BAB I
PENDAHULUAN
Terlepas dari beraneka ragamnya keberadaan sistem danmodel keamanan informasi berbasis teknologi yang canggih yang ada di pasaran, pada Tataran penggunaannya terutama untuk user awam dan kebanyakan – kata kunci atau yang dikenal sebagai “password” merupakan pendekatan keamanan yang paling lumrah dipakai. Mulai dari Cara mengoperasikan ATM,internet banking,email account, dan sistem operasi sampai dengan mengendalikan mobil,mengakses kamera keamanan,menjalankan robot, dan Mengkonfigurasi sistem, password merupakan hal yang sangat krusial dalam menjaga keamanan hak aksesnya.
Ada banyak tahapan dalam mengamankan suatu sistem informasi, namun pada tahap awalnya kita harus membuat suatu security policy yang mendasari pembuatan security plan. Security policy berisi tentang aturan-aturan yang akan membantu memastikan setiap kinerja para karyawan dalam bekerja sesuai dengan apa yang diinginkan perusahaan. Semua batasan-batasan secara jelas dipaparkan dalam security plan sehingga seluruh karyawan mengerti aturan-aturan yang berkaitan dengan keamanan informasi atau basis data perusahaan. Dalam membangun security plan sistem keamanan basis data, upaya pertimbangan yang dilakukan mencakup hal-hal berikut :
- keamanan dari sisi sistem (System Security);
- keamanan dari sisi data (Data Security);
- keamanan dari sisi pengguna (User Security);
- manajemen password (Password Management).
Namun pada paper ini saya hanya memfokuskan pada pembahasan aspek-aspek manajemen password dalam membangun suatu perencanaan sistem keamanan basis data pada suatu perusahaan. Sedangkan hal-hal yang lainnya hanya dibahas sepintas saja.
BAB II
TINJAUAN PUSTAKA
database merupakan jalur akses menuju informasi dalam suatu database. Maka dari itu, manajemen user dari database harus memiliki kemanan yang ketat. Tergantung dari besarnya sistem database dan jumlah pekerjaan mengatur user dari database, security administrator mungkin menjadi satu-satunya user yang memiliki privilege untuk melakukan perintah create, alter, atau drop user dari database. Namun ada juga administrator lain yang memiliki privilege untuk mengatur user dari database. Bagaimanapun juga, hanya individual yang bisa dipercaya yang memiliki powerful privilege untuk mengatur user dari database.
Enkripsi ialah proses mengamankan suatu informasi dengan membuat informasi tersebut tidak dapat dibaca tanpa bantuan pengetahuan khusus. Dikarenakan enkripsi telah digunakan untuk mengamankan komunikasi di berbagai negara, hanya organisasi-organisasi tertentu dan individu yang memiliki kepentingan yang sangat mendesak akan kerahasiaan yang menggunakan enkripsi.
Password adalah kumpulan karakter atau string yang digunakan oleh pengguna jaringan atau sebuah sistem operasi yang mendukung banyak pengguna (multiuser) untuk memverifikasi identitas dirinya kepada sistem keamanan yang dimiliki oleh jaringan atau sistem tersebut. Sistem keamanan akan membandingkan kode-kode yang dimasukkan oleh pengguna (yang terdiri atas nama pengguna/user name dan password) dengan daftar atau basis data yang disimpan oleh sistem keamanan sistem atau jaringan tersebut (dengan menggunakan metode autentikasi tertentu, seperti halnya kriptografi, hash atau lainnya). Jika kode yang dibandingkan cocok, maka sistem keamanan akan mengizinkan akses kepada pengguna tersebut terhadap layanan dan sumber daya yang terdapat di dalam jaringan atau sistem tersebut, sesuai dengan level keamanan yang dimiliki oleh pengguna tersebut. Idealnya, kata kunci merupakan gabungan dari karakter teks alfabet (A-Z, a-z), angka (0-9), tanda baca (!?,.=-) atau karakter lainnya yang tidak dapat (atau susah) ditebak oleh para intruder sistem atau jaringan. Meskipun begitu, banyak pengguna yang menggunakan kata sandi yang berupa kata-kata yang mudah diingat, seperti halnya yang terdapat dalam kamus, ensiklopedia (seperti nama tokoh, dan lainnya), atau yang mudah ditebak oleh intruder sistem.
BAB III
METODOLOGI
Setiap database memiliki satu atau lebih administrator yang bertanggung jawab terhadap segala aspek mengenai kebijakan sekuritas, yaitu security administrator. Kebijakan sekuritas dari suatu database terdiri dari beberapa sub-kebijakan sebagai berikut:
- Database user management
User dari database merupakan jalur akses menuju informasi dalam suatu database. Maka dari itu, manajemen user dari database harus memiliki kemanan yang ketat. Tergantung dari besarnya sistem database dan jumlah pekerjaan mengatur user dari database, security administrator mungkin menjadi satu-satunya user yang memiliki privilege untuk melakukan perintah create, alter, atau drop user dari database. Namun ada juga administrator lain yang memiliki privilege untuk mengatur user dari database. Bagaimanapun juga, hanya individual yang bisa dipercaya yang memiliki powerful privilege untuk mengatur user dari database.
1. User authentication
User dari database dapat diautentikasi dengan menggunakan password database, sistem operasi, layanan jaringan, atau Secure Socket Layer (SSL).
2. Operating system security
Hal-hal lain yang perlu dipertimbangkan di lingkungan sistem operasi yang berkaitan dengan keamanan aplikasi database adalah sebagai berikut:
- Administrator database harus memiliki privilege sistem operasi untuk membuat dan menghapus file;
- User umum dari database tidak memiliki privilege sistem operasi untuk membuat atau menghapus file yang berkaitan dengan database.
1. Keamanan Dari Sisi Data
Sekuritas data merupakan suatu mekanisme yang mengontrol akses dan penggunaan database pada level obyek. Manajemen sekuritas data menentukan user mana yang memiliki akses ke obyek skema tertentu. Misalnya, user tertentu dapat melakukan perintah select dan insert, tapi tidak dapat melakukan perintah delete terhadap tabel tertentu pula. Manajemen sekuritas data ditentukan berdasarkan seberapa jauh level keamanan yang akan dibangun untuk data dalam database. Secara umum, level sekuritas data bergantung pada tingkat sensitifitas suatu data dalam database.
2. Keamanan Dari Sisi Pengguna
Manajemen keamanan user dapat dibagi menjadi aspek-aspek berikut :
- General user security, menyangkut hal-hal mengenai sekuritas password dan manajemen akses;
- End-user security, bila cakupan database sangat besar dengan banyak user, maka security administrator harus menentukan kelompok kategori user, membuat role untuk setiap kelompok user, melakukan grant privilege terhadap kategori role, dan menempatkan role tersebut kepada masing-masing user;
- Administrator security, bila cakupan database besar dan terdapat beberapa macam database administrator, security administrator harus menentukan kelompok privilege administratif untuk dimasukkan dalam beberapa role administratif;
- Application developer security, security administrator perlu mendefinisikan kebijakan sekuritas yang khusus membangun aplikasi berbasis database
Sistem keamanan database bergantung pada kerahasiaan penyimpanan password. Namun demikian, panggunaan password masih saja rentan terhadap pencurian, pemalsuan, dan penyalahgunaan. Untuk itu diperlukan manajemen password. Sebagai contoh, database Oracle memiliki manajemen password yang dapat mengatasi hal-hal berikut:
- Account locking;
- Password aging & expiration;
- Password complexity verification.
a) Account Locking
Jika ada user yang melakukan kesalahan login beberapa kali melebihi dengan yang sudah ditentukan, maka server secara otomatis akan melakukan locking terhadap account tersebut. Administrator akan menentukan jumlah batas percobaan kesalahan melakukan login, dan lamanya account akan di-locking. Namun administrator juga dapat melakukan locking terhadap account tertentu secara langsung. Locking dengan cara ini, tidak dapat dilakukan unlocking secara otomatis.
b) Password Aging & Expiration
Administrator dapat menentukan masa berlakunya penggunaan password. Bila masa berlakunya sudah lewat, maka user tersebut atau administratornya harus mengubah password tersebut. Administrator juga dapat menentukan grace period, yaitu tenggang waktu yang diberikan kepada user untuk mengganti passwordnya. Bila passwordnya belum diganti hingga grace period berakhir, maka accountnya akan hangus dan user tersebut tidak dapat lagi melakukan login. Administrator juga dapat menentukan interval waktu di mana password yang sudah expired tidak dapat digunakan lagi secara langsung.
c) Password Complexity Verification
Password complexity verification dapat dispesifikasi menggunakan PL/SQL yang akan mengatur parameter profil default. Password complexity verification akan melakukan pemeriksaan-pemeriksaan berikut:
- password memiliki panjang minimum 4;
- password tidak sama dengan user ID;
- password sedikitnya memiliki satu alfa, satu numerik, dan satu tanda baca;
- password tidak boleh sama dengan kata-kata sederhana seperti welcome, account, database, atau user;
- password yang baru harus berbeda sedikitnya tiga huruf dengan password yang lama.
3. Aspek – Aspek Manajemen Password
Manajemen password meliputi aspek-aspek berikut :
§ autentifikasi user & password (user authentication & password), mendeskripsikan tujuan autentifikasi user dan teknologi alternatif untuk autentifikasi;
§ ancaman sekuritas (security threat), daftar ancaman sekuritas terhadap sistem jaringan yang diproteksi dengan password;
§ faktor manusia (human factor), mendeskripsikan bagaimana perilaku manusia mempengaruhi manajemen password;
§ komposisi aturan (composition rule), mendeskripsikan aturan-aturan yang direkomendasikan untuk mengkomposisi password;
§ mengubah & menggunakan kembali password (changing & reusing password), mendeskripsikan rekomendasi untuk secara periodik mengubah password dantidak menggunakan password lama;
§ kerahasiaan (secrecy), mendeskripsikan keperluan untuk menyimpan password tanpa pengetahuan orang lain;
§ deteksi penyusup (intruder detection), mendeteksi dan merespons terhadap serangan sekuritas;
§ enkripsi (encryption), menggunakan teknik enkripsi untuk melindungi password di tempat penyimpanan ataupun pada waktu pemakaian;
§ sinkronisasi (synchronization), mendeskripsikan alasan-alasan dan risiko menyimpan password pada sistem yang berbeda dengan password yang sama;
§ dukungan terhadap user (user support), mendeskripsikan permasalahan password yang dihadapi user, dan bagaimana menyelesaikannya dengan aman.
