Government CA

Seiring dengan majunya implementasi e-Government di banyak negara, ada semakin banyak negara yang mulai mempertimbangkan untuk membuat sendiri Government CA untuk keperluan G-G atau G-C. Government CA bisa berupa lembaga pemerintah, atau lembaga non pemerintah.

Pemerintah Indonesia memiliki keinginan juga untuk membuat sebuah Government CA untuk meningkatkan keamanan informasi transaksi elektronik di pemerintahan. Namun, untuk mewujudkan sebuah Government CA yang baik memang tidak mudah. Satu hal yang sangat penting untuk diperhatikan : Kontrol ultra ketat terhadap proses dan tata laksana dalam menerbitkan sertifikat – satu kesalahan kecil dapat menyebabkan kerusakan permanen yang tidak bisa diperbaiki lagi.

Kasus DigiNotar di Belanda

 

Insiden DigiNotar merupakan CA dari Belanda sangat menarik dipelajari. DigiNotar patuh terhadap semua ketentuan teknis keamanan di atas kertas, dan juga lulus semua proses audit.

Namun praktek tidak semudah teori. Infrastruktur DigiNotar tidak memenuhi beberapa kriteria keamanan. DigiNotar diretas tanggal 10 Juli 2011, seseorang meletakkan sertifikat SSL palsu atas nama .google.com.

Apa yang bisa dilakukan terhadap sertifikat palsu ini ? Salah satunya adalah kita bisa menyamar sebagai Google. Caranya cukup sederhana, dan bisa dilakukan oleh semua ISP, dan semua pengguna ISP tersebut akan terkena imbasnya. Akibatnya semua data rahasia yang tersimpan di dalam Gmail atau Google Docs atau bahkan Google+ semua user ISP ini akan bisa diakses.

Kasus peretasan Diginotar ini menyebabkan lebih dari 300,000 email akun Gmail milik warga negara Iran bocor (karena kebetulan Iran tidak memiliki CA sendiri dan mengandalkan DigiNotar sebagai CA).

Kasus peretasan ini menyebabkan DigiNotar dinyatakan tutup dan bangkrut pada bulan September 2011.

Perancangan Government CA

Perancangan Government CA (atau semua organisasi CA) membutuhkan kerjasama dan pemikiran yang strategis.

Microsoft memiliki program kerjasama Microsoft Root Certificate Program untuk mewujudkan Government CA.

Perancangan Government CA memerlukan 3 hal penting :

1. Ketentuan teknis
2. Tata laksana : misalnya proses auditing yang ketat yang benar-benar dilaksanakan setelah pemeriksaan fisik infrastruktur yang sebenarnya (bukan sekedar cek list sederhana). Hal ini juga sangat tergantung kepada ketersediaan dokumen yang lengkap dan akurat
3. Organisasi/Arsitektur : misalnya arsitektur layanan e- seperti : e-commerce, e-government, dsb. Arsitektur yang baik memungkinkan pemulihan layanan yang cepat jika ada peretasan

Dari kasus DigiNotar, kita mendapatkan pengalaman berharga, di mana ketentuan teknis mudah dipenuhi, namun tata laksana dan arsitektur ternyata sulit dipenuhi di lapangan.

PKI (Public Key Infrastructure) dan Government CA di Indonesia

Di dunia yang serba online seperti sekarang ini, keamanan informasi menjadi suatu hal yang sangat penting. Jika di dunia nyata kita bisa mengetahui identitas orang menggunakan KTP, maka di dunia maya kita mengenal orang/institusi/dokumen/dsb menggunakan kredensial elektronik. Salah satu bentuk kredensial elektronik ini adalah PKI (Public Key Infrastructure).

PKI memastikan kebenaran identitas seseorang, atau keaslian dari suatu dokumen.

PKI bekerja menggunakan sepasang kunci : kunci pribadi, dan kunci publik. Kunci pribadi dipergunakan untuk kita sendiri, dan hanya si pemilik kunci yang mengetahui nomor kunci ini. Sedangkan kunci publik merupakan kunci yang bisa digunakan oleh siapapun juga. Kunci ini hanya bisa dipergunakan untuk membuka suatu dokumen jika digunakan secara berpasangan.

Untuk memastikan bahwa dokumen rahasia tidak pernah mengalami perubahan, maka dokumen asli disandi menggunakan suatu teknik penyandian dan menghasilkan suatu angka yang disebut hash. Di dunia nyata, hash serupa dengan sidik jari yang mewakili dokumen asli dalam bentuk yang sangat kompak. Hash digunakan untuk membuktikan keaslian dari suatu dokumen, karena perubahan sedikit saja dari dokumen asli akan mengubah sidik jari (hash).

Tanda tangan digital memanfaatkan teknik hash dan kunci pribadi untuk menandatangani suatu dokumen digital. Dokuman yang akan ditandatangani harus disandi, kemudian hashnya disandi kembali menggunakan kunci pribadi. Dan orang lain bisa menerima dan membaca dokumen tadi tapi tidak bisa mengubahkan (untuk mengubah membutuhkan kunci pribadi).

PKI merupakan suatu infrastruktur kunci publik yang sangat aman yang dipergunakan untuk menyimpan kunci publik setiap orang. Di dunia nyata, PKI ini seperti kantor kependudukan yang menyimpan seluruh data KTP, hanya saja di dunia maya, maka kantor kependudukan ini disebut sebagai CA (Certificate Authority).

Sama dengan kondisi di dunia nyata, maka KEAMANAN menjadi suatu faktor yang amat sangat penting di dalam CA.

Pemerintah Indonesia berencana untuk membuat Government CA, dan saya rasa ini bisa diwujudkan jika komitmen pemerintah memang sangat kuat. Kita tidak ingin mengulang kasus-kasus seperti yang pernah terjadi di Belanda (kasus DigiNotar) atau Malaysia dimana Government CA diwujudkan tapi tanpa keamanan yang sempurna, justu menyebabkan rusaknya kepercayaan masyarakat kepada pemerintah.

Increase BitTorrent Client with Encryption

OK, jadi ISP anda membatasi atau bahkan memblokir klien BitTorrent anda ? Coba gunakan encryption untuk menyembunyikan trafik torrent anda

 

Contoh yang saya gunakan di sini adalah menggunakan klien Vuze yang bisa diunduh di sini : http://www.vuze.com/download/ 

Langkah-langkah :

• Hidupkan Vuze, kemudian pilih : Tools-Options-Connection
• Ganti incoming TCP listen port 8080 dan UDP listen port 8080

• Pilih Transport Encryption, dan centang require encrypted transport

Nah, selamat sharing konten dengan cepat dan aman

Komputasi Awan dan Segala Aspeknya

Apakah anda memiliki akun Facebook, Yahoo Messenger, Hotmail atau layanan-layanan gratis lain dari Internet ? Jika ya, maka anda sebenarnya sudah menggunakan layanan awan (cloud services/cloud computing services) secara tidak disadari.

Menurut NIST (National Institute of Standards and Technology) sendiri komputasi awan harus memenuhi 5 kriteria di bawah ini :

1. On-demand self-service – setiap orang bisa mendaftarkan dirinya sendiri tanpa bantuan siapapun, dan menikmati layanan sesuai kebutuhan
2. Broad network access – layanan komputasi awan bisa diakses dari manapun, dengan perangkat apapun
3. Resource pooling – semua sumber komputasi dikumpulkan dan dipergunakan bersama-sama
4. Rapid elasticity – setiap kebutuhan bisa dilayani secara elastik tergantung kebutuhan saat itu
5. Measured service – semua layanan bisa diukur (dan ditagih biayanya) sesuai dengan penggunaan aktual

Keunggulan komputasi awan ini adalah efisiensi yang sangat tinggi, apalagi jika menggunakan banyak data center tersebar yang berukuran sangat besar (bisa sampai ratusan ribu server per data center).

Namun demikian, sampai saat ini banyak orang masih meragukan keamanannya.

Benarkah komputasi awan ini aman ?

Nah, sekarang saya kembali bertanya : Apakah perusahaan anda memiliki data center dan menggunakan virtualisasi untuk meningkatkan efisiensi server yang ada diperusahaan ? Jika ya, berarti perusahaan sudah meletakkan dasar untuk komputasi awan.

Jika kita tambahkan aplikasi-aplikasi yang memungkinkan ke 5 sifat dari NIST tadi terpenuhi, maka perusahaan ini bisa disebut sebagai penyedia layanan awan. Kalau perusahaan hanya menggunakannya untuk lingkungan sendiri, maka kita bisa menyebutnya sebagai penyedia layanan awan privat, namun jika perusahaan ini menjual layanan awan untuk publik maka kita bisa menyebutnya sebagai penyedia layanan awan publik.

Aplikasi Komputasi Awan

Layanan awan ini sendiri merupakan trend yang tidak bisa dihindari. Trend ini sangat kuat melanda industri IT ibarat gelombang tsunami. Kita hanya punya dua pilihan, berselancar memanfaatkan energi gelombang, atau malah tenggelam ditelannya.

Patut diingat bahwa komputasi awan bukanlah solusi untuk seluruh masalah IT. Beberapa hal yang patut dipertimbangkan :

	Cocok untuk komputasi awan sekarang	Pertimbangkan dahulu sebelum menggunakan komputasi awan	Tunda dahulu implementasi komputasi awan
Pertimbangan Bisnis	Resiko rendah Tidak terkena dampak aturan Konten dampak rendah	Resiko medium Sedikit terkena dampak aturan Konten berdampak menengah	Resiko tinggi Terkena dampak aturan Konten berdampak tinggi
Pertimbangan Teknis	Tidak antar premis Tidak perlu selalu diawasi Integrasi aplikasi in-house Penyimpanan basis data kecil	Antar premis Perlu diawasi sedikit Integrasi aplikasi in-house Penyimpanan basis data menengah	Antar premis Harus selalu diawasi Integrasi aplikasi paket Penyimpanan basis data besar

Dari tabel di atas terlihat bahwa aplikasi yang paling cocok untuk layanan awan adalah aplikasi yang beresiko rendah, tidak terkena dampak aturan, konten tidak sensitif, berada di satu premis, bisa jalan sendiri tanpa pengawasan, bisa dilakukan pengembangan secara in house, dan memerlukan data yang kecil saja.

Beberapa aplikasi yang cocok dengan kriteria tersebut misalnya adalah :

• Aplikasi kolaborasi (melalui suatu portal)
• Aplikasi email
• Aplikasi komunikasi/chat online
• Aplikasi CRM (Customer Relationship Management)
• Aplikasi meeting virtual/online
• Aplikasi manajemen desktop

Untuk saat sekarang, untuk mendapatkan yang terbaik dari solusi awan dan premis sendiri, maka kita bisa pilih mana aplikasi yang berjalan di awan, mana aplikasi yang berjalan dari data center milik sendiri.

Aspek Keamanan dan Privasi

Aspek-aspek inilah yang paling banyak ditanyakan oleh para peminat layanan awan. Di bawah ini ada beberapa hal yang harus diperhatikan :

1. Manajemen Resiko dan Ketaatan – organisasi yang mulai mengadopsi awan tetap harus bertanggung jawab untuk aspek manajemen keamanan, resiko, dan ketaatan terhadap aturan yang berlaku di industri terkait. Manajemen resiko dan ketaatan ini membutuhkan tim internal yang kuat dan transparansi proses dari penyedia jasa awan.
   Rekomendasi : penyedia jasa awan harus menggunakan beberapa framework atau best practice seperti MOF, atau ITIL, dan memiliki sertifikasi seperti ISO/IEC 27001:2005, dan mempublikasikan laporan audit ke SAS 70 type II. Selain itu juga, disesuaikan dengan ketentuan suatu negara, mungkin juga harus taat terhadap PCI atau FISMA
2. Manajemen Akses dan Identitas – Identitas bisa didapat melalui beberapa penyedia jasa awan, dan harus bersifat interoperabel antar organisasi yang berbeda, penyedia awan yang berbeda, dan berlandaskan proses yang kuat.
   Rekomendasi : Autentikasi yang disarankan adalah menggunakan beberapa faktor sekaligus, seperti biometric, one time password token (seperti token BCA), kartu ID dengan chip, dan password
3. Integritas Layanan – Layanan berbasis awan harus dibangun dengan landasan keamanan yang kuat, dan proses-proses operasionalnya juga harus diintegrasikan dengan manajemen keamanan di organisasi tersebut. Penyedia layanan awan harus mengikuti proses yang bisa dibuktikan, terdefinisi, dan jelas dalam mengintegrasikan keamanan dan privasi ke dalam layanannya mulai dari titik paling awal, di setiap titik di dalam siklus, sampai paling penghabisan. Selain itu manajemen keamanan dan auditing harus selaras antara penyedia awan dan pelanggan.
   Rekomendasi : Gunakan sertifikasi semacam EAL4+ (untuk evaluasi keamanan), SDL (untuk pengembangan aplikasi), ISO/IEC 18044 (untuk incident response)
4. Integritas Klien – Layanan awan yang digunakan di sisi klien harus memperhatikan aspek keamanan, ketaatan, dan integritas di sisi klien. Integritas klien bisa ditingkatkan dengan menggunakan paduan praktek terbaik.
   Rekomendasi : Perkuat sistem desktop, pastikan kesehatan sistem desktop, terapkan IT policy yang tepat, federasi identitas, Network Access Protection dan sebagainya.
5. Proteksi Informasi – Layanan awan membutuhkan proses yang andal untuk melindungi informasi sebelum, selama, dan setelah transaksi. Manfaatkan Klasifikasi Data untuk meningkatkan kontrol terhadap data yang siap dilepas ke awan.
   Rekomendasi : Gunakan teknologi enkripsi dan manajemen hak informasi (IRM) sebelum data dilepas ke awan.

Nah jika anda tertarik untuk menggunakan layanan awan, di bawah ini ada beberapa langkah mudah :

1. Identifikasi kebutuhan bisnis dan carilah solusi awannya. Jangan paksakan untuk menggunakan seluruh aplikasi berjalan di awan, pilihlah sesuai kebutuhan
2. Mulai dari yang sederhana, misalnya gunakan layanan Email berbasis awan, lakukan kustomisasi sehingga layanan Email ini terintegrasi dengan baik dengan aplikasi-aplikasi lain di tempat anda bekerja
3. Buat Portal perusahaan berbasis awan (ini bagian dari aplikasi kolaborasi). Portal ini diintegrasikan dengan layanan-layanan lain dari perusahaan anda
4. Tingkatkan pengetahuan karyawan tentang keamanan, privasi, dan penggunaan layanan awan
5. Jangan lupa faktor interoperabilitas, pastikan sistem operasi dan aplikasi klien juga mendukung penuh aplikasi awan (misalnya format yang identik dan sebagainya)