Apakah data privasi anda aman?

I used to say that Google knows more about what I’m thinking of than my wife does. But that doesn’t go far enough. Google knows more about what I’m thinking of than I do, because Google remembers all of it perfectly and forever. (Bruce Schneier, Data and Goliath)

Bagaimana dengan berbagai layanan lain selain Google? Bagaimana jika ada (atau bahkan sudah ada) mesin yang dapat mengakses data tersebut, menganalisis, mengkorelasikan, dan akhirnya menyimpulkan sesuatu tentang profil dan perilaku kita? Bayangkan jika data kita di Facebook, Google, Twitter, Gojek, credit card provider, Amazon, Tokopedia, Bukukita dan sebagainya digabung dan dianalisis. Apa saja kira-kira yang dapat disimpulkan oleh mesin surveillance mengenai diri kita?

Setidaknya ada dua hal yang mulai harus kita waspadai:

Baca lebih lanjut

Iklan

Pembajakan akun Gojek?

Beberapa minggu lalu, saya logout dari aplikasi Gojek. Hari ini, ketika akan login, aplikasi meminta saya memasukkan OTP yg akan dikirim ke nomor ponsel. Masalahnya, nomor ponsel yg tertera ternyata bukan nomor saya? Apa yang terjadi? Apakah akun saya dibajak? Silahkan share jika pernah mengalami kasus yang sama…

18056133_10155277371364586_1334862719702540226_o

Memoles e-Banking Guna Menangkal Serangan Sinkronisasi Token: Bagaimana serangan ‘sinkronisasi token’ bekerja? (bagian 2 dari 3 tulisan)

Untuk mengambil pelajaran dari kasus serangan yang sudah terjadi, kita perlu mengingat kembali salah satu prinsip dasar untuk menganalisis keamanan sistem teknologi informasi, yaitu:

Keamanan total dari suatu sistem dapat dipandang sebagai sebuah rantai yang dibentuk oleh sekumpulan mata-rantai yang saling berhubungan. Untuk mematahkan keamanan, penyerang cukup mencari dan memutuskan mata-rantai yang paling lemah.

Metode serangan ‘sinkronisasi token’ yang terjadi sepenuhnya sejalan dengan prinsip di atas. Penyerang mengarahkan serangannya ke titik paling lemah dari rangkaian keamanan, yakni pengguna serta perangkat (PC, tablet) dan juga lingkungan di sisi pengguna. Serangan ini memiliki aspek teknis, yakni penggunaan malware ataupun tool serangan lainnya, dan sekaligus aspek social engineering, yakni strategi untuk mengecoh pengguna. Bagian artikel ini akan memaparkan skenario dasar serangan terhadap sistem keamanan eksisting.

Baca lebih lanjut

Memoles e-Banking Guna Menangkal Serangan Sinkronisasi Token: Menilik kejadian serangan dan mitigasinya (bagian1 dari 3 tulisan)

internet-banking token

Di awal tahun 2015, dunia perbankan di Indonesia diresahkan dengan terjadinya serangan cyber fraud yang menyasar ke layanan internet banking beberapa bank papan atas. Metode serangannya cukup unik, yaitu dengan mengintervensi proses transaksi internet banking yang tengah berlangsung. Nasabah yang sedang melakukan transaksi diminta untuk mengentri token secara berulang, melalui pop up window yang meminta sinkronisasi token. Prosedur sinkronisasi token tersebut, belakangan terungkap, bukanlah merupakan prosedur yang valid yang memang dibuat oleh penyedia layanan, namun merupakan mekanisme ilegal yang disisipkan oleh penyerang guna mengelabui korban. Setelah menjalankan perintah dari pop-up window ini, seorang korban dilaporkan mendapati rekeningnya terdebit sebesar 13 juta rupiah karena terjadi transfer secara tidak sah ke tujuan rekening yang tidak dikenalnya. Mengenai jumlah korban, pihak BCA sempat menyebutkan adanya seribu nasabah yang menjadi korban serangan ini (sumber: 1.000 Nasabah Terkena “Sinkronisasi Token”, kompas online, 6/3/15), yang kemudian diralat menjadi hanya 43 nasabah. (sumber: Hanya 43 Nasabah yang Terkena “Sinkronisasi Token”, kompas online, 6/3/15). Selain BCA, nasabah Bank Mandiri juga menjadi korban dari serangan ini. (sumber:Nasabah Mandiri juga Terkena Malware Pencuri Uang, CNN Indonesia Online, 6/3/15).

Sangat menarik untuk kita kaji, kerawanan apakah dalam sistem internet banking yang berhasil dieksploitasi oleh penyerang.

Baca lebih lanjut

Membandingkan keamanan/kekuatan algoritma sandi (kripto)

Ini adalah lanjutan dari tulisan sebelumnya: keamanan sistem kripto

Lagi-lagi, saya akan mulai dari definisi. Maklum…, masih bingung. Posting sebelumnya telah menjelaskan tiga definisi keamanan sistem kripto menurut Shannon. Di sini, saya akan menuliskan definisi yg lebih umum (merujuk ke Ritter’s Crypto Glossary):

Definisi_1 Keamanan atau kekuatan sistem kripto adalah: kemampuan sistem untuk menanggulangi berbagai serangan terhadapnya agar tujuan pengamanan (misalnya: menjaga kerahasiaan/secrecy/confidentiality) dapat tercapai.

Definisi_2 Ukuran keamanan/kekuatan sistem kripto adalah: upaya dan sumber daya minimum yang diperlukan untuk mematahkan keamanan sistem kripto tersebut.

Jadi, jika saya memiliki dua cipher, sebut saja A dan B, bagaimana saya menentukan cipher mana yg lebih aman/kuat? Dari definisi_2, kita harus menentukan cipher mana yg membutuhkan upaya atau sumber daya minimum yang paling besar untuk membongkarnya. Jika kita membutuhkan waktu 5 tahun untuk membongkar cipher A dan 3 tahun untuk membongkar cipher B dengan maka cipher A lebih kuat dari cipher B.

Selanjutnya, bagaimana cara kita menentukan sumber daya minimum yang dibutuhkan untuk membongkar cipher A?

Karena yg kita cari adalah sumber daya minimum, maka, sebelumnya kita harus menemukan teknik atau cara serangan yang paling efisien diantara seluruh serangan yg mungkin dilakukan. Kita sebut saja serangan paling efisien ini sebagai ult_attack (kependekan dari ultimate attack). Kemudian, kita hitung sumber daya yg dibutuhkan utk melakukan ult_attack tersebut dan hasilnya kita tetapkan sebagai ukuran kekuatan cipher A. Hal yg sama kita lakukan jg terhadap cipher B sehingga kita dapat membandingkan kekuatan dua cipher tersebut.

Bagaimana kita menemukan teknik atau cara serangan yg mungkin terhadap sebuah cipher?

Kegiatan membongkar keamanan cipher disebut sebagai cryptanalysis (kriptanalisis atau analisa sandi). Tekniknya bermacam-macam dan akan saya bahas dalam tulisan lain. Kita ambil contoh, bahwa sekelompok ahli kriptanalisis telah menemukan lima teknik serangan terhadap cipher A. Teknik serangan ini diberi nama attackA_1, attackA_2,…, attackA_5.

Apakah serangan paling efisien terhadap cipher A, yaitu ult_attackA, dapat kita tentukan dari lima macam serangan tersebut.

Namun, pertanyaan yg seharusnya diajukan sebelum pertanyaan di atas adalah:

Apakah tidak ada teknik serangan selain lima teknik serangan tersebut?

Disiplin ilmu kriptanalisis ternyata tidak dapat menjawab pertanyaan yg terakhir. Singkatnya, para ahli itu hanya mengatakan bahwa mereka telah menemukan 5 jenis serangan yg mungkin. Penemuan itu tidak dapat menafikan kemungkinan adanya serangan lain. Jadi, kita dapat saja menentukan ult_attack, namun metodologi kriptanalisis sama sekali tidak dapat menjamin ketiadaan jenis serangan lain yang lebih efisien daripada ult_attack.

Kembali lagi ke cipher A dan cipher B. Kekuatan dua cipher tersebut hanya dapat dibandingkan secara relatif berdasarkan beberapa teknik serangan yang telah diketahui. Kita akan mengulang kembali langkah-langkah analisis di atas:

Untuk cipher A. Pakar kriptanalisis telah menemukan 5 teknik serangan terhadap cipher A, yaitu: attackA_1,… ,attackA_5. Dari kelimanya, kita dapat menentukan teknik mana yg paling efisien, sebut saja sebagai ult_attackA.

Untuk cipher B. Pakar kriptanalisis telah menemukan 3 teknik serangan terhadap cipher B, yaitu: attackB_1, attackB_2, attackB_3. Dari ketiganya, kita dapat menentukan teknik mana yg paling efisien, sebut saja sebagai ult_attackB.

Perbandingan kekuatan cipher A dan B dapat dilakukan dengan membandingkan besarnya upaya atau sumber daya yg diperlukan untuk melakukan ult_attackA dan ult_attackB. Cipher yg lebih kuat adalah cipher yg membutuhkan sumber daya yg lebih besar.

Note:

cipher : merupakan sistem kripto yg dipergunakan untuk mengacak/menyandikan/mengenkripsi data.

Kartu Debit. Aman gak ya?

Sampai sekarang saya masih belum mengerti tentang cara pengamanan kartu debit. Ini pernah ditulis oleh Primus di sini. Saat ini saya menggunakan kartu debit BNI. Seingat saya, dua tahunan yang lalu, cara pembayarannya adalah: pengguna harus memasukkan PIN sebelum approval. Beberapa waktu setelahnya, tiba-tiba hal ini berubah. Otentikasi menggunakan PIN dihilangkan dan diganti dengan pembubuhan tanda tangan. Bedanya, PIN dimasukkan sebelum pembayaran, sedangkan pembubuhan tanda-tangan dilakukan setelah proses pembayaran terjadi. Jadi, pembubuhan tanda-tangan bukan merupakan proses otentikasi.

Beberapa waktu lalu saya mengunjungi sebuah toko yg lama tidak saya kunjungi, ternyata toko tersebut masih menggunakan PIN untuk otentikasi. Tampaknya, BNI menyerahkan pilihan mekanisme PIN atau tanda tangan kepada pihak toko atau retailer. Hal yang sama sepertinya juga dilakukan oleh bank-bank lainnya.

Wah, jadi khawatir juga, nih. Kalau kartu ATM/debit saya tercuri trus bagaimana, dong?

Jadi, permasalahannya adalah: Apakah PIN merupakan mekanisme pengamanan yang wajib (mandatory) untuk kartu ATM dan kartu debit?

Hingga saat ini, sebagian besar kartu ATM dan kartu debit di Indonesia masih menggunakan teknologi magnetic strip. Seluruh data yang dipergunakan dalam proses transaksi disimpan di dalam magnetic strip dalam bentuk plaintext (tidak terenkripsi). Jadi, penyerang dapat dengan mudah membaca data-data tersebut hanya dengan menggunakan alat pembaca kartu magnetik. Selanjutnya, dengan mudah pula penyerang tersebut membuat kartu debit palsu.

Di sinilah fungsi utama PIN. Meskipun data-data dalam kartu dapat di-cloning, kita masih memiliki satu faktor keamanan lagi, yaitu PIN. Account kita masih tetap aman selama PIN tersimpan dengan aman.

Jadi bagaimana dengan transaksi kartu debit tanpa PIN?

Dalam kasus ini berarti tidak ada mekanisme otentikasi dengan faktor ‘what you know’ (yaitu PIN). Yang ada adalah faktor ‘what you have’ (yaitu kartu magnetik itu sendiri), yang tidak aman berdasarkan penjelasan sebelumnya . Jadi transaksi dengan kartu debit tanpa PIN tidak aman.

Jadi mengapa hal ini masih tetap dijalankan? Menurut saya ada beberapa sebab:

  1. Penggunaan signature justru bertujuan untuk menghindari ter-expose atau terbukanya PIN yang terlampau sering. PIN hanya dipergunakan di ATM, tidak di supermarket. Jadi kemungkinan terjadinya pencurian PIN menjadi lebih kecil.
  2. Kemudahan. Kita dapat meminjamkan kartu debit kepada orang lain (istri, anak, saudara, bahkan teman) tanpa perlu memberitahukan PIN kita. Orang yang menggunakan kartu yg bukan miliknya juga tidak perlu lagi mengingat-ingat PIN.
  3. Perhitungan manajemen risiko dari bank penyelenggara menyatakan bahwa prosentase fraud yang terjadi karena penyalahgunaan kartu debit tanpa PIN sangat kecil (terhadap seluruh nilai transaksi yang terjadi)

Ada sebab yg lain?

Bagi saya, tidak menggunakan PIN dalam transaksi kartu debit sama saja menghilangkan faktor keamanan utama kartu debit.

Kita bahas kembali tiga hal di atas.

Nomor satu dapat diatasi dengan penghalang pandangan di sekitar terminal POS (point of sales). Tentu tidak sebesar ruang ATM. Hanya sekedar mencegah orang mengintip PIN yang sedang kita ketikkan. Penempatan terminal juga harus diperhatika. Hal ini sebenarnya tidak susah untuk dilakukan. Pengguna juga berhak untuk menolak/membatalkan transaksi jika merasa tidak aman.

Nomor dua, menyalahi prinsip utama penggunaan kartu ATM dan kartu debit. Kartu ini hanya boleh dipergunakan oleh orang yang memiliki seluruh faktor otentikasi (ada dua, seperti yang dijelaskan di atas). Kemudahan? Sebenarnya bank penyelenggara menyediakan kemudahan tersebut dengan cara memindahkan risiko keamanan kepada pengguna. Tingkat keamanan diturunkan, risiko tanggung sendiri. Sebagai pengamanan, bank juga menetapkan batas maksimal transaksi yang dapat dilakukan tiap hari. Namun, batas ini dihitung berdasarkan perhitungan manajemen risiko fraud yang akan ditanggung oleh bank, bukan risiko yang akan kita tanggung. Sekali lagi, risiko tanggung sendiri. Mau?

Untuk nomor tiga, saya tidak memiliki bukti statistik penyalahgunaan kartu debit tanpa PIN. Mungkin rekan-rekan blogger punya? Saya menduga cukup besar.

Yang membuat saya lebih pusing lagi, seingat saya, BNI tidak pernah memberitahukan perubahan cara transaksi tersebut, apalagi menjelaskan risiko-risiko baru yang akan muncul. Menurut saya, bank penyelenggara wajib menjelaskan hal-hal seperti ini. Atau saya saja yang kelewat. Pembaca yang lain bagaimana?

Catatan: risiko penggunaan tanda tangan pada kartu kredit berbeda dengan kartu debit. Ini karena pada kartu kredit kita masih dapat menolak membayar tagihan karena menduga ada fraud. Untuk debit, uang kita sudah berpindah ke account merchant. Bisa gitu ditarik lagi?

Hak Cipta Produk Dijital (Digital Copy Right). Mau ke mana?

Jadi ingin nulis2 tentang topik ini terutama setelah membaca tulisan P Ari di sini. Pembajakan di dunia dijital ataupun pembajakan di dunia selain dijital pada prinsipnya sama saja, yaitu memperbanyak produk tanpa seijin orang atau pihak yang memiliki hak cipta. Namun dalam kasus produk dijital, masalah ini tampaknya lebih rumit. Ini karena produk-produk dalam format dijital dapat dicopy atau diperbanyak dan didistribusikan dengan sangat mudah. Ini berbeda dengan kasus produk fisik tiruan (lukisan, patung, perangkat elektronik, perangkat mekanik dll). Perlu upaya sangat keras untuk meniru dan menyembunyikan kepalsuan produk secara fisik. Hal ini tidak berlaku di dunia dijital.

Produk dijital ini diantaranya mencakup: perangkat lunak, foto dijital, musik dijital ,film dijital dan ebook. Apakah pembajakan terhadap produk-produk ini dibenarkan? Secara hukum, tentu saja tidak. Namun, masalahnya bukan pada benar atau salah.

Yang menjadi masalah adalah: Apakah upaya perlindungan, dengan perangkat hukum dan teknologi, terhadap produk-produk ini cukup efektif dan feasible? Bukti di lapangan, menurut pengamatan saya, menyatakan tidak. Berbagai upaya telah dilakukan untuk melindungi produk perangkat lunak, hampir semuanya gagal atau tinggal menunggu waktu untuk gagal. Ini termasuk perlindungan dengan menambahkan hardware keamanan pada produk tersebut. Perlindungan terhadap musik dan film dijital? Sama saja. Pengguna internet (termasuk saya) dengan mudah me-rip CD/DVD film dan musik menjadi file digital (mp3, mp4, rmvb dll) dan mendistribusikannya lewat internet. Hal yg sama terjadi pada buku, dengan sedikit upaya tambahan untuk mengubah format buku hardcopy ke dalam format dijital (ebook).

Menurut bruce schneier, kesangatmudahan proses copy dan distribusi file dijital terjadi tidak lain karena hal ini sesungguhnya merupakan karakteristik intrinsik dari format dijital tersebut. Seluruh upaya yg dilakukan untuk melindungi produk dijital ini merupakan tindakan yang melawan hukum alam. Produsen tidak akan dapat menyelamatkan bisnisnya tanpa menyadari dan menerima hukum ini.

Dalam hal ini, saya sependapat dengan Bruce. Industri penghasil produk dijital tidak dapat mengatasi pembajakan hanya dengan menerapkan perangkat hukum dan teknologi untuk melindungi produk tersebut. Yang diperlukan adalah: Skema bisnis baru! Hal ini sudah dilakukan dalam kasus perangkat lunak yaitu melalui skema open source. Industri open source memperoleh pendapatan dari service bukan dari produk perangkat lunak. Bagaimana dengan musik dan film? Beberapa hal penting sebenarnya sudah terjadi (hanya mungkin luput dari pengamatan kita):

1. Film? Maraknya pembajakan film tidak mematikan industri bioskop. Orang tetap berbondong-bondong menonton film di bioskop meskipun film yg sama juga tersedia dalam CD/DVD bajakan. Apa yg dicari?

2. Musik? Kecenderungan saat ini adalah: orang hanya menyukai satu atau dua lagu dalam satu album. Jadi, mengapa harus membeli satu album penuh? Hal ini yang dibidik oleh P BR dengan Digital Beat Store-nya. Yang lain? Industri musik dapat memproduksi musik yang berkualitas high-end yang dapat dinikmati (dengan head-phone  yang nyaman utk masing2 pendengar) di tempat-tempat khusus, misalnya kafe atau ruang baca di toko buku. Tiap pendengar harus membayar berbasis waktu atau berdasarkan item lagu yg dipesan.

3. Buku? Rasanya saya tidak pernah berminat membajak buku2 lokal yang dipajang di toko2 buku. Mengapa? Karena hasil yang diperoleh tidak sepadan dengan harga dan upaya yang dikeluarkan. Saya tetap memilih buku asli karena masih cukup murah dan mudah. Bagaimana dengan buku textbook yg mahal-mahal? Utk kasus ini, maka akan berlaku hukum di atas, bajakan dalam format dijital lebih menarik. Capek membaca ebook di depan Laptop? Ah, masih bisa ditoleransi kok.

Jadi, apakah hukum dan teknologi saat ini efektif mengatasi pembajakan? Menurut saya tidak, tanpa ada skema bisnis baru.

Apakah kita dapat mengharapkan itikad baik dari publik? Dalam batas tertentu, ya. Yg dimaksud batas tertentu adalah: harga masih cukup masuk akal (meskipun belum tentu terjangkau), ada alternatif lain (perpustakaan yg memadai utk textbook. Open source utk software, meskipun ada effort tambahan).