ISSN IS-ISU KEAMANAN CLOUD COMPUTING (Ali Ahmadi)

Jurnal Computech & Bisnis, Vol. 3, No. 2, Desember 2009, 76-83 ISSN 1978-9629 IS-ISU KEAMANAN CLOUD COMPUTING…………………………………………(Ali Ahmadi)

ISU-ISU KEAMANAN CLOUD COMPUTING Ali Ahmadi STMIK Mardira Indonesia, Bandung 40235

Abstract Cloud computing is an alternative model of the implementation and utilization of services related to Information Technology. This paradigm is touted to simplify the way procurement and purchasing IT products by the buyer, and also lighten the load shipments by vendor. However, there are a number of risks and constraints to adopt this model. Security is always associated the word with cloud computing. Some sources of security issues in the cloud is determined by its own cloud -based infrastructure network (internet). The basic concept of distributed computing cloud that contains the potential security vulnerabilities continues to be the study of the experts. The reason is distributed in cloud computing relies heavily on Internet technology. In this paper will try for reviews safety aspects related to the infrastructure and the implementation of cloud computing it. Keywords: Cloud Computing, Security

Abstrak Cloud computing adalah suatu alternatif model penyelenggaraan dan pemanfaatan layanan-layanan terkait Teknologi Informasi. Paradigma ini disebut-sebut dapat mempermudah cara pengadaan dan pembelian produk-produk IT oleh pembeli, serta memperingan pula beban pengiriman oleh vendor. Bagaimanapun juga, terdapat sejumlah resiko dan kendala untuk mengadopsi model ini. Security (keamanan) adalah kata yang selalu dikaitkan orang dengan cloud computing. Beberapa sumber masalah keamanan dalam cloud ditentukan oleh infrastruktur cloud sendiri yang berbasis jaringan (internet). Konsep dasar cloud yaitu distributed computing mengandung potensi kerawanan keamanan yang terus menerus menjadi kajian para ahli. Sebabnya adalah distributed computing dalam cloud sangat bergantung pada teknologi internet. Dalam paper ini akan coba diulas aspek-aspek keamanan terkait dengan infrastruktur maupun implementasi dari cloud computing itu sendiri. Kata kunci: Cloud Computing, Security, Keamanan *

76

Ahmadi, Isu-Isu Keamanan Cliud Computing 77 IS-ISU KEAMANAN CLOUD COMPUTING…………………………………………(Ali Ahmadi)

I. PENDAHULUAN 1.1 Latar Belakang Cloud computing adalah salah satu fenomena yang relatif baru dalam khazanah teknologi informasi. Vendor besar maupun kecil memberikan sambutan yang cukup antusias terhadap cloud computing. Bahkan vendor hardware pun ikut berlomba-lomba memperkenalkan teknologi atau konfigurasi baru pendukung cloud computing, misalnya AMD yang buru-buru mengklaim prosesor terbarunya ('Istanbul', codename dari Opteron 6-Core) sebagai prosesor terandal untuk mendukung virtualisasi sebagai salah satu komponen penting cloud computing2. Namun ditengah gegap gempitanya sambutan tersebut terbetik satu ucapan kritis dari seorang "pendekar besar" IT pada masa kini, Richard M. Stallmann, pendiri Free Software Foundation dan perumus GNU. "It's stupidity. It's worse than stupidity: it's a marketing hype campaign... The 55-year-old New Yorker said that computer users should be keen to keep their information in their own hands, rather than hand it over to a third party... Stallman, who is a staunch privacy advocate, advised users to stay local and stick with their own computers. "One reason you should not use web applications to do your computing is that you lose control," he said. "It's just as bad as using a proprietary program. Do your own computing on your own computer with your copy of a freedom-respecting program. If you use a proprietary program or somebody else's web server, you're defenceless. You're putty in the hands of whoever developed that software."3

2

http://www.amd.com/us/products/server/pr ocessors/six-core-opteron/Pages/six-coreopteron.aspx, 2 Desember 2009

Senada dengan Stallmann, Harian Guardian juga menyatakan kekhawatiran dari sejumlah pakar tentang "kenikmatan" yang ditawarkan oleh cloud computing4. Bagaimanapun juga, opini-opini miring tersebut sepertinya tidak akan menggoyahkan minat orang terhadapnya. Disamping karena memang adanya sejumlah kenyamanan yang ditawarkan, namun juga karena sejumlah pakar lain pun membela cloud computing, sehingga seolaholah masyarakat (calon pengguna) dan vendor mendapatkan pembenarannya. Oleh karena itu, mungkin perhatian yang lebih sebaiknya dicurahkan untuk meningkatkan pengetahuan tentang penggunaan cloud computing yang tetap dapat menjaga dan mengatasi kelemahan-kelemahan dari sisi security yang dikhawatirkan oleh para kritisi tersebut. Atas dasar hal-hal di atas, dalam makalah ini akan dicoba untuk dipelajari lebih jauh, bagaimana prinsip-prinsip security, terutama privacy dan confidentiality, diterapkan model-model cloud computing yang ada, sehingga dapat menjadi bahan pertimbangan, bagaimana cloud computing dapat diterapkan sambil menjawab tantangan-tantangan yang diberikan oleh para kritisi di atas. 1.2 Pengertian Cloud Computing Tak dapat dipungkiri bahwa penyebaran yang luar biasa teknologi WEB melalui internet turut mendorong laju perkembangan teknologi jaringan informasi. Saat ini internet bukan saja telah menjadi kebutuhan pokok dalam dunia komputasi, namun juga menjadi pendorong perubahan paradigma dalam teknologi komputasi. James Horton menyebutkan: The internet added simplicity and complexity to processing power, data storage and collaboration. Increasingly powerful servers used both by internet service providers and by enterprises provided faster

3

http://www.guardian.co.uk/technology/2008/sep /29/ cloud.computing.richard.stallman, 29 September 2009

4

http://www.guardian.co.uk/technology/2008/ sep/25/ computing.internet, 25 Sep 2009

78 Jurnal Computech & Bisnis, Vol. 3, No. 2, Desember 2009, 76-83

IS-ISU KEAMANAN CLOUD COMPUTING…………………………………………(Ali Ahmadi)

processing, more robust applications and faster collaborative work. They allowed centrality for data storage needed by all, while PCs continued to handle local data storage for individual needs. [8] Daya komputasi yang luar biasa besar dari server-server yang ada serta makin besarnya kapasitas jaringan internet yang bisa diakses publik di seluruh belahan dunia memunculkan paradigma komputasi terdistribusi yang melahirkan teknologi grid computing5 yang populer pada tahun 19992007 [12]. Dari teknologi grid inilah berkembang teknologi cloud computing6 yang mulai menjadi perhatian dunia IT pada tahun 2007 [1], [6]. Karena teknologi ini masih relatif baru, tak heran jika hingga saat ini definisi dan karakteristik cloud computing masih saja menjadi bahan diskusi di kalangan para ahli [3], [6], [8]. Distributed computing (komputasi terdistribusi) adalah katakunci untuk cloud computing. Malah menurut para ahli dari IEEE [2], paradigma komputasi terdistribusi itulah yang akan menjadi pokok penggunaan teknologi informasi pada abad 21. Hampir seluruh kegiatan delivery antara komponen cloud dilakukan melalui jaringan internet. Bahkan dapat dikatakan tidak ada cloud computing jika tidak ada internet [10:p28]. Secara umum, arsitektur internal cloud adalah sebagai berikut:

Gambar 1.1 Arsitektur Internal Cloud Computing [4] 5 6

untuk selanjutnya kadang akan ditulis grid saja untuk selanjutnya kadang akan ditulis cloud saja

Sedangkan sudut pandang cloud secara umum adalah sbb:

Gambar 1.2. Global view of cloud [7] 1.3 Cloud Computing dan Security Isu security menjadi selalu perhatian utama manakala orang berbicara tentang jaringan. Maka demikian pula bagi setiap organisasi yang ingin menggunakan cloud. Dalam [5] disebutkan: Organizations use cloud computing as a service infrastructure, critically like to examine the security and confidentiality issues for their business critical insensitive applications. Yet, guaranteeing the security of corporate data in the "cloud" is difficult, if not impossible, as they provide different services like Software as a service (SaaS), Platform as a service (PaaS), and Infrastructure as a service (IaaS). Each service has their own security issues. So the SLA has to describe different levels of security and their complexity based on the services to make the customer understand the security policies that are being implemented. Karena cloud melibatkan 2 (dua) pihak yang berbeda, yaitu organisasi client dan supplier, maka dalam SLA (Service Level Agreement) perlu disepakati isu-isu keamanan apa saja yang akan diimplementasikan dalam cloud yang akan digunakan. Disebutkan dalam [5]: Security is a particularly critical feature of any SLA. The customer must provide controlled physical and


logical access to its premises and information. Equally, the supplier must respect and comply with the Client’s security policies and procedures. Masih menurut [5], dalam SLA perlu disepakati beberapa hal yang untuk mengatasi masalah-masalah security, yaitu privileged user access, regulatory compliance, data location, data segregation, recovery, investigative support, dan long-term viability. 1.4 Aspek Keamanan dalam Cloud Beberapa hal yang terutama menjadi perhatian dari security control adalah privacy/confidentiality, integrity, availability, authority, authentication, dan sebagainya. Privacy/confidentiality sebagai aspek yang paling utama diperhatikan orang, justru menjadi „sasaran tembak‟ utama sebagai salah satu isu sensitif dalam cloud. Seperti kata Stallman di atas, “If you use a proprietary program or somebody else's web server, you're defenceless,” karena semua data dan aplikasi client disimpan oleh vendor. Selain itu, masalah network security dan application security juga perlu mendapat perhatian yang serius, karena cloud tidak dapat dilepaskan dari penggunaan jaringan. Karena pada dasarnya aplikasi cloud menggunakan arsitektur SOA, maka application level security juga harus diperhatikan. Secara keseluruhan, menurut [5], beberapa level yang perlu diperhatikan dalam cloud security, yaitu:  Server access security  Internet access security  Database access security  Data privacy security  Program access Security II. PERSOALAN KEAMANAN DALAM CLOUD

2.1 Sumber-sumber masalah keamanan cloud Beberapa hal yang sering menjadi masalah dalam keamanan cloud dinyatakan dalam [3] sbb: In cloud computing, a data center holds information that end-users would more traditionally have stored on their computers. This raises concerns regarding user privacy protection because users must outsource their data. Additionally, the move to centralized services could affect the privacy and security of users’ interactions. Security threats might happen in resource provisioning and during distributed application execution. Also, new threats are likely to emerge. For instance, hackers can use the virtualized infrastructure as a launching pad for new attacks. Cloud services should preserve data integrity and user privacy. At the same time, they should enhance interoperability across multiple cloud service providers. In this context, we must investigate new data-protection mechanisms to secure data privacy, resource security, and content copyrights. Dapat dirinci beberapa sumber masalahnya adalah:  outsourcing data dari client ke supplier, yang tetap mengharuskan integritas dan privasi user  centralized services yang memunculkan masalah privasi dan sekuriti  eksekusi aplikasi terdistribusi berbasis SOA  virtualized infrastructure yang potensial menjadi sasaran guesthopping attacks  interoperability antar berbagai penyedia layanan yang memunculkan lubang-lubang keamanan baru.



2.2 Masalah-masalah utama dalam keamanan cloud Menurut [9], terdapat 8 isu utama keamanan dalam cloud yaitu: 1. Loss Of Governance: dalam menggunakan cloud, klien harus menyerahkan kontrol ke Cloud Provider (CP), termasuk pada masalah-masalah keamanan. Sementara itu, mungkin CP tidak menawarkan SLA yang mengandung komitmen untuk menyediakan lananan tsb di sisi CP. Dengan demikian muncullah celah keamanan dalam cloud. 2. Lock-In: saat ini baru tersedia sedikit penawaran dalam hal alat, prosedur atau format data standar atau layanan antarmuka yang dapat menjamin portabilitas data, aplikasi dan layanan. Hal ini dapat menyulitkan pelanggan untuk berpindah dari satu vendor ke vendor yang lain, atau melakukan migrasi layanan data dan kembali ke dalam lingkungan IT internal. Tentu saja hal ini memunculkan ketergantungan pada CP tertentu untuk penyediaan layanan, terutama jika portabilitas data, sebagai aspek yang paling fundamental, tidak diaktifkan. 3. Isolation Failure: multi-vandor dan resource-sharing yang menjadi karakteristik cloud. Risiko ini antara lain mencakup kegagalan memisahkan mekanisme penyimpanan, memori, routing dan bahkan „reputasi‟ antara penyewa yang berbeda-beda dalam tiap CP, (misalnya, dalam kasus guesthopping attacks). Untungnya, untuk saat ini jenis-jenis serangan terhadap mekanisme isolasi (misalnya terhadap hypervisor) masih kurang banyak, dan jauh lebih sulit bagi diterapkan dibandingkan dengan serangan terhadap OS tradisional. Namun perlu untuk diperhatikan bahwa dengan semakin meluasnya

4.

5.

6.

7.

penggunaan cloud, risiko ini harus diperhitungkan. Compliance Risks: langkah-langkah untuk mendapatkan sertifikasi (misalnya, memenuhi standar industri atau persyaratan peraturan) dapat memunculkan pada risiko pada saat migrasi ke cloud:  jika CP sendiri tidak memenuhi standar-standar yang diinginkan  jika CP tidak mengijinkan audit standar dilakukan oleh pelanggan. Management Interface Compromise: antarmuka pengelolaan pelanggan dari CP dapat diakses melalui internet dan menyediakan sejumlah akses ke sumber daya yang lebih besar (daripada penyedia hosting tradisional). Hal ini menimbulkan peningkatan risiko keamanan, terutama jika dikombinasikan dengan remote-access dan melihat kerentanan sisi keamanan dari browser-browser web. Data Protection: cloud menimbulkan beberapa risiko perlindungan data pelanggan dan (bahkan) data CP. Dalam beberapa kasus, mungkin sulit bagi pelanggan awan (dalam perannya sebagai pengendali data) untuk memeriksa secara efektif praktek-praktek penanganan data awan dan dengan demikian CP harus memastikan bahwa data ini ditangani dengan cara yang benar. Masalah ini diperparah dalam kasus transfer beberapa data, misalnya, antara dalam cloud gabungan antar beberapa vendor. Insecure Or Incomplete Data Deletion: lazim dalam sebuah sistem operasi/database besar, permintaan untuk menghapus data tidak berarti „benar-benar menghapus data‟., seperti kebanyakan sistem operasi, hal ini tidak boleh ditampilkan di benar menghapus data. Penghapusan data jangka panjang juga mungkin tidak dapat dilakukan (atau malah


tidak diinginkan dari perspektif pelanggan). Seringkali pula disk yang akan dihancurkan juga menyimpan data dari klien lain. Dalam kasus multi-vendor dan reusability sumber daya perangkat keras, tentu saja hal ini memberikan risiko yang lebih tinggi kepada pelanggan 8. Malicious Insider: meskipun cukup jarang terjadi, efek kerusakan yang disebabkan oleh „malicius-insider‟ (orang dalam yang jahat) sering kali lebih besar. Arsitektur cloud memerlukan orang-orang dengan peran tertentu yang berisiko sangat tinggi. Misalnya administrator admin CP dan penyedia jasa keamanan sistem. III. MASALAH TEKNIS DALAM KEAMANAN CLOUD 3.1 Fondasi untuk teknis keamanan cloud Dalam [4] disebutkan 2 fondasi pokok untuk teknis keamanan dalam cloud, yaitu: 1. WS-Security Spesifikasi paling penting dalam menangani keamanan untuk Web Services adalah WS-Security, yang mendefinikan bagaimana menyediakan integritas, confidentiality, dan authentikasi untuk pesan-pesan berbasis SOAP. WS-Security mendefinisikan header SOAP yang menyertakan ekstensi WS-Security. Lebih jauh lagi, WSSecurity juga mengatur bagaimana standar keamanan untuk XML yang lain, yaitu XML Signature dan XML Encryption diterapkan dalam SOAP. Sebagai tambahan untuk enkripsi dan signature, WS-Security juga mendefinisikan security token untuk pengiriman digital ID, misalnya sertifikat X.509. 2. TLS (Transport Layer Security) TLS lebih dikenal dengan nama SSL (Secure Socket Layer) dikeluarkan oleh Netscape pada tahun 1996. SSL terdiri atas dua bagian pokok, yaitu:

 Record Layer yang mengenkripsi/dekripsi stream data TCP menggunakan algoritma dan kunci negosiasi dalam yang disimpan dalam layer kedua.  TLS-Hanshake yang menyediakan algoritma enkripsi/ dekripsi dan kucinya, serta mengotentikasi server (dan kadang klien). Saat ini SSL adalah protokol kriptografi yang paling penting dan paling luas digunakan, karena diterapkan dalam setiap browser web. 3.2 Beberapa permasalahan teknis keamanan cloud Masih dalam [4] diberikan contoh beberapa aspek teknis penanganan keamanan dalam cloud. 3.2.1 XML Signature Jenis serangan paling populer menggunakan XML Signature untuk otentikasi dan perlindungan integritas adalah XML Signature Element Wrapping. Tentu saja serangan ini dapat diterapkan pada WS-*, dan maka dengan demikian cloud juga terkena ancaman ini. Contoh serangan ini dapat dilihat pada gambar 4.1 dan 4.2

Gambar 4.1 Contoh pesan SOAP dengan SOAP-body yang telah „ditandatangani‟ [4]



Gambar 4.2 Contoh pesan SOAP yang telah diattack [4] 3.2.2 Keamanan Browser Dalam cloud, komputasi dilakukan di remote-server. PC klien hanya digunakan untuk keperluan I/O, serta untuk otentikasi dan otorisasi perintah yang dikirim ke cloud. Dalam hal ini, Browser Web adalah antarmuka yang digunakan secara luas karena bebas platform dan tidak bergantung I/O. Tren ini telah dapat diamati pada tahuntahun belakangan, dan telah disebut orang dengan istilah yang berbeda: Web applications, Web 2.0, atau Software as a Service (SaaS) Namun masalah keamanan browser, tentu saja menjadi perhatian yang serius. Secara umum dapat dikatakan bahwa pada saat ini protokol otentikasi berbasis browser untuk cloud belum dapat dikatakan aman, sebab (i) kebanyakan browser tidak menghasilkan sendiri security token berbasis XML (ii) FIM (Federated Identity Management System) menyimpan security-tokens di dalam browser, yang hanya dilindungi oleh SOP (Same Origin Policy) yang tidak aman. Contoh serangan terhadap browser untuk keperluan cloud disebutkan dalam [4]sbb: The realization of these security issues within browser-based protocols with Cloud Computing can best be explained using Federated Identity Management (FIM) protocols: Since the browser it self is unable to generate cryptographically valid XML tokens (e.g. SAML tokens) to authenticate against the Cloud, this is done with the help of a trusted third party. The prototype for this class of protocols is Microsoft’s Passport,

which has been broken by Slemko. If no direct login is possible at a server because the browser does not have the necessary credentials, an HTTP redirect is sent to the Passport login server, where the user can enter his credentials (e.g. username/password). The Passport server then translates this authentication into a Kerberos token, which is sent to the requesting server through another HTTP redirect. The main security problem with Passport is that these Kerberos tokens are not bound to the browser, and that they are only protected by the SOP. If an attacker can access these tokens, he can access all services of the victim. 3.2.3 Cloud Integrity and Binding Issues Tanggung jawab utama suatu sistem cloud computing termasuk mengelola dan mengkoordinasikan instances dari sejumlah virtual machines (IaaS) atau menggunakan implementasi eksplisit dari modul-modul layanan (PaaS). Atas permintaan dari setiap user, sistem cloud harus menyediakan suatu instance dari layanan-layanan yang diminta oleh user. Kemudian alamat untuk mengakses instance baru tsb dikomunikasikan kepada user yang meminta. Beberapa serangan yang dapat muncul di sini adalah, Cloud Malware Injection Attack dan Metadata Spooﬁng Attack. 3.2.4 Flooding Attacks Serangan ini dapat dilakukan pada server cloud dengan metode Direct Denial of Service dan Indirect Denial of Service. IV. KESIMPULAN Di samping potensi komputasi yang luar biasa, dda sangat banyak faktor keamanan yang dapat muncul dari implementasi cloud computing. Maka tidak heran, jika muncul pro dan kontra tentang masalah ini. Setiap vendor memiliki solusi keamanan yang berbeda-beda untuk setiap masalah. Oleh karena itu, salah satu yang terpenting dalam mengatasi masalah


keamanan cloud adalah pembuatan SLA yang jelas dan detil, sehingga berbagai aspek dan celah yang mungkin muncul dapat diminimalkan. DAFTAR ISTILAH (GLOSARY) Guest-Hoping Attacks: suatu teknik serangan keamanan dengan cara mengidentifikasi kemungkinan adanya dua mesin virtual yang terdapat pada hardware yang sama. Misalnya penyerang tertarik pada data dari mesin virtual A, tetapi tidak mampu menembus langsung mesin virtual A, maka ia akan mencoba untuk menembus mesin virtual B dan kemudian menggunakan „melompat‟ dengan fasilitas yang ada untuk memperoleh akses ke mesin virtual A. Hypervisor Attacks: Jenis serangan ini diarahkan pada hypervisor (platform penyedia virtualisasi) itu sendiri, yang merupakan dasar atau pendukung sistem operasi. Serangan ini memungkinkan penyerang memiliki akses langsung ke sistem perangkat keras, dan memanfaatkannya untuk menyerang semua akses antara berbagai sistem virtual dan perangkat keras. SLA: Service Level Agreement, adalah bagian dari kontrak layanan di mana berbagai-bagai tingkat layanan disepakati „hitam di atas putih‟. Dalam prakteknya, istilah SLA kadang-kadang digunakan untuk merujuk pada waktu pengiriman dan berbagai-bagai aspek kinerja layanan. DAFTAR PUSTAKA Jurnal/Majalah [1] Costanzo, Alexandre di, Marcos Dias de Assunção, dan Rajkumar Buyya. Harnessing Cloud Technologies for a Virtualized Distributed Computing Infrastructure, IEEE Internet Computing edisi 1089-7801/09, 2009, hal. 24-33 [2] Dikaiakos, Marios D. dan George Pallis, Cloud Computing: Distributed Internet Computing for IT and

[3]

[4]

[5]

[6]

Scientific Research, IEEE Internet Computing Edisi 1089-7801/09, 2009, hal. 10-13 Hoover, Nicholas dan Richard Martin, Demistifying the Cloud, Information Week Research and Report (online Magazine), edisi 23 Juni 2008, hal. 3037. Jensen, Meiko, Jörg Schwenk, Nils Gruschka, Luigi Lo Iacono, On Technical Security Issues in Cloud Computing, IEEE Computer Society, edisi 978-0-7695-3840-2/09, 2009, hal. 109-116 Kandukuri, Balachandra Reddy, Ramakrishna Paturi V, dan Dr. Atanu Rakshit, Cloud Security Issues, IEEE Computer Society, edisi 978-0-76953811-2/09, 2009, hal. 517-520 Vaquero, Luis M., Luis RoderoMerino, Juan Caceres, dan Maik Lindner, A Break in the Clouds: Towards a Cloud Definition, ACM SIGCOMM Computer Communication Review, Volume 39, Number 1, January 2009, hal. 50-55

Buku Teks [7] Miller, Michael, Cloud Computing: Web-Based Applications That Change the Way You Work and Collaborate Online, Que Publishing, Indianapolis, 2009 Website [8] Horton, James L, A Walk in the Cloud: Broadband Computing And Communications, http://www.onlinepr.com/Holding/Cloud_ Computing.pdf, diambil tgl 6 Desember 2009 [9] Cloud Computing Security Risk Assessment, Europan Network and Information Security Agency (ENISA), sumber: http://www.enisa.europa.eu/act/rm/file s/deliverables/cloud-computing-riskassessment/at_download/fullReport, didownload tgl 6 Desember 2009

ISSN IS-ISU KEAMANAN CLOUD COMPUTING (Ali Ahmadi)

Recommend Documents