SECURITY REQUIREMENTS FOR INTERNET BANKING Tugas II Mata Kuliah Keamanan Informasi Lanjut Nama : Wahyu Hermawan Nim : 23512037 CIO Informatika STEI Institut Teknologi Bandung I. Pendahuluan Dalam rangka memberikan transaksi perbankan yang efektif dan aman, ada empat aspek teknologi yang sangat penting. Aspek-aspek itu antara lain: 1. Keamanan Keamanan transaksi nerupakan faktor terpenting dalam Internet berbasis bisnis. Kurangnya keamanan dalam transaski dapat menyebabkan permasalahan serius seperti penipuan. Masalah keamanan terdiri dari beberapa kemungkinan serangan yang mebutuhkan perlindungan ekstra. Contoh-contoh dari potensi bahaya dari sistem perbankan elektronik yang selama ini sering terjadi antara lain transaksi on line, transfer dana on line, dan sebagainya 2. Privasi Privasi adalah bagian dari masalah keamanan, dengan memperkuat teknologi privasi akan menjamin kerahasiaan informasi pribadi pengirim dan lebih meningkatkan keamanan transaksi. Contoh dari informasi pribadi yang berkaitan dengan industri perbankan adalah: jumlah transaksi, tanggal dan waktu transaksi, dan nama merchant dimana transaksi berlangsung. 3. Otentikasi Enkripsi dapat membantu membuat transaksi lebih aman, tetapi enskripsi juga membutuhkan jaminan bahwa tidak ada yang mengubah data di kedua ujung transaksi. Ada dua cara yang mungkin untuk memverifikasi integritas pesan. Salah satu bentuk verifikasi adalah algoritma Hash yang aman dan dapat melindungi data terhadap modifikasi. Pengirim mengirimkan data algoritma Hash yang dihasilkan. Penerima melakukan perhitungan yang sama dan membandingkan untuk memastikan semuanya tiba dengan benar. Jika dua hasil yang berbeda, maka telah terjadi perubahan dalam proses pengiriman pesan. Bentuk lain dari verifikasi adalah melalui pihak ketiga yang disebut Certification Authority (CA) dengan tingkat kepercayaan yang baik antara pengirim dan penerima untuk memverifikasi bahwa uang elektronik atau tanda tangan digital yang mereka terima adalah benar. 4. Divisibility Uang elektronik harus dapat dibagi menjadi beberapa nilai, mirip dengan uang sungguhan. Misalnya, uang elektronik harus dapat dibedakan antara uang kertas dan uang receh.
II. Security Requirements 1. Sistem Keamanan Berbasis Software Dalam sistem keamanan berbasis software, keamanan, coding dan decoding informasi dilakukan dengan menggunakan perangkat lunak khusus untuk keamanan. Penggunaan software ini dengan pertimbangan kemudahan dalam pemasangan dan distribusi melalui jaringan. Software berbasis sistem kemananan lebih berlimpah di pasar. Enkripsi adalah metode utama yang digunakan dalam software berbasis sistem keamanan. Enkripsi adalah proses mengubah informasi sehingga tidak dapat terbaca sampai proses yang sama dilakukan secara terbalik. Secara umum, ada dua jenis enkripsi, yaitu : a. Skema enkripsi konvensional, salah satu kunci digunakan oleh dua pihak untuk mengenkripsi dan mendekripsi informasi. Setelah kunci rahasia yang dimasukkan, informasi tersebut terlihat seperti tumpukan karakter yang teracak. File hanya bisa dilihat setelah didekripsi menggunakan kunci yang sama. b. Skema enkripsi kunci publik. Dalam metode ini, ada dua kunci yang berbeda dan dipegang oleh user, sebuah kunci publik dan sebuah kunci pribadi. Kedua kunci tidak bisa saling ditukar tapi saling melengkapi satu sama lain, dengan kata lain akan berguna ketika mereka berpasangan. Oleh karena itu, kunci publik dapat dibuat oleh public knowledge dan diposting dalam database di suatu tempat. Siapa pun yang ingin mengirim pesan ke orang lain dapat mengenkripsi pesan dengan kunci publik dan pesan yang diterima hanya dapat didekripsi dengan kunci pribadi yang merupakan pelengkapnya. Dengan demikian, tidak ada orang lain kecuali penerima yang diinginkan yang dapat mendekripsi pesan. Kunci pribadi terdapat pada komputer pribadi seseorang dan tidak dapat ditransfer melalui Internet. Ada empat contoh enkripsi, antara lain : Tanda tangan Digital, Secure Electronic Transaction, Pretty Good Privacy, dan Kerberos a. Tanda tangan digital Tanda tangan digital pertama kali diusulkan pada tahun 1976 oleh Whitfield Duffie, di Stanford University. Tanda tangan digital mengubah pesan yang ditandatangani sehingga siapa pun yang membacanya bisa tahu siapa yang mengirimnya. Penggunaan tanda tangan digital menggunakan kunci rahasia (kunci pribadi) yang digunakan untuk menandatangani pesan dan kunci publik untuk memverifikasi mereka. Pesan yang dienkripsi dengan kunci pribadi hanya dapat diverifikasi oleh kunci publik. Dengan demikian tidak mungkin ada orang lain kecuali pengirim yang menandatanganinya, karena ia adalah satu-satunya orang dengan akses ke kunci pribadi yang diperlukan untuk membuat tanda tangan. Selain itu, dimungkinkan untuk menerapkan tanda tangan digital untuk pesan tanpa enkripsi. Hal ini biasanya dilakukan ketika informasi dalam pesan tidak penting. Selain itu, hal ini memungkinkan orang untuk tahu siapa yang menulis pesan. Karena signature berisi informasi yang disebut "hash satu arah", adalah mustahil untuk memalsukan tanda tangan dengan menyalin blok tanda tangan ke pesan lain. Oleh karena itu, dijamin bahwa tanda tangan tersebut adalah asli. b. Secure Electronic Transaction (SET) Secure Electronic Transaction (SET) software system, the global standard for secure card payments on the Internet. SET merupakan sebuah sistem yang berkomitmen untuk mengamankan kartu transaksi online pada bank. Lockhart, CEO MasterCard mengatakan, "... Kami senang untuk bekerja dengan Visa dan semua mitra teknologi untuk berinovasi dengan
SET. Tindakan ini berarti bahwa konsumen akan dapat menggunakan kartu bank mereka untuk melakukan transaksi di dunia maya dengan aman dan mudah. Sistem ini mengadopsi enkripsi kunci publik RSA untuk memastikan kerahasiaan pesan. Selain itu, sistem ini menggunakan sepasang kunci unik publik untuk menciptakan digital signature. Fokus utama dari transaksi tidak hanya untuk menjamin privasi data dalam transaksi, tetapi juga membuktikan keaslian, baik pengirim dan penerima adalah orang-orang menjadi target mereka. Tanda tangan digital digunakan untuk mencapai keaslian. Sebuah tanda tangan digital diproduksi dengan terlebih dahulu menjalankan pesan melalui algoritma hashing untuk mencerna pesan. Selanjutnya, dengan enkripsi menggunakan kunci pribadi, pengirim akan mengidentifikasi pengirim pesan. Ketika menerima pesan, penerima mendekripsi pesan terenkripsi dengan kunci publik pengirim. Ini untuk memastikan bahwa pesan itu sebenarnya dari orang yang tepat. Selain mengidentifikasi pengirim, tanda tangan digital juga memastikan bahwa pesan asli tidak diubah selama pengiriman data. Penerima dapat menggunakan algoritma hashing yang asli untuk mencerna pesan baru setelah mendekripsi pesan. Jika mereka cocok satu sama lain, dapat Pastikan bahwa pesan belum diubah dalam perjalanan. Meskipun enkripsi kunci publik dan tanda tangan digital menjamin kerahasiaan dan keaslian pesan, masih ada potensi bahaya, bahwa pengirim menginformasikan data yang tidak benar. Misalnya, pengirim dapat mengenkripsi nomor kartu bank milik orang lain dengan menggunakan kunci pribadinya sendiri. Untuk memastikan otentikasi yang benar, ada kebutuhan untuk proses sertifikasi, yakni pihak ketiga yang dipercaya oleh pengirim dan penerima. c. Pretty Good Privacy (PGP) Pretty Good Privacy (PGP), diciptakan oleh Philip Zimmermann, pengertiannya adalah cryptosystem hibrida yang menggabungkan kunci algoritma (asimetris) masyarakat, dengan kunci pribadi konvensional (simetris) algoritma untuk memberikan enkripsi penggabungan kecepatan kriptografi konvensional dengan kunci publik kriptografi. Keuntungan dari PGP adalah bahwa PGP tidak memerlukan saluran khusus untuk transmisi kunci enkripsi kepada penerima yang dituju. Selain itu, ia memiliki kemampuan untuk menandatangani pesan dengan mengenkripsinya menggunakan kunci pribadi pengirim yang tidak dapat diganti. Setelah penerima menerima pesan, penerima kemudian dapat mendekripsi pesan dengan kunci publik pengirim yang tidak dapat dipalsukan dan mewakili identitas sebenarnya dari pengirim. d. Kerberos Kerberos merupakan sebuah mitologi dari yunani yaitu pengawas berkepala tiga dan merupakan salah satu security requirements yang terbaik dan dikenal sebagai teknologi enkripsi private-key. Kerberos menciptakan paket data dienkripsi, disebut tiket yang aman mengidentifikasi pengguna. Untuk melakukan transaksi, menghasilkan satu tiket selama serangkaian pengkodean pesan dengan membuat pertukaran menggunakan server Kerberos, yang berada di antara dua sistem komputer. Kedua sistem berbagi kunci pribadi dengan server Kerberos untuk melindungi informasi dari hacker dan untuk menjamin bahwa data belum diubah selama transmisi. Salah satu contoh adalah enkripsi NetCheque yang dikembangkan oleh Institut Ilmu Informasi dari Universitas Southern California. NetCheque menggunakan Kerberos untuk otentikasi tanda tangan pada cek elektronik bagi pengguna internet yang telah terdaftar dengan server akuntansi.
2. Sistem keamanan berbasis hardware Sistem keamanan berbasis hardware menawarkan cara yang lebih aman untuk melindungi informasi, namun, itu kurang portable dan lebih mahal daripada perangkat lunak berbasis sistem keamanan. Sistem berbasis hardware keamanan menciptakan keamanan dengan cara menutup saluran di mana data identifikasi rahasia benar-benar aman dari pengguna yang tidak sah. Ada dua jenis sistem keamanan berbasis hardware kemanan, antara lain: 1. Smartcard Sistem Smartcard System adalah sebuah alat mekanik yang memiliki informasi yang dikodekan pada sebuah chip kecil di kartu dan identifikasi dilakukan dengan algoritma berdasarkan urutan asimetris. Setiap chip pada smartcard merupakan huruf/angka yang unik dan terdaftar ke satu pengguna tertentu, sehingga membuat virus tidak mungkin untuk menembus chip dan mengakses data rahasia. Namun, keterbatasan dalam Smartcard ini adalah sistem mencegah penerimaan yang luas untuk aplikasi utama seperti perbankan rumah atau on-line distribusi. Satu hal yang menarik untuk smartcard ini adalah bahwa smartcard ini tidak dapat menangani sejumlah besar informasi yang perlu diterjemahkan. Selanjutnya, smartcard hanya melindungi identifikasi pribadi pengguna dan tidak menjamin transfer informasi. Misalnya, ketika informasi tersebut disesuaikan kedalam software perbankan, virus bisa menyerang informasi, mengubah tujuan atau konten. Smartcard ini kemudian akan menerima informasi ini diubah dan mengirimkannya, yang akan menciptakan bencana bagi pengguna. Namun demikian, Smartcard adalah salah satu sistem keamanan berbasis hardware yang menawarkan identifikasi rahasia. 2. MeCHIP MeCHIP yang dikembangkan oleh ESD terhubung langsung ke keyboard PC menggunakan koneksi yang telah dipatenkan. Semua informasi yang perlu diamankan dikirim langsung ke MeCHIP tersebut. Kemudian informasi tersebut ditandatangani dan dikirim ke bank dalam bentuk kode aman. Sebuah saluran tertutup yang aman dari klien ke bank merupakan kunci pokok dalam sistem pada hardware ini Semua Informasi yang dikirim dan diterima dicatat dan diverifikasi untuk memastikan bahwa belum terjadi kerusakan data. Jika ada penyimpangan, sesi segera dihentikan. Hardware ini menawarkan solusi keamanan yang diperlukan pada komputer pribadi untuk mentransfer informasi rahasia Disamping beberapa hal diatas, ada beberapa teknologi yang digunakan dalam keamanan pada internet banking, antara lain : 1. Token (sumber : http://www.ilmuhacking.com/web-security/memahami-cara-kerja-tokeninternet-banking/) Penggunaan token berupa alat kecil semacam kalkulator untuk mengamankan transaksi internet banking kini sudah menjadi hal yang wajib. Token ini menjadi faktor tambahan dalam otentikasi yaitu untuk membuktikan bahwa anda adalah benar-benar pengguna yang sah Password yang dikeluarkan token bersifat: Selalu berubah-ubah secara periodic Memiliki umur yang singkat Hanya bisa dipakai 1 kali
Terbagi atas dua jenis, yaitu: a. Password kontekstual yang terikat oleh challenge code dalam mode challenge/response. b. Password bebas konteks yang dihasilkan dalam mode self generated. courtesy of "www.unixwiz.net/techtips/iguide-crypto-hashes.html" 2. E-secure (sumber : http://ibank.bni.co.id) E-secure merupakan suatu alat pengaman tambahan untuk transaksi finansial pada Internet Banking sendiri. e-secure akan menghasilkan PIN yang selalu berganti atau disebut dengan Dynamic PIN setiap kali nasabah/pengguna melakukan transaksi finansial 3. Sistem keamanan standar internasional dengan enkripsi SSL128 bit (sumber: http://ibank.bni.co.id) Semua data yang dikirimkan dari server Internet Banking ke komputer nasabah dan sebaliknya selalu melalui proses enkripsi (acak secara sistem) dengan menggunakan sandi 128-bit yang hanya diketahui oleh komputer nasabah dan server Internet Banking. Dengan demikian, pihak-pihak lain tidak akan dapat mengartikan transmisi data tersebut apabila menerimanya 4. PenggunaanFirewall (Sumber: http://www.ibeimam.com/2012/07/bagaimana-cara-kerjafirewall.html) Firewall menggunakan salah satu atau lebih metode berikut ini untuk mengatur keluar masuk lalu lintas jaringan a. IP Address: Dalam kasus apapun jika alamat IP di luar jaringan dikatakan kurang baik, maka dimungkinkan untuk mengatur filter untuk memblokir semua lalu lintas ke dan dari alamat IP. Misalnya, jika alamat IP tertentu ditemukan akan membuat terlalu banyak koneksi ke server, administrator dapat memutuskan untuk memblokir lalu lintas dari IP ini menggunakan firewall. b. Domain Name: Karena sulit untuk mengingat alamat IP, cara yang lebih mudah untuk mengkonfigurasi firewall dengan menambahkan filter berdasarkan nama domain. Dengan membuat domain filter, perusahaan dapat memutuskan untuk memblokir semua akses ke nama domain tertentu, atau mungkin menyediakan akses hanya untuk daftar nama domain yang dipilih. c. Ports/Protocols: Setiap layanan yang berjalan pada server dibuat tersedia ke Internet menggunakan nomor port, satu untuk setiap layanan. Dengan kata sederhana, port bisa dibandingkan dengan pintu virtual dari server melalui layanan yang tersedia. Sebagai contoh, jika server menjalankan layanan Web (HTTP) maka biasanya tersedia pada port 80. Untuk memanfaatkan layanan ini, klien ingin terhubung ke server melalui port 80. Demikian pula berbagai layanan seperti Telnet (Port 23), FTP (port 21) dan SMTP (port 25) dapat berjalan pada server. Jika layanan ini ditujukan untuk publik, maka biasanya
port akan dibiarkan terbuka. Jika tidak, maka akan diblok menggunakan firewall untuk mencegah penyusup menggunakan port terbuka untuk membuat sambungan. d. Kata khusus atau Frase: Firewall dapat dikonfigurasi untuk menyaring satu atau lebih kata atau frase yang spesifik sehingga, baik paket masuk dan keluar yang dipindai untuk kata-kata yang ada dalam saringan. Misalnya, anda mungkin mengatur settingan firewall untuk menyaring setiap paket yang berisi istilah ofensif atau frase untuk dapat masuk maupun keluar dari jaringan anda.