KEAMANAN INFORMASI MENGGUNAKAN MODEL AAA DAN AUTO-LOGOUT PADA SISTEM INFORMASI VALUASI ATB LIPI

Seminar Nasional Teknologi Informasi dan Komunikasi 2015 (SENTIKA 2015) Yogyakarta, 28 Maret 2015

ISSN: 2089-9815

KEAMANAN INFORMASI MENGGUNAKAN MODEL AAA DAN AUTO-LOGOUT PADA SISTEM INFORMASI VALUASI ATB LIPI Prio Adi Ramadhani1, Harini Yaniar2 Pusat Inovasi - Lembaga Ilmu Pengetahuan Indonesia Jl. Raya Jakarta Bogor KM 47, Cibinong - Bogor 16912 Telp. (021) 8791 1777, Faks. (021) 8791 7221 E-mail: [email protected] / [email protected]

ABSTRAKS Sebagian besar kasus serangan terhadap keamanan informasi adalah akibat dari kelalaian pengguna sistem informasi, seperti meninggalkan komputer yang digunakan untuk mengakses sistem tanpa ada pengawasan. Dengan demikian dibutuhkan suatu sistem keamanan informasi yang bersifat mencegah terjadinya serangan. Paper ini menjelaskan desain dan penerapan sistem keamanan informasi menggunakan model Authenticaion, Authorization, and Accounting (AAA) yang berdampingan dengan fungsi auto-logout, yang mana model dan fungsi ini merupakan serangkaian proses pengendalian akses terhadap suatu sistem, dalam hal ini sistem informasi valuasi ATB LIPI. Kombinasi proses AAA akan ditindak lanjuti dengan proses auto-logout sebagai pengendalian berlapis oleh sistem yang akan mengeluarkan pengguna dari dalam sistem guna mencegah serangan keamanan dari/oleh orang dalam saat pengguna idle dalam jangka waktu yang telah ditentukan. Kata Kunci: Keamanan informasi, AAA, auto-logout 1.

PENDAHULUAN Beragam kemudahan yang ditawarkan oleh perkembangan teknologi informasi, salah satunya adalah sistem informasi berbasis web yang mampu menyediakan akses informasi dari jarak jauh dan terpusatnya pengolahan basis data sehingga dapat menghemat biaya, waktu, dan penggunaan kertas. Namun dibalik kelebihan tersebut juga terdapat celah-celah keamanan yang dapat mengakibatkan kerugian seperti pencurian, pengrusakan atau pengubahan informasi penting, dan penyalahgunaan kewenangan. Untuk mengatasi hal ini diperlukan suatu perancangan keamanan informasi yang efisien dan lebih bersifat mencegah dari sisi kesalahan yang dilakukan oleh pengguna, karena 95 persen insiden keamanan melibatkan “kelalaian manusia” (IBM Corporation, 2014). Jenis – jenis serangan keamanan seperti access attacks dan modification attacks sangat mudah dilakukan apabila pihak penyerang mendapati pengguna sistem lalai dalam menjaga informasi penting atau rahasia. Kesalahan pengguna yang tanpa disadari ini dapat mengakibatkan kerusakan yang fatal pada sistem informasi, selain itu juga akibatnya adalah kerugian finansial yang tidak sedikit jumlah nya. Pembahasan dalam paper ini akan ditekankan pada tindak pencegahan serangan keamanan informasi yang dapat diterapkan di dalam sistem. Istilah AAA yang merupakan singkatan dari Authentication, Authorization, and Accounting adalah salah satu cara yang tepat untuk mengontrol suatu sistem informasi sehingga dapat terhindar dari celah kemanan yang di kemudian hari dapat terjadi tanpa sepengetahuan administrator sistem maupun oleh pengguna.

Penetapan prosedur dan kebijakan sistem yang tepat akan mampu meminimalisir kerugian yang mungkin terjadi. Penggunaan AAA pada suatu sistem lebih mengarah pada pengendalian akses ke sistem tersebut. Proses authentication/otentikasi merupakan tahap awal untuk mengecek izin pengguna yang ingin memasuki sistem, secara umum setelah pengguna diberi izin maka proses authorization/otorisasi juga langsung berjalan dimana pengguna diberi hak untuk mengakses sesuai dengan otoritas yang diberikan, kemudian proses yang ketiga adalah accounting/penghitungan dimana dalam paper ini proses penghitungan dilakukan untuk menghitung lama waktu pengguna berada di dalam sistem. Kombinasi proses AAA kemudian akan ditindak lanjuti dengan proses auto-logout sebagai pengendalian berlapis oleh sistem untuk mencegah pencurian informasi saat pengguna idle dalam jangka waktu yang telah ditentukan. Proses autologout diharapkan mampu mengurangi kemungkinan tercurinya informasi penting saat pengguna lalai dalam menggunakan sistem informasi, hal ini didukung oleh data dari Vormetric dimana 59 persen ancaman keamanan pada sistem mereka adalah kesalahan murni tanpa maksud jahat (Vormetric, 2013). LIPI sebagai lembaga publik memiliki kewajiban untuk melaporkan semua aset yang dimilikinya baik aset berwujud maupun aset tak berwujud. Untuk memenuhi hal tersebut, LIPI telah membangun Sistem Informasi Valuasi Aset Tak Berwujud. Sistem ini dikembangkan bebasis web sehingga dapat diakses oleh pengguna (satuan kerja) di seluruh Indonesia.

378


Dilihat dari tingkat kepentingan dan kerahasiaan informasi yang ada pada sistem informasi valuasi ATB ini maka dibuat suatu rancangan keamanan informasi berlapis menggunakan AAA dan autologout. 2. PEMBAHASAN 2.1 Sistem Informasi Valuasi ATB LIPI Sistem Informasi Valuasi Aset Tak Berwujud (ATB) LIPI merupakan suatu sistem informasi yang dikembangkan untuk memberikan informasi hasil penilaian (valuasi) terhadap aset tak berwujud LIPI berupa Paten. Berikut ini adalah beberapa fitur yang disediakan: a. Fungsi Otentikasi pengguna menggunakan kombinasi NIP dan password. b. Fungsi Ubah password. c. One-click dropdown list paten berdasarkan satuan kerja petugas valuasi ATB. d. Pemberitahuan melalui email. e. Upload dokumen. f. Monitoring status valuasi ATB LIPI. Diagram blok dari alur kerja sistem informasi valuasi ATB LIPI dapat dilihat pada Gambar 1. Pendaftaran petugas valuasi ATB

Notifikasi Identitas Login

Login Petugas

Upload Hasil Scan

Persetujuan Kepala Satuan Kerja

Input Data Valuasi ATB

Gambar 1. Alur Kerja Sistem Informasi Valuasi ATB LIPI Penjelasan dari tiap tahapan pada alur kerja sistem informasi valuasi ATB sebagai berikut: a. Pendaftaran petugas valuasi ATB dilakukan oleh administrator sistem informasi valuasi ATB di Pusat Inovasi LIPI. b. Sesaat setelah petugas valuasi ATB didaftarkan maka sistem mengirimkan notifikasi yang berisi identitas untuk masuk/login ke dalam sistem kepada petugas valuasi ATB dan kepada kepala satuan kerja melalui email. c. Petugas valuasi ATB dapat masuk ke dalam sistem menggunakan identitas login yang telah dikirimkan. d. Kemudian petugas valuasi ATB memasukkan data-data yang diperlukan ke dalam sistem, dan secara otomatis penghitungan valuasi ATB dilakukan oleh sistem. e. Petugas valuasi ATB diwajibkan mencetak formulir hasil valuasi ATB kemudian mengunggah hasil scan formulir tersebut.

ISSN: 2089-9815

f.

Langkah terakhir adalah kepala satuan kerja menyetujui hasil perhitungan valuasi ATB melalui sistem informasi valuasi ATB. Selain dari alur proses yang berjalan dengan benar, data sebagai input pada sistem ini juga harus akurat sehingga sistem dapat menghasilkan informasi valuasi ATB yang benar. 2.2

Informasi Pada Sistem Valuasi ATB LIPI Informasi yang terdapat dalam Sistem Valuasi ATB terdiri dari data anggaran kegiatan penelitian, data karya tulis ilmiah, data prototipe dan data paten yang dihasilkan dari kegiatan penelitian dan pengembangan oleh satuan kerja LIPI. Data-data tersebut kemudian diolah sehingga menghasilkan informasi hasil penilaian (valuasi) ATB atas masingmasing paten yang diinputkan. Hasil penilaian tersebut sangat tergantung dari keempat data tersebut. Perubahan atas salah satu data akan sangat mempengaruhi pada penilaian. Perubahan pada hasil penilaian ini akan mengakibatkan perubahan proses pada sistem lain yaitu pencatatan aset Belanja Modal Negara (BMN) yang harus dilaporkan setiap tahunnya. Setiap proses input dan perubahan data dari pengguna (satuan kerja) harus melalui proses validasi atau pengesahan dari masing-masing pimpinan satuan kerja. Dengan demikian, pentingnya akurasi input data pada proses valuasi ATB ini perlu didukung oleh sistem keamanan informasi yang mampu melindungi sistem dari serangan keamanan. 2.3

Keamanan Informasi Valuasi ATB LIPI Keamanan informasi adalah perlindungan terhadap informasi dari berbagai ancaman (Debra Box et al., 2014). Informasi merupakan aset yang sangat bernilai, apabila terjadi penyalahgunaan terhadap suatu informasi penting maka akan mengakibatkan kekacauan. Maka dari itu perlindungan terhadap informasi menjadi hal yang mutlak harus dilakukan. Tujuan umum keamanan informasi adalah ‘pemeliharaan kerahasiaan, integritas dan ketersediaan informasi’ dan termasuk istilah-istilah seperti akuntabilitas pengguna, otentikasi, non-penolakan dan keandalan (ISO27002, 2008). Keamanan informasi pada suatu sistem informasi dimana sistem ini dapat diakses secara online dan realtime menjadi sangat diperhatikan karena jangkauan akses ke sistem ini sangat luas, yaitu seluruh dunia. Tanpa adanya sistem keamanan informasi yang memadai sama saja hal nya dengan membuka lebar peluang penyerang untuk menyerang sistem informasi yang telah dibangun. Sistem keamanan yang digunakan pada Sistem Informasi Valuasi ATB saat ini adalah sistem otentifikasi pengguna dan pembatasan hak khusus (privilege) pengguna. Sistem otentifikasi pengguna yaitu otentifikasi saat memasuki sistem, yaitu dengan memasukkan 379


kombinasi NIP dan password yang dimiliki oleh masing-masing pengguna. Kombinasi tersebut dicocokkan dengan data yang telah terekam di dalam basis data, dan apabila ditemukan kecocokan maka pengguna dapat memasuki sistem. Sistem pembatasan hak khusus (privilege) pengguna adalah pembatasan akses data/informasi bagi pengguna. Ketika pengguna memasukkan data ke dalam sistem informasi valuasi ATB, maka secara otomatis data tersebut tersimpan di dalam basis data, dan pengguna sewaktu-waktu dapat melihat kembali data tersebut. Pengguna tidak diberikan akses utnuk mengubah data yang telah dimasukkan sebelum mendapatkan izin oleh administrator sistem. Proses untuk mendapatkan izin ini tidak dibahas di dalam paper ini. Namun untuk menghindari terjadinya kesalahan saat memasukkan data, sistem akan meminta konfirmasi kepada pengguna sebelum data disimpan ke dalam basis data. 2.4

Celah Kemanan Informasi Valuasi ATB LIPI Suatu sistem yang di dalamnya berisi data dan informasi penting sudah sepantasnya memiliki sistem kemanan tersendiri. Terlebih lagi jika suatu sistem dapat diakses melalui internet, celah keamanan yang terdapat pada sistem tersebut semakin terbuka lebar. Kerentanan akibat kelemahan-kelemahan dalam sebuah sistem dapat dieksploitasi oleh pihak penyerang yang kemudian bisa memberikan dampak yang berbahaya (Jouini et al., 2014). Ancaman datang dari sumber yang berbeda-beda, salah satunya adalah aksi dari manusia (humanmade actions) yang dapat terjadi secara tidak sengaja atau yang disengaja (Jouini et al., 2014). Pada tahun 2014 lalu, sebanyak 31 persen gangguan keamanan terburuk terjadi akibat kelengahan/ ketidak-sengajaan manusia (BIS, 2014). Beberapa celah keamanan pada sistem informasi valuasi ATB LIPI yaitu belum diterapkannya sistem keamanan yang memadai dan kemungkinan lalai nya petugas valusi ATB disaat mengakses sistem. Proses otentikasi petugas valuasi ATB LIPI untuk memasuki sistem saat ini hanya menggunakan pencocokan NIP dan password dengan data yang terekam di dalam basis data. Di suatu kondisi tertentu dimana password login ini diketahui oleh orang lain yang mempunyai niat tidak baik maka sistem tidak dapat mencegah terjadinya pengrusakan, pencurian, dan pengubahan data-data penting. Dan pada suatu kondisi tertentu lainnya, dimana petugas valuasi ATB LIPI meninggalkan komputer/perangkat yang digunakannya saat sedang masuk ke dalam sistem informasi valuasi ATB LIPI tanpa ada pengawasan sama sekali, maka dapat terjadi pengubahan/penghapusan data penting yang tidak diinginkan.

ISSN: 2089-9815

Pengetahuan tentang celah keamanan dapat dimanfaatkan oleh karyawan nakal melalui akses ke perangkat komputer yang disediakan oleh organisasi (Willison et al., 2013). Willison dan Warkentin menjelaskan pembagian ancaman berdasarkan sumber, pelaku, dan niat terhadap sistem informasi, dimana ancaman terhadap sistem informasi yang berasal dari dalam terbagi dua yaitu manusia (human) dan non-manusia (nonhuman), begitu juga yang berasal dari luar. Jika dilihat dari niat penyerang oleh manusia yang berasal dari dalam dibagi menjadi tiga yaitu: a. Pasif - tidak atas kemauan sendiri, yaitu perbuatan yang dilakukan tanpa unsur kesengajaan seperti kekeliruan memasukkan data dan kesalahan dalam pengoperasian sistem. b. Kemauan sendiri tapi tidak dengan maksud jahat, yaitu perbuatan yang dilakukan tanpa mementingkan keamanan, contohnya adalah meninggalkan komputer tanpa ada pengawasan, dan tidak mengganti password secara berkala. c. Sengaja – pengrusakan dengan maksud jahat, yaitu tindakan yang sengaja dilakukan untuk menyerang sistem, contohnya yaitu sabotase sistem, pengrusakan atau pencurian data, dan pelanggaran kebijakan keamanan dengan sengaja (Willison et al., 2013). Data dari tahun 2012-2014 menunjukkan peningkatan tingkat prioritas terhadap keamanan informasi bagi pimpinan puncak pada lembaga di seluruh dunia yaitu berturut-turut dari tahun 2012 sebanyak 27 persen, tahun 2013 sebanyak 30 persen, tahun 2014 sebanyak 31 persen yang memberikan prioritas sangat tinggi terhadap keamanan informasi (BIS, 2014). 2.5

Faktor Kelalaian Manusia Di dalam paper ini sangat menekankan isu tentang ancaman terhadap keamanan informasi yang diakibatkan oleh kelalaian manusia, lebih khususnya yaitu kelalaian pengguna sistem informasi valuasi ATB LIPI. Keamanan informasi belum mendapat perhatian yang cukup pada literatur untuk menjelaskan pengaruh faktor manusia (Metalidou et al., 2014). Seperti yang telah dijelaskan sebelumnya, sebagian besar kasus serangan terhadap keamanan informasi adalah akibat dari lalainya pengguna sistem informasi, seperti meninggalkan komputer yang digunakan untuk mengakses sistem tanpa ada pengawasan. Hal ini dapat mengakibatkan keamanan sistem menjadi sangat rentan terhadap serangan keamanan. Kurangnya kesadaran terhadap keamanan sistem berhubungan dengan kurangnya pengetahuan umum tentang serangan (Metalidou et al., 2014). Pengrusakan, pencurian, dan pengubahan data-data penting sangat mudah untuk dilakukan apabila 380


pengguna lalai. Faktor kelalaian manusia sangat erat hubungannya dengan istilah rekayasa sosial (social engineering). Seperti yang dikatakan oleh Pramod Damle, rekayasa sosial adalah mendapatkan informasi rahasia atau hak akses tanpa izin dengan cara membangun kepercayaan yang tidak baik dengan orang dalam (Damle, 2002). Pihak penyerang (attackers), menggunakan rekayasa sosial, berusaha untuk mendapatkan informasi yang sensitif atau bersifat rahasia, menargetkan kerentanan manusia - yaitu, lemahnya keamanan organisasi disebabkan oleh karakteristik dan perilaku orang nya (Metalidou et al., 2014). Apabila informasi rahasia seperti password tidak dijaga dengan baik oleh pengguna maka pihak penyerang pun akan dengan mudah untuk masuk ke dalam sistem dan mengubah data-data penting, termasuk mengubah password itu sendiri sehingga pengguna yang sah tidak dapat masuk ke dalam sistem. Kehilangan perangkat komputer atau alat lainnya yang digunakan pengguna untuk mengakses sistem juga menjadi ancaman yang berbahaya. Hal ini harus menjadi perhatian serius, sebab berdasarkan Data Breach Investigation Report (DBIR) yang telah meneliti lebih dari 100.000 gangguan keamanan selama satu dekade terakhir, dimana 81 persen gangguan keamanan terdiri dari 27 persen miscellaneous error, 19 persen penyalahgunaan oleh orang dalam, 19 persen crimeware, dan 16 persen pencurian/kehilangan secara fisik (Harding, 2014). Salah satu cara untuk mengatasi gangguan keamanan sistem tersebut adalah dengan menyediakan sistem keamanan otomatis pada sistem. Sistem keamanan otomatis diantaranya adalah penerapan model Authentication, Authorization, and Accounting (AAA) dan AutoLogout. Desain dan Penerapan Model AAA Dan Auto-logout Desain sistem keamanan yang diterapkan pada sistem informasi valuasi ATB LIPI yaitu berupa kombinasi model AAA dengan fungsi auto-logout. Model keamanan sistem AAA merupakan serangkaian proses pengendalian akses terhadap suatu sistem, dalam hal ini sistem informasi valuasi ATB LIPI. Pengendalian akses diterapkan pada pengguna sistem dalam hal ini petugas valuasi ATB LIPI. Terdapat 4 (empat) proses perlindungan kemananan pada sistem, yaitu Authentication/Otentikasi, Authorization/Otorisasi, Accounting/Penghitungan dan Auto-Logout. Pada Gambar 2 berikut ini adalah gambaran proses di dalam sistem saat menjalankan model AAA dan auto-logout.

ISSN: 2089-9815

Mulai

Pengguna masuk (log-in) ke dalam sistem Proses authentication/ otentikasi Proses authorization/ otorisasi Proses accounting/ penghitungan tahap 1

Pengguna Aktif atau Idle?

Aktif

Idle Proses accounting/ penghitungan tahap 2

Aktif

Pengguna Aktif atau Idle?

Idle

Proses Auto-Logout (pengguna keluar dari sistem)

Selesai

Gambar 2. Proses Di Dalam Sistem Saat Menjalankan Model AAA Dan Auto-Logout

2.6

2.6.1 Authentication/Otentikasi Untuk dapat masuk ke sistem pengguna diharuskan melakukan login dengan identitas berupa NIP dan password. Proses pertama dari model AAA terjadi di sini, yaitu saat pengguna login kedalam sistem maka proses authentication/otentikasi dijalankan guna mencocokkan identitas yang dimasukkan oleh pengguna dengan identitas yang terekam di dalam basis data. Penggunaan NIP dan password dalam proses authentication/otentikasi termasuk kedalam single-factor authentication yaitu faktor pengetahuan (knowledge factor). Proses ini merupakan garda awal bagi sistem untuk melindungi diri dari pengguna yang tidak seharusnya berada di dalam sistem. NIP singkatan dari Nomor Induk Pegawai merupakan sederetan angka yang telah dimiliki oleh setiap pegawai LIPI yang tersimpan di basis data terpusat, sedangkan password adalah 381


kombinasi huruf/simbol/angka yang digenerate otomatis oleh sistem saat proses awal pendaftaran petugas valuasi ATB LIPI. NIP tidak akan dapat diubah kecuali ada ketentuan dari Badan Kepegawaian Negara Republik Indonesia, namun untuk password dapat diubah secara mandiri oleh petugas valuasi ATB LIPI melalui menu di dalam sistem informasi valuasi ATB LIPI. Pengubahan password agar tidak sama dengan password yang digenerate adalah sangat dianjurkan, mengingat kombinasinya yang relatif sulit untuk diingat. Pengubahan password akan berhasil saat sudah dikonfirmasi oleh administrator sistem valuasi ATB LIPI. Proses authentication/otentikasi pada sistem informasi valuasi ATB LIPI dapat dilihat pada Gambar 3 berikut ini.

ISSN: 2089-9815

berupa data satuan kerja sehingga pengguna diberi otoritas dalam mengakses informasi yang berada di dalam sistem sesuai batasan yang telah ditetapkan oleh sistem itu sendiri. Dalam suatu kondisi tertentu apabila terjadi serangan keamanan, dimana penyerang berhasil masuk ke sistem tanpa melalui proses authentication/otentikasi sebelumnya, maka dengan adanya proses authorization/otorisasi penyerang tersebut tidak dapat mengakses data atau informasi yang ada di dalam sistem karena penyerang tidak memiliki identitas yang digunakan sistem untuk memberikan otoritas kepada pengguna yang sah. Pada Gambar 4 berikut dijelaskan proses authorization/otorisasi pada sistem informasi valuasi ATB LIPI. Mulai

Mulai

Petugas Valuasi ATB LIPI memasukkan NIP dan Password

Apakah pengguna terotentikasi?

Tidak

Sistem menutup akses terhadap semua data

Ya Pencocokan data yang dimasukkan dengan data dalam basis data

Sistem memberikan akses sesuai hak akses/ otoritas petugas valuasi ATB LIPI

Selesai Apakah cocok?

Tidak

Ya Sistem mengizinkan petugas valuasi ATB LIPI untuk masuk ke sistem

Selesai

Gambar 3. Proses Authentication/Otentikasi Pada Sistem Informasi Valuasi ATB LIPI 2.6.2 Authorization/Otorisasi Otorisasi merupakan suatu proses pencocokan identitas pengguna pada sistem. Apabila sistem menemukan kecocokan identitas maka sistem akan memberi izin kepada pengguna untuk masuk. Seiring berjalannya proses authentication/otentikasi maka proses selanjutnya yaitu authorization/otorisasi juga ikut berjalan, dimana pada basis data telah terekam identitas pengguna

Gambar 4. Proses Authorization/Otorisasi Sistem Informasi Valuasi ATB LIPI 2.6.3 Accounting/Penghitungan Setelah dua proses awal dijalankan, proses selanjutnya adalah accounting/penghitungan lama waktu pengguna berada di dalam sistem. Penghitungan waktu ini digunakan untuk membatasi lamanya seorang pengguna saat idle, yaitu saat tidak ada aktivitas yang dilakukan terhadap sistem. Penetapan lamanya waktu penghitungan pada paper ini berdasarkan analisa dari beberapa referensi berikut: a. Microsoft dalam produknya Microsoft Outlook Web Access Clients, memberikan waktu standar batas waktu idle pengguna adalah 10 menit untuk komputer publik (public computers), dengan rentang waktu 19.999 menit (Microsoft, 2015). b. IBM dalam produk sistem operasi nya yaitu IBM i, menetapkan rentang waktu yang diizinkan untuk pengaturan batas waktu idle pengguna adalah 5-300 menit (Ryan, 2009). c. Fortinet dalam produk nya yang bernama FortiGate memberikan rentang waktu untuk 382


pengaturan batas waktu idle pengguna selama 15-300 detik (Fortinet, 2015). d. Cisco, dalam produknya yang memiliki fungsi dialer-capable untuk antar-muka ISDN maupun Async, mengatur standar batas waktu idle pengguna selama 120 detik (Cisco Systems Inc., 2010). e. Juniper Networks, dalam produk sistem operasi nya yaitu JUNOSe 10.3 memberikan rentang waktu untuk pengaturan batas waktu idle bagi pengguna B-RAS PPP yaitu 30086400 detik (Juniper Networks, 2010). f. Clay Johnson III dalam Memorandum For The Heads Of Departments And Agencies pada poin ketiga rekomendasinya menyebutkan bahwa semua departemen dan instansi direkomendasikan menggunakan fungsi “time-out” untuk akses jarak jauh dan perangkat seluler, dimana diharuskan untuk autentikasi ulang setelah 30 menit ketidakaktifan/idle (Johnson III, 2006) g. Karen Scarfone et al dalam publikasi yang berjudul Guide to Enterprise Telework and Remote Access Security menyatakan bahwa salah satu langkah keamanan dalam pekerjaan jarak jauh (telework) adalah menerapkan penguncian sesi untuk mencegah akses ke PC setelah diam/idle selama jangka waktu tertentu (misalnya 15 menit) atau memperbolehkan pengguna untuk mengunci sesi saat dibutuhkan. Berdasarkan referensi poin (a) sampai (g) di atas, dapat dilihat bahwa penetapan batas waktu idle bagi pengguna di dalam suatu sistem atau aplikasi tidak ada ketentuan standarnya, berapa lamanya batas waktu tersebut disesuaikan dengan kebutuhan masing-masing sistem. Kemudian menurut Kapusta et al, estimasi batas waktu session pada portal bank komersial adalah rata-rata 112 detik, dan batas maksimum nya adalah 126 detik (Kapusta et al, 2014). Dalam paper ini penetapan batas waktu idle yang diproses pada tahap accounting/penghitungan secara total adalah selama 130 detik, dimana 10 detik pertama adalah inisiasi untuk penghitungan tahap pertama kemudian dilanjutkan penghitungan selama 120 detik untuk proses penghitungan tahap kedua. Batas waktu idle bagi pengguna dalam Sistem Informasi Valuasi ATB LIPI ini ditetapkan dengan mengasumsikan bahwa petugas yang memasuki sistem seharusnya sudah mempersiapkan data-data yang harus dimasukkan kedalam sistem, jadi apabila petugas tersebut idle dalam waktu 10 + 120 detik maka dianggap sudah tidak berkepentingan untuk beraktivitas di dalam Sistem Informasi Valuasi ATB LIPI.

ISSN: 2089-9815

penghitungan tahap kedua, sistem kembali mengecek apakah pengguna dalam keadaan aktif atau dalam keadaan idle. Jika setelah penghitungan tahap kedua selesai dan pengguna dalam keadaan idle maka sistem langsung mengeksekusi proses auto-logout sehingga pengguna keluar dari sistem. Rangkaian proses AAA dan dilanjutkan dengan proses auto-logout merupakan sistem keamanan utama dalam sistem informasi valuasi ATB LIPI untuk mencegah terjadinya pengrusakan, pencurian, dan/atau pengubahan data-data penting akibat kelalaian manusia. Sistem informasi valuasi ATB LIPI dibangun menggunakan bahasa pemrograman PHP, HTML, dan Javascript, sedangkan basis data yang digunakan adalah MySQL. Dalam penerapannya, fungsi autologout menggunakan bahasa pemrograman Javascript. Pseudocode fungsi auto-logout dapat dilihat pada Gambar 5. Function automated timer = 0 //time in millisecond timer = setInterval(10000) IF idle timer = setInterval(120000) IF idle auto_logout ELSE timer = setInterval(10000) ENDIF ELSE automated ENDIF

Gambar 5. Pseudocode Fungsi Auto-Logout 2.7

Pengujian Alpha Dalam paper ini dilakukan Pengujian alpha, khususnya pengujian jenis white box terhadap penerapan desain model authentication, authorization, and accounting (AAA) dan autologout.

2.6.4 Auto-Logout Model AAA dalam paper ini diterapkan berdampingan dengan proses auto-logout. Saat 383


2.7.1 Rencana Pengujian Rencana pengujian dapat dilihat pada Tabel 1 berikut. Tabel 1. Rencana Pengujian Tahapan Yang Diuji

Authentication/ Otentikasi

Authorization/ Otentikasi

Detail pengujian Identitas login cocok dengan data pada basis data Identitas login tidak cocok dengan data pada basis data Pengguna terotentikasi

Pengguna tidak terotentikasi Penghitungan tahap 1 Accounting/ Penghitungan

Auto-logout

Penghitungan tahap 2 Pengguna ‘idle’ selama penghitungan tahap 1&2 Pengguna ‘aktif’ selama penghitungan tahap 1 saja Pengguna ‘aktif’ selama penghitungan tahap 2

Butir uji Pengguna mendapat izin untuk masuk kedalam sistem Pengguna tidak diizinkan masuk kedalam sistem Pemberian akses data kepada pengguna sesuai hak akses Penutupan seluruh akses data Penghitungan session selama 10 detik Penghitungan session selama 120 detik Pengguna keluar dari sistem secara otomatis Pengguna keluar dari sistem secara otomatis Pengguna keluar dari sistem secara otomatis

Jenis Pengujian White Box

White Box

White Box

White Box

White Box

NIP Benar; Password Salah

Data Masukan Pengguna terotentikasi

White Box

White Box

Hasil Pengamatan Berjalan sesuai yang diharapkan

Kesimpulan

Berjalan sesuai yang diharapkan

Berhasil

ke dalam sistem informasi valuasi ATB LIPI Petugas valuasi ATB LIPI tidak dapat masuk ke dalam sistem informasi valuasi ATB LIPI Petugas valuasi ATB LIPI tidak dapat masuk ke dalam sistem informasi valuasi ATB LIPI


Berhasil


Berhasil

Tabel 3. Hasil Pengujian White Box Untuk Tahapan Authorization/Otorisasi

White Box

Tabel 2. Hasil Pengujian White Box Untuk Tahapan Authentication/Otentikasi Yang Diharapkan Petugas valuasi ATB LIPI dapat masuk ke dalam sistem informasi valuasi ATB LIPI Petugas valuasi ATB LIPI tidak dapat masuk

NIP Salah; Password Salah

White Box

2.7.2 Kasus dan Hasil Pengujian Berikut adalah kasus dan hasil pengujian yang dilakukan terhadap penerapan desain model authentication, authorization, and accounting (AAA) dan auto-logout berdasarkan rencana pengujian yang telah dibuat, yang dapat dilihat pada Tabel 2, Tabel 3, Tabel 4, dan Tabel 5.

Data Masukan NIP Benar; Password Benar

NIP Salah; Password Benar

ISSN: 2089-9815

Pengguna tidak terotentikasi

Yang Diharapkan Petugas valuasi ATB LIPI dapat mengakses data-data di dalam sistem informasi valuasi ATB LIPI Pengguna tidak mendapatkan akses data sama sekali


Kesimpulan


Berhasil

Berhasil

Tabel 4. Hasil Pengujian White Box Untuk Tahapan Accounting/Penghitungan Data Masukan Penghitungan tahap 1

Penghitungan tahap 2

Berhasil

384

Yang Diharapkan Sistem menghitung waktu session pengguna di dalam sistem selama 10000 millisecond Sistem menghitung waktu session pengguna di dalam sistem selama 120000 millisecond


Kesimpulan


Berhasil

Berhasil


Tabel 5. Hasil Pengujian White Box Untuk Tahapan Auto-Logout Data Masukan Pengguna ‘idle’ selama penghitungan tahap 1&2

Pengguna ‘aktif’ selama penghitungan tahap 1 saja

Pengguna ‘aktif’ selama penghitungan tahap 2

Yang Diharapkan Setelah 130 detik idle, petugas valuasi ATB LIPI keluar dari sistem secara otomatis Setelah 130 detik + (waktu mulai ‘aktif’ pada penghitungan tahap 1), petugas valuasi ATB LIPI keluar dari sistem secara otomatis Setelah 130 detik + 10 detik + (waktu mulai ‘aktif’ pada penghitungan tahap 2), petugas valuasi ATB LIPI keluar dari sistem secara otomatis


Kesimpulan


Berhasil

Berhasil

ISSN: 2089-9815

berdasarkan kepentingan yang harus dilakukan petugas valuasi ATB LIPI di dalam sistem informasi valuasi ATB LIPI. Proses persiapan dokumen dan proses memasukkan data valuasi ATB LIPI berada pada rentang waktu 90 – 120 detik, jadi setelah kepentingannya di dalam sistem informasi valuasi ATB LIPI telah selesai seharusnya petugas valuasi ATB LIPI keluar dari sistem, guna menghindari kelalaian. Desain keamanan dengan model AAA dan auto-logout khusus dirancang untuk mengantisipasi terjadinya kelalaian petugas valuasi ATB LIPI seperti meninggalkan sistem informasi valuasi ATB dalam kondisi logged-in, sehingga dalam batas waktu 10 detik inisiasi ditambah 120 detik penghitungan tahap 2 petugas valuasi ATB LIPI akan keluar dari sistem secara otomatis. 3.


Berhasil

Algoritma yang diterapkan semuanya berjalan sesuai yang seharusnya, baik itu algoritma untuk model AAA maupun auto-logout. Pada tahap authorization/otorisasi dimana sebelumnya pengguna harus melewati tahap authentication/otentikasi, meskipun di suatu kondisi pengguna yang masuk ke sistem tidak terotentikasi maka pengguna tersebut tidak akan diberikan akses terhadap data/informasi yang berada di dalam sistem. Kondisi seperti ini dapat terjadi apabila pihak penyerang berhasil menerobos sistem tanpa melalui tahap authentication/otentikasi dan menggunakan identitas yang tidak dikenali oleh sistem. Kemudian proses accounting/penghitungan tahap 1 dan tahap 2 berjalan dengan tepat yaitu dengan penghitungan selama 10000 ms (10 detik) dan 120000 ms (120 detik), proses ini berjalan tepat saat pengguna masuk ke dalam sistem, dan penghitungan session pengguna akan diulangi dari awal apabila browser/tab ditutup dan dibuka kembali. Proses auto-logout yang dieksekusi tepat setelah proses penghitungan mencapai batas waktu yang telah ditetapkan, yaitu minimal 130 detik setelah pengguna masuk ke sistem. Penetapan waktu inisiasi oleh penulis untuk penghitungan tahap 1 selama 10 detik dan penghitungan tahap 2 selama 120 detik ditentukan

KESIMPULAN Penerapan desain sistem keamanan pada sistem informasi valuasi ATB menggunakan model AAA dan auto-logout berhasil berjalan dengan baik sesuai yang diharapkan. Dengan tingkat keberhasilan pengujian alpha – white box untuk tiap proses pada model AAA yaitu atuhentication/otentikasi, authorization/otorisasi, accounting/penghitungan, dan auto-logout sebesar 100 persen menunjukkan penerapan sistem keamanan ini memungkinkan untuk diterapkan di sistem informasi lainnya guna mencegah terjadinya serangan keamanan akibat kelalaian pengguna oleh pihak dalam. Penggunaan fungsi auto-logout pada sistem informasi valuasi ATB LIPI ditujukan agar petugas valuasi ATB LIPI memasuki sistem hanya saat diperlukan saja, karena waktu total penghitungan selama 130 detik merupakan waktu yang cukup singkat apabila tidak digunakan untuk kepentingan proses valuasi ATB LIPI. Untuk saat ini proses authentication/otentikasi menggunakan single-factor authentication namun kedepannya akan dikembangkan two-factor authentication yaitu faktor kepunyaan (contoh: token). PUSTAKA BIS. 2014. 2014 Information Security Breaches Survey, (Online), (http://www.pwc.co.uk/assets/pdf/cyber-security2014-technical-report.pdf, diakses 22 Januari 2015). Box, D., Pottas, D. 2014. A Model For Information Security Compliant Behaviour In The Healthcare Context,(Online), (http://www.sciencedirect.com/science/article/pii /S2212017314003934, diakses 5 Januari 2015). Cisco Systems Inc. 2010. Understanding And Troubleshooting Idle Timeouts, (Online), (http://www.cisco.com/c/en/us/support/docs/dialaccess/dial-on-demand-routing-ddr/23423-idletimeout.html, diakses 20 Februari 2015). 385


Damle, P. 2002. Social Engineering: A Tip Of The Iceberg. Information Systems Control Journal, (Online), Volume 2, (http://www.isaca.org/Journal/PastIssues/2002/Volume-2/Pages/SocialEngineering-A-Tip-of-the-Iceberg.aspx, diakses 23 Januari 2015). Fortinet. 2015. Configurable idle timeout for console admin login sessions, (Online), (http://docslegacy.fortinet.com/fos50hlp/50/index.html#page /FortiOS%205.0%20Help/new-features5.0.4.005.28.html, diakses 19 Februari 2015). Harding, A. 1 Oktober 2014. Human Resources And Training Departments Key To Securing The Human. SANS Press Announcement, (Online), (https://www.sans.org/press/announcement/2014/ 10/01/1, diakses 23 Januari 2015). IBM Corporation. 2014. IBM Security Services 2014 Cyber Security Intelligence Index, (Online), (http://www.slideshare.net/ibmsecurity/2014cyber-security-intelligence-index, diakses 20 Januari 2015). ISO27002. ISO/IEC 27002 Information Technology – Security Techniques – Code of Practice for Information Security Management. Geneva: 2008. Johnson III, C. 2006. Memorandum For The Heads Of Departments And Agencies, (Online), (http://www.whitehouse.gov/sites/default/files/o mb/memoranda/fy2006/m06-16.pdf, diakses 19 Februari 2015). Jouini, M., Rabai, L.B.A & Aissa, A.B. 2014. Classification Of Security Threats In Information Systems,(Online), (http://, diakses 5 Januari 2015). Juniper Networks. 2010. AAA Timeout, (Online), (https://www.juniper.net/techpubs/en_US/junose 10.3/information-products/topiccollections/command-reference-a-m/aaatimeout.html, diakses 19 Februari 2015). Kapusta, J., Munk, M., Svec, P., Pilkova, A. 2014. Determining the time window threshold to identify user sessions of stakeholders of a commercial bank portal, (Online), (http://www.sciencedirect.com/science/article/pii /S1877050914003408, diakses 18 Februari 2015). Metalidou, E., Marinagi, C., Trivellas, P., Eberhagen, N., Skourlas, C., Giannakopulos, G. 2014. The Human Factor of Information Security: Unintentional Damage Perspective. Social and Behavioral Sciences, (Online), Volume 147, (http://www.sciencedirect.com/science/article/pii /S1877042814040440, diakses 26 Januari 2015). Microsoft. 2015. Configuring The Idle Session TimeOut Period For Outlook Web Access Clients, (Online), (https://technet.microsoft.com/enus/library/cc995140.aspx, diakses 19 Februari 2015).

ISSN: 2089-9815

Ramadhani, A.P. ([email protected]). 26 Januari 2015. Request For Article: Beyond Deterrence: An Expanded View Of Employee Computer Abuse. E-mail kepada Merrill Warkentin ([email protected]). Ryan, M. 2009. Using Session Timeouts To Control Unauthorized Activity, (Online), (http://www.ibmsystemsmag.com/ibmi/administr ator/security/Security---Using-Session-Timeoutsto-Control-Unaut/?page=2, diakses 19 Februari 2015). Scarfone, K., Hoffman, P., Souppaya, M. 2009. Guide To Enterprise Telework And Remote Access Security, (Online), (http://csrc.nist.gov/publications/nistpubs/80046-rev1/sp800-46r1.pdf, diakses 19 Februari 2015). Vormetric. 2013. The Insider Threat, How Privileged Users Put Critical Data at Risk, (Online), (http://www.vormetric.com/sites/default/files/wp _vormetric-Insider-Threat-V4.pdf, diakses 20 Januari 2015).

386

KEAMANAN INFORMASI MENGGUNAKAN MODEL AAA DAN AUTO-LOGOUT PADA SISTEM INFORMASI VALUASI ATB LIPI

Recommend Documents