Modul 19-20 Network Security

Network Security

1

Network Security

2

Introduction

Apa yang dapat terjadi?

� …ketika komputer anda (y) sedang menerima atau menunggu pesan (m) dari pengirim (x)

m

?

3

m

Internet

x y

Message Loss

� A dapat menggagalkan pengiriman m dari x ke y

m

A

4

m

x y

Message Interception

� A dapat mengkopi m ketika melewatinya

m

m

m

A

5

m

x y

m

Message Modification

� A dapat memodifikasi atau mengubah pesan yang asli m menjadi m’

m m’

A

6

m

x y

m’

Message Insertion

� A dapat mengirimkan m seolah-olah m tersebut dikirimkan oleh x

m

src: xdst: yA

7

x y

m

Message Replay

�A dapat membalas pesan m yang sebelumnya dikirimkan oleh x dan diterima oleh y

m

m

A

8

x y

m

Denial-of-Service Attack

� A dapat mengirimkan jumlah data yang banyak ke y untuk mencegah m sampai ke y

m

A

9

x y

m… … … … ……

?????

Type of Attacks

�Passive attacks– Traffic analysis– Message interception

�Active attacks– Message loss– Message modification– Message insertion– Message replay

10

– Denial-of-Service attack

� Serangan terhadap keamanan dapat dilakukan dengan menggunakan software atau hardware, atau dengan alat lain.

� Beberapa program umum:

– Tools and toolkits: program yang secara otomatis menyelidiki kelemahan keamanan dan menyerang sistem.

Security Threats: Methods of Execution (1)

11

– Back doors and trap doors: membuka (kode, firewall, dll) dengan sengaja untuk mendapatkan hak akses individual tanpa melalui proses autentikasi dan autorisasi yang normal.

– Logic bombs: kode yang disisipkan pada software yang tidak aktif sampai sesuatu mengaktifkannya untuk melakukan serangan.

� Beberapa contoh program tambahan:

– Virus: executable code yang disisipkan pada kode atau data lain, dieksekusi ketika kode atau data yang disisipi digunakan, dan melancarkan serangan.

– Worm: program yang relatif independent yang melakukan perjalanan dari satu mesin melalui koneksi jaringan untuk melancarkan serangan.

Security Threats: Methods of Execution (2)

12

– Trojan horse: program yang melakukan fungsi tersembunyi yang menyerang sistem.

– Bacteria or rabbit program: program yang merusak dan mereplikasi diri secara eksponensial untuk menggunakan network resource.

� Program-program di atas dapat bekerja bersamaan.

The Needs for Security

� Confidentialy : hanya pengirim dan penerima saja yang mengetahui isi data

- Sender � enskripsi data- Receiver � dekripsi data

� Authentication : Pengirim dan penerima ingin mengkonfirmasikan masing-masing identitas

13

� Message Intregity and non Repudiation : pengirim dan penerima ingin memastikan bahwa data tidak berubah (pada saat pengiriman atau sesudahnya), dan dapat membuktikan bahwa si pengirim memang mengirimkan data tersebut

� Access and Availability : layanan harus dapat diakses dan tersedia oleh pengguna yang berhak

� Jaringan yang aman tidak datang begitu saja

– Membuat perencanaan keamanan

– Berdasarkan perencanaan tersebut, aturan keamanan harus dibuat

– Untuk mendukung aturan tersebut, mekanisme keamanan harus jalankan sesuai pada tempatnya

Security Planning, Policies, and Mechanisms (1)

14

harus jalankan sesuai pada tempatnya

� Tidak bisa hanya dilakukan sekali saja

– Perencanaan keamanan harus dikaji ulang dan direvisi

– Aturan keamanan dievaluasi dan diperbaharui

– Mekanisme keamanan harus di perbaharui, diganti dengan teknologi baru yang tersedia

Perencanaan keamanan didasarkan atas:

� Penentuan kebutuhan keamanan yang diperlukan

� Penentuan jenis ancaman keamanan

� Mengidentifikasi siapa saja yang dapat dipercaya

Aturan keamanan dikembangkan melalui informasi


15

� Aturan keamanan dikembangkan melalui informasi di atas, maka diperlukan spesifikasi yang se detail mungkin

Aturan keamanan harus dapat menjamin tingkat keamanan yang sesuai dengan aktivitas jaringan, dengan cara:

� Memperjelas apa yang harus dilindungi dan mengapa� Secara jelas menyatakan pertanggungjawaban atas penyediaan

perlindungan tersebut� Memperjelas apa saja yang diperbolehkan dan tidak diperbolehkan


16

� Memperjelas apa saja yang diperbolehkan dan tidak diperbolehkan oleh para pengguna

� Menyediakan landasan bagaimana menterjemahkan dan mendefinisikan suatu konflik pada aturan berikutnya

Mekanisme keamanan diimplementasikan untuk menjamin bahwa aturan keamanan dilaksanakan dengan benar

� Mekanisme dapat didasarkan atas individu, software dan hardware perangkat keras


17

� Pemilihan mekanisme yang tepat tidak mudah– Dapatkah mekanisme tersebut dipercaya?

� Penentuan jika mekanisme telah sepenuhnya diimplementasikan, aturan keamanan yang diinginkan akan lebih sulit– Dapat dibuktikan, tetapi sangat kompleks dan memakan

banyak waktu

Network Security

18

CryptographyPrinciples

Cryptography Definitions (1)

� Encryption (enkripsi) merupakan suatu proses dimana pesan (disebut plaintext) ditransformasikan menjadi pesan lain (disebut ciphertext) menggunakan fungsi matematik dan password enkripsi khusus disebut kunci (key).

� Decryption (dekripsi) merupakan kebalikan dari enkripsi: mentransformasikan pesan ciphertext kembali ke pesan

19

mentransformasikan pesan ciphertext kembali ke pesan originalnya (plaintext) dengan menggunakan fungsi matematik dan suatu key.

� Fungsi matematik dan key yang digunakan untuk enkripsi dan dekripsi bisa jadi sama, atau berbeda.

Cryptography Definitions (2)

plaintext plaintextciphertext

KA

encryptionalgorithm

decryption algorithm

Alice’s encryptionkey

Bob’s decryptionkey

KB

20

� Symmetric key cryptography:

key enkripsi dan dekripsi identik, jadi key tersebut harus dirahasiakan. (Pendekatan ini disebut juga secret key cryptography)

� Public key cryptography:

key yang berbeda untuk enkripsi dan dekripsi (yang satu public, yang lain private).

Symmetric Key Cryptography

� Kunci yang sama dalam enkripsi dan dekripsi informasi.

� Fungsi enkripsi tidak perlu dirahasiakan, tetapi keyyang digunakan harus dirahasiakan.

� Fungsi enkripsi dan dekripsi yang digunakan dapat sama atau berbeda.

� Contoh:– ROT13: Algoritma rotasi yang sangat sederhana

21

– ROT13: Algoritma rotasi yang sangat sederhana– Caesar cipher: Algoritma rotasi lain yang lebih baik– crypt: Original Unix encryption program– DES: Data Encryption Standard– AES: Advanced Encryption Standard– Skipjack: dikembangkan oleh U.S. National

Security Agency

plaintextciphertext

KA-B

encryptionalgorithm


A-B

KA-B

plaintextmessage, m

K (m)A-B

K (m)A-B

m = K ( )A-B

Symmetric Key Cryptography: Key Issues

22

Symmetric key cryptography: Bob dan Alice membagi key yang sama (symmetric) : K

• Misalnya, key mengetahui pola pertukaran dalam monoalphabetic substitution cipher.

• Question: Bagaimana Bob dan Alice menyepakati key value?

• Even Better Question: Bagaimana key yang disetujui didistribusikan kepada Bob dan Alice dengan aman?

A-B

DES: Data Encryption Standard

• US encryption standard [NIST 1993]

• 56-bit symmetric key, 64-bit plaintext input

• Seberapa amankah DES?

– DES Challenge: 56-bit-key-encrypted phrase (“Strong cryptography makes the world a safer place”) decrypted (brute force) in 4 months.

– The most recent Challenge III (1999) took only a little over 22

Symmetric Key Cryptography: DES

23

– The most recent Challenge III (1999) took only a little over 22 hours.

– No known “backdoor” decryption approach.

• Menjadikan DES lebih aman:

– Use three keys sequentially (3DES) on each datum.

– Use cipher-block chaining.

• New-ish (November 2001) standard symmetric key NIST (National Institute of Standards and Technology), menggantikan DES.

• Memproses data dengan 128 bit blocks.

Symmetric Key Cryptography: AES

24

• 128, 192, atau 256 bit key.

• Dekripsi Brute force (mencoba setiap key) memakan waktu 1 detik dengan DES, akan memakan waktu 149 trilliun tahun dengan AES.

Public Key Cryptography (1)

Public key cryptography

Symmetric key cryptography• Mengharuskan pengirim dan penerima mengetahui secret

key.

• Question: bagaimana mereka dapat menyepakati keyuntuk pertama kalinya?

25

Public key cryptography

• Pendekatan yang berbeda [Diffie-Hellman76, RSA78].

• Pengirim dan penerima tidak saling berbagi secret key.

• Public encryption key diketahui semua.

• Private decryption key hanya diketahui pemiliknya.


• Keys dibuat berpasangan.

– Public key diregistrasikan secara publik sehingga semua mengetahuinya, dan private key hanya diketahui pemiliknya.

– Setiap key dapat mendekripsi apa yang dienkripsi oleh yang lain, tapi tidak bisa mendekripsi apa yang dienkripsi oleh dirinya sendiri. (Oleh karena itu, metode ini disebut assymetric cryptography).

26

• Parameter pembuatan key:

– Korespondensi satu-ke-satu, jika satu key dapat mendekripsi pesan, pasti pesan tersebut telah dienkripsi oleh yang lain.

– Sangat sulit, untuk mengetahui private key melalui public key.


Bob’s publickey

K B

+

Bob’s privatekey

K B

-

27

plaintextmessage, m

ciphertextencryptionalgorithm


plaintextmessageK (m)

B

+

m = K (K (m))B

+B

-


Alice’s privatekey

K A

-

Alice’s publickey

K A

+

28

plaintextmessage, m

ciphertextencryptionalgorithm


plaintextmessageK (m)

A

-

m = K (K (m))A

-A

+


Ilustrasi perhitungan:

K (K (m)) = mBB

- +K (K (m))

AA+ -

=

29

Menggunakan public key dulu,diikuti

dengan private key

menggunakan private key

dulu,diikuti dengan public key

Hasilnya SAMA !!

Public Key Encryption Algorithms

• Diffie-Hellman: pendekatan public key yang pertama.

• RSA: sistem public key yang paling dikenal, dikembangkan oleh Rivest, Shamir, dan Adleman.

30

dikembangkan oleh Rivest, Shamir, dan Adleman.

• DSA: Digital Signature Algorithm, dikembangkan oleh U.S. National Security Agency (NSA).

Symmetric vs. Public Key Cryptography

� Metode yang teraman?

– Dengan key dan algoritma yang sesuai, kedua metode cukup aman.

� Metode yang paling nyaman digunakan?

– Untuk menggunakan symmetric cryptography, kedua pihak harus mengetahui secret key, hal ini dapat mengakibatkan ketidaknyamanan.

– Untuk menggunakan public key cryptography, hanya

31

– Untuk menggunakan public key cryptography, hanya membutuhkan public key untuk berkomunikasi dengan yang lain, sehingga menjadi lebih nyaman.

� Performansi yang lebih baik?

– Enkripsi dan dekripsi banyak informasi dengan public key cryptography jauh lebih lambat dibandingkan dengan symmetric cryptography

Hybrid Secret-Public Key Cryptography (1)

� Idealnya, akan lebih baik jika dapat menggabungkan kelebihan dari symmetric dan public key cryptography dan menghindari kelemahannya.– Kita menginginkan efisiensi dari symmetric

cryptography digabungkan dengan kemudahan dalam penggunaan dan keyamanan dari public key cryptography.

� Ketika terdapat dua pihak yang ingin berkomunikasi secara aman, public key cryptography digunakan untuk

32

secara aman, public key cryptography digunakan untuk pertukaran random session key pada symmetric cryptography.– Karena session key telah terenkripsi, kita dapat yakin

akan keamanan dan autentikasinya.– Mudah dalam distribusi dan peggunaan key.

Hybrid Secret-Public Key Cryptography (2)

� Dalam berkomunikasi, symmetric cryptography digunakan berikut dengan session key-nya.

– Karena hanya kedua pihak saja yang mengetahui session key, maka informasi akan aman.

– Karena secret key cryptography digunakan, maka lebih efisien.

� Ketika komunikasi selesai, kedua pihak menghapus session

33

� Ketika komunikasi selesai, kedua pihak menghapus session key. Jika akan melangsungkan komunikasi lagi, proses di atas diulang dari awal untuk mendapatkan session key yang baru.

� Pendekatan ini digunakan padaPretty Good Privacy (PGP) dan lainnya.

Network Security

34

Authentication

Authentication

� Autentikasi merupakan suatu proses bagaimana membuktikan identitas satu individu ke individu yang lainnya

� Terdapat tiga cara utama dalam autentikasi suatu individu:– Something you own: Kunci, security card, dll– Something you know: password, cryptographic key, dll– Something you are: sesuatu yang mengidentifikasikan diri anda

(bentuk wajah, sidik jari, suara, dll

35

(bentuk wajah, sidik jari, suara, dll� Dalam jaringan komputer, kita membutuhkan protokol autentikasi pada

saat komunikasi ketika bukti langsung tidak dapat diberikan.

Authentication Approach

�Public Key Cryptography�Symmetric Key Cryptography�Hybrid Key Cryptography

36

Network Security

37

Message Integrity

Message Checksums

� Checksum merupakan suatu fungsi yang mengkalkulasi data untuk menentukan apakah data tersebut telah dimodifikasi atau rusak

� Checksums terlalu sederhana, mudah untuk memodifikasi data dengan cara yang sama seperti checksum mengubah data asli

� Karena checksums sendiri tidak terproteksi, maka checksums

38

� Karena checksums sendiri tidak terproteksi, maka checksums dapat diubah setelah data terlebih dulu dimodifikasi

� Checksums, mudah untuk dikalkulasi dan menawarkan pengecekan integritas data yang sederhana

Message Sequence Numbers

� Bentuk dasar lain dari pengecekan integritas yaitu sequence number, yang memberikan posisi suatu data relatif terhadap aliran data yang besar

� Sequence numbers dapat digunakan untuk mendeteksi apakah data telah sisipkan data lain atau dihapus

� Karena sequence numbers dapat diubah seperti checksums, sequence numbers hanya menyediakan proteksi minal dari integritas data

39

Message Digests

� Pada dasarnya, message digest merupakan checkums yang dihasilkan oleh cryptography

� Biasanya dihasilkan dalam bentuk hashcode dari funsi satu arah yang sukar untuk diprediksi

- Suatu message digest x dan hash function H, dengan sukar untuk diprediksi dalam mencari pesan m dimana H(m) = x

40

� Fungsi ini menggunakan keseluruhan inputan dan menguranginya ke dalam nilai yang kecil dari panjang data yang, biasanya panjangnya 128 sampai 512 bits

Message Digests

� Karena modifikasi data inputan juga mengubah message digest, sukar untuk memprediksi data dan menemukan digest yang sama

� Meskipun demikian, tidak ada yang mencegah modifikasi dari digest yang juga akan mengubah data inputan

� Solusinya menggunakan digest yang terenkripsi, dikenal juga dengan message authentication code yang menyediakan suatu kunci atau password terhadap fungsi digest

41

� Contoh : Digital Signature

• MD5 hash function widely used (RFC 1321)– Computes 128-bit message digest in 4-step process. – Given an arbitrary 128-bit string x, it appears to be quite difficult

to construct message m whose MD5 hash is equal to x.• SHA-1 is also used.

– US standard [NIST, FIPS PUB 180-1]

Message Digests: Hash Function Algorithms

42

– US standard [NIST, FIPS PUB 180-1]– 160-bit message digest.

large message

mH: Hashfunction H(m)

digitalBob’s

Bob mengirimkan digitally signed message:

Alice memverifikasi signature dan integritas dari digitally signed message yang dikirimkan:

KB(H(m))-

encrypted msg digest

large

Signed Message Digests as Digital Signatures

43

digitalsignature(encrypt)

Bob’s private

key K B-

+ KB(H(m))-

encrypted msg digest

large message

m

H: Hashfunction

H(m)

digitalsignature(decrypt)

H(m)

Bob’s public

key K B+

equal?

Network Security

44

Key Distribution and Certification

Key Distribution Problems

Symmetric key problem:• How do two entities

establish shared secret key over network?

Solution:

Public key problem:• When Alice obtains

Bob’s public key (from web site, e-mail, diskette), how does she know it is Bob’s public

45

Solution:• trusted key distribution

center (KDC) acting as intermediary between entities

know it is Bob’s public key, not Trudy’s?

Solution:• trusted certification

authority (CA)

Key Distribution Centers (KDCs)

• Alice, Bob membutuhkan symmetric key.• KDC: server menyimpan secret key yang berbeda-beda setiap user

yang terdaftar (banyak users).• Alice, Bob mengetahui symmetric keys mereka, KA-KDC and KB-KDC ,

untuk berkomunikasi dengan KDC.

KDC

46

KB-KDC

KX-KDC

KY-KDC

KZ-KDC

KP-KDC

KB-KDC

KA-KDC

KA-KDC

KP-KDC

KDC

KB-KDC

Certification Authorities

Bob’s public

key K B+

Bob’s identifying

digitalsignature(encrypt)

CA private

key K CA-

K B+

certificate for Bob’s public key,

signed by CA

47

• Certification Authority (CA): memiliki public key mengacu pada pihak khusus, E.

• E (orang, router) mendaftarkan public key mereka dengan CA– E menyediakan “proof of identity” ke CA. – CA membuat sertifikat yang mengacu pada E dengan public key-nya– Certificate yang berisi public key E’s secara digital di tanda tangani oleh

CA – yang menyatakan “ini adalah public key E”

identifying information

key CAsigned by CA

Certification Authorities

Bagaimana alice mendapatkan authority’s public key?– Assume they are published in a trusted, public, and well-

known place. But, how can you really trust this?– Pre-configure trusted Certificate Authorities into the software

requiring them. (For example, web browsers come pre-configured to recognize many authorities, and have the facilities to add or accept new ones as necessary.)

48

How can you really trust a Certificate Authority?– In many domains, these authorities are run, licensed, or

regulated by governments or government-appointed bodies.– Ultimately it is up to the individual receiving a certificate to

judge whether they accept it or not. Keep in mind, though, that refusing to accept an authority means that you cannot communicate securely with other individuals that use it!

Standards for Certificate Authorities

• The International Telecommunication Union (ITU) specifies an authentication service and specific syntax for certificates in X.509.

• In RFC 1422, the IETF describes CA-based key management for secure Internet e-mail and other applications.– This is compatible with X.509.– But, it also goes further, by establishing procedures and

49

conventions for a key management architecture.• Because of the industry push for a solid Public Key Infrastructure (PKI),

expect more standardization in the future!

Network Security

50

Access Control: Firewalls

Mengisolasi jaringan internal dari jaringan eksternal yang lebih besar, mengijinkan beberapa paket melewatinya dan memblok yang lainnya

firewall

Firewalls

51

administerednetwork

externalnetwork

firewall

� Mencegah serangan denial of service:– SYN flooding: penyerang attacker mengirimkan koneksi TCP

dalam jumlah besar, sehingga koneksi yang lain gagal � Mencegah modifikasi/akses pada data internal

– Penyerang mengganti isi suatu homepage dengan yang lain� Mengijinkan akses tertentu ke dalam jaringan (user/host yang

Firewalls: Why?

52

� Mengijinkan akses tertentu ke dalam jaringan (user/host yang terautentikasi)

� Mencegah serangan dari internal jaringan pada sistem yang penting:– Sistem (data penting, data perusahaan, dll) dapat

disembunyikan oleh firewall untuk mencegah serangan dari dalam

Firewalls: Policies

• Terdapat dua pendekatan dalam konfigurasi aturan firewall• Default Permit:

– Menentukan kondisi data yang akan diblok; host atau protokol mana saja yang tidak tercakup dalam kondisi tersebut maka secara default akan masuk

– Simpler to use, easy to configure, and more dangerous.• Default Deny:

53

• Default Deny:– Protokol khusus diijinkan masuk dan host dapat melakukan

pengiriman data atau menerima data; selain itu ditolak– Cenderung lebih aman

Firewall Components: Gates/Gateways

� Menentukan secara khusus suatu program, perangkat, atau komputer pada daerah kerja firewall yang dapat menerima dan mengatur koneksi dari atau menuju jaringan eksternal

� Untuk keamanan, pengguna seharusnya tidak memiliki akses (account) pada komputer gateway

� Beberapa jenis program dapat berjalan di gateway:– Network client software seperti telnet, ftp dan netscape.

54

– Network client software seperti telnet, ftp dan netscape. Pengguna mendapatkan akses ke gateway dengan menggunakan software tersebut. (Tidak direkomendasikan!)

– Proxy servers meneruskan data melewati firewall dari jaringan internal menuju jaringan eksternal

– Network servers untuk menerima e-mail, pelayanan halaman situs (web server) dan lain-lain

Limitations of Firewalls

� IP spoofing: suatu firewall tidak dapat mengetahui apakah data benar-benar datang dari sumber yang bersangkutan, jadi serangan masih dapat masuk

� Jika beberapa aplikasi membutuhkan pelayanan yang khusus, maka masing-masing memiliki gateway tersendiri

� Software klien harus mengetahui

� Filter biasanya menggunakan aturan semua atau tidak sama sekali untuk paket UDP

� Tradeoff: degree of communication with outside world, level of security

� Semakin banyak pengecualian atau pengkhususan yang diperlukan oleh firewall, maka semakin sukar untuk

55

� Software klien harus mengetahui bagaimana berkomunikasi dengan gateway– Contoh, para pengguna

mengkonfigurasi alamat IP dari proxy pada web browser mereka

firewall, maka semakin sukar untuk dikonfigurasi dan berjalan dengan sesuai

� Banyak situs yang dilindungi oleh firewall masih dapat diserang, jadi apakah firewall merupakan solusinya?

Network Security

56

Attacks and Countermeasures

Internet Security Threats (1)

Mapping:– Sebelum menyerang: misalnya “anda” – mencari tahu

layanan apa saja yang diimplementasikan pada jaringan– Gunakan ping untuk menentukan host yang terdapat pada

jaringan– Port-scanning: mencoba untuk melakukan koneksi TCP

pada setiap port secara berurutan (lihat apa yang terjadi!)

57

pada setiap port secara berurutan (lihat apa yang terjadi!)– nmap (http://www.insecure.org/nmap/) mapper: “network

exploration and security auditing”.

Countermeasures?

Mapping: countermeasures– Menyimpan dan membuat log trafik yang masuk ke jaringan– Mencari aktivitas yang mencurigakan (ex: alamat IP, dan,

port di scan secara terus-menerus). Sekarang banyak peralatan di jaringan yang dapat melakukan hal tersebut secara otomatis (Intrusion detection/prevention)

– Konfigurasi firewall untuk memblok paket ICMP, maka ping


58

– Konfigurasi firewall untuk memblok paket ICMP, maka ping tidak akan dapat bekerja

– Membuat aturan ‘default’ deny pada firewall, jika nomor port telah diblok makan jaringan tidak dapat dipetakan dari luar


Packet sniffing:– Permasalahan bagi media yang melakukan broadcast paket– NIC membaca semua paket yang melewatinya– Dapat membaca semua data yang tidak terenkripsi (ex: passwords)– Contoh: C sniffs paket B

59

A

B

C

src:B dest:A payload

Countermeasures?


Packet sniffing: countermeasures– Semua host pada suatu jaringan menjalankan suatu perangkat lunak yang

memeriksa secara periodik jika interface host dalam kondisi berbahaya– Menjamin bahwa semua host pada jaringan membutuhkan super-user

privileges untuk membuat interface dalam mode berbahaya– Tempatkan satu host setiap segmen dari media broadcast (switched

Ethernet pada hub).

60

– Enkripsi semua data penting (ex: gunakan ssh untuk remote login)

A

B

C



Traffic analysis:– Penyerang mendapatkan informasi penting tanpa mempelajari isi dari

paket atau sniffing keseluruhan paket– Contoh: C dapat mempelajari pola kerja dari B, ketika B melakukan

transaksi dengan A

61

A

B

C


Countermeasures?


Traffic analysis: countermeasures– Gunakan suatu bentuk traffic padding. Trafik palsu dimasukkan ke dalam

jaringan untuk menyamarkan trafik yang sesungguhnya– Jika kapasitas jaringan anda besar, kenapa tidak menggunakannya?– Traffic padding dapat membuat penyerang sukar untuk melakukan

serangan, bagaimana anda akan melakukan serangan jika paket tersebut palsu?

62

A

B

C



IP Spoofing:– Dapat menghasilkan paket “raw” IP langsung dari suatu aplikasi ,

menempatkan suatu nilai pada paket alamat IP sumber– Penerima tidak mengetahui bahwa sumber paket telah di spoofed– Contoh: C berpura-pura menjadi B

63

A

B

C


Countermeasures?


IP Spoofing: ingress filtering– Routers seharusnya tidak meneruskan paket dengan alamat

sumber yang tidak valid (ex: alamat sumber datagram bukan bagian dari jaringan router)

– Akan tetapi, ingress filtering tidak dapat dilakukan pada semua jaringan

64

A

B

C



Denial of service (DOS):– Membanjiri paket ke penerima– Distributed DOS (DDOS): membanjiri paket dengan

mengkoordinasikan banyak pengirim– Contoh: C dan remote host SYN-attack A.

65

A

B

C

SYN

SYNSYNSYN

SYN

SYN

SYN

Countermeasures?


Denial of service (DOS): countermeasures– Memfilter paket (ex: SYN) sebelum sampai ke host – traceback sumber flood (kemungkinan ditemukan host yang

tidak berbahanya, perangkat yang dipergunakan)– Gunakan dedicated hardware untuk memfilter jumlah paket

yang banyak atau percobaan koneksi

66

A

B

C

SYN

SYNSYNSYN

SYN

SYN

SYN

Network Security

67

Security in Many Layers

Pretty Good Privacy (PGP) for Secure E-mail

� Standar de-facto enkripsi e-mail

� Menggunakan symmetric key cryptography, public key cryptography, hash function, dan digital signature, sudah dibahas sebelumnya

� Menyediakan kerahasiaan, autentikasi, dan integritas

---BEGIN PGP SIGNED MESSAGE---

Hash: SHA1

Bob:My husband is out of town tonight. Passionately yours, Alice

A PGP signed message:

68

autentikasi, dan integritas

---BEGIN PGP SIGNATURE---Version: PGP 5.0Charset: noconvyhHJRHhGJGhgg/12EpJ+lo8gE4vB3

mqJhFEvZP9t6n7G6m5Gw2---END PGP SIGNATURE---

Secure Sockets Layer (SSL)

� Keamanan pada layer transport � Digunakan diantara Web browsers, servers untuk e-

commerce (https)� Layanan keamanan:

– Server Autentikasi– Enkripsi data

69

– Enkripsi data– Klien autentikasi (opsional)

IPsec: Network Layer Security

� Network-layer secrecy� Network-layer authentication� Two principle protocols:

– Authentication header (AH) protocol– Encapsulation security payload (ESP) protocol

70

Authentication Header (AH) Protocol

� Menyediakan autentikasi, dan integritas data tetapi tidak menyediakan kerahasian data

� Header AH ditempatkan antara header IP dan data

� IP Protocol field: 51

AH header includes:� Connection identifier� Authentication data: source-

signed message digest calculated over original IP datagram.

� Next header field: specifies type of data (e.g., TCP, UDP, ICMP).

71

of data (e.g., TCP, UDP, ICMP).� Sequence number to prevent

playback attacks.

IP header data (e.g., TCP, UDP segment)AH header

� Menyediakan kerahasiaan, host autentikasi, dan integritas data

� Packet data dan the ESP trailer terenkripsi

� Next header field terdapat pada ESP trailer.

� Sequence number dan connection identifier terdapat pada ESP header

� IP protocol field: 50.

Encapsulation Security Payload (ESP) Protocol

72

ESP trailer.

IP header TCP/UDP segmentESP

headerESP

trailerESP

authent.

encryptedauthenticated

IPsec: SA and Key Management

� Untuk mengimplementasikan IPsec, diperlukan SA (Security Association) dan key management

� Beberapa protokol lainnya:– Internet Key Exchange (IKE), merupakan protokol key

management untuk IPsec– Internet Security Association and Key Management Protocol

(ISAKMP) menyatakan prosedur dalam konfigurasi SA dan

73

(ISAKMP) menyatakan prosedur dalam konfigurasi SA dan pertukaran kunci

INTRUSION DETECTION & PREVENTION

74

Intrusion Detection

Intrusions

“Any set of actions that attempts to undermine the integrity, confidentiality, or availability of a resource” (R. Heady et al)

- Port scans

- Worms

- Application exploits (buffer overflow)

- Denial of Service

� Meningkat secara pesat

75

� Meningkat secara pesat

� Keterbatasan yang dimiliki oleh Firewall

Intrusion Detection

� Suatu IDS melakukan 3 aksi sebagai berikut:1. Memperoleh data dari sistem monitor

- Network traffic- System logs- System properties (load average, file use, login times, dll)

2. Menganalisa data, mencari bukti dari penyerangan3. Melaporkan bukti penyerangan pada operator (‘alert’)

76

3. Melaporkan bukti penyerangan pada operator (‘alert’)� Bekerja secara real time� Teridentifikasi oleh sistem monitor

- Individual host- Network

� Teridentifikasi oleh data yang diperoleh dan metode deteksinya

� Accuracy - seberapa sering IDS akan melaporkan tanda bahaya jika penyerangan belum terjadi- False positive (false alarm)

� Completeness – seberapa sering IDS gagal melaporkan adanya serangan- False negative (missed detection)

� Performance – waktu yang diperlukan IDS untuk menganalisa dan audit data

IDS Effectiveness

77

data� Timeliness – waktu yang diperlukan IDS untuk memberi peringatan

intrusi (alarm)� Fault tolerance – kemampuan IDS dalam bertahan terhadap intrusi

Network Intrusion Detection

� Suatu network-based IDS (NIDS) berfungsi untuk memonitor suatu subnet

� Perangkat IDS memonitor trafik jaringan di dekat perangkat routing (mis:hub/switch)

� Kemampuan

- Tidak mempengaruhi

78

- Tidak mempengaruhi performansi jaringan

- Dapat disembunyikan

� Konsekuensi

- Lemah terhadap serangan DoS

- Single point failure

Host Intrusion Detection

� Suatu host-based IDS (HIDS) berfungsi untuk memonitor satu perangkat host (server, terminal, firewall, dll)

� Dapat memonitor trafik jaringan yang datang atau suatu operasi pada host

� Berjalan sebagai proses pada host

� Kemampuan

`

Host IDS

79

� Kemampuan

- Dapat memonitor intrusi pada host itu sendiri

� Konsekuensi

- Menggunakan sumber daya yang terdapat pada host itu sendiri

- Untuk sistem yang spesifik, Membutuhkan HIDS yang spesifik pula

Internet

Firewall

Hub/Switch

`

Host IDS

`

Host IDS

Distributed Intrusion Detection

� Suatu distributed-based IDS (DIDS) menggunakan baik NIDS dan HIDS sebagai sensor

� Semua hasil analisa data dikirimkan ke management station

� Disebut juga dengan Hybrid IDS

� Kemampuan

- Daerah yang lebih luas

- Sensor dapat berbagi dan

NIDS

80

- Sensor dapat berbagi dan koordinasi hasil monitor

� Konsekuensi

- Hasil dari sensor dikirimkan melalui jaringan yang berpotensi dapat di intrusi

- Hasil dari sensor mungkin tidak terkirimkan apabila jaringan terbanjiri (flood)

Internet

Firewall

Hub/Switch

`

HIDS

Management

Station

Mechanism

81

Detection Method

� Beberapa tipe penggunaan dari IDS- Pakar riset menggunakan klasifikasi yang abstrak dan umum

- IDS developer menggunakan klasifikasi yang konkrit

- System administrators menggunakan klasifikasi yang khusus digunakan pada sistemnya saja

82

yang khusus digunakan pada sistemnya saja� Beberapa tipe deteksi

- Rule-based (signature) detection- Protocol analysis- Anomaly detection- Specification detection- Policy-based detection

Rule-based Detection

� IDS memiliki suatu database berisi pendeskripsian pola-pola (rules) yang mengindikasikan suatu serangan

- Alarm menyala apabila pola-pola (signature) tersebut terdeteksi pada data audit

- Contoh: Alarm menyala jika terdapat suatu paket TCP berisi GET request untuk 'passwd.txt'

� Kemampuan- Cepat (diberikan suatu set rules sederhana)- Rules dapat diubah dengan mudah

83

- Rules dapat diubah dengan mudah- Mudah mengidetifikasikan intrusi

� Konsekuensi- Lemah terhadap tipe serangan baru- Agar efektif, diperlukan updating yang terus-menerus

� Biasa dikenal dengan misuse detection

Protocol Analysis

� IDS berisi aturan-aturan protokol pada sistem- Alarm akan menyala jika terjadi pelanggaran protokol dalam data audit

- Contoh: Alarm menyala jika respon terhadap koneksi TCP hanya paket RST/ACK atau SYN/ACK

� Kemampuan- Lebih fleksibel dibandingkan rule-based- Dapat mendeteksi tipe baru intrusi

84

- Dapat mendeteksi tipe baru intrusi� Konsekuensi

- Mengasumsikan bahwa semua aplikasi menggunakan standar protokol

- Rumit dan sulit untuk diubah- Deteksi akan terlewati jika intrusi tidak melanggar aturan protokol

Anomaly Detection

� IDS ‘mempelajari' karakteristik sistem ketika beroperasi pada keadaan normal (profiling)

- Alarm akan menyala jika sistem tidak dalam keadaan normal

- Contoh: Alarm menyala jika volume trafik jaringan lebih besar dari nilai tertentu pada waktu yang spesifik

� Kemampuan- Dapat diubah sesuai dengan sistem- Lebih fleksibel dibandingkan rule-based

85

- Lebih fleksibel dibandingkan rule-based- Dapat mendeteksi intrusi tipe baru- Kemungkinan kecil intrusi terlewatkan

� Konsekuensi- Membutuhkan profil yang lengkap dari karakteristik kerja

sistem- Kemungkinan tinggi akan alarm yang salah- Harus diupdate jika sistem berubah

Specification-based Detection

� IDS diberikan deskripsi (specification) keadaan normal sistem- Alarm akan menyala jika sistem tidak dalam keadaan normal

- Contoh: Alarm menyala jika beban CPU lebih besar dari nilai yang terdapat pada deskripsi spesifikasi

� Kemampuan- Dapat diubah sesui dengan sistem- Lebih fleksibel dibandingkan rule-based

86

- Lebih fleksibel dibandingkan rule-based- Dapat mendeteksi intrusi tipe baru- Kemungkinan kecil intrusi terlewatkan

� Konsekuensi- Membutuhkan sintak dalam pendeskripsian sistem- Membutuhkan pengetahuan yang lengkap dari karakteristik kerja sistem

- Harus diupdate jika sistem berubah

Policy-based Detection

� IDS memiliki daftar dari aksi yang diterima dan ditolak (policy)

- Alarm akan menyala jika policy dilanggar

- Contoh: Alarm menyala jika GET request pada HTTP server terhadap file yang tidak diijinkan dilihat oleh pengguna

� Kemampuan

- Dapat diubah sesuai dengan sistem

- Lebih fleksibel dibandingkan rule-based

87

- Lebih fleksibel dibandingkan rule-based

- Dapat mendeteksi intrusi tipe baru

� Konsekuensi

- Membutuhkan policy yang lengkap dari sistem

- Harus diupdate jika policy berubah

Output

� Langsung menghubungi administrator

- Email

- Page

- SMS (IARD PNF)

� Disimpan dalam suatu file

- Text file

88

- Text file

- System log

- Binary packet log (tcpdump)

� Disimpan di database

� Ditampilkan pada layar

IDS Examples

� NIDS- Snort - rule-based packet sniffer dengan protocol analysis terbatas dan anomaly detection

- Bro - rule-based dan policy-based packet sniffer� HIDS

- PortSentry - portscan detector- LogSentry - log analyzer- Tripwire - file integrity monitor

89

- Tripwire - file integrity monitor- Rkdet - rootkit detector

� DIDS- Prelude – rule-based packet sniffer, log analyzer, buffer overflow detection

- Osiris - file integrity monitor

Limitations

� Terus-menerus di up to date (signatures, protocols, dll)

� Mengasumsikan jaringan yang terganggu akan dapat mengirimkan alarm

� Akurasi dan kelengkapan tergantung dari konfigurasi IDS oleh administrator

90

IDS oleh administrator

� Seringkali lemah terhadap serangan Denial of Service (DoS)

� Biasanya IDS memberikan tanda peringatan, tapi tidak mencegah atau menghentikan serangan

INTRUSION DETECTION & PREVENTION

91

Intrusion Prevention

Intrusion Prevention

� Banyak intrusi jaringan memerlukan waktu sedikit dalam eksekusi

- Worms- Backdoor exploits

� IDS tidak memberikan cukup waktu bagi administrator untuk merespon intrusi yang telah merusak sistem

92

merusak sistem� Intrusion Prevention System (IPS) di desain untuk

mengidentifikasi potensi serangan dan secara keseluruhan melakukan tindakan untuk menghentikannya (countermeasures)

� IPS merupakan tindak lanjut dari IDS

IPS Types

� Network-based IPS (NIPS); menganalisa trafik jaringan dari serangan

� Beberapa tipe countermeasure

- Session sniping

- Packet filtering

- Packet scrubbing

93

- Packet scrubbing

- IP blocking

- Deception

� Host-based IPS (HIPS); mencegah serangan pada sistem operasi (dangerous system calls, unauthorized file changes)

Session Sniping

� IPS menutup koneksi jaringan terhadap host yang mengirim trafik serangan

- TCP RESET for TCP sessions

- ICMP Host/Network/Port Unreachable for UDP traffic

� Kemampuan

- Mudah diimplementasikan dan digunakan

� Konsekuensi

94

� Konsekuensi

- Dapat dihindari oleh penyerang dengan banyak cara

� Contoh:

- IPtables (Linux Firewall) dapat menolak (REJECT) trafik dari suatu host

- Snort memiliki pilihan respon yang fleksibel, yang memungkinkan untuk melakukan reset ketika terjadi intrusi

Packet Filtering

� IPS membuang (DROP) trafik yang berisi serangan

� Kemampuan

- Menghilangkan trafik serangan dari jaringan

� Konsekuensi

- Kemungkinan hilangnya trafik yang tidak berisi serangan

� Contoh:

- Hogwash membuang paket jika terjadi serangan

95

- Hogwash membuang paket jika terjadi serangan

- Versi terbaru snort memiliki fitur “inline” yang memungkinkan untuk membuang paket ketika terjadi serangan

Packet Filtering Implementation

� Biasanya diimplementasikan pada inline NIDS

- NIDS diposisikan sejalur pada jaringan; bertindak sebagai bridge antar jaringan

- NIDS didesain kembali untuk dapat membuang trafik serangan

`

Host

NIDS

96

serangan

� Gangguan pada inline NIDS akan mengganggu jaringan

� Diimplementasikan juga sebagai “smart” switch

Internet

Firewall

Hub/Switch

`

Host

`

Host

Inline N

Packet Scrubbing

� IPS mengganti isi dari paket serangan dengan data yang tidak berbahaya

� Kemampuan

- Tidak mengindikasikan bahwa IPS mendeteksi intrusi

� Konsekuensi

- Hanya bisa bekerja jika intrusi melibatkan isi paket serangan

Contoh:

97

� Contoh:

- Snort memiliki pilihan “replace” yang mengubah data dari paket serangan ke data lain dengan panjang yang sama

IP Blocking

� IPS mengubah konfigurasi dari firewall lokal, sehingga memungkinkan untuk mem-block trafik serangan dari suatu host

� Kemampuan

- Efektif menghilangkan penyerang dari jaringan

� Konsekuensi

- Kemungkinan terjadi blocking pada host yang bukan penyerang

98

penyerang

� Contoh:

- SnortSAM firewall agent, menerima informasi dari snort rules dan mengubah konfigurasi pada firewall (ex: IPtables)

Deception

� IPS mengirimkan trafik kepada penyerang yang mengindikasikan bahwa penyerangan terhadap suatu host telah berhasil atau koneksi menuju host tidak tersedia

� Kemampuan- Biasanya host khusus (suatu ‘honeypot’) pada jaringan yang mendeteksi serangan dan menjauhkannya dari host lainnya pada jaringan tersebut

- Dapat berupa layanan aplikasi palsu pada host� Konsekuensi

99

� Konsekuensi- Penyerang masih berada di jaringan blocking; dan masih dapat melakukan serangan terhadap host lain

- Kemungkinan implikasi legal� Contoh:

- Deception Toolkit (DTK) mensimulasikan aplikasi pada host

- honeyd membuat host virtual bagi penyerang untuk diserang

IPS Examples

� Packet filtering- Hogwash drop packets that trigger rules- Snort_Inline drop packets that trigger rules- FWSnort convert Snort rules to IPtables rules

� IP blocking- SnortSAM melakukan block alamat IP berdasarkan peringatan dari snort

- PortSentry secara otomatis block alamat IP yang

100

- PortSentry secara otomatis block alamat IP yang melakukan port scan

� Deception- Deception Toolkit (DTK) mensimulasikan aplikasi pada host

- honeyd membuat host virtual bagi penyerang untuk diserang

Risks

� Penyerang dapat memperoleh informasi dari countermeasure- Keberadaan IPS pada jaringan- Tipe dari IPS- Sistem Operasi yang menjalankan IPS

� Penyerang masih dapat berhasil melakukan penyerangan jika terdapat delay yang cukup antara deteksi intrusi dengan countermeasure

� Jika IPS mem-block alamat IP atau trafik, penyerang masih dapat memanipulasi trafik untuk mencegah komunikasi antar host atau antar jaringan

101

jaringan� Should only be used against attacks with certain characteristics

(P. Proctor)- The attack is rare- The attack is catastrophic- The attack cannot be spoofed (to cause another attack)- The attack is positively identifiable as misuse

Conclusion

� Intrusi meningkat dengan cepat dan semakin sulit untuk dideteksi dengan menggunakan metode deteksi tradisional

� IDS mencari tanda-tanda penyerangan pada data di sistem dan melaporkannya pada administrator

� IDS didefinisikan oleh sistem yang dimonitor (host atau network) dan metode deteksinya. Terdapat beberapa metode deteksi, yang dapat deteksi data intrusi maupun data bukan intrusi

� IPS mencari tanda-tanda penyerangan pada data di sistem dan secara menyeluruh melakukan countermeasure. Hal ini merupakan tindak lanjut dari IDS yang hanya melaporkan terjadinya intrusi tetapi tidak

102

lanjut dari IDS yang hanya melaporkan terjadinya intrusi tetapi tidak menghentikannya

� Terdapat beberapa macam countermeasure pada network-based, yang dapat menghentikan trafik serangan atau menghentikan si penyerang

� Implementasi IPS memiliki beberapa resiko dari penggunaan countermeasure

Modul 19-20 Network Security

Documents

Transcript of Modul 19-20 Network Security