PERTEMUAN IV
Mengamankan Sistem Informasi

Mengatur Akses Internet pada Intranet

Sudah tidak aneh bahwa seluruh komputer dalam LAN organisasi (perusahaan)
dapat mengakses Internet. Fasilitas ini disediakan supaya karyawan dapat
bekerja lebih efisien: surat menyurat dengan kertas sebagian besar sudah
dapat digantikan oleh penggunaan e-mail; pencarian informasi lebih mudah
dilakukan melalui situs Web; forum diskusi multimedia; dan banyak hal lain.
Semua lebih mudah dan efisien karena akses Internet dapat dilakukan dari
meja kerja masing-masing.

Mungkin koneksi ke Internet yang dimiliki perusahaan berupa satu line
telepon untuk dial-up. Atau koneksi dedicated dengan leased line, atau
waveLAN. Apa pun jenisnya, perusahaan harus mengeluarkan biaya untuk koneksi
tersebut. Dengan demikian, penggunaannya juga harus bermanfaat bagi
perusahaan.

Bagaimana mengatur fasilitas tersebut agar sesuai dengan tujuannya? Benarkah
hanya karyawan yang menggunakan fasilitas tersebut? Tidak adakah orang asing
yang ikut memanfaatkan fasilitas tersebut dari intranet perusahaan? Banyak
perusahaan yang belum memikirkan hal ini sampai suatu saat muncul gangguan
akibat ulah orang asing.

Umumnya pemakai melalui dial-up lebih mudah diidentifikasi dan diatur
aksesnya. Pada terminal server yang melayani dial in terdapat catatan
tentang siapa yang menggunakan sebuah host (IP) pada waktu tertentu. Lain
halnya dengan LAN, tidak ada batasan waktu sambungan dan catatan pengguna
komputer. Penggunaan DHCP dan keharusan login pada server NT atau server
Netware tidak membantu. Siapa saja masih tetap dapat menyambungkan
komputernya ke dalam sistem jaringan yang ada, kemudian memiliki akses.
Pemakai, yang memiliki sedikit pengetahuan jaringan TCP/IP, dengan mudah
memperoleh nomor IP yang dapat digunakan.

Oleh karenanya, pembatasan akses ke Internet kepada pemakai jaringan
intranet seharusnya perlu diterapkan oleh kalangan perusahaan, universitas,
atau bahkan warnet. Di sini penulis akan memaparkan beberapa contoh cara
melakukan pembatasan akses Internet. Dan juga alternatif yang berlaku bagi
semua jenis komputer client dengan sebarang sistem operasi.


Strategi Pemberian Akses

Secara umum prosedur di atas dijelaskan dalam tiga langkah berikut:
a. Identifikasi user (login) mendaftar dan menyimpan informasi user dalam
sebuah tabel, disebut "daftar user aktif" (active users) dalam format record
{user, host}.
b. Setiap paket IP yang lewat diperiksa: paket dilewatkan (atau
diterjemahkan) jika berasal dari host yang ada dalam active users. Apabila
tidak berasal dari salah satu host tersebut, paket ditolak.
c. Ketika user logout, record {user, host} yang sesuai dihapus. Dengan
demikian paket yang keluar dari host tersebut akan ditolak (lihat b).

Model yang Pernah Dikembangkan
1. Proxy. Sebelum membuka akses ke Internet, client harus mengakses proxy
server, kemudian proxy server ini berlaku sebagai broker yang mewakili
client mengadakan transaksi dengan server tujuan.

Proxy Web (http) sangat menguntungkan karena adanya tempat penyimpanan
sementara yang disebut cache. Penggunaan cache bersama dapat menghemat
bandwidth dan meningkatkan kinerja jaringan secara signifikan. Ini telah
dilakukan oleh rekan-rekan di AI3 dalam proyek cachebone. Informasi lebih
lengkap dapat dilihat di http://cachebone.unila.ac.id/.

Fungsi broker ini juga dapat ditingkatkan sebagai filter. Misalnya
penyaringan virus dari Internet secara transparan, tanpa harus menginstalasi
antivirus di setiap komputer client. Selain menghemat biaya lisensi juga
tidak merepotkan pemakai yang biasanya awam. Atau bahkan penyaringan banner
iklan dan situs porno.

Identifikasi user untuk protokol HTTP sudah tersedia dalam proxy HTTP server
seperti SQUID (http://squid.nlanr.net). Namun demikian, banyak aplikasi
jaringan lain yang tidak dapat menggunakan proxy.

2. SOCKS. Dari lapisan aplikasi sebelum ke lapisan network, data diganti
supaya hubungan dilakukan ke socks server. Pada SOCKS versi 5, sudah
diterapkan adanya otentikasi user. Pembaca dapat mencoba secara gratis,
socks yang telah dikembangkan oleh NEC (http://www.socks.nec.com/).

Dalam library sistem operasi, disisipkan sebuah lapisan antara lapisan
network dengan lapisan application. Akibatnya, karena lapisan application
digeser ke atas, banyak aplikasi tidak dapat berjalan begitu saja tanpa
diubah. Hampir semua aplikasi tidak dapat berjalan dengan baik. Sebagian
besar harus disesuaikan kembali.

3. IP-masquerade dan Network Address Translator (NAT). Model ini dijalankan
pada router yang bertugas meneruskan paket. Paket yang datang tidak
diteruskan begitu saja, tetapi dimanipulasi terlebih dahulu dengan urutan
sebagai berikut:
1. Kiriman dari host-C di intranet diganti IP-nya sehingga seakan-akan
berupa paket yang berasal dari router-N.
2. Host-S, lawan bicara di Internet, akan mengira ada pembicaraan dengan
router-N
3. Host-S menjawab komunikasi dengan router-N
4. Router-N mengganti tujuan IP paket tersebut untuk host-C

Demikian seterusnya berlaku untuk semua paket yang lewat. Sayangnya,
IP-masquerade dan NAT tidak dilengkapi dengan kemampuan identifikasi
pemakai.


Otentikasi

Pemakai Windows barangkali telah mengenal wingate, yang berjalan di keluarga
Windows. Wingate adalah software yang berlaku sebagai router dengan
kemampuan proxy dan socks. Wingate juga mampu mengidentifikasi pemakai dari
NT, tetapi tidak untuk sistem operasi yang lainnya.

Masih ada beberapa software lainnya. Namun daripada memeriksa kelebihan dan
kekurangannya, penulis mengajukan sebuah alternatif, yaitu TELNET. Tepatnya,
otentikasi system UNIX yang ada dalam UTMP (unix: manual 5). Alasan memilih
telnet, karena:
- Telnet ada di semua jenis sistem operasi.
- Telnet merupakan aplikasi standar (pasti ada) setiap sistem jaringan
TCP/IP.
- Telnet (TCP) server sudah tersedia dalam sistem UNIX.
- Telnet (TCP) server juga dapat dibuat dengan sangat mudah.
- Telnet dapat diganti dengan SSH.banyak sekali keuntungan akses shell,
karena pemakai dapat menyimpan data dan program di server, juga menjalankan
program di server, utamanya komputer client tidak perlu yang berkelas
tinggi.


Implementasi pada FreeBSD

Mengingat peranan yang mendasar dan kecepatan proses yang dibutuhkan, tidak
baik membuat program (daemon) yang berjalan sendiri. Solusi terbaik adalah
melakukan perubahan (patch) pada bagian sistem operasi. Penulis telah
menyelesaikan implementasi dan mengujinya dalam server berbasis FreeBSD.

Perubahan (patch) dapat diambil dari home page penulis
(http://home.unpar.ac.id/~gatut/proxy-1-login/), yaitu mencakup:
- Library di telnet server, penulis telah menambahkan kemampuan untuk
1. Menulis UTMP di tempat lain yang akan dibaca oleh NAT
daemon (disingkat NATd, yaitu program yang menjalankan NAT).
2. Membatasi agar user hanya login dari satu host dalam waktu bersamaan.
- NATd dengan kemampuan memeriksa tabel UTMP untuk memutuskan apakah sebuah
paket boleh lewat atau tidak.
- Agar lebih optimal disarankan menggunakan SQUID sebagai proxy Web dengan
cache. Jika SQUID diletakkan di luar router, tidak perlu melalukan patch
tetapi tidak dapat menyimpan informasi user. Supaya dapat mengidentifikasi
user berdasarkan hostnya, SQUID harus diubah seperti yang ada dalam home
page tersebut.

Dalam satu komputer dapat berperan sebagai router sekaligus telnet server.
Tetapi hal ini tidak dianjurkan karena beban prosesor mesin untuk memeriksa
setiap paket sudah cukup berat. Idealnya ada satu mesin sebagai router dan
beberapa mesin yang lain sebagai server telnet.

Utility Network Password Windows 95

Banyak pengguna komputer di Indonesia menggunakan Windows, dan dewasa ini Windows'95 sudah merupakan suatu tuntutan di dalam suatu komputer, karena penggunaannya yang mudah, baik untuk opersi maupun maintenance-nya. Tetapi mungkin banyak dari kita yang belum mengerti fasilitas networking yang disediakan oleh Windows'95 itu sendiri. Mungkin juga kita sering menjumpai beberapa kesulitan untuk mengatur password dalam suatu file. Jika kita ingin memprotect file tersebut menggunakan suatu password akan muncul beberapa pertanyaan. Pertanyaan yang sering muncul adalah;

• Bagaimana agar file tersebut hanya dibuka dengan password tertentu.
• Bagaimana agar file tersebut dapat diedit hanya dengan password tertentu.
• Bagaimana agar tidak semua user dapat membuka file tersebut.
• Dan sebagainya

Windows 95 menyediakan jawaban untuk permasalahan-permasalahan di atas !

Windows95 Networking

Windows95 merupakan suatu operating system dari Microsoft yang dirancang dengan menggunakan kemampuan neighbourhood. Dengan kemampuan ini maka windows95 merupakan salah satu operating system yang dapat dengan mudah untuk dikoneksikan antar komputer. Windows’95 dirancang dengan menggunakan share-level operating system, dengan demikian antar komputer tetap memiliki otoritas untuk memanage dirinya sendiri. Dengan kemampuannya ini maka windows95 dapat menjadi kombinasi yang manis dengan server yang berbasis Windows NT. Dengan kombinasi ini maka, baik server maupun workstation tersebut dapat bekerja di network maupun secara stand alone. Kombinasi yang manis ini ditunjang pula dengan kemampuan windows NT yang dapat melakukan remote administration, baik terhadap user policy maupun computer policy. Bahkan dengan produk Back Office, dari Microsoft,, maka suatu server atau workstation dapat melakukan remote terhadap workstation yang lain !

Fungsi password dalam suatu network

Seperti kita ketahui bahwa Windows 95 dirancang sebagai operating system share-level, bukan sebagai client/workstation-server. Oleh karena itu fasilitas password pada windows 95 akan sangat berguna ketika user akan memanage desktop ketika user login. Dengan kata lain setiap user dapat memiliki desktop yang berbeda-beda. Hal sebaliknya dapat juga dilakukan, setiap user mempunyai desktop yang seragam (sama), jika suatu desktop di ubah, maka ketika login kembali perubahan yang terjadi adalah yang terakhir, tanpa memandang user yang login. Fasilitas tersebut dapat diatur pada user profile.

Adapun hal-hal lain yang dapat dilakukan berkaitan fasilitas pasword tersebut adalah melakukan remote untuk administrasi password. Dengan fasilitas ini maka pengesetan administrasi dapat secara remote, hal yang perlu diingat di sini adalah ditawarkannya password untuk melakukan proses remote tersebut.

Sedangkan untuk mengganti suatu password dengan password yang baru juga dapat dilakukan dengan mudah, melalui change password.

Hal yang perlu dingat di sini adalah password untuk login ke windows95, bukan password untuk login ke jaringan. Pada server dengan menggunakan windows NT misalnya, password untuk login ke jaringan dengan mudah diset melalui fasilitas user profile.

Dengan demikian, pada windows95 setiap user atau setiap nama untuk login akan dapat memililiki property yang berbeda-beda untuk desktopnya. Pasword tersebut dapat diset secara langsung pada server (jika menggunakan windows NT) ataupun secara remote pada workstation (pada sistem jaringan yang menggunakan client server). Sehingga user yang namanya tidak dikenal oleh server tidak akan dapat masuk ke network. Tetapi harus diingat, bahwa user tetap dapat menggunakan workstation/client tersebut, sebagai PC stand alone yang tidak connect ke network.

Pengesetan password tersebut dapat dilakukan dengan langkah sebagai berikut;

• Tekan (dengan mouse menggunakan klik kiri) start button.
• Pilih Setting.
• Tekan Control Panel.
• Tekan Password.
• Pilih option yang ada (change passwords, remote administration, dan user profiles).

Fungsi Access Control

Fasilitas lain yang ditawarkan oleh windows 95 adalah share level dan user level.

Dengan fasilitas ini maka seorang user dapat memilih pengaturan proteksi terhadap file-filenya. Secara sederhana, share level access control dapat dikatakan sebagai proteksi terhadap suatu file tanpa memandang user. Sedangkan user level access control merupakan proteksi dengan memandang user-user yang ada pada network.

Pengaturan accesss control ini tidak dapat dilakukan secara berdampingan dalam satu workstation, dengan kata lain jika kita memilih share-level access control untuk suatu file kita tidak dapat menggunakan user-level access control untuk file yang berbeda, dan sebaliknya. Bahkan file sharing yang kita berikan di network dapat menggunakan nama yang dikehendaki pada saat pengesetan dengan menggunakan fasilitas ‘share as’. Tetapi hal lain yang perlu diketahui adalah di dalam suatu network, penggunaan access control dari setiap workstation/client dapat berbeda-beda. Sehingga dalam suatu network adalah sangat memungkinkan untuk berhubungan dengan workstation/client yang memiliki access control yang berbeda.

Pengesetan access control tersebut dapat dilakukan dengan langkah sebagai berikut:

• Tekan (dengan mouse menggunakan klik kiri) start button.
• Pilih Setting.
• Tekan Control Panel.
• Tekan Network.
• Pilih option Access Control.

Share Level Access Control

Seperti diuraikan di atas, bahwa dengan fasilitas ini maka proteksi terhadap suatu file dapat dilakukan dengan menggunakan password, tanpa memandang siapakah user yang sedang login untuk mengakses file yang bersangkutran tersebut. Fasilitas ini memberikan proteksi terhadaap file yang kita sharing di dalam suatu network. Pada prinsipnya terdapat tiga jenis kombinasi utama, yaitu read only, full, dan depends on password.

Dari ketiga fasilitas tersebut beberapa kemungkinan-kemungkinan untuk memproteksi suatu file.

1. Access type : read only, dengan read only password blank/kosong.

Dengan faasilitas ini maka user dapat melakukan proteksi terhadap file. Proteksi itu adalah pada file yang bersangkutan dapat dibuka tanpa password pada network. Tetapi file tersebut hanya diakses sebagai read only file.
2. Access type : read only, dengan read only password : ‘read’.

Fasilitas ini memberikan pengamanan yaitu file dapat dibuka di network hanya dengan menggunakan password ‘read’, dan file tersebut hanya dapat dibuka berupa read only.
3. Access type : full, dengan full access password blank/kosong.

Dengan fasilitas ini maka file dapat dibuka dan diedit bahkan dapat dihapus di network.
4. Access type : full, dengan full access password : ‘full’.

Fasilitas ini memberikan pengamanan yaitu file dapat dibuka di network hanya dengan menggunakan password ‘full’, dan file tersebut dapat dibuka dan diedit, bahkan dihapus di network.
5. Access type : depends on password, dengan read only password dan full access password blank/kosong.
6. Access type :, depends on password dengan read only password blank/kosong dan full access password : ‘full’.
7. Access type :, depends on password dengan read only password : ‘read’ dan full access password blank/kosong.
8. Access type :, depends on password dengan read only password : ‘read’ dan full access password : ‘full’.

Dengan fasilitas ini maka proteksi terhadap suatu file dapat diatur berdasarkan password yang diisi. Dalam kasus ini jika user di dalam network akan mengakses file hanya dengan mengisi password, jika user tersebut mengisi password ‘read’ maka file yang diakses tersebut berupa read only file, dan jika user mengisinya dengan password ‘full’ maka user dapat mengedit file tersebut.(password 'read' dan 'full' ini hanya sekedar contoh).

Pengesetan share level access control tersebut dapat dilakukan dengan langkah sebagai berikut;

• Tekan (dengan mouse menggunakan klik kiri) start button.
• Pilih Programs.
• Tekan Windows Explorer.
• Pilih folder yang akan di-share dengan melakukan klik pada folder tersebut.
• Klik kanan pada mouse pada folder yang dikehendaki tersebut.
• Klik Sharing.

User Level Access Control

Seperti diuraikan di atas, bahwa dengan fasilitas ini maka proteksi terhadap suatu file dapat dilakukan dengan melihat user yang login ke network. Dengan fasilitas ini maka file dapat diatur sharing-nya terhadap user. Dengan fasilitas ini maka proteksi terhadap suatu file dapat dilakukan terhadap user. Bahkan setiap user dapat dibatasi dengan menggunakan access rights terhadap satu file, misalnya untuk user tertentu hanya dapat read only, untuk user yang lain dapat diberikan full access, terhadap suatu file.