Autentikasi Identitas Kuliah 3 Computer Security Eko Aribowo Teknik Informatika UAD
Tinjauan Prinsip Autentikasi identitas Password Biometric Autentikasi dgn hardware Tantangan-Jawaban
Autentikasi Mengijinkan suatu entitas (user atau sistem) untuk menunjukan/mengungkap identitasnya pd entitas lain Strong authentication: suatu entitas membuka informasi S untuk R tanpa ijin dari S untuk R (dlm hal ini R adalah sbg verifier/confirmer)
Autentikasi Jika Anis dan Bagus jujur, kemudian Anis harus dapat membuktikan dirinya pd Bagus Bagus tidak dapat menggunakan ulang tanda pengenal Anis (yg sudah diganti), untuk mengelabuhi pihak ketiga (Cahyo) sebagai Anis (transferability) Cahyo tidak dapat menunjukan dirinya sebagai Anis maupun Bagus (impersonation)
Elemen Autentikasi Person/group/code/system: yg di-autentikasi Distinguishing characteristic: tingkat perbedaan entitas yg di-autentikasi Proprietor/system owner/administrator: penanggung jawab sistem Authentication mechanism Access control mechanism: dukungan hak akses mengikuti keberhasilan keberhasilan autentikasi
Basis Identifikasi (Faktor 2 ) Sesuatu yg kita ketahui Password, PIN ATM, nomor kunci Sesuatu yg kita miliki Peralatan fisik: kartu ATM, KTM, Smart card, kunci kamar Sesuatu yg ada pd kita Biometric: mata, tulisan tangan,sidik jari, suara, Keberadaan kita Lokasi : GPS
Alat autentikasi Idealnya, untuk keamanan kombinasi dari hal-hal diatas sebagai verifikasi keamanan Autentikasi yg saat ini marak adalah autentikasi identitas secara real time
Password Digunakan hampir semua sistem yg memberi layanan personal, e-mail, ATM, KRS online, Web hosting dll Penanggung jawab sistem / Admin hanya bertanggung jawab pd sekuriti tingkat aplikasi Pengamanan eksternal tanggung jawab personal
Penangan Password Eksternal Jangan diberi-tahukan pd orang lain Jangan dituliskan Jangan menggunakan tgl lahir (kita maupun pacar), no rumah, no tlp, tgl lhr Disarankan diganti secara priodik-dynamic exchange Jika sistem memungkinkan, karakter minimal 8
Penanganan password Pd Sistem Biasanya menggunakan metode tertentu Untuk setiap user, penyimpan sistem (user name, enkripsi(password)), dimana enkripsi adalah fungsi konversi dari password ke ciphertext password (misal., RC6) dan disimpan dalam file Enkripsi(password) sebaiknya mudah dikomputasikan Ciphertext password seharusnya sulit dikomputasikan / dihitung secara komputasi Password tidak disimpan dalam sistem Ketika user meng-input-kan password, sistem langsung meng-enkripsi-kan ke ciphertext;
Serangan pd Password Guessing attack / dictionary attack / Speculation Social Engineering Sniffing Trojan login
Serangan Spekulasi Menggunakan data personality seseorang untuk mengingat / mengungkap passwordnya Trial-and-error Kemudahan mendeteksi (kesalahan login) Perlu mengaudit/ meninjau mekanisme
Social Engineering Attacker asks for password by masquerading as somebody else (not necessarily an authenticated user) May be difficult to detect Protection against social engineering: strict security policy and users education
Biometrics Fingerprint Retina scan Voice pattern Signature
Biometrics Ukuran/acuan karakteristik bawaan Sesuatu yg ada pada kita, sulit untuk ditirukan (impersonate) Dapat secara fisik : Fingerprints / sidik jari Retinal / Iris scanning /pembacaan selaput mata Face recognition / Pengenalan wajah Hand geometry recognition / Pola garis tangan Perilaku Voice recognition / Pola suara Handwriting/signature recognition / Pola tanda tangan / tulisan tangan
Permasalahan Biometric Mahal Retina scan (min. cost) $ 2,200 Voice (min. cost) $ 1,500 Signature Rec. (min. cost) $ 1,000 Perlu kepekaan baca / ketelitian tingggi Retina scan 1/10,000,000+ Signature Rec. 1/50 Fingerprint 1/500 Sulit / tidak dapat dimodifikasi ketika diinginkan
Proses autentikasi biometric Biasanya menggunakan pendekatan pattern recognition Suatu profile dibuat untuk seseorang dgn benar Pencocokan nilai dihitung pd setiap usaha autentikasi