blog Security

Minggu kemaren di kelas Keamanan Jaringan kami diskusi tentang berbagai blog security. Maksudnya blog yang selalu mengupdate berita-berita tentang keamanan informasi. Ada beberapa blog yang sering saya ikuti diantaranya blog-blog berikut ini :

1. Blog Bruce Schneier : https://www.schneier.com/

Beliau ini sebenarnya pakar kriptographi yang cukup populer di US. Selain itu penulis buku juga dan banyak jadi pembicara. Di blognya beliau selalu update info-info terkini tentang security. Dia banyak nampilin link-link bacaan yang bisa kita ikuti untuk lebih memahami tema. Selain itu menarik juga cara dia menceritakan opininya tentang isu-isu terhangat, karena dia suka melihat dari sudut pandang yang berbeda.

2. Blog Brian Krebs : http://krebsonsecurity.com/

Nah mr.Krebs ini :) punya background jurnalis. Jadi dia suka nulis cerita-cerita hasil investigasi dia sendiri, tentunya tentang kasus-kasus security. Jadi sering kita baca, cerita atau kasus yang belum diekspos oleh media.

3. Blog Naked Security : http://nakedsecurity.sophos.com/

Kalo yang ini punya perusahaan antivirus asal British, yaitu sophos. Blog ini banyak update tentang insiden keamanan dan juga perkembangan teknologi terbaru di bidang keamanan. Blog ini sering dapat penghargaan sebagai blog terbaik di bidang security

4. Blog Kaspersky : http://blog.kaspersky.com/

Blog ini punya perusahaan antivirus Rusia, Kaspersky. Blog ini punya team grafis yang keren, sehingga seringkali penjelasan atau cerita yang njelimet tentang insiden keamanan jadi simpel dan menyenangkan. Banyak kartun-kartun lucu juga yang ada blog ini. Blog ini punya semboyan we use words to save the worlds. Jadi cita-citanya emang ideal banget, mau menyelamatkan dunia.

Blog word.

Sebenarnya masih banyak blog lain yang saya suka baca. Nanti lain kesempatan akan saya share lagi. Semoga bermanfaat!

Tor -The onion router

Tor (The Onion Router) merupakan aplikasi yang bisa melindungi privasi kita. Tor membuat aktifitas kita di internet menjadi susah untuk dilacak (trace). Awalnya teknologi ini dikembangkan oleh pihak militer Amerika Serikat (US Navy). Pengembangan teknologi ini juga awalnya dimaksudkan untuk penggunaan oleh militer AS. Tujuannya agar komunikasi antar personel militer tidak bisa disadap, bahkan tidak bisa dilacak posisinya.

htw1

Teknologi yang digunakan adalah enkripsi berlapis. Sehingga dinamakan onion (bawang). Terinspirasi dari kulit bawang yang berlapis lapis. Tor melakukan enkripsi data yang dikirim kemudian mengacak jalur pengiriman data melewati beberapa jalur routing yang berbeda. Sehingga bisa saja dua paket yang dikirim secara berurutan, melalui jalur routing yang berbeda.

htw2

Teknologi ini sangat bermanfaat bagi pihak yang tidak ingin identitas maupun posisinya dilacak. Contohnya wartawan yang sedang melakukan penelitian tentang kasus rahasia yang berbahaya, atau pihak LSM yang tidak ingin aktifitasnya bisa dilacak. Sayangnya teknologi ini juga dimanfaatkan oleh para kriminal untuk menghindari pelacakan dari polisi. Contohnya pada jaringan perdagangan barang illegal seperti silk road. Tor memiliki juga browser khusus yang sudah dimodifikasi untuk melakukan enkripsi paket dan pengacakan jalur routing.

Dalam hal privasi, teknologi ini jauh lebih canggih dibandingkan VPN. Informasi lebih lanjut tentang TOR bisa dilihat di web berikut ini. Cara kerja TOR bisa dilihat pada gambar 1-3:

tor
tor 3

Deep Web – Website Tersembunyi

Saat ini mesin pencari (search engine) seperti google maupun yahoo telah berkembang sangat pesat. Kata kunci apa saja yang kita masukkan di google pasti akan kita dapatkan jawaban maupun link website yang sesuai. Pertanyaan apapun yang kita ingin tau jawabannya bisa kita masukan di google, nanti akan muncul link website yang menyediakan informasi yang ingin kita ketahui. Saking canggihnya sampe di Indonesia mesin pencari ini dapet gelar “mbah” google atau “prof” google. Atau ada istilah kalo bingung digoogle aja. Kecanggihan mesin pencari ini memang didukung oleh algoritma yang rumit, dan infrastruktur server yang handal.

The-Deep-Web
from legaltechnology com

Nah mungkin kita beranggapan dengan semakin canggihnya mesin pencari, maka tidak mungkin ada website yang tidak bisa ditemukan. Tapi ternyata ada banyak website yang memang dibuat tersembunyi. Website ini tidak bisa ditemukan oleh mesin pencari apapun. Web jenis ini sering disebut Deep Web, Hidden Web atau Invisible Web.  Jadi website ini memang dirancang hanya bisa diakses dengan teknik tertentu. Misalnya dengan menggunakan browser khusus, atau dengan menggunakan tool khusus seperti Tor Onion. Jadi Deep web ini tidak bisa diakses dengan browser yang umum digunakan seperti Internet Explorer, Mozilla Firefox maupun Google Chrome. Selain itu biasanya kita harus registrasi dulu untuk bisa masuk ke deep web ini. Dan cara registrasinya pun sangat tertutup dan rahasia. Tidak bisa siapa saja melakukan registrasi.

Ada banyak alasan yang membuat orang membuat Deep web ini. Bisa jadi karena isi dari website tersebut berisi informasi rahasia. Atau informasi dari web ini hanya boleh dilihat oleh orang-orang tertentu. Teknologi ini digunakan oleh kelompok tertentu untuk saling berkomunikasi, seperti intel, organisasi bawah tanah maupun organisasi rahasia. Teknologi deep web ini bahkan digunakan untuk perdagangan barang ilegal seperti penjualan senjata, obat bius  maupun transaksi lainnya. Contohnya adalah web Silk Road. Silk Road adalah website perdagangan barang ilegal online yang berhasil dibongkar oleh FBI pada tahun 2013.  Yang menarik ternyata jumlah deep web ini diperkirakan jauh lebih besar dibandingkan website biasa (surface web).

Saat ini para peneliti masih berusaha mencari teknik yang efektif untuk bisa mendeteksi deep web ini. Mungkin anda tertarik untuk mempelajari tentang web tersembunyi ini ?

from whoishostingthis
from whoishostingthis

Patch Heartbleed

Heartbleed sepertinya telah menjadi berita besar. Penemuan celah keamanan ini memang sangat menghebohkan. Para user sibuk melakukan update password. Peneliti keamanan sibuk mempelajari tentang celah keamanan ini. Sementara para admin jaringan juga ikut sibuk.

heartbleed patch
from interaksyon.com

Minggu ini para admin masih disibukkan dengan patch  Heartbleed. Teman saya ada yang sudah coba memasang patch dari openssl tapi setelah dipasang ternyata servernya malah error. Akhirnya terpaksa data dipindahkan ke server cadangan. Ternyata tidak semua server bisa dibereskan dengan patch dari openssl. Masing-masing vendor berbeda cara memasang patchnya. Sebaiknya kita baca dulu keterangan resmi dari masing-masing vendor tentang Heartbleed, sebelum mulai coba mengoprek-oprek server kita. Beberapa vendor sudah mengeluarkan keterangan resmi tentang Heartbleed. Bahkan ada yang mengeluarkan patch khusus serta cara-cara memasang patch tersebut. Berikut ada beberapa keterangan dari masing-masing vendor tentang patch Heartbleed  :

Buat teman-teman yang tertarik mempelajari lebih lanjut tentang Heartbleed, untuk referensi di link berikut ini.  Disana ada banyak link bacaan tentang Heartbleed. Mulai dari payload, cara mendeteksi, cara mengangani dll. Selain itu ada video juga yang menjelaskan tentang Heartbleed.

Semoga bermanfaat

Masih tentang bug Heartbleed

Celah keamanan atau Bug Heartbleed ini sangat menarik. Bug ini ternyata sudah ada sejak 2 tahun, tapi baru saja diketahui dan dipublikasikan oleh  peneliti keamanan Google dan Codenomicon. Bug ini memiliki nama resmi CVE-2014-0160. Celah keamanan ini menyerang openssl versi 1.0.1 sampai versi 1.0.1f , serta server yang menggunakan Apache dan Nginx. Jadi dengan memanfaatkan celah keamanan ini, penyerang bisa mengambil isi memori pada server sebesar 64k. Hal ini bisa dilakukan berulang-ulang oleh penyerang tanpa terdeteksi, karena umumnya kanal Heartbeat tidak dimonitor.  Nah isi memori tadi bisa diekstrak oleh penyarang sehingga nanti akan mendapatkan data seperti public keys, private keys, login maupun password. Tergantung isi memori dari server pada saat itu apa.

bug heartbleed
from onsugar.com

Celah keamanan ini terjadi karena openssl merupakan aplikasi open source yang dikerjakan secara keroyokan oleh para volunteer. Sehingga bisa saja terjadi kesalahan coding. Tapi celah keamanan ini telah diperbaiki.  OpenSSL telah mengeluarkan patch untuk memperbaiki bug ini. Bila anda admin website yang menggunakan openssl, sebaiknya segera memasang patch tersebut pada web anda. Bila anda user, sebaiknya anda periksa dulu domain website yang sering anda kunjungi. Apakah website tersebut masih rawan terhadap bug Heartbleed ini atau sudah diperbaiki. Link untuk mengujinya bisa dilihat disini. Sangat dianjurkan untuk kita segera mengganti password. Dan jangan dibiasakan untuk menggunakan password yang sama untuk semua layanan yang kita gunakan.

Selain itu ada kemungkinan celah keamanan ini akan dimanfaatkan oleh para scammers untuk menyebarkan email-email scam tentang bug ini. Sebaiknya hati-hati bila menerima email tentang tema ini. Penjelasan yang lebih teknis tentang bug Heartbleed ini bisa dilihat di blog ini. Disana diuraikan tentang source code openssl yang bermasalah. Selain itu ada juga videonya disini http://vimeo.com/91425662

Semoga bermanfaat!

Heartbleed – Celah keamanan

heartbleed
heartbleed

Para peneliti keamanan sedang dihebohkan dengan berita ditemukannya bug pada aplikasi OpenSSL. Bug ini dinamakan Heartbleed. Bug ini sangat berbahaya. Karena dengan memanfaatkan celah keamanan ini, penyerang dapat mengambil memori dari server. Celah keamanan ini menyerang sistem yang menggunakan openssl. Ini artinya semua yang ada di memori seperti SSL private keys, user keys, nama login user, password, email dll bisa diambil oleh penyerang tanpa meninggalkan jejak.

Celah keamanan ini menyerang sistem yang menggunakan openssl. OpenSSL merupakan aplikasi yang sangat populer dan banyak digunakan untuk mengamankan website. Sehingga diprediksi sekitar 500 ribu website diseluruh dunia rawan terhadap celah keamanan Heartbleed ini. Di Website arstechnica didemonstrasikan cara kerja penyerang yang menggunakan celah keamanan Heartbleed ini. Disitu pengujian dilakukan dengan menyerang server email yahoo. Dan ternyata berhasil didapatkan username dan password dari user.

Informasi lebih lanjung tentang celah keamanan ini bisa dilihat di link berikut ini. Anda bisa menguji juga apakah website anda rawan terhadap bug ini pada link berikut ini.  Tetapi celah keamanan ini telah berhasil ditangani, telah ada patch yang dikeluarkan openssl.  Silahkan baca keterangan dari OpenSSl untuk menangani celah keamanan ini di link berikut ini. Setelah kita memasang patch ini maka kita harus menggenerate kunci pubic dan kunci private kita. Kemudian kita harus melakukan update sertifikat SSL yang kita gunakan. Dan disarankan untuk segera mengganti password dari user yang mungkin telah dicuri hacker. Menurut berita terakhir Facebook dan Gmail telah mengupdate sistemnya menggunakan patch tersebut. Semoga bermanfaat!

from xkcd
from xkcd

hackthegame

Alhamdulillah akhirnya perkuliahan dimulai lagi. Semester ini saya mengajar Keamanan Jaringan dan  sistem operasi. Salah satu metode yang saya gunakan, saya akan ajak siswa untuk maen game. Kenapa maen game? Karena belajar itu harus menyenangkan. Untuk memberi gambaran tentang anatomi hacking dan teknik penyerangan biasanya saya minta siswa maen Hackthegame.hackthegame120 Game ini merupakan simulasi hacking, dimana anda akan berperan jadi hacker. Kemudian anda akan mendapat berbagai misi seru. Diantaranya menerobos sistem keamanan, mengambil data penting, mengambil tools penting dsb. Anda juga memiliki tools yang mirip dengan kondisi sebenarnya, ada portscanner, telnet dll. Komputer lawan juga memiliki sistem pertahanan yang bisa mendeteksi aktifitas hacker, bisa backtrace juga. Sehingga perlu skill dan strategi supaya tidak tertangkap polisi. Kalo sudah ketangkap polisi berarti game over. Salah satu kelebihan game ini adalah adanya pilihan bahasa indonesia, sehingga cukup mudah dipahami siswa. Umumnya setelah maen game ini siswa senang dan jadi punya gambaran tentang langkah-langkah penyerangan yang dilakukan oleh hacker.  Sehingga diskusi tentang materi anatomi hacking dan teknik penyerangan jadi lebih mudah. Sayangnya game ini sudah tidak dikembangkan lagi, padahal menurut saya banyak yang bisa kita sesuaikan dengan kondisi saat ini. Mungkin ada yang berminat untuk mengembangkan game hacking ? atau untuk Proyek akhir ?

Semoga bermanfaat!

Akses Point Palsu

Kemaren ada 2 mahasiswa yang ingin konsultasi tentang judul Proyek Akhir.  Temanya menarik yaitu tentang Akses point palsu (rogue Access Points). Akses Point palsu ? yang jelas bukan judul lagu barunya ayu ting-ting.

courtesy http://www.wegilant.com/rogue-access-point-attack/

Akses Point palsu  ini jenis serangan yang lagi marak, seiring dengan semakin banyaknya tempat yang menyediakan wifi hotspot.  Serangan ini termasuk jenis man-in-the middle attack. Penyerang akan membuat akses point palsu yang dipasang untuk menjadi penghubung antara user dengan internet. Biasanya AP ini dibuat semenarik mungkin untuk mengecoh user.  Bila user sudah tersambung dengan AP palsu maka, penyerang akan dengan mudah menangkap data-data yang diakses oleh user di internet, seperti login, password, bahkan isi email dari user.  Serangan ini juga cukup mudah dilakukan, cuman butuh laptop dan beberapa aplikasi gratis yang juga tersedia di internet. Nah masalahnya sekarang bagaimana cara efektif untuk melakukan pertahanan terhadap serangan ini??  Ternyata tidak mudah. Ada yang menyarankan dengan melakukan monitoring terhadap jaringan wifi yang ada. Menurut saya untuk monitoring akses point yang kita miliki memang bisa, tapi kalo akses point yang bukan kita punya seperti apa monitoringnya ? Ada juga yang menyarankan dengan melakukan scanning secara berkala akses point apa saja yang terdeteksi pada jaringan. Berarti admin harus melakukan ronda keliling dan melakukan scanning jaringan wifi. Atau pake WIPS? Wah keliatannya belum ada yang efektif, mungkin ada yang bisa bantu ?

Lomba Karya Tulis Ilmiah tentang Kriptografi

Untuk para penggemar Kriptografi, ada event bagus nih. Sekolah Tinggi Sandi Negara mengadakan lomba karya tulis ilmiah tentang Kriptografi pada mobile Communication. Info lebih lanjut bisa dilihat disini . Brosurnya silahkan dilihat dibawah ini :lkti stsn

ID-CERT

logo idcert Beberapa hari lalu saya diajak temen-temen dari ID-CERT diskusi tentang malware. Jadi ceritanya  kita mau coba riset bareng tentang malware. ID-CERT itu kepanjangan dari Indonesia Computer Emergency Response Team.

CERT adalah organisasi yang menerima pengaduan atau komplain kalo terjadi insiden keamanan internet.  Oleh CERT, biasanya insiden ini akan ditangani dan coba ditanggulangi.  Istilah kerennya satpam internet. CERT ini awalnya dibuat sebagai inisiatif untuk menangani insiden menyebarluasnya Worm Morris di Amerika pada akhir tahun 1988.  Worm ini cukup bikin heboh pada waktu itu karena menginfeksi sekitar 6000 komputer server berbasis UNIX serta menimbulkan kerugian sampai $100,000–10,000,000. Nah, kementrian pertahanan Amerika Serikat melalui Defense Advanced Research Projects Agency (DARPA) berinisiatif melakukan koordinasi untuk menghentikan serangan ini dengan membentuk CERT/CC di Carnegie Mellon University.

Di Indonesia CERT baru ada tahun 1998, yaitu ID-CERT yang didirikan oleh Pak Budi Rahardjo, ID-CERT berbasis komunitas dan bersifat independen. Tiap hari ID-CERT menerima dan menangani sejumlah aduan tentang insiden keamanan informasi. ID-CERT juga kemudian  bersama JP-CERT (Jepang CERT) dan Aus-CERT (Australia CERT) yang mendirikan APCERT (Asia Pasific Computer Emergency Response Team). Selain ID-CERT di Indonesia juga ada ID-SIRTII. Bedanya ID-SIRTII/CC didirikan oleh pemerintah RI melalui Depkominfo pada 2007. Ok deh jadi kepanjangan cerita tentang Cert :)   Selanjutnya saya akan coba sharing lebih banyak tentang Malware. Semoga bermanfaat