Antisipasi Cybercrime Dalam Bidang Keuangan

  Antisipasi Cybercrime Dalam Bidang Keuangan Avinanta Tarigan

  Pusat Studi Keamanan Sistem Informasi Universitas Gunadarma Seminar Nasional AAMAI

  1

  2

  3

  4

  5

  6

  1

  2

  3

  4

  5

  6

  Dulu Sekarang

  CSI’s Computer Security Survey (2008)

  1

  2

  3

  4

  5

  6

  _{(Keadaan) State Access (Cracked)} * Unauthorized _{Vulnerability (Kelemahan) * Unauthenticated Sites Sniffed} * Sensible Information _{* Password Stolen Attacker who attacks} Security Violation (Pelanggaran) _{Transition State}

  

Keadaan-keadaan Sistem dalam konteks keamanan

_{1 2} Aman ₃ Tidak Aman (terjadi pelanggaran keamanan) Berbahaya (hazard - dapat masuk ke dalam keadaan Tidak Aman )

  Keadaan Berbahaya → Kelemahan sistem ( Vulnerability ) Tujuan Kemanan Sistem Informasi:

  agar sistem selalu dalam keadaan Aman dan tidak akan

  pernah dalam keadaan berbahaya atau bahkan sampai terjadi insiden / pelanggaran keamanan Langkah2 Keamanan Sistem :

  Prevention: mencegah agar sistem tidak sampai ke dalam

  keadaan bahaya

  Detection: mendeteksi terjadinya pelanggaran keamanan Revocery : memulihkan sistem jika terlanjur terjadi

  pelanggaran keamanan

  

Dasar: definisi keadaan Aman dan Tidak Aman

Mendefinisikan juga kebijakan2 dan prosedur2 untuk mencapai tujuan sistem keamanan Perbedaan konteks dan cakupan organisasi, contoh:

  Sebuah UKM mengharuskan penggunaan sistem operasi Linux untuk melindungi data dari virus Bank Federal mengharuskan pemakaian tanda-tangan-digital untuk semua transaksi elektronik di negara tersebut Sebuah negara mendefinisikan penyebaran konten anti-pemerintah melalui media elektronik sebagai Cybercrime Kebijakan keamanan dapat juga tidak membatasi “Sistem” hanya pada sistem komputer yang terimplementasi dalam suatu institusi, misalnya

  Bank A mendefinisikan bahwa PC yang digunakan nasabah internet banking masuk ke dalam sistem, oleh karena itu Bank A mensyaratkan semua PC nasabah harus bebas virus / trojan horse / keylogger Bank B mendefinisikan Website Phising dan Online-Scam sebagai ancaman terhadap reputasi, oleh karena itu perlu dilakukan edukasi terhadap pihak yang berkepentingan Pelanggaran Keamanan: eksploitasi kelemahan dalam sistem oleh penyerang (attacker) Serangan:

  serangan fisik mencuri data penting di flashdisk, memutuskan aliran listrik, anti-tampering-proof serangan sintatik SQL injection, buffer-overflow, man-in-the-middle (MTM)

  Kesalahan Algoritma ( Software / Programmable Hardware ) Kesalahan Operasi / Prosedur ( Manusia )

  serangan semantik social engineering, site phising

  Bias persepsi / komunikasi Kurangnya Edukasi Tujuan serangan tidak hanya ditujukan pada sistem komputer:

  Menjatuhkan Reputasi deface, email spoofing, domain Penipuan website phising, online-scams lewat SPAM Pelanggaran hak atas kekayaan intelektual pembajakan film dijital, digital plagiarism Pelanggaran privasi hidden cam, penyadapan email

  Cybercrime lebih luas daripada Serangan dan mengacu kepada Cyberthreat

  penggunaan chatting untuk menjerat korban dalam kejahatan seksual penggunaan email/blog untuk fitnah

  1

  2

  3

  4

  5

  6

  Transaksi elektronik: setiap perubahan yang signifikan dalam sistem berbasikan komputer

  login dan logout, menghapus file, menambah file transfer elektronik antar rekening pembayaran dengan kartu kredit

  Akuntabilitas elektronik: sistem mendukung pertanggungjawaban terhadap setiap transaksi elektronik Untuk itu diperlukan:

  Autentikasi (Authentication) pihak yang berkomunikasi dapat mengidentifikasi dan membuktikan keaslian identitas Otorisasi (authorization) sistem dapat menyaring transaksi yang “fahih” berdasarkan kebijakan keamanan dan hasil autentikasi Selain itu, juga dibutuhkan:

  Integritas (Integrity) sistem dapat mengetahui atau mencegah modifikasi oleh yang tidak berhak Kerahasiaan (Secrecy / Confidentiality) sistem melindungi informasi agar tidak jatuh atau diketahui oleh yang tidak berhak

  Beberapa juga mementingkan:

  Non-Repudiation sistem memungkinkan pelaku transaksi tidak dapat mengelak dari perbuatannya

  

Dukungan sistem terhadap akuntabilitas elektronik

memudahkan pembuktian hukum dan proses komputer forensik

  

Hal yang mendasar dan harus ada dalam sistem

keamanan untuk membuktikan keaslian identitas pihak yang terlibat dalam transaksi elektronik Beberapa tingkat autentikasi: _{1 2} Username & Password ₃ One-time-pad Password

  Shared-Key Cryptography (misalnya: Pretty-Good-Privacy ₄ [PGP]) Public-Key Cryptography dalam framework Public Key ₅ Infrastructure (PKI)

  Penggunaan SmartCard / Secure-Token untuk menyimpan ₆ dan melindungi Key Penggunaan Biometric Sistem untuk identifikasi atau mengaktifkan Smartcard

  PKI dan TTDD merupakan implementasi Kriptografi untuk solusi:

  Autentikasi Kerahasiaan dan integritas data Non-Repudiation

  

Implementasi TTDD dalam protokol keamanan:

  SSL (Secure Socket Layer) / TLS dan turunannya mis: HTTPS, SSH, SMTPS, IMAPS, POP3S, dll

  XML-Sig: Keamanan Interoperabilitas Data Mengapa masih terjadi pelanggaran keamanan meskipun Kriptografi digunakan ?

  Schneier: A Chain of Trust is only strong as the weakest link Anderson: Vulnerabilities raise between two protected technologies Shamir: Cryptography is not broken, it is circumvented Needham & Lampson: If you think that cryptography is the answer to your problem then you don’t understand cryptography and you don’t understand your problem.

  Kriptografi 6= Keamanan Informasi Tetapi implementasi Kriptografi dalam Keamanan Informasi sangat signifikan

  Perilaku sistem komputer berdasar pada:

  Algoritma (Perangkat Lunak / Program / Software) Perintah Pengguna (user input, user decision)

  Penyerang memanfaakan kelemahan (vulnerabilty) akibat BUGS pada program / perangkat lunak:

  SQL Injection Buffer Overflow (Stack Smashing)

  Langkah-langkah penyerangan

  Penyerang terlebih dahulu harus mengetahui kelemahan program Penyerang mengirimkan input string yang panjang berisi kode “nakal”

  String yang panjang “membanjiri” memori (buffer), sehingga “luapan” string mengisi memory tempat perintah seharusnya berada Kode “nakal” dieksekusi oleh sistem

  Bagaimana mengatasinya ? Tidak ada solusi tunggal !

  Programmer: memeriksa user input / bound checking OpenSource: Kolaborasi antara programmer, user, & peer-review (Security by Obscurity) Software Project Manager: Secure Programming Best Practice Computer Scientist: Hardening Language / Compiler Anda tergantung dengan vendor ?:

  Kontrak kerjasama / pengkinian / maintenance keamanan Selalu update terhadap perkembangan dan melakukan patching berkala Eling & Waspodo (Stay Alert) Transaksi elektronik membutuhkan sistem perangkat keras dalam autentikasi dan otorisasi Contoh:

  Magnetic Card & Smartcard ATM System EDC (Electronic Data Capture) + PIN-PAD

  

Sebagian besar dilengkapi dengan anti-Tampering:

  Mekanisme yang dapat mendeteksi “kenakalan / keisengan” terhadap alat tsb dan (jika lebih canggih) memusnahkan informasi sensitif yang dikandung alat tsb

  Problem:

  Kelemahan pada anti-tampering Kelemahan pada pengguna sistem

  “Kenakalan” Thd Anti-Tampering

  Menakali User (ATM Skimming) Bagaimana cara mengatasinya ?

  Hardware Designer: verifikasi desain & peer-reviews Service Provider: evaluasi & re-evaluasi Regulator: sertifikasi & audit secara berkala Pengguna: (lagi-lagi) edukasi + Eling & Waspodo Komunitas: incident response team & publikasi

  1

  2

  3

  4

  5

  6

  Memanfaatkan kelemahan pengguna Mengapa Phising terjadi ?

  Kelemahan TCP/IP (IP Spoofing, Mystipo Attack, Email Scam) Kurangnya pengetahuan pengguna terhadap konsep keamanan informasi Problem User-Interface: kesulitan dalam melakukan verifikasi

  [Damija et.al.] :

  Kurangnya pengetahuan tentang sekuriti indikator dan implikasinya Tipuan visual dari website yang meyakinkan Pengguna tidak tahu jika sekuriti indikator muncul Pengguna tidak bisa membedakan sekuriti indikator browser dan sekuriti indikator “nakal” dari website

  Indikator Keamanan

  Keadaan Kritis Membatasi opsi keputusan pengguna .vs. kenyamanan Edukasi terhadap pengguna (suatu keharusan) Pemanfaatan penuh PKI, Digital Signature, dan SSL (tidak mudah & murah):

  Two Factors authentication Memerlukan :

  Smartcard-Crypto System Sistem national-ID & CA yang terpercaya Regulasi

  Sekali lagi: tidak ada solusi tunggal

  Dynamic Security Skins [Damija et.al., 2005]

  Browser & Server agree on a key (cryptographic protocol) Key → Image Image tsb digunakan sbg skin browser + web-element Pengguna melakukan verifikasi dg pencocokan antara skin browser & web-elements

  1

  2

  3

  4

  5

  6

  Untuk melakukan analisis terhadap keamanan sebuah sistem diperlukan pisau analisis yang bekerja pada domain masing-masing Analisis Serangan ke dalam suatu Sistem : Contoh: Attack Tree [Schneier] Analisis Protokol Keamanan : Contoh: Formal Methods (Spi Calculus, BAN Logic, etc) Analisis Insiden Keamanan : Why-Because-Analysis [Ladkin et.al.]

  _{assumption to use .com is a must rather than mistyping probability less in considering Someone intention 1.3.1 the using of Internet the impersonations of Banking Internet Banking site 1.3 misinterpretation of lack of naming regulation 1.1.3}

_{unexpected user action}

_{Mistypo incident and}

_{its consequences}

_{1.1.1 user overconfidence,}

_1.1

  

1

_{1.1.2 1.2.1 1.2 1.2.2 hype of .com as cultural problem in insuficient symbol lack of a brand image understanding instruction to represent threat user awareness 1.3.1.1 local domain the risk language problem marketing hype 1.1.3.2} user interface information in domain name registration _{1.1.3.3 1.1.3.1 1.1.2.1 lack of user education 1.1.2.2.1 1.1.2.2 time to market pressure inadequate ebanking regulation 1.1.2.2.1.1.3 1.1.2.2.1.1.2 insufficient preparation in Bank’s management & registration process lack of awareness 1.1.2.2.1.1.1} 1.1.2.2.1.1 _{1.1.2.2.1.1.2.1} lack of regulator awareness

  1

  2

  3

  4

  5

  6

  Dimensi keamanan komputer / informasi tidak dibatasi hanya pada teknologi Luas dan dalamnya kebijakan keamanan menentukan gerak dan proses keamanan sebuah sistem Membangun sistem dengan kemampuan akuntabilitas elektronik tidak mudah Tidak ada “single solution” dalam mengatasi keamanan sistem informasi Kesadaran dan pengetahuan akan keamanan informasi sangat penting bagi semua pihak Memerlukan kerjasama semua pihak yang berkepentingan terutama dalam Security Information Sharing

  TERIMAKASIH Materi ini dapat diunduh dari: http://avinanta.staff.gunadarma.ac.id