BAB III ANALISA DAN PERANCANGAN

Transkripsi

1 BAB III ANALISA DAN PERANCANGAN Jaringan wireless memiliki lebih banyak kelemahan dibanding dengan jaringan kabel. Meskipun begitu, perkembangan teknologi wireless sangat signifikan sejalan dengan kebutuhan sistem informasi yang mobile. Keamanan marupakan salah satu hal terpenting yang harus diperhatikan dalam membangun jaringan wireless. Tetapi terkadang kita tidak memperhatikannya dan tidak menyadari bahwa banyak sekali orang disekitar kita menghabiskan waktu berusaha untuk mencuri data. Jaringan wireless yang bersifat broadcast membutuhkan mekanisme keamanan memadai dan sebanding dengan tingkat sensitifitas data yang harus dilindungi. Hal ini menjadikan jaringan wireless sangat rentan dan lemah terhadap segala macam usaha pencurian data Pengujian Keamanan Wireless Dalam pengujian ini, penulis mencoba menguji keamanan pada wireless yang belum menggunakan standar keamanan 802.1x dan sertifikat digital pada proses otentikasi. Lingkungan pengujian dilakukan pada perkantoran untuk mengetahui keamanan pada jaringan wireless yang telah tersedia dan penulis sendiri belum mengetahui password untuk menggunakan wireless tersebut. Pada pengujian ini, wireless pada perkantoran yang penulis lakukan pengujian menggunakan metode security WPA2, dimana metode tersebut digunakan pada wifi secara umum. Adapun desain jaringan wireless pada perkantoran yang penulis uji adalah seperti pada Gambar 3.1, dimana para pengguna dapat tersambung dengan jaringan wireless hanya dengan menggunakan password untuk otentikasi tanpa adanya sertifikat digital. 25

2 26 Gambar 3.1 Desain jaringan sebelum menggunakan standar IEEE802.1x Skenario Pengujian Keamanan Untuk mencapai tujuan pengujian keamanan pada wireless, penulis melakukan pengujian keamanan yang dapat di ilustrasikan dalam bentuk diagram seperti dibawah ini (Gambar 3.2): 1. Mulai tahap melakukan pengujian keamanan pada wireless. 2. Melakukan scanning pada AP target untuk mengetahui bssid dan channel. 3. Capture data otentikasi antara client dan AP target. 4. Jika data belum belum sesuai kebutuhan maka lakukan scanning ulang pada AP target, jika data sudah sesuai kebutuhan maka dilanjutkan pada proses dekripsi. 5. Melakukan dekripsi dari hasil capture untuk mengetahui password. 6. Jika password tidak diketahui maka proses pengujian selesai, namun jika password diketahui maka dilajutkan pada proses percobaan melakukan koneksi pada AP target. 7. Melakukan koneksi pada AP target

3 27 8. Jika koneksi berhasil maka proses selesai, jika koneksi tidak berhasi maka dilanjutkan pada proses perubahan mac address pada client penyerang. 9. Melakukan perubahan mac address 10. Melakukan koneksi ulang pada AP target 11. Jika tidak koneksi berhasil maka proses selesai, dan jika konekasi tidak berhasil setelah melakukan penggantian mac address pada client penyerang maka proses selesai atau dihentikan. Gambar 3.2 Diagram skenario pengujian keamanan WPA/WPA2 Cracking WPA Cracking dilakukan untuk mengetahui password dengan cara merekam data pada saat proses otentikasi yang kemudian di dekripsi (Gambar 3.3). Dalam pengujian ini penulis menggunakan operasi sistem kali-linux dan juga tools airmon-ng, airodump-ng, aircrack-ng. Metode yang digunakan untuk melakukan dekripsi pada pengujian ini adalah bruteforce dan library password attack.

4 28 Gambar 3.3 Skenario pengujian WPA/WPA2 Cracking Berikut beberapa tahapan yang penulis lakukan untuk pengujian keamanan pada wireless: 1. Konfigurasi pada wlan sebagai monitor yang akan digunakan sebagai monitoring proses otentikasi dengan menggunakan aplikasi airmon-ng tanpa harus melakukan koneksi terlebih dahulu pada AP target. Gambar 3.4 Konfigurasi Card Wireless sebagai monitoring

5 29 2. Melakukan scanning untuk mengetahui access point yang akan dijadikan target untuk perekaman data pada saat proses otentikasi, dimana yang diperlukan dalam penggunaan perekaman data proses otentikasi adalah bssid dan channel. Gambar 3.5 Scan Access Point 3. Perekaman data proses otentikasi atau capture dapat menggunakan aplikasi airodump-ng dengan menyertakan channel dan bssid target yang akan di rekam. Gambar 3.6 Capture data dengan airodump-ng

6 30 4. Setelah perekaman data sudah sesuai yang dibutuhkan, maka proses selanjutnya adalah dekripsi dengan menggunakan aplikasi aircrack-ng dan disertakan library password yang berisikan kumpulan-kumpulan password atau bisa juga dengan hasil generate huruf. Gambar 3.7 Dekrip data capture Mac Address Spoofing Metode penyerangan ini adalah dengan cara merubah informasi mac address pada client penyerang dengan menggunakan mac address yang sudah terdaftar pada AP target dengan maksud untuk bisa melakukan konekasi pada AP target (Gambar 3.8). Diasumsikan penulis telah mengetahui mac address pengguna sah yang mempunyai hak akses dari proses capture data yang telah dilakukan sebelumnya. Dalam melakukan pengujian ini, penulis menggunakan operasi sistem kali-linux dan tool macchanger untuk melakukan perubahan atau memalsukan mac address seperti pada Gambar 3.9.

7 31 Gambar 3.8 Skenario pengujian Mac Address Spoofing Gambar 3.9 Memalsukan mac address 3.2. Perancangan Jaringan Wireless dengan Standar IEEE802.1x Dari hasil pengujian pada sub bab sebelumnya, dimana adanya celah pada proses otentikasi yang dapat di pecahkan dengan mendekripsi hasil rekam data proses otentikasi dapat mengakibatkan pengguna yang tidak sah bisa mengakses wireless dengan memanfaatkan celah tersebut. Pada perancangan ini, penulis membuat desain jaringan dengan standar IEEE208.1x dan otentikasi menggunakan sertifikat digital. Hal ini dikarenakan banyaknya celah pada jaringan dengan standar dimana yang masih menggunakan enkripsi yang lemah seperti RC4 dan otentikasi tanpa sertifikat digital. Pada setiap celah yang terdapat pada jaringan wireless dapat

8 32 mengakibatkan beberapa serangan yang sudah di jelaskan pada bab sebelumnya, dan berdampak pada kerugian pada sebuah individu maupun perusahaan yang terkena serangan. Berikut desain jaringan yang penulis buat yang mengacu pada standar IEEE802.1x (Gambar 3.10): Gambar 3.10 Desain jaringan dengan standar IEEE802.1x 1. Access Point yang berfungsi sebagai otentikator dikonfigurasi menggunakan metode otentikasi WPA2-Enterprise. 2. Switch berfungsi sebagai penghubung antara AP, Intranet, dan Server RADIUS. 3. Intranet adalah jaringan internal yang terdapat pada sebuah sistem jaringan LAN. Intranet biasanya tersambung dengan server-server atau perangkat yang mendukung sistem jaringan LAN dan juga internet. 4. Server RADIUS adalah server otentikasi yang mendukung standar IEEE802.1x dengan konfigurasi otentikasi EAP-TLS, dimana yang mengharuskan pada proses otentikasi menggunakan sertifikat digital Dalam perancangan dan uji coba ini, spesifiksi untuk kebutuhan perangkat keras dan perangkat lunak yang yang dibutuhkan adalah sebagai berikut:

9 33 a. Satu buah komputer dengan minimal spesifikasi sebagai berikut: Harddisk : 3GB Processor : Dual Core Interface : 1 Ethernet Memory : 1024MB b. Switchhub c. Access Point yang mendukung WPA2-Enterprise d. Sistem operasi Debian e. FreeRadius f. Open SSL Access Point Pada uji coba ini, penulis menggunakan access point D-Link DIR-825 dengan konfigurasi sebagai berikut (Gambar 3.11). Gambar 3.11 Konfigurasi Acces Point

10 Server RADIUS Server RADIUS pada uji coba ini menggunakan aplikasi FreeRadius yang di pasang dalam sistem operasi Linux Debian 7. Berikut instalasi dan konfigurasi server radius: Konfigurasi IP Address pada server dengan menggunakan perintah nano etc/network/interface seperti terlihat pada Gambar Gambar 3.12 Konfigurasi ip address Instalasi FreeRadius seperti terlihat pada Skrip 3.1 berikut ini: apt-get install freeradius Skrip 3.1 Instalasi FreeRadius Konfigurasi pada file /etc/freeradius/clients.conf adalah untuk membuat koneksi antar server RADIUS dan Access Point dimana terdapat seperti terlihat pada Skrip 3.2 dengan alamat IP dan juga password yang digunakan antar koneksi. client /24 { secret = password shortname = AP1 } Skrip 3.2 Konfigurasi koneksi untuk Access Point

11 35 Pada file /etc/freeradius/radiusd.conf terdapat konfigurasi otentikasi dengan menggunakan metode EAP seperti pada Skrip 3.3. authorize { # eap } authenticate { # Allow EAP authentication. eap } Skrip 3.3 Konfigurasi autentikasi EAP Pada file /etc/freeradius/eap.conf terdapat konfigurasi TLS, dimana yng mengharuskan adanya sertifikat digital untuk proses otentikasi. tls { # The private key password private_key_password = 1qaz2wsx # The private key private_key_file = ${raddbdir}/certs/server.key # Certificate key certificate_file = ${raddbdir}/certs/server.crt # Trusted Root CA list CA_file = ${raddbdir}/certs/ca.crt dh_file = ${raddbdir}/certs/dh random_file = /dev/urandom } Skrip 3.4 Konfigurasi TLS Konfigurasi akses pengguna berupa username dan password pada file /etc/freeradius/users seperti pada Skrip 3.5. "user" Cleartext-Password := "Password-User" Skrip 3.5 Konfigurasi user password

12 Sertifikat Digital Sertifikat digital diperlukan untuk pengamanan pada proses otentikasi. Untuk melakukan generate sertifikat digital memerlukan aplikasi OpenSSL, dimana yang biasanya sudah ada pada sistem operasi berbasis linux. a. Self-Signed CA Certificate Sertifikat ini digunakan sebagai pihak yang menandatangani dan memvalidasi setiap sertifikat yang dikeluarkan, baik sertifikat diperuntukkan server maupun client. openssl genrsa -aes out ca.key Skrip 3.6 Generate ca.key openssl req -new -key ca.key -out ca.csr Skrip 3.7 Generate ca.csr openssl x509 -days 365 -signkey ca.key -in ca.csr -req -out ca.crt Skrip 3.8 Generate ca.crt b. Server Certificate Sertifikat ini di gunakan pada server, dimana yaang berfungsi untuk proses ontentikasi dengan client. openssl genrsa -aes out server.key Skrip 3.9 Generate server.key openssl req -new -key server.key -out server.csr Skrip 3.10 Generate server.csr openssl x509 -days 365 -CA ca.crt -CAkey ca.key -in server.csr -req -out server.crt Skrip 3.11 Generate server.crt

13 37 c. Client Certificate Sertifikat ini digunakan pada client yang berfungsi sebagai kunci dan enkripsi pada proses otentikasi dengan server. Sertifikat yang diperuntukkan client dapat diberikan satu sertifikat digital untuk digunakan oleh semua client ataupun setiap client menggunakan sertifikat digital yang berbeda. openssl genrsa -aes out client.pem Skrip 3.12 Generate client.key openssl req -new -key client.pem -out client.csr Skrip 3.13 Generate client.csr openssl x509 -days 365 -CA ca.crt -CAkey ca.key -in client.csr -req -out client.crt Skrip 3.14 Generate client.crt openssl pkcs12 -export -in client.crt -inkey client.key -out client.p12 Skrip 3.15 Generate client.p Analisa Proses Setelah melakukan perancangan dan desain dengan standar IEEE802.1x pada jaringan wireles yang sudah di kemukakan pada sub bab sebelumnya, proses dapat dijabarkan seperti diagram pada Gambar 3.13: 1. Client melakukan koneksi terhadap access point. 2. Access point mengirim pesan pada client berupa EAP-Request. 3. Client menerima pesan EAP-Request dari access point lalu merespon ke server otentikasi yang diteruskan oleh access point dengan pesan Response. 4. Server merespon dengan mengirim pesan Access-Challenge. 5. Client kemudian mengirim EAP-Response TLS client pada server otentikasi. 6. Server otentikasi mengirim EAP-Request sertifikat TLS pada client.

14 38 7. Client akan memvalidasi sertifikat server, jika sertifikat tidak valid maka proses gagal dan jika sertifikat valid maka proses dilanjutkan. 8. Client mengirim EAP-Response sertifikat TLS pada server. 9. Server akan memvalidasi sertifikat client, jika tidak valid maka proses gagal dan jika sertifikat valid maka proses dilanjutkan. 10. Server otentikasi mengirim pesan EAP-Response TLS selesai. 11. Server mengirim pesan EAP-Success pada access point. 12. Access point membuka port untuk semua trafik. 13. Client akan mendapatkan DHCP ip dan menggunakannya. 14. Otentikasi sukses dan jalur komunikasi bisa digunakan. Gambar 3.13 Diagram Proses otentikasi 802.1x

15 Analisa Pada WPA, WPA2, 802.1x Teknik enkripsi Temporal Key Integrity Protocol (TKIP) dan algoritma Rivest Code 4 (RC4) yang masih digunakan pada WPA sangat rendah tingkat keamanan pada kunci ini jika dibandingkan dengan WPA2. RC4 stream cipher digunakan dengan kunci 128-bit per paket, secara dinamis menghasilkan kunci baru untuk setiap paket. Metode enkripsi RC4 sendiri pertama kali di eksploitasi pada tahun 2001 menggunakan Initialization Vector (IV) yang ada pada RC4 stream chiper dan serangan ini dikenal dengan FMS (Fluhrer-Mantin-Shamir). Pada saat ini algoritma RC4 sudah dianjurkan untuk tidak digunakan lagi oleh para ahli cryptoanalys. Otentikasi dalam mode WPA2 dengan protokol CTR mode with CBC-MAC Protocol (CCMP) dan algoritma Advanced Encryption Standard (AES), yang dilakukan antara client dan AP menghasilkan Pre-Shared Key (PSK) 256-bit dari passphrase plain-text (8-63 karakter). PSK dalam hubungannya dengan Service Set Identifier (SSID) dan panjang SSID membentuk dasar matematika untuk Pair-wise Master Key (PMK) yang akan digunakan nanti dalam pembuatan kunci. WPA/WPA2 Enterprise menggunakan metode 802.1x dengan protokol EAP dan algoritma yang sama dengan WPA/WPA2. Pada mode Enterprise, untuk melakukan otentikasi harus menggunakan mesin tambahan sebagai server otentikasi. Berikut tabel dibawah ini merupakan perbandingan teknik otentikasi pada WPA, WPA2, WPA/WPA2 Enterprise: Mode WPA WPA x Protokol TKIP CCMP EAP Kunci 128 bit 256 bit 256 bit Otentikasi PSK PSK Server Chiper RC4 AES AES Certificate No No Yes / No Tabel 3.1 Perbandingan teknik otentikasi

16 40 Dari perbandingan pada tabel diatas, dapat disimpulkan bahwa teknik yang paling aman dari ketiga metode tersebut adalah menggunakan mode enterprise. Pada mode enterprise metode otentikasi yang digunakan lebih baik dari WPA/WPA2, karena menggunakan server otentikasi yang bisa ditambahkan sertifikat digital dalam proses otentikasi. Secara algoritma sendiri enterprise dan WPA2 lebih baik daripada WPA, karena algoritma pada WPA yang masih menggunakan RC4 yang sudah dianjurkan oleh cryptoanalys untuk tidak diterapkan atau digunakan.