Tony Seno's Weblog

Monday, January 16, 2012

Lindungi Dokumen anda dengan IRM (Information Rights Management)

IRM atau Information Rights Manajemen (Manajemen Hak Informasi) adalah teknologi Microsoft untuk membatasi hanya orang yang berhak bisa mengakses file-file yang ditunjuk dan melakukan kegiatan yang sudah ditentukan sebelumnya, seperti mencetak, mengirimkan ke orang lain, atau mengkopi file tersebut. Hak akses ini diberikan oleh si penulis file tersebut. Hak akses ini menempel pada file atau pada email.

Pembatasan hak akses ini berguna untuk mencegah kebocoran informasi sensitif/rahasia kepada orang yang tidak berhak.

IRM berguna untuk :

Mencegah penerima dokumen untuk menyebarkan ke orang lain (dalam bentuk digital), mengkopi, mengubah isi, mencetak, mengirim dalam bentuk fax, atau copas (copy-paste)
Mencegah copas melalui print screen
Melindungi dokumen, meskipun dokumen ini sudah lepas ke Internet
Memberikan tanggal kedaluwarsa untuk dokumen, sehingga dokumen tersebut tidak lagi bisa dibaca setelah waktu ini terlewati
Mengatur penyebaran dokumen di dalam suatu perusahaan

IRM tidak bisa melakukan perlindungan terhadap :

Pencurian konten melalui aplikasi 3rd party yang tidak menghormati IRM
Pencurian konten melalui trojan, keystoke logger, spyware, dsb
Kehilangan konten karena virus
Konten yang dikopi melalui kamera

Meskipun demikian, jika ada pencurian konten maka kita sudah tahu bahwa si pencuri memang benar-benar punya niat melanggar, dan oleh karenanya bisa dikenakan sanksi oleh perusahaan sesuai dengan undang-undang yang berlaku.

IRM sangat mudah digunakan jika anda menggunakan Microsoft Office. Di bawah ini contoh penggunaan IRM melalui Microsoft Office 2010 :

Jika kita selesai menulis dokumen, maka kita bisa klik File –> Info –> Permission –> Restrict Permission by People –> Restricted Access :

Nah melalui menu ini kita bisa memilih siapa saja yang boleh membaca atau mengubah dokumen ini.

Setelah itu dokumen bisa di save menggunakan default extension .DOCX atau .XPS. .DOCX (merupakan standar dokumen terbuka ISO 29500) biasanya untuk dokumen yang bisa diubah-ubah, sementara XPS (format standar ECMA) diperuntukkan untuk dokumen yang tidak bisa diubah-ubah lagi.

IRM dengan Windows Live ID

IRM membutuhkan RMS server yang terpasang di organisasi anda. Jika kita tidak memiliki RMS server, kita juga bisa menggunakan Windows Live ID untuk menandai siapa saja user yang berhak atas dokumen kita. Untuk mendapatkan Windows Live ID dengan gratis, silahkan mendaftar sendiri ke http://live.com .

Government CA

Seiring dengan majunya implementasi e-Government di banyak negara, ada semakin banyak negara yang mulai mempertimbangkan untuk membuat sendiri Government CA untuk keperluan G-G atau G-C. Government CA bisa berupa lembaga pemerintah, atau lembaga non pemerintah.

Pemerintah Indonesia memiliki keinginan juga untuk membuat sebuah Government CA untuk meningkatkan keamanan informasi transaksi elektronik di pemerintahan. Namun, untuk mewujudkan sebuah Government CA yang baik memang tidak mudah. Satu hal yang sangat penting untuk diperhatikan : Kontrol ultra ketat terhadap proses dan tata laksana dalam menerbitkan sertifikat – satu kesalahan kecil dapat menyebabkan kerusakan permanen yang tidak bisa diperbaiki lagi.

Kasus DigiNotar di Belanda

DigiNotar

Insiden DigiNotar merupakan CA dari Belanda sangat menarik dipelajari. DigiNotar patuh terhadap semua ketentuan teknis keamanan di atas kertas, dan juga lulus semua proses audit.

Namun praktek tidak semudah teori. Infrastruktur DigiNotar tidak memenuhi beberapa kriteria keamanan. DigiNotar diretas tanggal 10 Juli 2011, seseorang meletakkan sertifikat SSL palsu atas nama .google.com.

Apa yang bisa dilakukan terhadap sertifikat palsu ini ? Salah satunya adalah kita bisa menyamar sebagai Google. Caranya cukup sederhana, dan bisa dilakukan oleh semua ISP, dan semua pengguna ISP tersebut akan terkena imbasnya. Akibatnya semua data rahasia yang tersimpan di dalam Gmail atau Google Docs atau bahkan Google+ semua user ISP ini akan bisa diakses.

Kasus peretasan Diginotar ini menyebabkan lebih dari 300,000 email akun Gmail milik warga negara Iran bocor (karena kebetulan Iran tidak memiliki CA sendiri dan mengandalkan DigiNotar sebagai CA).

Kasus peretasan ini menyebabkan DigiNotar dinyatakan tutup dan bangkrut pada bulan September 2011.

Perancangan Government CA

Perancangan Government CA (atau semua organisasi CA) membutuhkan kerjasama dan pemikiran yang strategis.

Microsoft memiliki program kerjasama Microsoft Root Certificate Program untuk mewujudkan Government CA.

Perancangan Government CA memerlukan 3 hal penting :

Ketentuan teknis
Tata laksana : misalnya proses auditing yang ketat yang benar-benar dilaksanakan setelah pemeriksaan fisik infrastruktur yang sebenarnya (bukan sekedar cek list sederhana). Hal ini juga sangat tergantung kepada ketersediaan dokumen yang lengkap dan akurat
Organisasi/Arsitektur : misalnya arsitektur layanan e- seperti : e-commerce, e-government, dsb. Arsitektur yang baik memungkinkan pemulihan layanan yang cepat jika ada peretasan

Dari kasus DigiNotar, kita mendapatkan pengalaman berharga, di mana ketentuan teknis mudah dipenuhi, namun tata laksana dan arsitektur ternyata sulit dipenuhi di lapangan.

PKI (Public Key Infrastructure) dan Government CA di Indonesia

Di dunia yang serba online seperti sekarang ini, keamanan informasi menjadi suatu hal yang sangat penting. Jika di dunia nyata kita bisa mengetahui identitas orang menggunakan KTP, maka di dunia maya kita mengenal orang/institusi/dokumen/dsb menggunakan kredensial elektronik. Salah satu bentuk kredensial elektronik ini adalah PKI (Public Key Infrastructure).

PKI memastikan kebenaran identitas seseorang, atau keaslian dari suatu dokumen.

PKI bekerja menggunakan sepasang kunci : kunci pribadi, dan kunci publik. Kunci pribadi dipergunakan untuk kita sendiri, dan hanya si pemilik kunci yang mengetahui nomor kunci ini. Sedangkan kunci publik merupakan kunci yang bisa digunakan oleh siapapun juga. Kunci ini hanya bisa dipergunakan untuk membuka suatu dokumen jika digunakan secara berpasangan.

Untuk memastikan bahwa dokumen rahasia tidak pernah mengalami perubahan, maka dokumen asli disandi menggunakan suatu teknik penyandian dan menghasilkan suatu angka yang disebut hash. Di dunia nyata, hash serupa dengan sidik jari yang mewakili dokumen asli dalam bentuk yang sangat kompak. Hash digunakan untuk membuktikan keaslian dari suatu dokumen, karena perubahan sedikit saja dari dokumen asli akan mengubah sidik jari (hash).

Tanda tangan digital memanfaatkan teknik hash dan kunci pribadi untuk menandatangani suatu dokumen digital. Dokuman yang akan ditandatangani harus disandi, kemudian hashnya disandi kembali menggunakan kunci pribadi. Dan orang lain bisa menerima dan membaca dokumen tadi tapi tidak bisa mengubahkan (untuk mengubah membutuhkan kunci pribadi).

PKI merupakan suatu infrastruktur kunci publik yang sangat aman yang dipergunakan untuk menyimpan kunci publik setiap orang. Di dunia nyata, PKI ini seperti kantor kependudukan yang menyimpan seluruh data KTP, hanya saja di dunia maya, maka kantor kependudukan ini disebut sebagai CA (Certificate Authority).

Sama dengan kondisi di dunia nyata, maka KEAMANAN menjadi suatu faktor yang amat sangat penting di dalam CA.

Pemerintah Indonesia berencana untuk membuat Government CA, dan saya rasa ini bisa diwujudkan jika komitmen pemerintah memang sangat kuat. Kita tidak ingin mengulang kasus-kasus seperti yang pernah terjadi di Belanda (kasus DigiNotar) atau Malaysia dimana Government CA diwujudkan tapi tanpa keamanan yang sempurna, justu menyebabkan rusaknya kepercayaan masyarakat kepada pemerintah.