Tag: security

Pencurian password masih menjadi primadona, hal ini tidak terlepas dari makin banyaknya layanan yang tersedia di Internet yang membuat penggunanya semakin malas untuk mengganti password. Padahal, saat ini metode autentikasi yang tersedia masih mengandalkan gabungan username dan password. Bayangkan bila kita terdaftar di 10 layanan web yang berbeda, artinya harus membuat akun di masing-masing layanan tersebut, betapa malasnya apabila harus mengganti password secara rutin. Parahnya lagi, biasanya karena ingin tidak lupa maka semua akun tersebut akan diberi password yang sama. Inilah yang kemudian dimanfaatkan oleh sebagian orang untuk melakukan aktivitasnya.

Pencurian password pada dasarnya memiliki berbagai tahapan dan teknik, tidak ada satu metode yang dianggap paten atau ces-pleng untuk mendapatkan password. Tidak jarang password yang didapatkan masih berbentuk enkripsi sehingga perlu melakukan decrypt supaya bisa membaca password aslinya. Nah, saya menemukan sebuah website untuk mengukur sejauh mana tingkat keamanan password yang kita buat, website tersebut akan memprediksi lama waktu yang dibutuhkan untuk men-decrypt password yang tercuri.

Bagi pemula, biasanya mereka hanya memiliki resource yang terbatas. Katakanlah laptop pribadinya yang diinstall software cracking password dan sudah dilengkapi dengan kamus yang didapatkan dari forum-forum hacker. Secanggih apapun softwarenya, tetap saja proses cracking membutuhkan perangkat hardware untuk melakukan perhitungan. Berikut ini beberapa hasil yang saya dapatkan dari website How Secure is My Password.

Password Tanggal Lahir

Gambar diatas menunjukkan waktu kurang dari satu detik untuk cracking password yang berupa tanggal lahir. Panjangnya 8 karakter dengan password : 17081945. Jadi hindari menggunakan tanggal lahir sebagai password.

Password Generik

Buat yang pernah membaca beberapa tutorial, biasanya penulisnya akan membuatkan password yang mudah diingat tapi sudah cukup kompleks. Misalnya : P@ssw0rd. Namun ternyata password jenis ini juga masih bisa dicrack dalam waktu 3 hari saja. Sudah saatnya untuk ganti password ya.

Solusinya?

Ada beberapa solusi untuk membuat password :

• Gunakan gabungan password sebelumnya.
• Gunakan kombinasi karakter
• Buat minimal 10 karakter

Hasilnya dapat dilihat dari gambar dibawah. Saya menggunakan gabungan password menjadi : P@ssw0rd_17081945.

Terlihat dengan menggunakan gabungan password, karakter aneh, dan jumlah yang lebih dari 10 karakter sudah dapat mengurangi resiko pembajakan. Cracker membutuhkan waktu yang lama untuk bisa mengetahui apa isi password. Tentunya ini juga semakin susah jika kita rutin mengganti password selama periode tertentu.

Namun demikian, password tetaplah password, dia berfungsi layaknya kunci gembok.

Bijaksanalah dalam menggunakan Internet.

Ceritanya ketika sedang browsing Hacker News, saya melihat ada judul yang menarik, yaitu ada semacam riset bersama antara CERN dan MIT untuk membuat sebuah layanan email yang anti sadap, bahkan oleh NSA sekalipun. Kebetulan saja saat itu sedang ramai membahas mengenai kecurigaan terhadap NSA akan kegiatannya memata-matai seseorang melalui berbagai layanan Internet seperti email dan social media. Pada artikel itu dijelaskan, proyek yang dibuat bernama ProtonMail yang berlokasi di Swiss. Menurut saya ini menarik karena selama ini Swiss dikenal memiliki aturan mengenai perlindungan data yang ampuh, bagaimana jadinya jika ini dikombinasikan dengan layanan email? Tentunya akan meningkatkan keamanan.

Dulu saya pernah menulis artikel mengenai penggunaan enkripsi PGP pada Gmail, hanya saja tool yang harus diinstall sudah tidak dikembangkan lagi oleh developernya, sehingga tidak disarankan jika masih menggunakan acuan dari artikel saya tadi. Padahal, pada artikel itu saya jelaskan mengenai kemudahan menggunakan enkripsi PGP pada email, karena selama ini untuk menggunakan teknik enkripsi itu, bagi orang awam akan mengalami kebingungan. Bagaimana tidak? Kita harus mempunya secret key yang nantinya akan digunakan untuk membuka kunci dan lain sebagainya. Ribet lah pokoknya.. Nah, di artikel itu sebetulnya sangat memudahkan namun sayang, tools sudah discontinued.

ProtonMail

Perlu diketahui bahwa layanan ini masih berada dalam tahap beta, kemudian untuk register akun hanya disediakan berupa invitation dan waiting list, kebetulan saja saya sudah disetujui oleh ProtonMail sebagai pengguna awal dan bisa ngetag nama email yang bagus hahaha.. *pamer. Jadi jika ingin mencoba, sebaiknya segera mendaftar pada form yang disediakan dan tunggu hingga nanti mendapatkan balasan. Sebagai informasi, saya menunggu sekitar 1 bulan untuk mendapatkan akses, semoga Anda bisa mendapatkan lebih cepat dari saya.

Ketika sudah mendapatkan approval, maka nanti Anda akan diminta untuk melakukan konfigurasi pada akun ProtonMail dengan mengeset username, password, dan decrypt password. Ternyata ProtonMail menerapkan pengamanan ganda terhadap inbox. Pengamanan pertama sama seperti layanan email pada umumnya, yaitu hanya memasukkan username dan password. Pengamanan selanjutnya adalah kita nanti akan diminta memasukkan decrypt password untuk membuka inbox. Hal ini dilakukan karena ProtonMail menjamin bahwa mereka tidak dapat mengakses inbox pengguna, selain itu inbox juga dienkrip sehingga diberikan decrypt password untuk mengakses inbox.

Setelah memasukkan decrypt password maka kita akan dibawa ke dalam inbox. Tampilannya masih sangat sederhana, mengingatkan saya pada inbox Yahoo! Mail pada saat awal-awal kemunculannya dulu, fitur yang tersedia juga standar. Pada bagian kiri bawah nanti akan ada statistik penggunaan, rupanya dalam tahap beta ini semua pengguna diberikan batasan. Mungkin hal ini karena ProtonMail masih dalam tahap Beta.

Mengirim Email Terenkripsi

Pada dasarnya ketika kita mengirim email antar sesama pengguna ProtonMail, maka email kita akan secara otomatis terenkripsi. Namun bagaimana jika berasa dari pengguna selain ProtonMail? Misalnya dari Gmail atau Yahoo?

ProtonMail memiliki kebijakan yakni jika dikirimi email dari pengguna selain ProtonMail, maka email yang masuk secara otomatis statusnya tidak terenkripsi, karena memang mereka mengirimnya tidak pakai enkripsi, nah kemudian jika gantian kita yang akan mengirim maka akan ada dua pilihan. Mau dikirim biasa, atau pakai enkripsi? Jika dikirim biasa (tanpa enkripsi) maka ya akan kirim email biasa seperti pada umumnya. Tapi jika mau kirim email menggunakan fitur enkripsi, ProtonMail menyediakan fitur “Encrypt for Outside Users”. Nantinya kita akan mencetang pilihan ini saat akan mengirim email, kemudian mengeset password, dan sudah! Semudah itu saja dan kita dapat mengirim email terenkripsi.

Setelah email berhasil dikirim, maka nanti penerima akan mendapatkan email dari kita yang berisi url yang harus diklik untuk membaca pesan yang kita kirim. Nantinya saat penerima membuka url yang dimaksud, akan diminta memasukkan email dan barulah isi pesan yang dikirimkan dapat dibaca. Pesan terenkripsi ini dapat kita atur expired date-nya sehingga cukup efektif untuk melindungi isi pesan yang kita kirim.

Yak, segitu dulu review dari ProtonMail. Saat ini memang belum saya gunakan sebagai email utama, tapi ini bisa menjadi solusi bagi beberapa dokumen yang harus saya kirimkan secara rahasia. Saya teringat pada sebuah pepatah, yaitu jangan percayakan data kepada perusahaan iklan. Google adalah perusahaan yang bergantung pada iklan.

Sesaat setelah saya selesai menulis postingan mengenai multi-factor authentication, saya terpikir apakah ini merupakan solusi terbaik dalam hal pengamanan akun. Pengamanan yang lebih keren disebut dengan two-step verification ini bermaksud untuk melindungi seseorang ketika dia kehilangan password karena dibajak, sehingga jika pembajak itu berusaha untuk melakukan login menggunakan password curian, maka dia tidak akan berhasil karena dia harus memasukkan kode tambahan yang akan digenerate secara otomatis melalui perangkat pengaman tambahan.

Saya sempat tercenung dengan komentar mas Didut, “Bagaimana jika lupa password?”. Saat itu saya belum terpikir dalam sisi lain, jadi saya menanggapinya dengan biasa saja. Tapi kemudian saya mencoba berpikir dari sisi yang lain lagi, betul juga.. Pengamanan ini berlaku jika si pengguna masih ingat passwordnya.

Selama ini kita selalu meneliti cara untuk mengamankan password. Mulai dengan menggunakan enkripsi dengan berbagai macam metode, hingga yang terbaru adalah ya multi-factor authentication ini. Tapi tetap saja, hal yang dilindungi adalah passwordnya, bukan layanannya. Padahal apa sih password itu? Itu khan hanya semacam sederet karakter yang disimpan ke sistem, kemudian pengguna harus menghapalkan setiap akan menggunakan layanan. Padahal lagi, masalah utama manusia adalah menghapal, sampai-sampai kita harus membuatkan layanan “Lupa Password” untuk membantu saat memang lupa passwordnya. Mengenai two-step verification, saya rasa juga bakalan sama saja, bahkan [cite]http://www.citeworld.com/article/2115319/mobile-byod/two-step-verification-sucks.html[/cite] sempat menulis bahwa two-step verification itu terlalu ribet bagi pengguna kebanyakan.

Trus gimana dong?

Bagaimana jika kita mulai tidak mewajibkan password? Nggak perlulah membuat layanan dengan mewajibkan si user membuat password yang kemudian suatu saat akan dia lupakan sendiri. Ide sederhana ini diimplementasikan oleh [cite]http://blog.shopittome.com/2014/05/29/bye-bye-passwords/[/cite] yang membuat aplikasi iPhone untuk toko onlinenya tanpa menggunakan password.

Cara kerjanya cukup sederhana, pengguna yang akan mendaftar hanya perlu memasukkan nama dan alamat email saja. Selanjutnya bila pengguna akan mengakses layanan, cukup memasukkan email saja dan kemudian mengecek inbox untuk mendapatkan alamat url unik yang digunakan untuk mengakses layanan. Alamat url itu hanya bisa digunakan sekali waktu saja hingga user logout, jadi lebih memanfaatkan fungsi session untuk mengatur waktu akses pengguna.

Tentunya hal ini masih berupa ide awal saja. Tapi menurut saya layak untuk dipertimbangkan supaya nantinya kita akan menemukan solusi terbaik dalam hal pengamanan layanan. Pengguna juga semakin nyaman untuk menggunakan layanan yang kita tawarkan, tanpa harus repot mengingat password untuk mengakses layanan kita.

Gambar diambil dari GettyImages.

Judulnya agak serem, membahas mengenai keamanan dengan metode multi-factor authentication. Postingan ini bukan artikel ilmiah, jadi tak coba untuk membahasnya dengan bahasa yang gampang. Jadi begini, sekarang ini sudah banyak layanan yang keren di Internet, fasilitas yang tadinya nggak ada dan tidak terpikirkan di masa lalu, sekarang sudah tersedia dengan biaya terjangkau atau bahkan murah. Siapa sangka kegiatan berkirim pesan, bersosialisasi, bekerja, dan mencari pekerjaan dapat dilakukan dengan mudah melalui Internet? Seakan-akan sekarang dunia maya dan nyata sudah tidak terlihat bedanya lagi.

Tapi di balik segala kemudahan dan kenyaman itu, tentu ada bahaya yang mengancam. Keamanan data yang kita miliki sebaiknya dijadikan sebagai prioritas utama, karena bagaimanapun juga data pribadi harus tetap menjadi pribadi. Masalahnya, apakah ada hal pribadi di Internet? Saya akan menuliskan mengenai hal ini di postingan lain. Masalah lain yang harus kita waspadai adalah hal autentikasi. Selama ini kita mengandalkan username dan password untuk melindungi semua akun Internet yang kita miliki, tapi apakah itu sudah cukup?

Sekarang ini, sudah sangat banyak tools untuk menemukan password. Mulai dari yang berbentuk software semacam brute password pada komputer lokal, sniffer yang dipasang pada jaringan komputer, hingga yang berbentuk hardware seperti keylogger yang dipasang pada port keyboard. Artinya, serumit apapun password yang kita miliki, pada dasarnya hacker akan mudah mendapatkannya. Hanya butuh waktu dan kesabaran untuk melakukannya, dan percayalah.. Hacker adalah orang yang tekun dan sangat sabar. Lalu apa yang bisa kita lakukan untuk meningkatkan keamanan?

Multi-Factor Authentication

Sesuai dengan yang saya dapatkan dari Wikipedia yang mengatakan bahwa Multi-Factor Authentication (atau ada yang menyebutkan sebagai two-step verification) adalah sebuah metode autentikasi yang menggabungkan beberapa faktor. Antara lain :

• Sesuatu yang hanya user tau (PIN, password, pola)
• Sesuatu yang hanya user miliki (Kartu ATM, smartphone)
• Sesuatu yang hanya user itu sendiri (Sidik jari, retina mata)

Nah, apabila Anda telah menggunakan password untuk mengamankan aplikasi, maka Anda baru hanya menggunakan satu faktor autentikasi saja. Alangkah baiknya jika menggabungkan dengan faktor yang lain. Tapi pada dasarnya kita sudah menggunakan model multi-factor authentication lho.

Saya rasa Anda sudah memiliki rekening bank, pihak bank sudah menerapkan pengamanan ini untuk melindungi Anda. Contohnya pada kartu ATM, bank akan memberikan Anda sebuah kartu ATM dan PIN untuk melindunginya. Jadi bila Anda akan mengambil uang, maka Anda harus memiliki keduanya, tidak bisa hanya salah satu saja. Seandainya kartu ATM Anda hilang atau Anda lupa dengan PIN, maka Anda tidak dapat mengambil uang.

Internet Banking juga sudah menerapkan hal yang sama. Anda akan memiliki username dan password untuk dapat mengakses layanan Internet Banking, selain itu Anda juga akan memiliki token yang berfungsi sebagai autentikasi tambahan apabila akan melakukan transaksi keuangan. Jadi semisal akun Internet Banking Anda ditembus orang, maka diharapkan dia tidak bisa melakukan apa-apa selama dia juga tidak memiliki token Internet Banking.

Bagaimana dengan yang lain?

E-mail dan akun social media sekarang ini merupakan penting yang harus dilindungi, maka dari itu sebaiknya kita menambahkan model multi-factor authentication ini pada akun-akun tersebut. Saya sudah menggunakan ini pada akun Google, Microsoft, Facebook, dan Twitter. Secara garis besar metode yang digunakan sama, saya tetap diminta mengisikan username dan password, kemudian apabila saya login menggunakan komputer yang berbeda dengan biasanya, maka saya akan diminta mengisikan kode unik yang dikirimkan oleh server.

Google, Facebook, dan Twitter menggunakan metode yang sama yakni mengirimkan kode tersebut melalui sms, sehingga saya harus melakukan verifikasi nomor hp saya ke server mereka supaya dapat dikirimi kode melalui sms. Yang berbeda hanya Microsoft yang meminta saya untuk menginstall aplikasi 2-step verification pada smartphone yang nantinya akan menggenerate kode unik untuk nantinya dimasukkan ke form login.

Kesimpulannya, untuk saat ini beberapa akun email dan social media yang saya miliki keamanannya sudah setingkat lebih tinggi daripada biasanya. Saya hanya memastikan smartphone siap digunakan untuk menerima kode unik saat saya akan mengakses akun-akun tersebut selain dari laptop yang biasa saya gunakan.

Jika ingin melihat layanan apa saja yang sudah support dengan 2-factor verification, silakan akses websitenya.

Bagi Anda yang sering bertransaksi di E-Bay pasti sering mendengar istilah Negative Feedback. Itu adalah sebuah parameter yang dimiliki oleh setiap member E-Bay yang menunjukkan kualitas dia di forum jual-beli online terbesar di dunia. Anda akan dicap sebagai pembeli yang baik bila memiliki nilai Positive Feedback lebih banyak dibandingkan Negative Feedback, uniknya poin tersebut tidak diberikan oleh E-Bay, melainkan oleh member lain yang pernah bertransaksi dengan Anda. Canggihnya lagi, nilai Feedback itu juga yang menentukan tingkat kepercayaan seseorang / member lain terhadap Anda.

Sebagai member yang baik, sebaiknya kita jangan sampai mendapatkan nilai Negative Feedback dari siapapun, artinya kita juga harus konsisten dengan tindakan kita di E-Bay. Misalnya dengan mengantarkan barang pesanan bila si pembeli sudah membayar, atau segera membayar bila kita memenangkan bid / lelang yang setiap saat diselenggarakan disana.

Apa itu E-Bay? Sebetulnya E-Bay hanyalah sebuah website yang menyediakan tempat untuk bertransaksi. Jumlah membernya sudah mencapai angka jutaan dari seluruh dunia, artinya Anda bisa bertransaksi dengan mereka semua tergantung dengan apa yang akan Anda tawarkan. E-Bay memiliki banyak aturan, seperi kewajiban menggunakan metode pembayaran melalui Paypal untuk menjamin keamanan dalam bertransaksi.

Jadi ceritanya tu barusan pagi ini aku dapet email dari orang, sebut saja dia bernama LESLIE GAVIN <themeister@live.com>. Tambahkan email tersebut dalam list spammer Anda, dia komplain kenapa kok barang yang dia pesan blom dikirim, trus dia juga bilang kalo udah bayar. Dia tidak menyebutkan nama barang yang dia pesan, hanya sekedar memberikan url yang tertulis menuju ke halaman E-Bay.

Tentu saja aku kaget, ha wong satu-satunya jualanku di E-Bay cuma jasa, bukan njual barang. Pas aku klik linknya dia tidak langsung mengarah ke halaman barang yang dipesan melainkan disuguni form login yang mirip dengan halaman login E-Bay. Padahal sebenernya link tersebut mengarah ke halaman lain, yaitu ke http://oebin.com/v/payd.html. Pas aku cek sepertinya udah ketauan kalo itu web phising.

Nah, seandainya ada orang panik membaca email komplain itu, dan langsung memasukkan username+password di form login jadi-jadian itu, seketika itulah akun E-Bay akan tercuri, atau istilahnya kena hack.

Jadi, misalnya Anda mendapatkan email apapun dari orang, kemudian di isi email tersebut terdapat link menuju ke halaman lain, jangan langsung percaya apalagi trus memasukkan data-data penting disana. Pastikan Anda memastikan bahwa link yang diberikan itu penting, kalo merasa gak penting ya gak usah dibuka. Melindungi diri dari sergapan hacker / cracker itu cukup mudah, yaitu waspada.