerima orang yang punya hak (username dan password yang tepat) untuk masuk. tapi mereka tidak bisa mengontrol kelakuan orang orang tersebut setelah mereka masuk.</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">Masalahnya, pada Wi-fi gratis, penggunaan WPA/WPA2 ini hanya terbatas pada membatasi orang-orang yang tidak beli apa-apa / bukan mahasiswa untuk tidak menggunakan akses internet gratis ini. dan mendapatkan akses internet ini gampang sekali. cukup beli secangkir kopi dan anda akan mendapatkan passwordnya. Suatu biaya yang sangat murah, mengingat hasilnya bisa jadi mengakibatkan kerusakan yang sangat serius.</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">Setelah mendapatkan akses masuk kedalam jaringan Wi-Fi tersebut, orang bisa menggunakan berbagai software yang tersedia gratis di internet untuk mendapatkan username dan password dari berbagai situs. bukan hanya terbatas pada facebook saja, twitter, email, blog dan bahkan menguping chatting atau email. Parahnya, pada kebanyakan pengguna, mereka menggunakan satu password untuk berbagai account. artinya jika orang jahat tersebut mengetahui password facebook, mereka akan bisa masuk juga ke account YM, Email, Twitter dan lain lain. Beberapa software "hacking" ini bahkan tidak memerlukan keterampilan teknis lebih, sehingga bisa dilakukan oleh hampir semua orang dengan belajar sendiri selama kurang dari 1 jam.</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">Lantas bagaimana perlindungannya ?</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">Salah satu cara tentunya adalah dengan tidak menggunakan wi-fi gratis. tapi tentu saja cara ini bisa dibilang berat. karena itu, terlepas dari koneksi yang anda gunakan (wi-fi atau kabel), pastikan bahwa website yang meminta anda untuk melakukan login (misalnya website Facebook), tidak lagi menggunakan "HTTP://" tapi menggunakan "HTTPS://"</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">HTTP tidak aman, karena data yang dikirimkan dalam halaman berformat http tidak dilindungi sama sekali dan bisa dilihat begitu saja tanpa kesulitan yang berarti. berbeda dengan HTTPS, dimana data dikirimkan dalam format rahasia (encrypted) dan hanya bisa dibaca oleh penerima yang dituju.</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">Kenapa HTTP masih tetap banyak digunakan ? karena penggunaan HTTPS memerlukan processing power dan bandwidth yang lebih besar. selain itu, link2 dalam format HTTPS tidak bisa dipertukarkan dengan pengguna lain. jadi jika anda mendapatkan link sebuah foto di Facebook dalam format HTTPS, biasanya link itu tidak bisa digunakan di tempat selain komputer anda</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">kekurangan lainnya adalah dalam versi HTTPS, anda tidak bisa bermain game atau menggunakan aplikasi 3rd party apapun. kita bisa mematikan HTTPS selama menggunakan program 3rd party, tapi tentu saja hal ini berarti fitur keamanan yang diberikan oleh HTTPS tidak lagi aktif.</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">untuk menggunakan HTTPS di Facebook, pengguna bisa mengklik account (di pojok kanan atas) -> account setting -> account security dan meng-enable Secure browsing : Browse Facebook on a secure connection (https) whenever possible dan men-save pilihan tersebut.</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">Untuk situs lain, silahkan cek setting dari situs tersebut. jika tidak, gantilah HTTP menjadi HTTPS secara manual. tidak semua situs memiliki HTTPS, tapi bisa dipastikan semua situs / institusi besar seperti Perbankan, Perusahaan Internasional, dan website komersial skala internasional memiliki feature ini. jika mereka tidak memilikinya, saya menyarankan untuk meninggalkan institusi / website tadi, dan ganti dengan tempat lain, karena jika mereka begitu "cuek" dengan faktor keamanan, berarti keamanan anda berbelanja / beraktifitas disana juga tidak terjamin.</div>Rendy Kharismahttp://www.blogger.com/profile/17736597540820842508noreply@blogger.com0tag:blogger.com,1999:blog-7947975202211771940.post-108687276517407452010-12-12T00:33:00.000+08:002010-12-12T00:33:13.068+08:00Hardisk Forensic<div style="text-align: justify;">Menanggapi salah satu "tantangan" dari Mas Ruby Alamsyah tentang pentingnya pemahaman hardisk dalam kerja Forensic, saya akan menulis artikel tentang Hardisk dan seluk beluk teknisnya di sini.</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">Salah satu operasi paling umum dalam penggunaan komputer sehari2 adalah operasi baca, tulis dan penghapusan. akan tetapi banyak hal2 yg belum terlalu diketahui orang2 pada umumnya dalam penggunaan sehari2. akan tetapi, untuk seorang investigator forensik, hal2 ini sangatlah penting dalam pelacakan barang bukti.</div><div style="text-align: justify;"><br />
</div><a name='more'></a><div style="text-align: justify;">Tentu saja, sistem hardisk yang berbeda juga berbeda dalam pengelolaan spacenya. Hardisk NTFS, misalnya, berbeda dengan Hardisk FAT32. begitu pula dengan media penyimpanan non-platter seperti RAM, Flashdisk dan sebagainya. akan tetapi, pada umumnya, ada beberapa "ruang" yang sangat2 penting bagi penyidikan forensik. ruang2 itu adalah :</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">1. Recycle Bin : adalah tempat pertama yg perlu dicek dalam pencarian barang bukti. kecenderungannya, banyak pengguna sekedar mendelete filenya dengan menekan tombol delete. file2 tersebut bisa saja merupakan barang bukti penting.. karena itu Recycle Bin bisa jadi merupakan tempat penyimpanan data2 penting tersebut.</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">2. Free Slack : Ketika suatu file didelete dari Recycle Bin, sebenarnya file tersebut tidak langsung lenyap begitu saja. Komputer menghapus catatan file tersebut dari MFT (Master File Table) yang merupakan suatu "daftar isi" dari suatu hardisk. jika daftar isi dihapus, kita akan kesulitan menemukan file tersebut. akan tetapi bukan berarti file tersebut tidak ketemu kalau kita mau buka tiap halaman satu demi satu. Kebanyakan Program yg menawarkan "menemukan kembali file yg sudah didelete" beroperasi pada tingkat ini.</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">3. Slack Space : Ketika sebuah File didelete, MFT dihilangkan dan sebuah data baru dituliskan diatas data lama (overwrite), memang hampir mustahil kita bisa mengembalikan data tadi seutuhnya. akan tetapi, seringkali sebagian dari data2 lama tersebut masih ada. ini dimungkinkan karena cara kerja komputer yang membagi dalam satuan yang disebut "Allocation Unit Space (Windows)"</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">Metodenya, sebuah hardisk dibagi2 dalam ribuan partisi kecil berukuran 512 bytes sampai 4096 bytes. ketika suatu file berukuran 1024 bit dituliskan misalnya, jika hardisk itu diatur agar membagi hardisk dalam ukuran 512 bytes, hardisk akan menuliskannya dengan pada 2 slot partisi.</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">Tapi bagaimana jika Hardisk dibagi dalam satuan 4096 bytes ? pada kondisi ini, hardisk tetap akan mengumumkan seakan2 sebuah slot 4096 bytes telah terisi. walaupun secara manual, Slot tersebut hanya terisi 1/4nya saja. sisa 3/4 di dalam slot ini bisa jadi masih tetap menyimpan data2 lama yang (seharusnya) telah dimusnahkan (didelete).</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">Satuan penggunaan minimum ini juga tetap berguna bagi pengguna awam. jika hardisk dibagi dalam 4096 bytes, sebuah file terkecil berukuran 1 byte pun akan tetap menggunakan 4096 bytes. bayangkan betapa borosnya penggunaan space hardisk tersebut.</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">Akan tetapi, ada orang yang memilih menggunakan satuan minimum yang besar dengan tujuan mempercepat akses. berbeda dengan manusia, komputer tidak selalu menuliskan bagian2 dari 1 informasi yang sama dalam slot2 bersebelahan. kadang bisa jadi slot tersebut terpisah jauh, menyebabkan hardisk harus bekerja keras mencari bagian berikut dari data tersebut. disinilah defragmenter diperlukan.</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">Tentu saja, Perbedaan Media dan Sistem operasi sangat mempengaruhi proses forensik tadi. pengaturan penggunaan hardisk pada MAC dan Linux mungkin saja berbeda dengan proses yang saya tuliskan di atas. begitu juga pada device yang berbeda seperti hardisk hybrid, PDA dan lain sebagainya.</div>Rendy Kharismahttp://www.blogger.com/profile/17736597540820842508noreply@blogger.com2tag:blogger.com,1999:blog-7947975202211771940.post-22297162211622327062010-12-04T23:20:00.000+08:002010-12-04T23:20:12.948+08:00Wikileaks dan Keamanan InformasiBeberapa Minggu terakhir ini, berita tentang wikileaks seakan2 menjadi suatu berita baru dan heboh untuk masyarakat di Indonesia. Padahal, kebocoran informasi melalui wikileaks bukanlah suatu hal yang baru. Informasi rahasia militer Amerika misalnya, sempat juga bocor melalui wikileaks. berita dari situs berita besar cnet (<span id="search" style="visibility: visible;"><span class="f"><cite>news.cnet.com/8301-13578_3-20001802-38.html)</cite></span></span> misalnya, memuat berita tentang militer amerika yang membunuh rakyat sipil di Irak dengan helikopter. sudah tentu, berita ini menjadi kegemparan besar pada waktunya. bahkan memaksa militer amerika untuk menggelar sidang para terdakwa secara lebih transparan.<br />
<br />
Aktifitas yang disebut dengan istilah "Hacktivist" ini sebenarnya sudah banyak terjadi. misalnya saja, penyerangan hacker Indonesia ke situs2 negara tetangga, sebenarnya juga termasuk dalam hacktivist. Umumnya, para pelaku hacktivist merasa memperjuangkan kebenaran, pada beberapa kasus seperti pembunuhan rakyat sipil tadi, atau mungkin dokumen rahasia perusahaan yang membuang limbah produksi secara sembarangan, pembocoran dokumen ke publik akan berakibat baik (walaupun jelas dari sudut pandang perusahaan/militer tadi, tidak). akan tetapi bagaimana dengan dokumen2 rahasia lain yang tidak se"jahat" itu ?<br />
<br />
<a name='more'></a>Banyak media2 Indonesia yang mengecam dan memposisikan wikileaks sebagai sebuah organisasi jahat yang menyerang sistem komputer dan mencuri data2 rahasia negara. pada kenyataannya, wikileaks bukanlah si penyerang, melainkan sebuah tempat "anti sensor" dimana semua orang bisa mengupload materi2 tentang hal2 politis, diplomatis dan etnis. dokumen2 yang diberikan oleh para uploader tadi kemudian akan direview oleh tim gabungan wikileaks dan jika disetujui, akan dipublikasikan untuk konsumsi umum tanpa membocorkan identitas uploader.<br />
<br />
Melihat cara kerja wikileaks, Saya pribadi merasa klaim dan tuduhan banyak pihak atas kelemahan sistem di Indonesia tidaklah terlalu tepat sasaran. Kritografi akan melindungi data2 dari orang2 luar yang tidak berhak mengakses data tersebut. tapi kriptografi <b>tidak bisa dan tidak akan bisa</b> mencegah orang yang memiliki akses untuk membagi2kan dokumen tersebut dalam bentuk non-encrypted. misalnya dengan menguploadnya ke wikileaks tadi. <br />
<br />
Masalah Bocornya dokumen rahasia negara adalah masalah besar. dan sudah sepatutnya para pelakunya dihukum. akan tetapi, ada satu masalah besar. karena minimnya pengetahuan dan pelaksanaan disiplin ilmu Information Security di Indonesia, pelakunya sangatlah sulit dilacak. bukan rahasia lagi, banyak pejabat2 di Indonesia masih gaptek. apakah orang2 seperti itu mau bersusah payah memberi password dan perlindungan memadai untuk laptop dan data2nya ? saya kira jawabannya adalah tidak. dan kecerobohan ini membuat orang2 yang mau dan mampu bisa dengan mudah menemukan dokumen2 rahasia negara.<br />
<br />
Hal ini jauh lebih susah dicegah daripada hacker2 yang menyerang jaringan komputer perusahaan. pada kasus hacker, enkripsi yang memadai dan jaringan yang aman + up to date sudah cukup memadai. bahkan pada kasus dimana data itu sangat2lah penting, kita bisa dengan mudah mencabut kabel internet dan menyimpan komputer tersebut di dalam brankas. setelah itu, hacker paling pintar di dunia pun tidak akan bisa menghack komputer tersebut.<br />
<br />
Akan tetapi, kecerobohan dan ketidak-tahuan pengguna akan konsep Information Security dan insiden2 kebocoran dimana pelakunya adalah orang2 yang memang memiliki hak untuk mengakses data tersebut (terlepas apakah hak akses tersebut memang mereka miliki atau mereka dapatkan dari pengguna yang tidak mengerti tadi), jauh lebih sulit untuk diatasi. Cara terbaik adalah dengan pendidikan Computer/Information security disertai dengan pembagian hak akses yang tepat. dengan demikian, jika terjadi kebocoran, kebocoran tersebut bisa diisolasi hingga pada lingkungan kecil dan dengan lebih mudah ditemukan pelakunya.<br />
<br />
Wikileaks adalah bukti nyata dimana segala macam keamanan software dan hardware yang paling canggih sekalipun tidak akan berguna jika faktor manusia menjadi masalah keamanan, baik karena ketidaktahuan ataupun karena kesengajaan. Dan sudah selayaknya kita mulai lebih tertarik memasukkan ilmu Keamanan Komputer dan Informasi dalam keseharian kita.Rendy Kharismahttp://www.blogger.com/profile/17736597540820842508noreply@blogger.com2tag:blogger.com,1999:blog-7947975202211771940.post-54620145670935718092010-11-18T09:42:00.000+08:002010-11-18T09:42:42.503+08:00Mungkinkah Menyensor Internet ?Sensor internet adalah suatu trend baru di Indonesia yang dipromosikan oleh menkominfo kita saat ini. secara teori, kedengarannya itu adalah ide yang bagus. tapi pada praktenya, sayangnya media internet bukanlah media yang bisa disensor begitu saja dengan mudah, hal ini dibuktikan dengan pertarungan mati2an pemerintah cina dengan Internet yang sampai saat ini, masih belum bisa dinyatakan sukses.<br />
<br />
Dari sudut pandang IT sendiri, sensor internet hampir pasti tidak mungkin dilakukan. sensor terhadap internet bisa diibaratkan dengan menyingkirkan butiran2 kecil kaca bening yang tersebar di suatu pantai. sepintas kelihatannya tidak terlalu susah. tapi pada prakteknya, hampir tidak mungkin dilakukan<br />
<br />
<a name='more'></a>Ada 2 metode penyaringan filter : metode Whitelist dan metode blacklist. jika anda pernah bekerja dalam kantor yang mampu melakukan sensor konten dengan sangat2 baik, hampir pasti kalau kantor itu menggunakan sistem whitelist. akan tetapi, di dunia nyata, sistem whitelist tersebut sangatlah tidak praktis diterapkan pada penggunaan internet umum.<br />
<br />
Sistem whitelist adalah sistem dimana sang admin menyiapkan daftar situs yang <b>boleh dikunjungi </b>dan secara default menolak situs2 lain. teknik ini hampir pasti aman terhadap usaha2 yang umumnya dilakukan untuk mengalahkan sensor internet. dengan sistem ini. teknik2 seperti VPN, proxy dan lain2 tidaklah berguna. karena usaha untuk memasuki situs2 selain yg terdapat pada whitelist akan langsung ditolak.<br />
<br />
Akan tetapi, sistem ini juga sangat ketat dalam sensornya. dan jika dalam suatu perusahaan penggunaan internet bisa sangat dibatasi (misal, restoran hanya me-whitelist website masak populer saja). tapi di dunia internet pada umumnya, dimana semua orang berbeda tujuan penggunaan internetnya. sistem ini justru sangat mengganggu.<br />
<br />
Sistem blacklist bekerja sebaliknya. sistem ini hanya mendaftar dan memblokir situs2 yang <b>tidak boleh dikunjungi. </b>Teknik ini memang jauh lebih fleksibel. tapi juga memiliki banyak kelemahan dan bisa ditipu dengan sangat mudah misalnya dengan teknik proxy dan VPN.<br />
<br />
Kelemahan teknik ini menjadi hal besar karena harus berhadapan dengan para penjual konten terlarang. sebuah website berjudul "beruangmadu.com" kedengarannya bukan website berbahaya. tapi siapa tahu kalau ternyata si penjual konten terlarang memanfaatkan alamat itu untuk suatu situs porno misalnya. Administrator sistem yang tidak tahu menahu soal konten dari "beruangmadu.com" tersebut akan membiarkan akses ke situs tersebut. setidaknya sampai mereka mengecek dan memasukan situs tersebut ke blacklist secara manual. dimana proses itu bisa butuh waktu cukup lama.<br />
<br />
Akses melalui sebuah proxy (perantara) juga akan menjadi suatu celah pada sistem blacklist. server2 perantara seperti ini muncul dengan berbagai nama. bahkan salah satu contoh terbesarnya adalah google translate sendiri. kenapa bisa menjadi masalah ? perhatikan analogi berikut.<br />
<br />
Anda ingin membeli suatu barang, tapi karena kantor anda dengan tegas melarang anda untuk membeli barang dari toko XYZ, anda tidak bisa terang2an kesana dan membeli. bagaimana kita bisa menembus sistem ini tanpa melanggar peraturan ? mintalah bantuan seorang perantara.<br />
<br />
Titipkan kepada perantara yang tidak dilarang untuk membeli dari toko XYZ tadi untuk membelikan barang tersebut. dan jika si perantara sudah memiliki barang tadi, beli saja dari si perantara. Kantor anda akan menganggap anda beli dari si perantara. dan tidak tahu kalau barang tersebut sebenarnya dari toko XYZ yang dilarang tadi.<br />
<br />
Pada kasus blacklist, "perantara" ini hampir mustahil untuk disingkirkan. selain karena menambah kerjaan, kebanyakan situs perantara ini adalah situs2 yang penting. bahkan google sendiri pun bisa menjadi situs perantara. sedangkan jika kita memblokir google, tentunya itu akan menimbulkan masalah.filtering secara selektif bisa dipaksakan untuk dilakukan. tapi kecuali dengan metode whitelist tadi, sangat sulit untuk 100% menyensor internet.Rendy Kharismahttp://www.blogger.com/profile/17736597540820842508noreply@blogger.com0tag:blogger.com,1999:blog-7947975202211771940.post-16957917735919623142010-10-25T17:22:00.001+08:002010-12-21T21:10:55.070+08:00Pengenalan Computer ForensicMungkin Istilah tersebut masih cukup asing terdengar di Indonesia. umumnya, proses forensik dilakukan pada korban manusia, atau setidaknya, itulah anggapan orang2 pada umumnya. menjadikan istilah forensik komputer menjadi suatu istilah yang "aneh" dan "tidak biasa"<br />
<br />
Tapi pada kenyataannya, Istilah tersebut benar2 ada. dan fungsinya pun sama, memeriksa suatu barang bukti untuk mendapatkan / membuktikan secara sah (dimata hukum) tentang apa saja yang terjadi pada barang bukti itu.<br />
<br />
<a name='more'></a><br />
Forensik komputer menjadi sangat penting di masa sekarang, ketika hampir semua orang memiliki akses ke media digital berupa komputer, laptop, Flashdisk, kamera bahkan peralatan Mobile seperti telepon genggam dan PDA.<br />
<br />
Banyak sekali data2 yang bisa kita dapatkan dari suatu komputer. mulai dari data2 umum seperti foto, rekaman suara, video dan dokumen2. banyak pula data2 lain yang seringkali tidak kita sadari keberadaannya, tapi bisa jadi data yang sangat vital dalam mengungkap "jejak" pengguna komputer tersebut.<br />
<br />
Data2 tersebut misalnya seperti catatan browsing, data thumbnail, data download, data dari Recycle Bin, data hibernasi dan masih banyak sekali sumber2 data lainnya.<br />
<br />
Jangan mengira begitu anda menekan tombol "delete" data anda akan musnah begitu saja, sebagai contoh, banyak sekali tool2 yang tersedia gratis di Internet yang berfungsi untuk mengembalikan data2 yang telah kita hapus dari recycle bin. proses "undelete" ini juga menjadi salah satu dasar forensik komputer.<br />
<br />
Apa yang diharapkan dari proses forensik komputer ? kembali pada betapa umumnya peralatan digital masa kini. semua orang menggunakannya, harganya relatif murah dan tersedia dalam jumlah besar. di balik point itu, bisa kita tarik kesimpulan bahwa ada kemungkinan besar bahwa pada saat terjadi suatu kejahatan, walaupun yang bukan kejahatan komputer 100% (Hacking), tetap saja ada data yang tertinggal dan bisa menjadi bukti di pengadilan.<br />
<br />
Bayangkan skenario berikut : seorang penculik tertangkap. begitu kita memeriksa komputernya, kita menemukan bahwa yang bersangkutan menggunakan layanan Foursquare untuk menemukan lokasi korbannya, data tersebut dibuktikan dari bukti kunjungan berulang kali ke alamat Facebook korban, ditemukan pula email dan log chatting dengan korban yang mengajak ketemuan. hal tersebut diperkuat dari data SMS pada HP korban dan pelaku. semua barang bukti diatas bisa didapatkan dengan forensik digital tadi.<br />
<br />
Dan Tentunya, semakin kedepan, akan semakin banyak kasus seperti ini. Dalam konteks ini, Computer Forensic dan Security adalah 2 ilmu yang saling mendukung, dimana Computer Security mencegah jatuhnya korban, dan Computer Forensic memastikan data2 kejahatan yang terjadi bisa dijadikan bukti sah secara legal dalam pengadilan.Rendy Kharismahttp://www.blogger.com/profile/17736597540820842508noreply@blogger.com0tag:blogger.com,1999:blog-7947975202211771940.post-1041160815792676922010-10-04T12:17:00.000+08:002010-10-04T12:17:02.383+08:00Mengenal cara kerja Anti-Virus<div style="text-align: justify;">Anti virus adalah suatu lauk-pauk bagi kebanyakan pengguna komputer. seringkali ketika ada masalah, anti virus menjadi 'kambing hitam' dari kecerobohan atau kesalahan oleh pihak pengguna. begitu juga sebaliknya, banyak pengguna menjadi lengah ketika merasa sudah memiliki anti virus. padahal kadang kelengahan ini lebih berbahaya daripada tidak menggunakan anti-virus.</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">sebagaimana solusi keamanan lainnya, anti virus tidak 100% menjadikan komputer kita aman. anti-virus memang menutup suatu celah keamanan. tapi seharusnya digunakan berbarengan dengan beberapa cara lain (antara lain, pemahaman tentang keamanan komputer, kewaspadaan, firewall, sandbox dll). </div><div style="text-align: justify;"></div><a name='more'></a>ada 2 macam error yg menjadi karakteristik dari anti virus (dan software keamanan lainnya) :<br />
<ul style="text-align: justify;"><li>False Positive</li>
<li>False Negative</li>
</ul><div style="text-align: justify;">False positive adalah ketika kita mendownload suatu file yang kita yakin bersih, tapi tiba2 anti-virus mendeteksi itu sebagai virus dan menghapusnya. hal ini memang menjengkelkan, tapi lebih berbahaya lagi adalah false negative, ketika anti-virus 'melewatkan' file yang benar2 adalah suatu virus.</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">kenapa kedua error ini bisa terjadi ? pada dasarnya ini adalah karena cara kerja anti virus itu sendiri. ada 2 metode yang digunakan oleh sebuah anti virus manapun dalam pendeteksian sebuah virus, yaitu :</div><ul style="text-align: justify;"><li> Metode Signature</li>
<li>Metode Heuristic</li>
</ul><div style="text-align: justify;">Sebuah file memiliki suatu signature/ciri2 yang sangat spesifik. signature ini juga dimiliki oleh file virus. dengan metode signature, sebuah anti virus mendowload update (yang berupa catatan signature baru) dan mencocokkanya dengan file2 yg ada pada sistem. jika ada file yang memiliki signature tersebut, kita bisa dengan yakin menunjuk file itu sebagai virus. teknik signature ini memiliki kelebihan dalam akurasinya, tetapi apa yang akan terjadi jika ada virus baru dan belum ada update tentang virus baru tersebut ? pada situasi inilah anti virus tradisional menjadi tidak berguna.</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">Karena itulah diciptakan teknik yang disebut dengan metode heuristic. dengan metode ini, sebuah anti virus akan mencari "sifat2 khas" yang biasanya terdapat pada suatu virus. penerapan metode ini pada setiap produsen antivirus berbeda2 satu sama lain. tapi karena sifatnya yg analisa-hipotesa-keputusan, metode ini menjadi pedang bermata dua. di satu sisi anti virus jadi memiliki suatu cara untuk mendeteksi virus2 baru yang belum ada updatenya, tapi juga memperkenalkan konsep false positive tadi.</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">Anti virus sekali lagi, bukanlah suatu software yang sempurna. teknik heuristic memperkirakan apakah suatu software tersebut "baik" atau "jahat" dari sifat2nya. namun sifat2 ini juga seringkali ambigu. jika suatu software ingin mengakses keyboard kita, bukan berarti software itu keylogger, karena program word processor pun memerlukan akses itu.<br />
<br />
Percayalah pada anti virus anda. tapi jangan 100% selalu pasrah dengan apa yang disebutkan software tersebut. tetaplah berhati2 walaupun anti virus anda menyatakan aman. dan sebaliknya.</div>Rendy Kharismahttp://www.blogger.com/profile/17736597540820842508noreply@blogger.com0tag:blogger.com,1999:blog-7947975202211771940.post-59488425119336246282010-09-12T20:40:00.001+08:002010-09-13T02:56:52.047+08:00Apakah E-Banking cukup aman ? Keamanan dari sisi klien<div style="text-align: justify;">Umumnya reaksi orang-orang di sekitar saya untuk pertanyaan ini terbagi menjadi 2 kelompok. kelompok yg hampir sama sekali menolak menggunakan eBanking (karena menurut mereka tidak aman), dan kelompok yang sangat yakin bahwa eBanking sangatlah aman (karena menurut mereka bank2 besar sangat menjaga keamanannya)</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">Sayang sekali, dari pengalaman beberapa minggu berkutat dengan eBanking di australia, saya harus menyatakan saya masih terombang ambing dalam menentukan harus ikut grup yang mana. karena seperti halnya berbagai produk lainnya, ada perbedaan yang seringkali signifikan antara tiap bank dari segi keamanannya. dan ini tidak berarti secara otomatis bank Besar = lebih aman.</div><div style="text-align: justify;"></div><a name='more'></a>Teknik keamanan "standar" yang seharusnya dimiliki setiap bank terbagi menjadi 3 : Virtual Keyboard, Token Key dan HTTPS. tidak ada eBanking yang bisa menyebut dirinya aman tanpa memiliki ketiga standar ini. sayangnya, implementasi ketiga hal tersebut seringkali membutuhkan dana yang besar, terutama fasilitas token key yg mengharuskan bank memberikan suatu hardware kepada pengguna. inilah yang sering kali menjadi masalah.<br />
<div style="text-align: justify;"><br />
</div><div style="text-align: justify;">Uniknya, ternyata bank besar bukan berarti mereka lebih care pada pengguna. saya sempat sangat terkejut ketika mengetahui sebuah bank yg termasuk 4 bank terbesar di Australia ternyata hanya menerapkan sistem userID + password kepada penggunanya. hal ini sangatlah tidak aman karena jika pengguna "kecolongan", data password bisa digunakan terus menerus tanpa batas waktu (dengan catatan pengguna tidak menyadari ada orang lain yang menggunakan)</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">Berikut ini adalah tips - tips mengamankan eBanking anda. sebagian solusi yg saya sebutkan disini harus didukung pihak bank sebelum bisa anda terapkan. Jika bank anda tidak memiliki fasilitas tersebut, usulkanlah kepada pihak bank anda atau gantilah bank anda.</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">1. Bookmark</div><div style="text-align: justify;">Bookmark browser anda adalah salah satu pengaman yang anda miliki. untuk membuatnya, klik kanan di bawah tempat anda memasukkan alamat internet dan klik "New bookmark". kenapa bookmark ini penting ? cobalah mengunjungi situs www.google.com dan www.goggle.com</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">Sepintas kesalahan pengetikan itu hampir tidak kentara. tapi akan membawa anda ke dua website yg sangat berbeda. ini juga bisa saja terjadi jika anda salah mengetik link bank anda. namun kejadian ini akan terjadi jika anda terus menerus mengetik alamat yang sama selama beberapa tahun. karenanya, manfaatkan fasilitas bookmark, ketik sekali, periksa dua kali dan gunakan untuk seterusnya.</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;"></div><div style="text-align: justify;">2. Token Key</div><div style="text-align: justify;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhB03zGgbrt-hnV5xHhKh-GBe2EUmH9D2t2d2wuO4yFBgvOnY6A0XuDLv7i9-Ww2HUahlKpqumZQei4LfyY_hyphenhypheneFEJFHZPb6BOAwBb6XMC1r39xQi30RTjxNzAEBmdp-R0qQ5CU3nC1uaeZ/s1600/220px-SecurityTokens.CryptoCard.agr.jpg" imageanchor="1" style="clear: right; float: right; margin-bottom: 1em; margin-left: 1em;"><img border="0" height="106" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhB03zGgbrt-hnV5xHhKh-GBe2EUmH9D2t2d2wuO4yFBgvOnY6A0XuDLv7i9-Ww2HUahlKpqumZQei4LfyY_hyphenhypheneFEJFHZPb6BOAwBb6XMC1r39xQi30RTjxNzAEBmdp-R0qQ5CU3nC1uaeZ/s200/220px-SecurityTokens.CryptoCard.agr.jpg" width="200" /></a></div><div style="text-align: justify;">Token key biasanya berupa sebuah hardware plastik sederhana yg hardir dalam beberapa model. penggunannya beda2, tapi biasanya berfungsi memberikan password sementara yg tidak akan valid lagi setelah beberapa menit. token key sangat berguna karena jika ternyata data chat anda jatuh ke tangan orang yg tidak bertanggung jawab, ketika dia mencoba menggunakan password anda, password tersebut tidak lagi bisa digunakan. sayangnya, pemberian token key terhadap setiap kustomer seringkali membutuhkan biaya cukup besar. inilah yang menyebabkan tidak semua bank mau melakukannya. apalagi karena pada kasus kehilangan user ID dan password, pihak bank bisa saja menyalahkan pengguna karena "lalai"</div><div style="text-align: justify;"></div><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhAY10q5hSatr23S8ZC9dW0JwhdIuc9aTiMe0bhgOc-60HAMTwPpoOodlPizhwRDR8plE-zTsH5un9aBOeGVOtEuYq5Sd96T5NbJzPWBhqR_3zXLUEBv79c3ABD_MMifEbxXr2X931HMJHz/s1600/VK.png" imageanchor="1" style="clear: right; float: right; margin-bottom: 1em; margin-left: 1em;"><img border="0" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhAY10q5hSatr23S8ZC9dW0JwhdIuc9aTiMe0bhgOc-60HAMTwPpoOodlPizhwRDR8plE-zTsH5un9aBOeGVOtEuYq5Sd96T5NbJzPWBhqR_3zXLUEBv79c3ABD_MMifEbxXr2X931HMJHz/s320/VK.png" /></a></div><div style="text-align: justify;">3. Virtual Keyboard </div><div style="text-align: justify;"></div><div style="text-align: justify;">biasanya berupa keyboard di layar komputer yang berfungsi dengan mengklik tombol2 yang tersedia. pada situasi tertentu, penggunaan tombol2 ini dapat melindungi kita dari hacker yang menggunakan software keylogger (software yang mencatat apapun yang kita ketikkan di keyboard). implementasinya mungkin beragam. tapi rata2 penggunaannya kurang lebih sama. manfaatkan fasilitas ini jika disediakan karena jauh lebih aman.</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhY24kW7w0rTrfTdXOI2q3VLIumcBk0tdRn1SBBd9_HXM2WFnnmWwPJoy3eUVVla2xtISz6X0e18dizDl99SEN7TaIkj-xv4V2DGF30MXLt9t2lHJOMDzpyXWh9QnQmyUw0D2yBgwZ46MTG/s1600/WP.png" imageanchor="1" style="clear: right; float: right; margin-bottom: 1em; margin-left: 1em;"><img border="0" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhY24kW7w0rTrfTdXOI2q3VLIumcBk0tdRn1SBBd9_HXM2WFnnmWwPJoy3eUVVla2xtISz6X0e18dizDl99SEN7TaIkj-xv4V2DGF30MXLt9t2lHJOMDzpyXWh9QnQmyUw0D2yBgwZ46MTG/s320/WP.png" /></a>4. HTTPS + Certificate</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">Adalah cara memastikan data yang kita kirimkan ke website tersebut mendapatkan perlindungan yang cukup (terenkripsi) dan bahwa situs yang kita datangi benar2 merupakan situs bank tersebut. ciri2 dari penggunaan teknologi ini adalah perubahan warna di URL bar (tempat menuliskan alamat) dan seringkali menyertakan logo perusahaan. selain itu bukan HTTP, tapi alamat tujuan kita dituliskan dengan HTTPS. jika browser anda menyatakan ada masalah dengan sertifikat, bisa jadi website tersebut palsu / bank tidak mengupdate, dalam situasi demikian, langkah terbaik adalah menghindari bertransaksi melalui bank tersebut.</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">Semoga tulisan ini bisa membuat kita semua menjadi sedikit lebih awas tentang keamanan ebanking. jika bank memiliki fasilitas keamanan yang cukup dan pengguna memiliki pengetahuan keamanan yang memadai, saya kira eBanking dapat menjadi solusi yg sangat baik untuk kegiatan perbankan yang sehari-hari kita lakukan.</div><div style="text-align: justify;"><br />
</div>Rendy Kharismahttp://www.blogger.com/profile/17736597540820842508noreply@blogger.com2tag:blogger.com,1999:blog-7947975202211771940.post-56406472449776947182010-09-06T15:26:00.001+08:002010-09-06T15:52:30.939+08:00Teknik - Teknik Membongkar PasswordPassword seringkali menjadi cara utama untuk login di internet dan komputer. bisa dibilang, tidak ada orang yg akrab dengan dunia komputer yang tidak mengetahui tentang fungsi Username dan password. namun password juga seringkali menjadi masalah ketika kita lupa dengan password kita. biasanya kemudian akan bermunculan lah request2 aneh untuk "menjebol Yahoo / Facebook"<br />
<br />
Pada kenyataannya, hampir tidaklah mungkin menemukan kembali password yang sudah kita lupakan. kecuali jika ada suatu kelemahan fatal pada sistem password tersebut. sebenarnya banyak sekali aplikasi2 yg memiliki fasilitas password yang sebenarnya sangat lemah dan begitu mudah dibongkar. misalnya password Microsoft office sampai versi 2003 atau password file .PDF versi lama. tapi bagaimana dengan program2 yg memiliki implementasi password bagus ? <br />
<a name='more'></a>Dengan catatan kita tidak memiliki akses ke komputer korban dan password yg kita cari disini tidak diperoleh menggunakan trik psikologis (seperti pada artikel saya yang <a href="http://keamanankomputerindonesia.blogspot.com/2010/09/hacking-termudah-psikologi-manusia.html">ini</a> ), pada dasarnya ada 3 cara yang dapat dipergunakan untuk menemukan password korban tersebut. ketiga cara ini bervariasi tingkat kesulitannya dan tingkat keberhasilannya. cara2 ini adalah :<br />
<br />
1. <b>Password Guessing</b> (tingkat keberhasilan rendah) : seperti namanya, yang anda perlukan adalah menebak password yg kira2 digunakan orang tersebut. misalnya dia seorang pecinta klub sepak bola MU, mungikin passwordnya ada hubungannya dengan klub tersebut. mungkin juga password tersebut adalah nama orang2 terdekat mereka, tanggal ulang tahun atau tanggal pernikahan dan variasi lainnya. tentu saja, karena namanya juga menebak nebak, cara ini tingkat keberhasilannya tidak terlalu tinggi. tapi kadang2 juga bisa jadi berhasil tergantung pengetahuan keamanan korban.<br />
<br />
2. <b>Dictionary Attack </b>(tingkat keberhasilan Sedang)<b> : </b>mencoba2 password dengan menggunakan semua kata2 dan kombinasinya (misalnya merubah huruf I dengan angka 1, mengganti A dengan @ dsbnya) dari suatu daftar kata yg kita berikan. daftar kata ini bisa mencakup seluruh isi kamus atau di customize sesuai kepribadian korban (misal, kamus Star wars untuk penggemar star wars dan sebagainya). tingkat keberhasilan cara ini lebih tinggi karena biasanya ada software2 yg bisa mengerjakan ini secara otomatis. dan software tersebut tentu lebih sabar daripada jika kita masukkan password tersebut sendiri.<br />
<br />
3. <b>Brute Force Attack </b>(tingkat keberhasilan : Pasti) : brute force adalah cara paling ampuh dalam usaha memecahkan sebuah password. seperti namanya, brute force adalah mencoba semua kombinasi yang mungkin dipakai dalam pembuatan password tersebut. software brute-force akan mencoba semua kombinasi kemungkinan password mulai dari a-z, A-Z dan 0-9. sebuah usaha brute force akan mencoba 62 kombinasi per huruf dalam suatu password. jadi jika password anda 5 huruf saja, komputer harus mencoba 916132832 kombinasi. bayangkan jika password anda sampai 20 karakter. apapun yang terjadi, sebuah usaha brute force akan bisa menemukan password anda. tapi dengan memperpanjang password anda, akan butuh waktu sangat lama bahkan sampai beberapa ratus tahun untuk menemukan password tersebut. dan saya kira, tidak ada orang yg cukup sabar untuk menunggu itu. bahkan jikalaupun ada yg menunggu, setelah sekian ratus tahun, dokument tersebut tidak lagi berarti.<br />
<br />
Enkripsi akan mempersulit usaha brute-force berkali2 lipat lagi. dan tentunya membuat proses pemecahan menjadi jauh lebih lama. karenanya gunakanlah software enkripsi yang baik untuk mengamankan data2 rahasia anda.Rendy Kharismahttp://www.blogger.com/profile/17736597540820842508noreply@blogger.com0tag:blogger.com,1999:blog-7947975202211771940.post-45297980450414733612010-09-04T22:40:00.000+08:002010-09-04T22:40:35.146+08:00Tipu Menipu ATM dan pencegahannyaDalam keseharian kita melihat berita di televisi maupun membaca koran, tentu kita juga sudah cukup akrab dengan kejadian penipuan di ATM. modusnya macam2. ada yg sederhana tapi ampuh dengan menyelipkan korek api untuk menahan kartu supaya tidak bisa keluar, mencuri kartu ATM tersebut, atau cara yg termasuk canggih, menggunakan Skimmer.<br />
<br />
Kerapkali media meng"hebohkan" kejadian2 ini sebagai Insiden Hacking dan memancing kepanikan massal. seringkali pula berita ini tidak disertai petunjuk dan penjelasan logis tentang cara penanggulangannya. berbagai modus operandi yang bervariasi juga kerapkali membuat bingung kita dari cara untuk melindungi diri.<br />
<a name='more'></a>Namun dibalik berbagai macam cara dan tipu muslihat itu, penipuan ATM memiliki 2 bagian operasi yang tidak mungkin dipisahkan. karena jika satu bagian saja gagal, penipuan itu tidak akan berhasil. bagian tersebut adalah :<br />
<ul><li>Bagian Pencurian data kartu (Skimmer, pencurian kartu dll)</li>
<li>Bagian Pencurian PIN (Kamera tersembunyi, pengawas dll)</li>
</ul><b>Bagian Pertama</b> adalah bagian yg cukup sederhana. caranya beragam. bisa dengan pencopetan misalnya. tentu saja ada banyak cara lain juga. misalnya dengan menahan slot kartu dengan batang korek api agar kartu tidak bisa keluar. atau menggunakan alat skimmer yg seringkali hanya berupa kotak kecil atau dibuat sangat mirip mesin asli agak bisa menipu mata. untuk menanggulangi ini, usahakan untuk sedikit memeriksa fisik mesin dan tempat memasukkan kartu. jika ada bagian yang tidak biasa dan bisa digoyahkan dengan mudah, sebaiknya pindah ATM saja.<br />
<br />
Cara lain bisa dilakukan oleh pelayan toko yg nakal ketika anda menggunakan kartu debit anda. skimmer bisa dipasang pada mesin pembayaran belanja di toko2. sekali lagi, periksalah fisik mesin (terutama bagian bawah) untuk memerika jikalau ada bagian mesin yg bisa dilepas dengan mudah.<br />
jika ada, jangan segan2 mengkonfrontasi pegawai dan pemilik toko.<br />
<br />
secara keseluruhan, untuk bagian pencurian data kartu saat ini masih cukup mudah dilacak. tapi tentu saja akan ada evolusi2 kedepan yg mungkin akan mengakibatkan peralatan2 tersebut jadi lebih susah dikenali. tapi tentu saja, pihak bank pun akan terus menerus mencari cara untuk mencegah hal ini. bagian kedua dari artikel ini mungkin lebih mudah dipraktekkan dan secara nyata akan menggagalkan sebagaian besar upaya penipuan ATM.<br />
<br />
Untuk mendapatkan PIN, cukup banyak cara yang bisa dilakukan. bisa jadi dengan bertanya langsung, bisa jadi dengan membujuk anda memasukkan PIN anda berulang kali atau dengan terbalik (dengan logika jika anda memasukkan PIN terbalik, anda akan jauh lebih lambat dalam memasukkan PIN), atau cara yg lebih canggih, memasang kamera kecil di dekat tempat anda memasukkan PIN. jadi bagaimanakah cara menghadapi itu semua ? <br />
<br />
Caranya sebenarnya cukup simpel : <b>Tutupi tangan anda ketika memasukkan PIN</b> <b>dan gunakan gerakan seminimal mungkin untuk memasukkan PIN anda</b>. jadi jika anda memasukkan PIN dengan tangan kanan, gunakan tangan kiri untuk menutup tangan tersebut. kalau perlu tutupi lagi dengan tas atau dompet. untuk mempersulit pelaku menebak PIN anda. gunakan hanya jempol kanan yg seluruhnya tertutupi oleh tangan kiri anda untuk memasukkan PIN tersebut.<br />
<br />
Mungkin orang akan sedikit bingung. kalau ditutupi gimana saya bisa liat angkanya ? sebenarnya itu juga tidaklah sulit. ingat PIN hanya 9 angka dengan format seperti pada telpon seluler. dan ada tanda khusus pada angka 5 berupa sebuah tonjolan yg akan sangat terasa jika disentuh. gunakan angka 5 tersebut sebagai titik mulai anda.<br />
<br />
Bahkan jika data kartu anda berhasil diambil oleh sebuah alat yg luput dari pengamatan anda, teknik ini akan memastikan PIN anda aman dan tidak bisa digunakan. dan pada kebanyakan kasus, pelaku akan lebih mempedulikan orang2 yg bisa dikuras uangnya daripada segelintir orang yg menutupi tangannya. kenyataannya, di Indonesia memang orang sangat serampangan dalam memasukkan PIN. jadi kalau ada yang mudah ngapain yang susah ?Rendy Kharismahttp://www.blogger.com/profile/17736597540820842508noreply@blogger.com0tag:blogger.com,1999:blog-7947975202211771940.post-49319435430178749602010-09-02T22:12:00.000+08:002010-09-02T22:12:28.720+08:00Hacking Termudah : Psikologi ManusiaTanyakan 10 orang tentang cara termudah untuk hacking. Mungkin anda akan mendapatkan 10 jawaban yg berbeda pula. ada yg bilang pakai tool, ada yg bilang pake trojan, keylogger, sniffer, phising dan berbagai macam istilah lainnya. tapi mungkin ada 1 jawaban yg akan membuat anda kesal dan menganggap orang tersebut hanya orang bodoh : tanya saja ke orangnya.<br />
<br />
Sebaliknya, itu adalah kunci termudah dari semua hacking. faktor manusianya. komputer bisa saja memiliki pengamanan lebih kuat daripada komputer Pentagon, tapi kalau si pengguna ceroboh menuliskan passwordnya di sebuah kertas dan ditempelkan pada komputernya, tetap saja keamanan itu tidak berguna sama sekali.<br />
<a name='more'></a>Manusia adalah titik terlemah dari semua usaha hacking. itu adalah kenyataannya. berbagai faktor psikologis yang menjadikan manusia sebagai manusia, ternyata justru bisa dimanfaatkan menjadi alat untuk mendapatkan akses masuk kedalam suatu jaringan komputer. komputer anda memiliki anti virus ? tidak ada artinya jika pengguna kemudian pergi ke situs2 yg meragukan dan ketika diminta untuk "jalankan program ini untuk mendapatkan akses tak terbatas", dengan tanpa rasa ragu mengklik tombol tersebut.<br />
<br />
Bagaimana dengan menanyakan password anda ? mungkin pada situasi saat ini cara itu tidak akan terlalu bermanfaat. tapi mari mencoba sedikit lebih kreatif. bagaimana jika anda mengirimkan surat palsu yg menyatakan account sasaran anda sedang mengalami pemeriksaan dan anda perlu passwordnya supaya bisa diselesaikan ? atau bagaimana jika anda adalah teknisi komputer (atau menyamar menjadi teknisi komputer ?<br />
<br />
Setelah anda membaca artikel ini, mungkin anda akan teringat saat2 ketika anda ditanyai password dan anda menjawab dengan mudahnya. bisa jadi saat komputer anda rusak dan anda meminta teman anda memperbaiki misalnya. atau ketika anda merasa tidak bisa login ke facebook anda. banyak sekali kemungkinan dimana kita bisa "selip" omongan dan (jika kita tidak terlalu mengerti), membiarkan orang lain mengetahui password kita.<br />
<br />
Teknik psikologis seperti ini sangat sering dipakai dalam hampir semua jenis cyber-attack. anda mau menguras ATM seseorang ? tidak perlu susah2 menggunakan skimmer atau apapun. pada kenyataannya, sebagian besar orang sangat cuek ketika memasukkan PIN. seringkali anda bisa dengan jelas melihat PIN tersebut dari samping atau dari belakang orang tersebut. hafalkan kodenya (biasanya hanya 6 angka, tidak susah untuk dihafalkan). dan dengan suatu cara, peroleh kartu ATM tersebut (saya kira banyak sekali cara2 untuk melakukan ini) dan anda akan dengan mudah menguras semuanya.<br />
<br />
pada pelaksanaannya, banyak sekali variasi dari metode psikologis ini. semuanya sangat mudah dilaksanakan, membutuhkan sarana dan dana yang sangat sedikit dan hasilnya seringkali sangat mengejutkan. cara pencegahannya ? jangan pernah beritahukan informasi rahasia seperti password pada siapapun. jika orang tersebut memang berhak (orang bank, admin dari suatu situs dll), dia bisa melakukan apapun tanpa perlu password anda. jagalah kerahasiaan password dan info pribadi anda, dan anda akan aman dari berbagai variasi serangan psikologis seperti ini .Rendy Kharismahttp://www.blogger.com/profile/17736597540820842508noreply@blogger.com0tag:blogger.com,1999:blog-7947975202211771940.post-6826901183859485152010-08-30T01:34:00.001+08:002010-08-31T12:15:06.610+08:00Steganography : Menyembunyikan data di depan mataSteganography berbeda dengan enkripsi. keduanya memiliki kesamaan fungsi, yaitu menyembunyikan data dari orang2 yg tidak berhak mengakses data tersebut. hanya saja, jikalau Cryptography menyembunyikan data tersebut dalam kota besi yang butuh ratusan bahkan ribuan tahun untuk membukanya, steganography menyembunyikan data tersebut tepat di depan mata, walaupun jelas data tersebut tidak terlihat jika dilihat sepintas lalu saja.<br />
<br />
Meskipun steganography digital sendiri masih terbilang bidang baru, secara aplikatif steganography dan varian2nya sudah cukup banyak dimanfaatkan, misalnya penggunaan pena dengan tinta khusus yg baru terlihat kalau disiram air, gesture2 tertentu yg memiliki makna khusus di kalangan teman2 anda, bahasa2 sandi di kalangan keluarga (misal ketika kakak bilang mama masak gosong artinya mood si ibu sedang tidak bagus) dan contoh2 lainnya.<br />
<br />
<a name='more'></a>Para penggemar novel espionase tentu sudah tidak asing dengan metode pengiriman pesan seperti contoh dibawa ini :<br />
<br />
"saya kira restoran di tikungan Ahmad-yani tidak buka jam 12 malam. 18 orang bisa bawa bersama koleksi dvdnya untuk ditukar"<br />
<br />
Ini adalah sedikit kode singkat dengan pola yang sama dengan yg ada di buku sherlock holmes karangan Sir Arthur Conan Doyle. bacalah kata2 ketiga. dari kode tersebut akan keluar kata2 : "restoran ahmad-yani jam 18 bawa dvdnya". tentu saja, steganography digital lebih rumit daripada ini.<br />
<br />
Umumnya, steganography pada data digital memanfaatkan data foto (bmp, jpg) atau data lagu (mp3). tekniknya berbeda beda tergantung medianya. pada data lagu misalnya, kita bisa menyelipkan data dalam rupa distorsi kecil yg tidak bisa terdengar, tapi jika distorsi2 itu disatukan dan dianalisa, akan muncul data yang tersembunyi.<br />
<br />
Pada file foto, teknik menyembunyikan biasanya dengan cara merubah bit warna pada data warna gambar tersebut. perubahan ini biasanya sangat kecil nilainya, dan sekali lagi hampir tidak terdeteksi pada gambar kualitas foto. yang menjadikan teknik ini menjadi suatu hal yang menarik untuk dicoba2.<br />
<br />
Seperti cryptography yang memiliki musuh berupa "cryptoanalysis", steganography pun juga memiliki "steganoanalysis". namun berbeda dengan cryptography yang cenderung lebih dikenal orang, steganography masih sangatlah minim tool. di satu sisi, steganography tidak memiliki "standar" seperti cryptography (AES, DES, Blowfish etc). orang bisa belajar dan membuat sendiri algoritma penyimpanan data mereka. seringkali tidak sempurna memang, tapi juga mengakibatkan tool universal penangkap cryptography sangatlah langka (kalaupun ada, berupa software komersial)<br />
<br />
Tantangan dari menciptakan software analisa ini terutama adalah dari keahlian yang dibutuhkan. jika cryptography akan bisa dipecahkan oleh ptogrammer manapun yg mampu membangun sebuah program brute-force (yang akan mencoba semua kombinasi huruf dan angka yang mungkin), memecahkan steganography memerlukan matematika tingkat tinggi.<br />
<br />
dan poin menarik steganography adalah, jikalah anda menyembunyikan data dengan enkripsi, pengguna yg cukup pintar masih mungkin bisa mengira2 letak enkripsi anda (ekstensi yang aneh, filesize yang tidak pas dll dll). sedangkan dengan steganography, file container penyimpan rahasia anda tidak akan bisa dibedakan dengan file foto/lagu biasa tanpa penelitian mendalam. unik kan ?Rendy Kharismahttp://www.blogger.com/profile/17736597540820842508noreply@blogger.com0tag:blogger.com,1999:blog-7947975202211771940.post-88744288872052288872010-08-25T14:38:00.002+08:002010-08-31T12:14:02.445+08:00Menangkal hacking bagian 3 : Update, Update dan UpdateMungkin tahapan ketiga inilah yang masih sering menjadi kendala buat orang Indonesia, apalagi masalahnya kalau bukan software bajakan ? seringkali kita hanya melihat sebatas fungsionalitas dari software tersebut saja. artinya, kalau software jalan, full version, kita senang puas dan bahagia. tapi dari sudut pandang keamanan, aplikasi bajakan seringkali menjadi "ancaman" yg sangat ditakuti.<br />
<br />
Kenapa mesti ditakuti ? kan softwarenya jalan baik2 saja ? itu betul. akan tetapi, ingatlah kenyataan bahwa software adalah buatan manusia. seringkali software itu tidak sempurna. lagipula, sebagaimana kebanyakan programmer, programmer game juga lebih mementingkan fungsionalitas terlebih dahulu dan menjadikan faktor keamanan sebagai hal yang nomer sekian.<br />
<br />
<a name='more'></a>Fungsionalitas update menjadi sangat penting pada saat kita membicarakan soal keamanan. walaupun mungkin bahkan sistem yg sangat terupdate masih tetap tidak 100% aman, pada kenyataannya, software yg sangat banyak digunakan oleh oleh para hacker dan cracker untuk menembus keamanan sebuah sistem (metasploit framework) efektifitasnya sangat tergantung pada level update sistem anda.<br />
<br />
sesuai metodologi kerja hacker pada umumnya, tahap sebelum mereka benar2 menyerang adalah dengan melakukan vulnerability testing pada sistem anda. vulnerability testing ini akan memberi hacker informasi tentang kelemahan2 yang terdapat pada sistem kita. semakin jarang sistem kita diupdate, semakin banyak pula kelemahannya. apalagi jika kita menggunakan sistem operasi bajakan yang tidak memiliki kemampuan update.<br />
<br />
Untuk mendapatkan keamanan terbaik, update sistem ini sangatlah penting. dan ini bukan hanya terjadi pada windows saja, tapi juga pada linux dan mac.tidaklah benar kalau kedua sistem ini disebut2 jauh lebih aman dan itu menjadi alasan kita jadi cuek terhadap sisi keamanannya. linux yg salah konfigurasi jauh lebih berbahaya dari windows. begitu juga dengan mac.<br />
<br />
selain sistem operasi, software2 yg terdapat di dalam sebuah komputer pun tidaklah luput dari perlunya update. sebagai contoh, silahkan lihat 2 link dibawah ini :<br />
<ul><li>http://www.h-online.com/security/news/item/Adobe-issues-official-workaround-for-PDF-vulnerability-971932.html</li>
<li>http://www.microsoft.com/technet/security/Bulletin/ms04-041.mspx</li>
</ul>File PDF bisa jadi jalan masuk hacker, bahkan hanya dengan menggunakan Wordpad pun sistem kita bisa diambil alih. bagaimanakah cara mengamankan sistem kita ? sekali lagi, jawabannya adalah update.<br />
<br />
Update memang memakan waktu dan bandwidth yang cukup besar. tapi sebagai gantinya, bukan saja keamanan, update seringkali menyempurnakan suatu software. software yg diupdate bisa jadi memiliki fungsi baru, lebih stabil, mendukung lebih banyak format dan banyak kelebihan lainnya. tapi tentu saja, selama anda masih bermain di ranah bajakan, update justru menjadi musuh krn seringkali mematikan fungsi "bajakan" software anda. sebagai contoh, mungkin anda pernah mengetahui tentang windows genuine advantage yg seringkali mengganggu. contoh lain adalah PSP. jika anda mengupdate PSP dengan firmware terbaru (yg mendukung lebih banyak game), anda tidak akan bisa memainkan game2 bajakan lagi.<br />
<br />
Fungsionalitas ato keamanan ? pilihan anda.Rendy Kharismahttp://www.blogger.com/profile/17736597540820842508noreply@blogger.com0tag:blogger.com,1999:blog-7947975202211771940.post-38228514056538123932010-08-23T02:45:00.001+08:002010-08-31T12:13:31.971+08:00Menangkal hacking bagian 2 : Firewall dan Minimum Service<div style="text-align: justify;">Menghadapi tahap 2 dari bagian hacking, memang tidak banyak persiapan yang bisa kita lakukan. karena pada dasarnya scanning akan selalu menghasilkan data. yang akan kita lakukan adalah bagaimana memperketat sistem kita agar hasil scanning itu menghasilkan data seminimal mungkin.</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">Perlindungan utama dari proses scanning ini adalah <b>firewall</b>. seandainya komputer adalah suatu rumah, firewall adalah tembok yg mengelilingi rumah tersebut dengan 1 gerbang. pada gerbang itu, akan ada pemeriksaan tentang orang2 yg ingin mengakses rumah anda.jika orang tersebut ada pada daftar "tamu yg diperbolehkan", orang tersebut akan diijinkan masuk. tapi jika tidak, orang itu akan ditolak begitu saja.</div><div style="text-align: justify;"><br />
</div><a name='more'></a><div style="text-align: justify;">Komputer tanpa perlindungan firewall, memiliki banyak sekali "pintu" yang bisa digunakan untuk masuk dan berinteraksi dengan dunia luar. Pintu itu dalam istilah komputer disebut dengan <b>Port</b>. komputer memiliki puluhan ribu port yang secara default terbuka lebar. port2 inilah yang akan diamankan dengan firewall.</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">pada dasarnya, firewall akan menutup semua port tersebut dan jika ada permintaan dari komputer, firewall akan membuka port tersebut (untuk sementara, pada software firewall yang bagus). kelemahannya, firewall tidak bisa mengetahui aplikasi seperti apa yg meminta akses keluar tadi. artinya, jika komputer sudah duluan terinfeksi virus / trojan, firewall akan mengijinkan malware2 itu mengakses jaringan. karena itulah, anti virus tetap sangat diperlukan.</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">Nah, dengan menggunakan firewall ini, ketika seorang hacker mencoba scan jaringan anda, ribuan port tadi tidak akan bisa dimanfaatkan karena ditutup (dengan asumsi firewall itu bagus). tapi hampir tidak mungkin firewall itu tidak menghasilkan apa2 sama sekali karena ada beberapa fungsi vital yang hampir pasti berjalan. misalnya saja untuk internetan (port HTTP : 80), untuk email (Port SMTP : 23) dan lain lain sesuai fungsi komputer / server anda.</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">Untuk lebih mengurangi lagi data yang bisa ditemukan oleh scanner tersebut. ada 1 strategy lagi yaitu <b>Minimum Privilege</b>. atau berarti hak minimal. sesuai namanya, menurut logika keamanan, jika kita menyewa seorang pembersih, selain memeriksa latar belakangnya dan memastikan sebisa mungkin bahwa dia aman, kita juga hanya perlu memberi dia kunci sesedikit mungkin dan hanya untuk ruangan yg perlu dia bersihkan saja.</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">demikian pula seharusnya sebuah server. hanya jalankan service2 yg diperlukan pada sistem anda dan matikan sisanya. selain lebih aman. sistem anda juga akan mengalami peningkatan performa yang cukup signifikan.</div><div style="text-align: justify;"><br />
</div><div style="text-align: justify;">Sesuaikan dengan keperluan anda. silahkan menggunakan google dengan keyword "service in windows XP that can be safely disabled" dan gantilah windows XP dengan sistem operasi anda. pada pengguna rumahan, sistem2 tersebut hanya perlu diset manual saja (jadi jika dibutuhkan, service akan distart. kalau tidak, sistem akan dimatikan) untuk para system administrator, bisa langsung men-disable service yg tidak diperlukan. tentunya langkah ini perlu mempertimbangkan tentang bisnis yg kita jalankan. jika kita hanya menggunakan web server, Mail server dan SSH misalnya, matikan saja semua yg lain. aturlah sistem agar sistem itu hanya mampu menjalankan fungsi2nya dan tidak lebih.</div>Rendy Kharismahttp://www.blogger.com/profile/17736597540820842508noreply@blogger.com0tag:blogger.com,1999:blog-7947975202211771940.post-10168820390454723122010-08-18T01:52:00.001+08:002010-08-31T12:13:00.946+08:00Menangkal hacking bagian 1 : Fase Mencari informasiPada tulisan saya kemarin, saya menulis tentang tahapan2 atau fase2 dalam sebuah upaya hacking. upaya2 tersebut memang tidak bisa 100% dicegah. tapi tentu saja bisa dipersulit sampai pada kondisi di mana si hacker tadi mengurungkan niatnya atau malah menjadi tergesa2 dan karena kurangnya informasi, mengalami kegagalan dalam menyerang sistem kita.<br />
<br />
meskipun banyak sekali variasi psikologis, teknis dan sosial dalam perlindungan serangan ini, pada dasarnya tidaklah terlalu rumit. tentu saja perkembangan ilmu seperti teknik2 hipnotis, hukum yang berlaku dan berkembangan software dan hardware bisa saja mempengaruhi faktor2 ini. tapi pada saat tulisan ini dibuat, mekanisme pertahanan seperti ini sudah termasuk cukup menyulitkan bahkan bisa jadi memberi jalan buntu untuk para hacker tersebut.<br />
<br />
<br />
<a name='more'></a>Tahap pengumpulan informasi tentunya bisa dibendung dengan cara yang sederhana : memastikan sesedikit mungkin informasi tentang kita diperoleh dan bisa diakses oleh publik. perhatikan contoh kasus dibawah ini :<br />
<br />
Seorang hacker ingin membobol email account seorang manager. hacker itu mengambil jalan paling mudah, menggunakan fasilitas "forget password" pada email manager tersebut. pada bagian secret question, email tersebut menanyakan apa makanan favorit si manager ? kemanakah si hacker harus mencari info tersebut ?<br />
<br />
cara tercepat adalah mendatangi manager itu, mengancamnya dengan senjata tajam dan meminta paksa password itu. tapi tentu saja. cara itu punya masalahnya sendiri.<br />
<br />
Adakah cara yang lebih halus ? tentu saja ada. bahkan caranya mudah sekali. bergabunglah dengan si manager. jadilah temannya di jejaring sosial, baca blognya, periksa situs2 dan forum2 yang sering didatanginnya, dan anda akan terkejut. terkadang jawaban itu tersedia tepat di depan mata kita.<br />
<br />
Pencegahannya tentu adalah dengan membatasi berapa banyak informasi pribadi yang kita sebarkan ke publik. baik secara sengaja maupun tidak. hindari atau usahakan memberikan sesedikit mungkin informasi unik tersebut. prinsipnya adalah : <b>jangan tuliskan apapun yang anda tidak ingin musuh / orang2 yang tidak suka dengan anda tahu</b> <b>di media online</b>. anda mungkin saja memakai pseudoname (nickname), tapi itu bukan berarti sama sekali tidak ada keterkaitan antara nickname anda dengan identitas anda yang sesungguhnya.<br />
<br />
untuk korporasi, tentu saja masalah ini lebih sulit ditangani. misalnya, dari lowongan pekerjaan yang anda tawarkan di website anda, seorang hacker bisa mencari kelemahan pada sistem dan pertahanan keamanan anda. misalnya, perhatikan iklan ini :<br />
<br />
<b>IT TECHNICAL SUPPORT</b> <br />
<b>Requirements:</b> <br />
<ul><li>Male max 25 years old </li>
<li>Graduated from reputable University in� Computer Science , major in Computer Engineering.</li>
<li>Provide support for Users on any Hardware, Network and Operating system (Windows and Linux).</li>
<li>Good in trouble shooting computers</li>
<li>Cisco and/or Microsoft Certification is a plus</li>
<li>At least 2 years of working experience in the related field is required for this position</li>
</ul>dari iklan ini kita bisa menyimpulkan, bahwa sistem komputer di perusahaan itu menggunakan windows dan linux. routernya cisco, kemungkinan pekerjaan berhubungan erat dengan computer engineering.<br />
<br />
dari data2 ini tentunya ada sedikit informasi yang bisa disimpulkan. digabungkan dengan beberapa pertanyaan pintar pada saat wawancara, dan kunjungan sebagai cleaning service / tukang reparasi <br />
<br />
ke kantor anda, dan mungkin informasi yang didapatkan akan sangat mengejutkan kualitas dan kuantitasnya.<br />
<br />
berhati2lah pulang dengan google. informasi seperti domain, IP address dan WHOIS bisa jadi modal awal untuk serangan. begitu pula dengan banner grabbing dan teknik2 pasif lainnya.sekali lagi, pastikan tidak ada informasi yang anda tidak ingin saingan anda ketahui berada di internet.<br />
<br />
Keamanan terbaik adalah bagaimana anda bisa menjaga rahasia anda tetap rahasia.Rendy Kharismahttp://www.blogger.com/profile/17736597540820842508noreply@blogger.com0tag:blogger.com,1999:blog-7947975202211771940.post-59600705098162400562010-08-16T18:16:00.002+08:002010-08-31T12:12:20.285+08:00Hacking Cycle : Pedoman Penyerangan SistemMungkin anda pernah melihat film dan tutorial di youtube tentang hacking dan tertegun melihat betapa "ajaibnya" proses tersebut. hanya dengan ketik mengetik selama beberapa menit, sebuah sistem terbongkar begitu saja. yang mungkin tidak anda ketahui, seringkali video2 hacking tersebut menghack sebuah "sistem percobaan" yang memang sengaja diberi celah keamanan agar mudah dijadikan bahan praktek. dan bukan hanya itu, sistem itu juga adalah milik pribadi. sehingga tidak akan ada implikasi hukum apapun jika mereka menghack sistem tersebut.<br />
<br />
Di dunia nyata, ada langkah2 yang harus dilakukan dalam melakukan hacking tersebut. langkah2 ini perlu kita ketahui, karena dengan mengetahui langkah2 tersebut, kita bisa dengan efektif mempertahankan diri kita ketika sedang diserang.<br />
<br />
<br />
<a name='more'></a> <b>Tahap Pertama</b> adalah tahap "pencarian informasi". informasi yang kita cari ini biasanya meliputi kepandaian pengguna (atau administrator sistem pada instansi), Operating system yang digunakan (Linux, Windows atau Mac), Software2 keamanan yang dipasang (anti-malware, firewall, lain2) dan faktor keamanan lainnya (IP address, mungkinkah akses fisik, apakah ada yang jaga dll)<br />
<br />
Seusai tahap pertama, kita bisa menentukan apakah akan melakukan penyerangan secara teknis ataukah memanfaatkan kelemahan lainnya ? misalnya jika user tidak memahami soal keamanan, kita bisa saja menelpon/email korban, menyatakan bahwa account mereka rusak dan kita meminta password. atau sebaliknya, pada lingkungan kantoran, kita bisa menyatakan diri sebagai pengguna yang lupa password kita. lebih cepat dan mudah daripada faktor teknis.<br />
<br />
<b>Tahap Kedua</b> adalah tahap "scanning". seusai tahap pertama, kita seharusnya sudah mampu memperoleh informasi tentang IP address. data inilah yang akan kita gunakan dalam proses selanjutnya. scanning adalah proses melihat dan memeriksa IP address itu untuk menemukan "lubang" di tembok pertahanan mereka. proses scanning ini, tergantung jenisnya, sudah memasuki zona beresiko yg mungkin dapat menyebabkan anda diban / dikeluarkan paksa oleh administrator.<br />
<br />
setelah tahap kedua selesai, kita akan mendapatkan informasi tentang celah keamanan dalam rupa IP address yang ada di dalam jaringan tersebut dan/atau daftar port yang terbuka.<br />
<br />
<b>Tahap Ketiga</b> masih berupa scanning, tapi tujuannya berbeda. kita sekarang mencari kelemahan yang spesifik dalam sistem tersebut. ada banyak tool seperti nessus yg tersedia di internet untuk tugas ini. sebenarnya, tool ini ditujukan untuk para adiministrator sistem agar mereka bisa dengan mudah menemukan dan menutup kelemahan dalam sistem mereka. tapi seperti semua tool lain, hacker pun menggunakan tool ini untuk menemukan kelemahan itu, bukan untuk menutupnya, tapi untuk mengeksploitasinya.<br />
<br />
Setelah tahap ketiga selesai, kita akan mendapatkan daftar kelemahan dalam sistem tersebut. inilah yang akan menjadi kunci utama untuk menjebol masuk.<br />
<br />
<b>Tahap Keempat </b>adalah penyerangan. dengan menggunakan daftar kelemahan tersebut, kita bisa mencari tools di internet yang mampu memanfaatkan kelemahan tersebut untuk memasuki sistem. tool yang sangat terkenal misalnya metasploit. penggunaan tool ini mudah sekali karena dituntun dalam bahasa inggris. dengan memanfaatkan tool tersebut. anda bisa dengan mudah memasuki sebuah sistem komputer dan melakukan apa yang anda inginkan disana.<br />
<br />
Seringkali orang2 mengira hacking selesai sampai disini. sayangnya itu tidak benar. tahap kelima adalah tahap yang paling susah. dan seringkali diabaikan begitu saja. padahal justru inilah yang menentukan apakah seseorang adalah hacker handal atau hanya seorang iseng saja. tahap kelima juga akan menentukan apakah anda akan berakhir di penjara atau tidak.<br />
<br />
<b>Tahap Kelima</b> adalah menghilangkan jejak. inilah tahap yang sulit. firewall dan windows log mencatat aktifitas anda beserta IP address dan banyak informasi lainnya tentang penyerangan anda. Informasi ini bisa dan sudah banyak digunakan untuk menangkap banyak hacker-hackeran di berbagai tempat. biasanya cara termudah untuk melakukan tahap ini adalah dengan menghapus logfile atau memanfaatkan proxy server (server perantara). tapi tentu saja. pada kenyataannya menemukan dan menghapus logfile tidaklah mudah. mengandalkan server perantara juga seringkali menyulitkan karena menyebabkan kecepatan anda melambat jauh dari aslinya.<br />
<br />
Tentu saja, kelima tahap ini bisa kita sangat persulit untuk membuat hacker males mengganggu sistem kita. saya akan membahas semua tahap tersebut secara lebih detail pada tulisan2 saya yang akan datang. untuk saat ini, silahkan anda mencoba berpikir, apa yg bisa anda lakukan untuk mempertahankan diri ?Rendy Kharismahttp://www.blogger.com/profile/17736597540820842508noreply@blogger.com0tag:blogger.com,1999:blog-7947975202211771940.post-42336280775255175582010-08-16T00:08:00.005+08:002010-08-31T12:11:50.871+08:00Memerangi Pornografi + Peningkatan Produktifitas ? tidak sulit kokBerkaca sejenak pada kasus di gedung DPR yang terjadi beberapa waktu lampau, mungkin banyak orang yang jengkel kepada para wakil rakyat disana, atau bahkan malu karena gedung DPR yang seharusnya dipakai untuk memperjuangkan kepentingan rakyat malah sekonyong2 jadi seperti warnet. bahkan dengan tambahan situs porno terpampang di halaman depan kios Informasi di gedung DPR tersebut.<br />
<br />
Meskipun memalukan, para administrator jaringan di berbagai kantor tentunya sudah tidak asing lagi dengan masalah seperti ini. penyalahgunaan internet yang seharusnya digunakan untuk media penunjang pekerjaan malah seringkali malah menjadi "hambatan" para karyawan untuk bekerja sungguh2. baik media jejaring sosial, download lagu dan film, bahkan bermain game malah menjadi beberapa penggunaan utama dari fasilitas internet tadi.<br />
<br />
<a name='more'></a>Mungkin para administrator sistem sudah sering kali kewalahan menghadapi masalah seperti ini. blok situs yang satu, dan pengguna yang bandel akan mencari cara menjebol sistem. tutup celah / blokir website yang mereka gunakan untuk menembus sistem, dan akan ada lagi cara baru. begitu seterusnya tanpa ada habisnya.<br />
<br />
Lantas bagaimanakah jalan keluar yang baik dari masalah ini ?<br />
<br />
Saya pribadi berpendapat selama ini rata2 usaha untuk mengatasi masalah ini malah menuju ke arah yang salah. berbagai sistem "anti pornografi" dan semacamnya dikembangkan. Misalnya salah satu upaya yang paling terkenal adalah penggunaan DNS nawala (http://www.nawala.org/) akan tetapi, sistem ini bekerja dengan model blacklisting, yang berarti sistem itu akan memeriksa data URL (www.abcd.com) dan membandingkannya dengan daftar situs2 yang dilarang masuk.<br />
<br />
Kenapa sistem ini tidak berjalan dengan baik ? sistem ini memiliki satu kelemahan yang sangat mendasar, perkembangan dunia internet sangatlah cepat. suatu website porno dengan nama yg tidak kentara bisa hadir begitu saja dalam waktu sehari. domain2 lama yang seharusnya berisi konten baik, dalam beberapa waktu expired dan berubah konten. situs2 yg menyediakan jasa VPN atau proxy (istilahnya jasa perantara) bisa muncul sewaktu2 dan membuat daftar blacklist panjang anda menjadi sia2.<br />
<br />
lantas bagaimana cara yang lebih baik untuk mengatasi masalah ini ? ide saya adalah dengan "membalik" sistem blacklisting tersebut menjadi metode whitelisting.<br />
<br />
seyogyanya, sebuah institusi / perkantoran / fakultas memiliki "core business" sendiri2. jika yang itu adalah fakultas kedokteran misalnya, biasanya internet yg benar2 diperlukan akan berorientasi pada situs2 kedokteran. jika perkantoran itu bergerak di bidang saham, tentunya informasi yang benar2 diperlukan adalah informasi sekitar saham dan berita2 terbaru yang mungkin mempengaruhi nilai saham tersebut.<br />
<br />
menggunakan Informasi tersebut, buatlah sebuah daftar website yang terpercaya, sering dijadikan acuan dalam fungsi bisnis tersebut dan bisa diandalkan. masukkan pula website2 umum yang sekiranya "perlu tapi tidak terlalu kritis". sisanya ? biarkan saja.<br />
<br />
tentunya anda perlu bersiap2 di beberapa hari awal karena akan cukup banyak pengguna yang komplain. untuk kesempatan seperti inilah anda perlu memastikan rencana anda ini didukung penuh manajemen dan atasan anda dan institusi/kantor anda memiliki policy tentang penggunaan internet yang ketat. anda juga perlu menyiapkan sedikit waktu untuk mereview daftar tersebut dan mungkin menambahkan beberapa situs sesuai keperluan.<br />
<br />
Pada prinsipnya, ingatlah untuk memberikan pengguna hak sesedikit mungkin yang mereka perlukan untuk menyelesaikan tugas mereka. hal ini akan melindungi sistem dengan jauh lebih baik daripada jika pengguna memiliki hak yang terlalu luas. dan sebagai bonus, karyawan anda akan menghabiskan jauh lebih sedikit jam kantornya dengan facebook dan game2.Rendy Kharismahttp://www.blogger.com/profile/17736597540820842508noreply@blogger.com0tag:blogger.com,1999:blog-7947975202211771940.post-12788160139056487282010-08-14T23:21:00.002+08:002010-08-31T12:10:54.253+08:00Hacking, Susah atau Gampang ?Hacker, Cracker, dan profesi2 lain yang berurusan dengan keamanan komputer dan data adalah beberapa profesi yang sangat kaya akan mitos dan unsur magis. Hal ini juga diperkuat dengan film2 dan media massa yang menggambarkan sosok hacker sebagai "dewa" yang mampu mengontrol dunia dari belakang keyboardnya.<br />
<br />
"Mas, FB saya dipalsuin orang lain, tolong dong Hack FB dan delete account palsu itu"<br />
"Mas, Saya lupa password email saya. tolong dong jebol yahoo dan bukain email saya"<br />
"Mas, tolong masuki server sekolah dan ganti nilai saya jadi A semua"<br />
<br />
Jika anda sering berkutat dengan komputer, kemungkinan anda pernah mendapat pertanyaan2 seperti ini. dan saya kira, pada kebanyakan kasus, anda akan mencoba menggunakan fasilitas lupa password, mencoba asal2an dan kemudian menyatakan kalau itu hal yang tidak semudah itu bisa dilakukan.<br />
<br />
<br />
<a name='more'></a><br />
Mudah ? tentu saja tidak. perusahaan2 telah menghabiskan jutaan bahkan milyaran untuk membuat website mereka aman. apalagi jika perusahaan itu hidup dan matinya dari internet.bayangkan jika FB memiliki isu keamanan serius yang membuat websitenya dirusak dan data penggunanya dicuri. FB sebagai suatu perusahaan yang bisnisnya berorientasi online tentu akan rugi jutaan dolar bahkan mungkin bangkrut begitu saja<br />
<br />
Tapi apakah hacking itu susah ? tidak juga. beri saya waktu 1 hari, dan saya bisa mengajari anda bagaimana membongkar password windows, bagaimana menghack server dan cara mengetahui password teman2 anda. apakah anda perlu mengerti programming, algoritma, jago matematika atau seorang jenius ? tidak. asalkan anda memahami bahasa inggris dan cukup familiar dengan komputer saja.<br />
<br />
Perbedaannya tentu adalah faktor target tadi. menggunakan Ilmu ke orang2 yang tidak mengerti apa2 tentunya jauh lebih mudah dibandingkan menyerang target yang sudah siap. inilah pentingnya penyebaran pengetahuan tentang keamanan komputer yang merata kepada orang2. inilah bentuk kontribusi yang bisa kita berikan kepada orang2 di sekitar kita. sebarkan pengetahuan, dan semua orang akan mendapatkan manfaatnya.<br />
<br />
<br />
Knowledge is Power.Rendy Kharismahttp://www.blogger.com/profile/17736597540820842508noreply@blogger.com0tag:blogger.com,1999:blog-7947975202211771940.post-17932644557025932672010-08-14T01:57:00.002+08:002010-08-31T12:10:18.991+08:00Kriptografi dasarApakah kriptografi itu ? kata kata ini memang masih cenderung asing di Indonesia. bahkan sejauh ini belum ada pelajaran atau jurusan perkuliahan yg memiliki spesialisasi di bidang ini. padahal kriptografi adalah sarana perlindungan data yang penting sekali. perhatikan kedua contoh dibawah ini :<br />
<br />
Saya Lapar (Indonesia)<br />
I'm Hungry (Inggris)<br />
<span class="short_text" id="result_box"><span title="">Јас сум гладен (Macedonia)</span></span><br />
<span class="short_text" id="result_box"><span title="">Я галодны (Belarusia)</span></span><br />
<br />
<span class="short_text" id="result_box"><span title="">keempat kata2 diatas memiliki arti yang sama persis. tapi di telinga orang2 yang tidak mengerti, mereka tidak akan bisa menangkap artinya. hal yang sama terjadi dalam proses kriptografi. prinsipnya adalah : "bagaimana membuat orang tidak berhak tidak bisa mengerti ttg data yg ada ? "</span></span><br />
<br />
<span class="short_text" id="result_box"><span title=""></span></span><br />
<a name='more'></a><span class="short_text" id="result_box"><span title=""></span></span><span class="short_text" id="result_box"><span title="">Berbeda dengan bahasa yang menerapkan prinsip linguistik, kriptografi yang ada saat ini berbasis perhitungan matematis. prinsip matematis dibelakang sebuah proses konversi ini memang cenderung rumit. jadi tidak akan dibahas saat ini.</span></span><br />
<span class="short_text" id="result_box"><span title=""><br />
</span></span><br />
<span class="short_text" id="result_box"><span title="">penggunaan kriptografi pada umumnya menggunakan mekanisme password dan/atau file kunci. saya merekomendasikan penggunaan kombinasi dari keduanya. karena meskipun password adalah cara yang terbukti ampuh, sebuah software keylogger akan dengan mudah mencatat password anda. file kunci akan memberikan keamanan berlapis pada file rahasia anda.</span></span><br />
<span class="short_text" id="result_box"><span title=""><br />
</span></span><br />
<span class="short_text" id="result_box"><span title="">Satu hal yang mungkin perlu ditekankan dalam penggunaan kriptografi, sebuah software kriptografi yang bagus tidak memungkinkan proses recovery data yg lupa password/ lupa file kunci. pada software kriptografi yang bagus, proses membuka paksa sebuah file yang diamankan dengan teknik ini bisa memakan waktu ratusan hingga ribuan tahun (secara teori). jadi jika anda melupakan password anda, ucapkan selamat tinggal dengan data2 di dalamnya.</span></span><br />
<span class="short_text" id="result_box"><span title=""><br />
</span></span><br />
<span class="short_text" id="result_box"><span title="">Untuk software kriptografi yang gratis dan bagus. saya menyarankan TrueCrypt dari www.TrueCrypt.org untuk dicoba. software ini sudah menjadi standar pengamanan kriptografis di seluruh dunia dan sudah teruji. manual yang disediakan juga sangat lengkap dan menarik jika anda tertarik dengan subjek kriptografi ini </span></span>Rendy Kharismahttp://www.blogger.com/profile/17736597540820842508noreply@blogger.com2tag:blogger.com,1999:blog-7947975202211771940.post-29937163481820293302010-08-13T13:06:00.002+08:002010-08-31T12:09:35.285+08:00Keamanan Komputer di Indonesia"Saya kan bukan siapa-siapa dan tidak punya apa-apa, knp saya harus pusing2 dengan keamanan komputer dan laptop saya ?"<br />
<br />
Itu adalah jawaban yang sering saya dapatkan ketika membahas soal keamanan komputer dengan teman teman saya.tampaknya, jawaban itu menjadi "benteng" bagi mereka untuk bersikap cuek dengan soal keamanan komputer dan resikonya. <i>Ignorance is a bliss</i> memang.<br />
<br />
Informasi apapun memiliki nilai yang berbeda beda untuk semua orang. apa yang tidak penting menurut kita bisa jadi sangat penting untuk orang lain. informasi seperti buku favorit, musik favorit dan lain lain mungkin tidak berguna bagi keluarga kita. tapi jelas sangat berguna untuk orang yang sedang "pedekate" dengan kita :D<br />
<br />
<br />
<a name='more'></a>Demikian pula halnya dengan saat ini kita berada di mana, bersama siapa saja, kemana akan pergi selanjutnya dan lain lain. buat kita memang tidak berguna (ato mungkin hanya sekedar pamer). tapi jika ada seorang penculik yg berniat menculik anda, Info2 tadi akan sangat membantu dia dalam merencanakan aksinya.<br />
<br />
Sering pula terjadi kasus pencurian identitas. Di indonesia sendiri saat ini belum terlalu terdengar. tapi di negara2 Eropa sering sekali ada kejadian dimana pelaku menggunakan identitas korban untuk mendaftar kartu kredit, hutang sana sini dan akhirnya si korbanlah yang menjadi sasaran penagih hutang. silahkan cari di google tentang "Identity Theft Story" untuk membaca berita berita tersebut.<br />
<br />
Apa itu saja ? sayangnya tidak. sejauh ini yang sering terjadi adalah Facebook anda di-hack, diacak2 dan ditinggalkan begitu saja. tapi bayangkan apa yang akan terjadi kalau si Hacker tidak mengganti password anda, tapi diam2 beraktivitas dengan menggunakan account anda tersebut ? mengirimkan message, chat, membeli barang2...dan semuanya tidak anda ketahui karena password anda tidak berubah dan dia tidak meninggalkan jejak. tidak mungkin ? sayangnya...itu sangat mungkin.<br />
<br />
Isu Keamanan adalah masalah bersama. bukan berarti facebook, twitter, blogger, yahoo, google dan lain lain tidak berusaha melindungi anda. sebaliknya, mereka berusaha keras untuk itu. akan tetapi, sudah menjadi pengetahuan umum bahwa titik terlemah keamanan adalah sisi manusianya. apakah anda titik lemah tersebut ?<br />
<br />
<br />
The Ultimate Security is Your Understanding of Reality (H. Stanley Judd)Rendy Kharismahttp://www.blogger.com/profile/17736597540820842508noreply@blogger.com1