remedial sister security
Post on 29-Jun-2015
342 Views
Preview:
TRANSCRIPT
9
Security
(Keamanan)
Prinsip terakhir dari sistem terdistribusi yang kita bahas adalah keamanan Mungkin,
orang dapat berargumentasi bahwa itu adalah salah satu prinsip-prinsip yang paling sulit,
karena sebagai jaminan harus menyebar di seluruh sistem.. Dalam bab ini, kami
berkonsentrasi pada berbagai mekanisme yang umumnya tergabung dalam sistem
terdistribusi untuk mendukung keamanan. Dimulai dengan memperkenalkan isu-isu dasar
keamanan. Membangun semua jenis mekanisme keamanan ke dalam sistem kecuali diketahui
bagaimana mekanisme yang akan digunakan, dan terhadap apa yang digunakan. Hal Ini yang
mengharuskan kita tahu tentang kebijakan keamanan yang akan diberlakukan. Gagasan
kebijakan keamanan, bersama dengan beberapa masalah desain umum untuk menegakkan
mekanisme yang membantu seperti salah satunya kriptografi yang diperlukan.
Keamanan dalam sistem terdistribusi secara umum dapat dibagi menjadi dua bagian.
Satu bagian masalah komunikasi antara pengguna atau proses, mungkin yang berada dimesin
yang berbeda. Mekanisme utama untuk memastikan komunikasi yang aman adalah bahwa
saluran aman. Saluran aman, dan lebih khusus lagi, otentikasi, pesan integrasi, dan
kerahasiaan, akan dibahas dalam bagian terpisah. Bagian lain kekhawatiran otorisasi, yang
berurusan dengan memastikan bahwa proses hanya mendapat hak-hak akses ke sumber daya
dalam suatu sistem terdistribusi. Otoritasi diterapkan dalam suatu bagian terpisah dengan
kontrol akses. Selain mekanisme kontrol akses tradisional , kami juga fokus pada kontrol
akses ketika kita harus berhadapan dengan kode mobile seperti agen.
Saluran Aman dan kontrol akses membutuhkan mekanisme untuk mendistribusikan
kunci kriptografi, tetapi juga mekanisme untuk menambah dan menghapus user dari sistem.
Yang dikenal sebagai manajemen keamanan. Dalam bagian yang terpisah, kami membahas
masalah yang berhubungan dengan pengelolaan kunci kriptografi, kelompok aman
manajemen, dan membagikan sertifikat untuk bukti pemilik berhak untuk mengakses sumber
daya tertentu.
MURNI HABIBAH107091003463 MULTIMEDIA TI/A
9.1 INTRODUCTION TO SECURITY (PENGANTAR KEAMANAN)
Kita memulai mendeskripsikan tentang keamanan di sistem terdistribusi dapat dilihat
dibeberapa isu keamanan umum. Pertama, adalah penting untuk mendefinisikan apa sistem
yang aman. Kami membedakan kebijakan keamanan dari mekanisme keamanan. dan melihat
sistem Globus luas daerah yang kebijakan keamanan yang telah dirumuskan secara tegas.
Kekhawatiran kedua kami adalah untuk mempertimbangkan beberapa masalah desain umum
untuk aman sistem. Akhirnya, kita secara singkat membahas beberapa algoritma kriptografi,
yang memainkan peran penting dalam desain protokol keamanan.
9.1.1 Ancaman Keamanan, Kebijakan, dan Mekanisme
Keamanan di suatu sistem komputer sangat terkait dengan gagasan ketergantungan.
Informal sistem komputer yang diandalkan adalah salah satu yang kita percaya untuk
dibenarkan memberikan layanan (Laprie, 1995). Seperti disebutkan dalam Bab.7,
ketergantungan termasuk ketersediaan, keandalan, keamanan, dan kemudahan perawatan.
Namun, jika kita ingin menaruh kepercayaan kita dalam sebuah sistem komputer, maka
kerahasiaan dan integrasi juga harus di perhitungkan. Kerahasiaan mengacu pada properti
sebuah sistem komputer dimana informasi yang diungkapkan hanya kepadapihak yang
berwenang. Integrasi adalah karakteristik bahwa perubahan terhadap aset sistem bisa
dilakukan hanya dengan cara yang resmi. Dengan kata lain, tidak benar perubahan dalam
suatu sistem komputer yang aman harus terdeteksi dan dipulihkan. Aset utama dari setiap
sistem komputer yaitu hardware, software, dan data.
Cara lain untuk melihat jenis keamanan di sistem komputer adalah bahwa kita
berusaha melindungi terhadap ancaman keamanan. Ada empat jenis ancaman keamanan
sebagai pertimbangan (Pfleeger, 2003):
1.Interception
2. Interruption
3. Modification
4.Fabrication
Konsep intersepsi mengacu pada situasi yang pihak yang tidak berwenang telah
memperoleh akses ke layanan atau data. Sebuah contoh dari intersepsi adalah di mana
komunikasi antara dua pihak telah didengar oleh orang lain. Intersepsi juga terjadi ketika data
secara ilegal disalin, misalnya, setelah melanggar ke dalam direktori pribadi seseorang dalam
sistem file. Salah satu contoh gangguan adalah ketika file rusak atau hilang. Lebih umum
gangguan mengacu pada situasi di mana layanan atau data menjadi tidak tersedia,tidak dapat
digunakan, hancur, dan sebagainya.
Dalam pengertian ini, serangan denial of service dimana orang jahat mencoba
membuat layanan dapat diakses kepada pihak lain sebagai ancaman keamanan yang
mengklasifikasikan sebagai gangguan.Modifikasi tidak sah melibatkan perubahan data atau
merusak layanan sehingga tidak melekat lagi dengan spesifikasi aslinya. Contoh modifikasi
termasuk menahan dan kemudian mengubah data yang dikirim, merusak entri database, dan
mengubah program sehingga diam-diam log sebagai kegiatan user.
Fabrication untuk merujuk pada situasi di mana data tambahan atau aktivitas yang
dihasilkan yang biasanya tidak ada. Sebagai contoh, penyusup mungkin mencoba untuk
menambahkan sebuah entri ke file password atau database. Demikian juga, kadang-kadang
mungkin untuk masuk ke sistem dengan memutar pesan yang sebelumnya dikirim. Kita akan
menemukan contoh-contoh tersebut kemudian dalam chapter.
Note ini bahwa interupsi, modifikasi, dan pabrikasi masing-masing bisa dilihat
sebagai bentuk pemalsuan data. Cukup menyatakan bahwa sebuah sistem harus dapat
melindungi diri terhadap segala ancaman keamanan yang mungkin bukan cara untuk benar-
benar membangun sistem yang aman.
Apa yang pertama diperlukan adalah deskripsi persyaratan keamanan, yaitu kebijakan
keamanan. Kebijakan security menjelaskan tindakan yang tepat entitas dalam sistem
diperbolehkan untuk mengambil dan mana yang dilarang. Entitas meliputi pengguna, jasa,
data, mesin, dan sebagainya. Setelah kebijakan keamanan telah ditetapkan, maka ada
kemungkinan untuk berkonsentrasi pada mekanisme keamanan dimana kebijakan dapat
ditegakkan. Pentingnya mekanisme keamanan adalah:
1,Encryption (Enkripsi)
2. Authentication (Otentikasi)
3. Authorization (Otorisasi)
4. Auditing (Audit)
Otentikasi digunakan untuk memverifikasi identitas yang diklaim, klien server
pengguna,host, atau badan lain. Dalam kasus klien, premis dasarnya adalah bahwa sebelum
layanan mulai melakukan pekerjaan atas nama klien, layanan harus belajar identitas klien
(kecuali servis tersebut tersedia untuk semua). Biasanya, pengguna yang disahkan oleh cara
password, tetapi ada banyak cara lain untuk mengotentikasi klien. Setelah klien telah
dikonfirmasi, perlu untuk memeriksa apakah klien yang berwenang untuk melakukan
tindakan yang diminta.
Akses ke catatan database tergantung pada siapa yang mengakses database. Izin dapat
diberikan untuk membaca catatan, untuk mengubah bidang-bidang tertentu dalam catatan,
atau untuk menambah atau menghapus record. Audit alat yang digunakan untuk melacak
yang klien diakses apa, dan ke arah mana. Meskipun audit tidak benar-benar memberikan
perlindungan terhadap ancaman keamanan, log audit dapat sangat berguna untuk analisis dari
pelanggaran keamanan, dan kemudian mengambil tindakan terhadap penyusup Untuk alasan
ini, penyerang umumnya tidak ingin meninggalkan jejak yang akhirnya dapat menyebabkan
mengekspos identitas mereka.
Contoh Arsitektur Keamanan Globus
Gagasan kebijakan keamanan dan peran yang mekanisme keamanan bermain di
sistem terdistribusi untuk menegakkan kebijakan terbaik yang sering dijelaskan dengan
melihat pada contoh konkret. Pertimbangkan kebijakan keamanan yang ditetapkan untuk
Globus wide-area sistem (Chervenak et al, 2000.). Globus merupakan sistem yang
mendukung komputasi terdistribusi berskala besar di mana banyak host, file, dan sumber
daya lainnya sekaligus digunakan untuk melakukan komputasi.
Lingkungan tersebut juga disebut sebagai komputasi grid (Foster dan Kesselman,
2003). Sumber daya dalam grid sering berada di domain administrasi yang berbeda yang
mungkin terletak di berbagai belahan dunia. Karena pengguna dan sumber daya yang luas
dalam jumlah dan tersebar luas di seluruh domain administrasi yang berbeda, keamanan
sangat penting.
Untuk merancang dan benar menggunakan mekanisme keamanan, perlu untuk
memahami apa sebenarnya yang perlu dilindungi, dan apa asumsi tersebut berkaitan dengan
keamanan. Menyederhanakan hal-hal yang terlihat, kebijakan keamanan untuk Globus
memerlukan delapan pernyataan berikut, yang kita jelaskan di bawah (Foster et al, 1998.):
1. Lingkungan terdiri dari domain administratif.
2. Daerah operasi (yaitu, operasi yang dilakukan hanya dalam domain tunggal) pada
kebijakan keamanan domain lokal saja.
3. Global operasi (yaitu, operasi yang melibatkan beberapa domain) memerlukan
inisiator yang akan dikenal di setiap domain di mana operasi dilakukan.
4. Operasi antar entitas dalam domain yang berbeda membutuhkan otentikasi bersama.
Otentikasi Global menggantikan otentikasi lokal.
5. Mengontrol akses ke sumber daya pada keamanan lokal saja.
Pengguna dapat mendelegasikan hak untuk proses.
Sekelompok proses dalam domain yang sama dapat berbagi kredensial.
Globus mengasumsikan bahwa lingkungan terdiri dari domain administratif, di mana
setiap domain memiliki kebijakan keamanan lokalnya sendiri. Hal ini diasumsikan bahwa
kebijakan lokal tidak dapat diubah hanya karena domain berpartisipasi dalam Globus,dan
juga tidak dapat menyeluruh kebijakan Globus mengesampingkan keputusan keamanan
lokal. Akibatnya, keamanan di Globus akan membatasi diri untuk operasi yang
mempengaruhi beberapa domain. Terkait dengan masalah ini adalah bahwa Globus
mengasumsikan bahwa operasi yang sepenuhnya lokal untuk domain hanya dengan kebijakan
keamanan. Dengan kata lain, jika operasi dimulai dan dilaksanakan dalam satu domain,
keamanan semua isu-isu akan dilakukan dengan menggunakan langkah-langkah keamanan
lokal saja. Globus tidak akan menerapkan tindakan tambahan.
The Globus kebijakan keamanan menyatakan bahwa permintaan untuk operasi dapat
dimulai baik secara global maupun lokal. inisiator itu, baik itu pengguna atau proses
bertindak atas nama pengguna, harus lokal dikenal dalam setiap domain di mana operasi yang
dilakukan keluar. Sebagai contoh, pengguna dapat memiliki nama global yang dipetakan ke
nama domain lokal yang spesifik.
Bagaimana tepatnya pemetaan yang mengambil tempat yang tersisa untuk setiap
domain. Sebuah pernyataan kebijakan penting adalah bahwa operasi antara entitas di berbagai
domain membutuhkan otentikasi bersama. Ini berarti, misalnya, jika pengguna di satu domain
membuat penggunaan layanan dari domain lain, maka identitas dari pengguna harus
diverifikasi. Jika identitas pengguna telah diverifikasi, dan pengguna yang juga dikenal
secara lokal di domain, maka ia dapat bertindak sebagai dikonfirmasi untuk itu domain
lokal.Ini berarti bahwa Globus mengharuskan bahwa langkah-langkah sistem yang sesuai
otentikasi adalah cukup untuk mempertimbangkan bahwa seorang pengguna telah
dikonfirmasi untuk domain remote (di mana pengguna yang dikenal) ketika mengakses
sumber daya dalam domain tersebut.
Otentikasi tambahan dengan domain yang tidak perlu.Setelah pengguna (atau proses
bertindak atas nama pengguna) telah disahkan, maka masih diperlukan untuk memverifikasi
hak akses yang tepat berkaitan dengan sumber daya. Misalnya, pengguna ingin memodifikasi
file yang pertama harus dikonfirmasi, setelah yang dapat diperiksa apakah atau tidak bahwa
pengguna sebenarnya diijinkan untuk memodifikasi file. Menyatakan kebijakan keamanan
Globus bahwa keputusan akses tersebut kontrolseluruhnya terbuat lokal dalam domain
penyimpanan sumber daya yang diakses berada.
Arsitektur keamanan Globus dasarnya terdiri dari entitas seperti pengguna,pengguna
proxy, proxy sumber daya, dan proses umum. Entitas ini berlokasi di domain dan berinteraksi
satu sama lain. Secara khusus, arsitektur keamanan mendefinisikan empat protokol yang
berbeda, seperti yang diilustrasikan pada Gambar. 9-1 [lihat juga Foster et a1.(1998)].
Protokol pertama menggambarkan dengan tepat bagaimana pengguna dapat membuat proxy
pengguna dan mendelegasikan hak untuk proxy yang. Secara khusus, dalam rangka untuk
membiarkan tindakan pengguna proxy pada nama user-nya, pengguna memberikan proxy set
tepat kredensial. Protokol kedua menetapkan bagaimana proxy pengguna dapat meminta
alokasi sumber daya dalam domain terpencil.
Pada dasarnya, protokol memberitahu proxy sumber daya untuk membuat proses
dalam domain terpencil setelah otentikasi mutual telah terjadi. Proses itu merupakan
pengguna (hanya sebagai proxy pengguna tidak), tetapi beroperasi disama domain sebagai
sumber daya yang diminta. Proses ini diberikan akses ke sumber yang tunduk pada keputusan
akses kontrol lokal untuk domain tersebut.Sebuah proses dibuat dalam sebuah domain
terpencil dapat melakukan komputasi tambahan lain domain. Akibatnya, protokol diperlukan
untuk mengalokasikan sumber daya dalam domain terpencil sebagaimana yang diminta oleh
proses lain dari pengguna proxy. Dalam sistem Globus, jenis alokasi dilakukan melalui proxy
pengguna, dengan membiarkan proses memiliki petunjuk terkait permintaan proxy alokasi
sumber daya, pada dasarnya mengikuti kedua protokol. Protokol keempat dan terakhir dalam
arsitektur keamanan Globus adalah cara seorang pengguna dapat membuat dirinya dikenal di
domain.
Dengan asumsi bahwa pengguna memiliki rekening di domain, apa yang perlu
dibentuk adalah bahwa kredensial systemwide dimiliki oleh pengguna proxy secara otomatis
dikonversi ke kredensial yang diakui oleh domain spesifik. Protokol mengatur bagaimana
pemetaan antara global kepercayaan dan yang lokal dapat didaftarkan oleh pengguna dalam
tabel pemetaan lokal untuk domain tersebut.. Rincian spesifik dari setiap protokol dijelaskan
dalam Foster et al. (1998). Isu penting di sini adalah bahwa arsitektur keamanan Globus
mencerminkan kebijakan keamanan yang disebutkan diatas. Mekanisme yang digunakan
untuk mengimplementasikan arsitektur itu, terutama di atas protokol disebutkan, yang umum
untuk sistem terdistribusi banyak, dan dibahas secara luas dalam bab ini. Kesulitan utama
dalam merancang sistem terdistribusi aman tidak begitu banyak disebabkan oleh mekanisme
keamanan, tapi dengan menentukan bagaimana mekanisme yang akan digunakan untuk
menegakkan kebijakan keamanan. Dalam bagian selanjutnya, kami mempertimbangkan
beberapa keputusan desain.
9.1.2 Masalah Desain
Sebuah sistem terdistribusi, atau sistem komputer dalam hal ini, harus memberikan
jasa keamanan dimana berbagai kebijakan keamanan dapat diimplementasikan. Ada sejumlah
isu desain penting yang perlu dipertimbangkan ketika melaksanakan pelayanan umum-tujuan
keamanan. Pada halaman berikut, kami membahas tiga isu-isu: fokus pengendalian, layering
mekanisme keamanan, dan kesederhanaan [lihat juga Gollmann (2006)]. Fokus Pengendalian
Ketika mempertimbangkan perlindungan aplikasi (mungkin didistribusikan), ada pada
dasarnya tiga pendekatan yang berbeda yang dapat diikuti, seperti yang ditunjukkan dalam
Gambar. 9-2.
Pendekatan pertama adalah berkonsentrasi langsung pada perlindungan data yang
berhubungan dengan aplikasi tersebut. Dengan langsung, kita berarti bahwa terlepas dari
berbagai operasi yang mungkin dapat dilakukan pada item data, perhatian utama adalah untuk
memastikan integritas data. Biasanya, jenis perlindungan terjadi pada sistem database di
mana berbagai kendala integritas dapat dirumuskan yang diperiksa secara otomatis setiap kali
sebuah item data yang dimodifikasi [lihat, misalnya, Doom dan Rivero (2002)].
Pendekatan kedua adalah berkonsentrasi pada perlindungan dengan menetapkan
persis yang operasi mungkin dapat dipanggil, dan oleh siapa, pada saat tertentu data atau
sumber daya harus diakses. Sebagai contoh, dalam sebuah sistem berbasis obyek, mungkin
akan memutuskan untuk menentukan untuk setiap metode yang dibuat tersedia bagi klien
yang klien diizinkan untuk memanggil metode tersebut. Atau, akses metode pengendalian
dapat diterapkan ke seluruh antarmuka yang ditawarkan oleh suatu objek, atau ke seluruh
obyek itu sendiri. Pendekatan ini sehingga memungkinkan untuk berbagai granularities
kontrol akses.
Pendekatan ketiga adalah untuk berfokus secara langsung pada pengguna dengan
mengambil langkah-langkah oleh orang-orang tertentu yang hanya memiliki akses ke aplikasi
tersebut, terlepas dari operasi mereka ingin melakukan. Sebagai contoh, sebuah database di
bank mungkin dilindungi atau menolak akses kepada siapa pun kecuali atas manajemen bank
dan orang-orang khusus berwenang untuk mengaksesnya.
Sebagai contoh lain, di banyak universitas, tertentu data dan aplikasi yang terbatas
untuk digunakan oleh anggota fakultas dan staf saja,sedangkan akses oleh siswa tidak
diperbolehkan. Akibatnya, kontrol difokuskan pada mendefinisikan peran bahwa pengguna
memiliki, dan sekali peran pengguna telah diverifikasi, akses ke sumber daya adalah salah
diberikan atau ditolak. Sebagai bagian dari merancang sebuah sistem yang aman, sehingga ia
adalah perlu untuk menentukan peran yang orang mungkin memiliki, dan menyediakan
mekanisme untuk mendukung berbasis peran kontrol akses.
Layering Mekanisme Keamanan
Isu penting dalam perancangan sistem yang aman adalah menentukan di tingkat mana
mekanisme keamanan harus ditempatkan. Tingkat dalam konteks ini adalah berkaitan dengan
organisasi logis dari sistem menjadi beberapa lapisan. Sebagai contoh, jaringan komputer
sering disusun dalam lapisan berikut beberapa model referensi, sebagaimana kita bahas dalam
Bab. 4. Dalam Chap. 1, kami memperkenalkan organisasi sistem terdistribusi yang terdiri dari
lapisan yang terpisah untuk aplikasi, middleware, sistem operasi jasa, dan kernel sistem
operasi. Menggabungkan organisasi berlapis komputer jaringan dan sistem terdistribusi,
mengarah kira-kira apa yang ditunjukkan dalam Gambar. 9-3.
Pada intinya, Gambar. 9-3 memisahkan layanan umum tujuan dari komunikasi
layanan. Pemisahan ini penting untuk memahami lapisan keamanan dalam sistem
terdistribusi dan, khususnya, gagasan tentang kepercayaan. Perbedaan antara kepercayaan
dan keamanan adalah penting. Sebuah sistem adalah baik aman atau tidak (mengambil
berbagai langkah-langkah probabilistik kerekening), tapi apakah klien menganggap sebuah
sistem yang akan aman adalah masalah kepercayaan (Bishop, 2003). Keamanan adalah teknis
kepercayaan emosional. Dalam dimana lapisan mekanisme keamanan ditempatkan
tergantung pada kepercayaan klien telah di seberapa aman jasa berada di lapisan tertentu.
Sebagai contoh, pertimbangkan sebuah organisasi yang terletak di lokasi yang
berbeda yang terhubung melalui layanan komunikasi seperti Switched Data Multi megabit
Service (SMDS). Jaringan SMDS dapat dianggap sebagai backbone link-tingkat
menghubungkan berbagai jaringan local-area di situs mungkin secara geografis, seperti
ditunjukkan pada Gambar. 9-4.
Keamanan dapat diberikan dengan menempatkan perangkat enkripsi pada setiap
router SMDS, seperti yang ditunjukkan pada Gambar. 9-4. Perangkat ini secara otomatis
mengenkripsi dan mendekripsi paket yang dikirim antara situs, tetapi tidak dinyatakan
menyediakan komunikasi yang aman antara host di situs yang sama.
Dalam sistem terdistribusi, mekanisme keamanan sering ditempatkan di lapisan
middleware. Jasa keamanan yang ditempatkan pada lapisan middleware dari sistem
terdistribusi dapat dipercaya hanya jika layanan yang mereka andalkan untuk aman memang
aman. Misalnya, jika layanan RPC yang aman sebagian dilaksanakan melalui SSL, kemudian
kepercayaan dalam layanan RPC bergantung pada seberapa banyak satu percaya telah di
SSL. Jika SSL tidak dipercaya, maka tidak ada kepercayaan dalam keamanan layanan RPC.
Distribusi Mekanisme Keamanan
Dependensi antara layanan mengenai kepercayaan untuk memimpin gagasan tentang
Trusted Computing Base (TCB). Sebuah TCB adalah himpunan semua mekanisme keamanan
dalam suatu sistem komputer (didistribusikan) yang diperlukan untuk menegakkan kebijakan
keamanan, dan harus dipercaya. Semakin kecil TCB, semakin baik. Jika didistribusikan
Sistem ini dibangun sebagai middleware pada sistem operasi jaringan yang ada, keamanan
tergantung pada keamanan dari sistem operasi yang mendasari lokal. Di lain kata-kata, TCB
dalam sistem terdistribusi dapat mencakup sistem operasi lokal di berbagai host,
pertimbangkan server file dalam sistem berkas terdistribusi. Seperti server mungkin perlu
mengandalkan berbagai mekanisme perlindungan yang ditawarkan oleh sistem operasi lokal.
Mekanisme tersebut meliputi tidak hanya untuk melindungi file terhadap akses oleh
proses selain file server, tapi juga mekanisme untuk melindungi file server. Middleware
sistem terdistribusi berbasis sehingga membutuhkan kepercayaan lokal yang ada di sistem
operasi mereka bergantung pada jika kepercayaan tersebut tidak ada, maka bagian dari
fungsionalitas dari sistem operasi lokal mungkin perlu dimasukkan ke dalam terdistribusi
sistem itu sendiri.
Pertimbangan sebuah sistem operasi mikrokernel, di mana sebagian besar sistem
operasi layanan berjalan sebagai pengguna proses normal. Dalam hal ini, sistem file,
misalnya, dapat seluruhnya digantikan yang satu disesuaikan dengan kebutuhan spesifik
sistem terdistribusi, termasuk berbagai langkah keamanan. Konsisten dengan pendekatan ini
adalah untuk memisahkan layanan keamanan dari jenis lain jasa dengan mendistribusikan
layanan di seluruh mesin yang berbeda tergantung pada jumlah jaminan yang dibutuhkan.
Sebagai contoh, untuk sebuah sistem berkas terdistribusi yang aman, maka dimungkinkan
untuk mengisolasi file server dari klien dengan menempatkan server pada mesin dengan
sistem operasi terpercaya, seperti menjalankan file aman berdedikasi sistem.
Pemisahan ini efektif mengurangi TCB ke sejumlah mesin kecil yang realtif dan
komponen software. Dengan mesin tersebut dapat melindungi terhadap serangan keamanan,
dan di luar keseluruhan dalam keamanan sistem terdistribusi dapat ditingkatkan. Untuk
Mencegah klien dan aplikasi mereka langsung mengakses ke layanan penting diikuti dengan
mengurangi antarmuka untuk Sistem Secure Komponen (RISSC) pendekatan, seperti
dijelaskan dalam Neumann (1995). Dalam RISSC pendekatan setiap server keamanan-kritis
ditempatkan pada mesin yang terpisah terisolasi dari sistem pengguna akhir menggunakan
tingkat rendah antarmuka jaringan yang aman, seperti yang ditunjukkan dalam Gambar. 9-5.
Klien dan aplikasi mereka berjalan di mesin yang berbeda dan server dapat melaui jaringan
antar muka.
Simplicity(Kesederhanaan)
Satu masalah desain penting yang terkait dengan menentukan di mana lapisan untuk
menempatkan mekanisme keamanan adalah kesederhanaan. Merancang sistem komputer
aman pada umumnya dianggap adalah tugas yang sulit. Akibatnya, jika seorang desainer
sistem dapat menggunakan afew, mekanisme sederhana yang mudah dipahami dan dipercaya
untuk bekerja, semakin baik .Unfortunately, mekanisme yang sederhana tidak selalu cukup
untuk melaksanakan kebijakan keamanan. Link-tingkat enkripsi adalah sederhana dan mudah
dipahami mekanisme untuk melindungi terhadap intersepsi pesan intersite lalu lintas.
Sehingga User level otentikasi mungkin memerlukan setidaknya gagasan kriptografi kunci
dan kesadaran mekanisme seperti sertifikat, meskipun fakta bahwa banyak layanan keamanan
sangat otomatis dan tersembunyi dari pengguna. Dalam kasus lain, aplikasi itu sendiri secara
inheren kompleks dan memperkenalkan onlymakes keamanan hal-hal buruk. Sebuah contoh
aplikasi domain melibatkan protokol keamanan kompleks adalah bahwa sistem pembayaran
digital. Kompleksitas protokol pembayaran digital sering disebabkan oleh fakta bahwa
banyak pihak perlu berkomunikasi untuk melakukan pembayaran.
Dalam kasus-kasus ini adalah penting bahwa mekanisme yang mendasari yang
digunakan untuk mengimplementasikan protokol relatif sederhana dan mudah dipahami.
Kesederhanaan akan berkontribusi kepercayaan bahwa pengguna akhir akan dimasukkan ke
dalam aplikasi dan, yang lebih penting, akan berkontribusi untuk meyakinkan para desainer
bahwa sistem tidak memiliki lubang keamanan.
9.1.3 Kriptografi
Dasar untuk keamanan di sistem terdistribusi adalah penggunaan teknik kriptografi .
Ide dasar dari penerapan teknik ini sederhana. Mempertimbangkan S pengirim ingin
mengirim pesan M ke penerima R. Untuk melindungi pesan terhadap ancaman keamanan,
pengirim mengenkripsi pertama ke dalam sebuah pesan dimengerti M dan kemudian
mengirimkan M untuk R. R, pada gilirannya, harus mendekripsi mes diterima ke dalam
bentuk aslinya M. Enkripsi dan dekripsi yang dilakukan dengan menggunakan metode
kriptografi parameter dengan kunci, seperti ditunjukkan pada Gambar. 9-6. Bentuk asli dari
pesan yang dikirimkan disebut plaintext, ditampilkan sebagai P dalam Gambar. 9-6; bentuk
terenkripsi adalah disebut sebagai ciphertext, digambarkan sebagai C.
Untuk menggambarkan berbagai protokol keamanan yang digunakan dalam
membangun keamanan layanan untuk sistem terdistribusi, hal ini berguna untuk
memilikinotasi untuk berhubungan plaintext,ciphertext, dan kunci. Setelah konvensi
penulisan yang umum, kita akan menggunakan C = EK (P) untuk menunjukkan bahwa C
cipherteks diperoleh dengan mengenkripsi plaintext P dengan menggunakan kunci K.
Demikian juga, P = DK (C) digunakan untuk mengekspresikan dekripsi dari ciphertext C
dengan menggunakan kunci K, sehingga plaintext P. Kembali ke contoh kita ditunjukkan
pada Gambar. 9-6, sedangkan mentransfer pesan sebagai C ciphertext, ada tiga serangan yang
berbeda bahwa kita perlu untuk melindungi, dan yang enkripsi membantu. Pertama, penyusup
dapat mencegat pesan tanpa baik pengirim atau penerima menyadari penyadapan yang
terjadi.
Tentu saja, jika pesan yang dikirim telah dienkripsi sedemikian rupa sehingga tidak
dapat mudah didekripsi tanpa kunci yang tepat, intersepsi tidak berguna, penyusup
memahami data yang dilihat. Jenis kedua dari serangan yang perlu ditangani adalah bahwa
memodifikasi pesan. Memodifikasi plaintext mudah, memodifikasi ciphertext yang telah
benar dienkripsi jauh lebih sulit karena penyusup yang pertama harus mendekripsi pesan
sebelum ia bermakna dapat memodifikasinya. Selain itu, ia juga akan harus benar
mengenkripsi lagi atau sebaliknya penerima mungkin melihat bahwa pesan telah dirusak.
Jenis serangan ketiga adalah ketika seorang penyusup memasukkan pesan terenkripsi ke
sistem komunikasi, mencoba untuk membuat R percaya pesan-pesan ini datang dari S lagi.
Enkripsi dapat membantu melindungi terhadap serangan tersebut. Perhatikan bahwa
jika seorang penyusup dapat memodifikasi pesan, dia juga bisa menyisipkan pesan. Ada
perbedaan mendasar antara sistem kriptografi yang berbeda, didasarkan pada apakah kunci
enkripsi dan dekripsi adalah sama. Dalam kriptografi simetris, kunci yang sama digunakan
untuk mengenkripsi dan mendekripsi pesan.
Dengan kata lain, Symmetric kriptografi juga disebut sebagai kunci rahasia atau
sistem kunci bersama,karena pengirim dan penerima harus berbagi kunci yang sama, dan
untuk menjamin yang bekerja perlindungan, tombol ini bersama harus dirahasiakan; tidak ada
orang lain yang diijinkan untuk melihat kunci. Kami akan menggunakan notasi KA, B untuk
menunjukkan sebuah kunci bersama oleh A dan B.Dalam cryptosystem asimetris, kunci
untuk enkripsi dan dekripsi yang berbeda, tetapi bersama-sama membentuk pasangan yang
unik. Dengan kata lain, ada kunci terpisah KE untuk enciyption dan satu untuk dekripsi, KD.
Sehingga salah satu kunci dalam suatu cryptosystem asimetris bersifat rahasia, yang
lain dibuat publik. Untuk alasan ini, kriptografi asimetris juga disebut sebagai sistem kunci
publik.
Kriptografi Simetris DES
Contoh pertama kami suatu algoritma kriptografi adalah Data Encryption Standard
(DES), yang digunakan untuk kriptografi simetris. DES dirancang untuk beroperasi pada blok
64-bit data. Satu blok berubah menjadi (bit 64) dienkripsi blok output di 16 putaran, di mana
setiap putaran menggunakan kunci 48-bit yang berbeda untuk enkripsi. Masing-masing
tombol 16 berasal dari sebuah kunci master 56-bit, seperti yang ditunjukkan pada Gambar.
08/09 (a). Sebelum sebuah blok input mulai 16 perusahaan putaran enkripsi, pertama-tama
dikenakan permutasi awal, yang kebalikannya kemudian diterapkan pada terenkripsi output
yang mengarah ke blok output akhir.
Setiap putaran enkripsi mengambil blok 64-bit yang diproduksi oleh putaran
sebelumnya i-1 sebagai input, seperti ditunjukkan pada Gambar. 9-8 (b). 64 bit dibagi
menjadi bagian kiri Lj-1 dan bagian kanan R, -1, masing-masing berisi 32 bit. Bagian kanan
digunakan untuk sebelah kiri bagian dalam putaran berikutnya, yaitu, L, = R, -1. Kerja keras
yang dilakukan dalam fungsi fungsi mangler f.This mengambil 32-bit blok Rj - 1 sebagai
masukan, bersama-sama dengan sedikit 48-Ki kunci, dan menghasilkan sebuah blok 32-bit
yang adalah XOR dengan Lj- 1 untuk menghasilkan Ri. (XOR adalah singkatan untuk
eksklusif atau operasi) Fungsi mangler pertama memperluas Rj.- 1 ke blok 48-bit dan XORs
itu dengan Kj.
Hasilnya adalah dibagi menjadi delapan potongan dari enam bit masing-masing.
Setiap bingkah kemudian akan dimasukkan ke kotak-S yang berbeda, yang merupakan
sebuah operasi yang masing-masing pengganti 64 6-bit input mungkin menjadi salah satu dari
16 4-bit output mungkin. Delapan output. potongan dari empat bit masing-masing kemudian
digabungkan menjadi sebuah nilai 32-bit dan permutasi lagi. K kunci 48-bit, untuk i bulat
berasal dari kunci master 56-bit sebagai berikut. Pertama, kunci master adalah permutasi dan
dibagi menjadi dua bagian 28-bit. Untuk setiap putaran, setengah pertama diputar setiap satu
atau dua bit ke kiri, setelah 24 bit diekstraksi. Bersama dengan 24 bit dari yang lain diputar
setengah, kunci 48-bit adalah constructed. Rincian satu putaran enkripsi ditunjukkan pada
Gambar. 9-9.
Prinsip DES cukup sederhana, tetapi algoritma ini sulit untuk dihentikan dengan
menggunakan metode analisis. Namun, dengan menggunakan DES tiga kali dalam mode
mengenkripsi-dekripsi-enkripsi khusus dengan kunci yang berbeda, juga dikenal sebagai
Triple DES jauh lebih aman dan masih sering digunakan [lihat juga Barker (2004)].
Apa yang membuat sulit untuk menyerang DES analisis adalah bahwa alasan di balik
desain belum pernah dijelaskan di depan umum. DES telah digunakan sebagai teknik enkripsi
standar selama bertahun-tahun, tapi saat ini sedang dalam proses digantikan oleh blok
algoritma Rijndael dari 128bit.Algoritmanya telah dirancang untuk menjadi cukup cepat
sehingga bahkan dapat diimplementasikan pada Smart Card yang merupakan area aplikasi
semakin penting untuk kriptografi.
Kriptografi Kunci Publik RSA
Contoh kedua dari algoritma kriptografi yang sangat banyak digunakan untuk sistem
kunci publik adalah RSA, dinamai penemunya Rivest, Shamir, dan Adleman (1978).
Keamanan dari RSA berasal dari kenyataan bahwa tidak ada metode yang diketahui efisien
menemukan faktor utama dari jumlah besar. Hal ini dapat menunjukkan bahwa masing-
masing bilangan bulat dapat ditulis sebagai produk dari bilangan prima. Misalnya, 2100 dapat
ditulis sebagai :
2100 = 2 x 2 x 3 x 5 x 5 x 7
Membuat 2, 3, 5, dan 7 faktor utama di 2100. Dalam RSA, sektor swasta dan publik
kunci yang dibangun dari bilangan prima sangat besar (terdiri dari ratusanangka desimal).
Ternyata, melanggar RSA adalah setara dengan temuan duabilangan prima. Sejauh ini, ini
telah menunjukkan untuk menjadi komputasi tidak layak meskipunahli matematika bekerja
pada masalah selama berabad-abad.
Membangkitkan kunci pribadi dan publik memerlukan empat langkah:
1. Pilih dua bilangan prima yang sangat besar, p dan q.
2. Hitung n = p x q dan z = (p - 1) x (q -1).
3. Pilih sebuah angka d yang relatif prima untuk z.
4. Hitung jumlah e seperti bahwa e x d = 1mod z.
Salah satu nomor, katakanlah d, selanjutnya dapat digunakan untuk dekripsi,
sedangkan e adalah digunakan untuk enkripsi. Hanya satu dari dua dibuat publik, tergantung
pada apa Algoritma yang digunakan untuk ketika membandingkan RSA untuk kriptografi
simetris. Seperti DES, RSA memiliki Kelemahan menjadi komputasi yang lebih kompleks.
Ternyata, mengenkripsi pesan menggunakan RSA adalah sekitar 100-1000 kali lebih lambat
dibandingkan dengan DES, tergantung pada teknik implementasi yang digunakan. Akibatnya,
banyak kriptografi sistem menggunakan RSA untuk menukar kunci hanya dibagi dalam cara
yang aman, tapi lebih sedikit sebenarnya untuk enkripsi "normal" data.
Fungsi Hash MD5
MD5 merupakan fungsi hash satu arah yang diciptakan oleh Ron Rivest. MD5 adalah
salah satu aplikasi yang digunakan untuk mengetahui bahwa pesan yang dikirim tidak ada
perubahan sewaktu berada di jaringan. Algoritma MD5 secara garis besar adalah mengambil
pesan yang mempunyai panjang variabel diubah men jadi sidik jari atau intisari pesan yang
mempunyai panjang tetap yaitu 128 bit. Sidik jari ini tidak dapat dibalik untuk mendapatkan
pesan, dengan kata lain tidak ada orang yang dapat melihat pesan dari sidik jari MD5.
Sebagai contoh terakhir dari algoritma kriptografi banyak digunakan, kita melihat di
MD5 (Rivest, 1992). l \ 'ID5 adalah fungsi hash untuk komputasi 128-bit, Input
string adalah pertama melangkah ke total panjang 448 bit (modulo 512), setelah itu
panjang dari string bit asli ditambahkan sebagai integer 64-bit. Akibatnya, input
dikonversikan ke serangkaian blok 512-bit.
9.2 SECURE CHANNELS
Dalam bab-bab sebelumnya. kita telah sering menggunakan model client-server
sebagai cara mudah untuk mengatur suatu sistem terdistribusi. Dalam model ini, server
mungkin boleh didistribusikan dan diulang, tetapi juga bertindak sebagai klien berhubungan
dengan server lain. Ketika mempertimbangkan keamanan di sistem terdistribusi, hal ini sekali
lagi berguna untuk berpikir dalam hal klien dan server. Secara khusus, membuat sistem
terdistribusi aman pada dasarnya bersumber pada dua isu dominan. Masalah pertama adalah
bagaimana membuat komunikasi antara klien dan server yang aman. Secure komunikasi
memerlukan otentikasi pihak berkomunikasi.
Dalam banyak kasus juga memerlukan memastikan integritas pesan dan mungkin
juga kerahasiaan. Sebagai bagian masalah ini, kita juga perlu mempertimbangkan melindungi
komunikasi dalam kelompok server. Isu kedua adalah bahwa dari otorisasi: sekali server telah
menerima permintaan dari klien, bagaimana bisa mengetahui apakah client yang berwenang
untuk punya permintaan yang dilaksanakan? Otorisasi adalah terkait dengan masalah
mengontrol akses ke sumber daya, yang kita bahas secara luas di bagian berikutnya. Pada
bagian ini, kita berkonsentrasi pada melindungi komunikasi dalam sistem terdistribusi.
Masalah melindungi komunikasi antara klien dan server, dapat memikirkan dalam hal
mendirikan sebuah saluran yang aman antara berkomunikasi pihak (Voydock dan Kent,
1983). Saluran aman melindungi pengirim dan penerima terhadap intersepsi, modifikasi, dan
fabrikasi pesan.Tidak juga tentu melindungi terhadap gangguan. Melindungi pesan terhadap
intersepsi dilakukan dengan memastikan kerahasiaan saluran aman memastikan bahwa pesan
tersebut tidak dapat menguping oleh penyusup. Melindungi terhadap modifikasi dan fabrikasi
oleh penyusup dilakukan melalui protokol untuk otentikasi timbal balik dan pesan integritas.
9.2.1 Authentication Otentikasi
Berbagai protokol otentikasi dan integritas pesan tidak bisa tanpa satu sama lain.
Perhatikan, misalnya, sistem terdistribusi yang mendukung otentikasi dua pihak
berkomunikasi, tetapi tidak memberikan mekanisme untuk memastikan integritas pesan.
Contoh Alice dimulai dengan mengirimkan pesan kepada Bob, atau kepada pihak ketiga yang
terpercaya yang akan membantu mengatur saluran. Setelah saluran tersebut telah disiapkan,
Alice yakin bahwa dia berbicara dengan Bob, dan Bob tahu pasti dia sedang berbicara kepada
Alice. mereka dapat bertukar messages. Selanjutnya memastikan integritas pesan data yang
dipertukarkan setelah otentikasi telah terjadi, itu adalah praktek yang umum untuk
menggunakan kunci rahasia kriptografi dengan menggunakan kunci sesi. Sebuah session key
adalah kunci (rahasia) bersama yang digunakan untuk mengenkripsi pesan untuk integritas
dan mungkin juga kerahasiaan. Seperti kunci umumnya digunakan hanya selama saluran ada.
Bila saluran, adalah ditutup, session key yang terkait akan dibuang (disimpan atau di
hancurkan).
Authentication Berdasarkan Kunci Rahasia Bersama
Pada protokol otentikasi berdasarkan rahasia kunci yang sudah dibagi antara Alice
dan Bob. Bagaimana dua benar-benar dikelola untuk mendapatkan kunci bersama dalam cara
yang aman. Dalam deskripsi protokol, Alice dan Bob yang disingkat oleh A dan B, masing
tively, dan kunci bersama mereka dinotasikan sebagai KA, Protokol B 'mengambil
pendekatan yang sama proach dimana satu pihak tantangan yang lain untuk tanggapan yang
bisa benar hanya jika yang lainnya tahu kunci rahasia bersama. Solusi tersebut juga dikenal
sebagai tantangan respon protokol.
Dalam hal otentikasi berdasarkan kunci rahasia bersama, protokol hasil seperti
ditunjukkan pada Gambar. 9-12. Pertama, Alice mengirimkan identitas ke Bob (pesan1),
menunjukkan bahwa ia ingin mendirikan sebuah saluran komunikasi antara kedua.Bob
kemudian mengirimkan tantangan BPR Alice, ditampilkan sebagai 2 pesan. Seperti
mengambil bentuk nomor acak. Alice mengenkripsi dengan KA kunci rahasia, B bahwa dia
Bob mengembalikan dan dienkripsi untuk Bob. Respon ini ditampilkan sebagai pesan pada
Gambar 3. 9-12 mengandung KA, B (RB) .
Ketika Bob menerima respon KA, B (RB) untuk BPR, ia dapat mendekripsi pesan
menggunakan kunci bersama lagi untuk melihat apakah mengandung BPR • Jika demikian, ia
kemudian mengetahui bahwa Alice ada di sisi lain, untuk siapa lagi yang bisa dienkripsi
dengan BPR Kt.B di tempat pertama? Dengan kata lain, Bob kini telah diverifikasi bahwa ia
memang bicara kepada Alice.
Namun, perhatikan bahwa Alice belum diverifikasi bahwa memang Bob pada dari
sisi saluran lain. Oleh karena itu, dia mengirim sebuah R.tt (pesan 4),membuat Bob merespon
dengan kembali ~ B (R.tt), ditampilkan sebagai pesan 5.. Ketika Alice decrypts dengan KA,
B dan melihat dirinya "R.tt, dia tahu dia berbicara dengan Bob. Salah satu isu sulit dalam
keamanan adalah merancang protokol yang benar-benar bekerja. Untuk menggambarkan
betapa mudahnya hal-hal yang mungkin saja salah, "optimasi" dari protokol otentikasi yang
jumlah pesan yang telah berkurang dari 02:55, seperti ditunjukkan pada Gambar. 9-13.
.
Otentikasi Menggunakan Kunci Pusat Distribusi
Salah satu masalah dengan menggunakan kunci rahasia bersama untuk otentikasi
skalabilitas. Jika sistem terdistribusi berisi host N, dan setiap host diminta untuk berbagi
kunci rahasia dengan masing-masing N lain - 1 host, sistem secara keseluruhan perlu
mengelola N (N - 1) / 2 kunci, dan setiap host memiliki untuk mengelola N - 1 kunci. Untuk
N besar, ini akan menimbulkan masalah. Sebuah alternatif adalah dengan menggunakan
pendekatan terpusat oleh sarana Distribusi Kunci Center (KDC). KDC ini saham kunci
rahasia dengan masing-masing host, tapi tidak ada sepasang host yang dibutuhkan untuk
mendapatkan kunci rahasia bersama sebagai baik. Dengan kata lain, menggunakan KDC
mengharuskan kita mengelola kunci N bukanN (N - 1) / 2, yang jelas perbaikan.Jika Alice
ingin mendirikan sebuah saluran yang aman dengan Bob, ia dapat melakukannya dengan
bantuan (terpercaya) KDC. Seluruh ide adalah bahwa KDC keluar baik kunci Alice dan Bob
yang dapat mereka gunakan untuk komunikasi, ditunjukkan pada Gambar. 9-15.
Otentikasi Menggunakan Kriptografi Kunci Publik
Otentikasi dengan kriptografi kunci publik yang tidak memerlukan KDC. Dengan
contoh, mempertimbangkan situasi yang Alice ingin mendirikan saluran aman kepada Bob,
dan bahwa keduanya yang dimiliki oleh publik masing-masing kunci. Sebuah protokol
otentikasi yang khas yang didasarkan pada kriptografi kunci publik ditampilkan pada
Gambar. 9-19. Alice dimulai dengan mengirimkan sebuah pesan RA untuk Bob dienkripsi
dengan kunci publik ! G. Ini Adalah tugas Bob untuk mendekripsi pesan tersebut dan kembali
mengirim pesan untuk Alice. Karena Bob adalah satu-satunya orang yang dapat mendekripsi
pesan (menggunakan kunci privat yang berhubungan dengan kunci publik Alice digunakan).
Alice akan tahu bahwa dia berbicara dengan Bob. Perhatikan bahwa Alice dijamin akan
menggunakan kunci publik Bob, dan bukan kunci publik seseorang meniru Bob.
Ketika Bob menerima permintaan Alice untuk membuat saluran, ia didekripsi,
bersama dengan sendiri BPR untuk otentikasi Alice. Selain itu, ia menghasilkan sesi KA
kunci, B yang dapat digunakan untuk komunikasi lebih lanjut. Tanggapan Bob kepada
Alice,session key dimasukkan ke dalam pesan terenkripsi dengan kunci publik K; t milik
Alice,ditampilkan sebagai pesan 2 pada Gambar. 9-19. Hanya Alice akan mampu
mendekripsi ini Ki pesan menggunakan kunci privat. terkait dengan K; t. Alice, akhirnya,
kembali menagnggapi pesan Bob menggunakan session key KA.B dihasilkan oleh Bob..
Dengan cara itu, ia akan telah membuktikan bahwa dia bisa mendekripsi pesan 2, dan dengan
demikian Alice mengetahui yang sebenaranya kepada siapa Bob sedang berbicara.
9.2.2 Message Integritas dan Kerahasiaan
Selain itu otentikasi, juga merupakan sebuah saluran yang aman dan juga harus
memberikan jaminan untuk integritas dan kerahasiaan pesan. Integritas pesan berarti bahwa
pesan dilindungi terhadap medification surrepitious; kerahasiaan memastikan bahwa pesan-
pesan tidak dapat disadap dan dibaca oleh penyadap. Kerahasiaan mudah dibentuk dengan
hanya mengenkripsi pesan sebelum mengirimnya. Enkripsi dapat mengambil tempat yang
baik melalui sebuah kunci rahasia bersama dengan penerima atau dengan cara lain dengan
menggunakan receiver kunci publik. Namun, pesan melindungi terhadap modifikasi yang
agak lebih rumit, seperti yang kita diskusikan berikutnya.
Digital Signatures
Ada beberapa cara untuk menempatkan tanda tangan digital. Salah satunya adalah
dengan menggunakan suatu cryptosystem kunci publik seperti RSA, seperti ditunjukkan pada
Gambar. 9-20. Ketika Alice mengirim pesan m kepada Bob, dia mengenkripsi dengan K
pribadinya kunci dan mengirimkannya ke Bob. Jika dia juga ingin menyimpan konten pesan
rahasia, ia dapat menggunakan kunci publik Bob dan mengirimkan K / i (m, KA (»m, yang
menggabungkan m dan versi ditandatangani oleh Alice.
Ketika pesan tiba di Bob, dia bisa mendekripsi menggunakan kunci publik Alice.
Jika ia dapat yakin bahwa kunci publik ini memang dimiliki oleh Alice, lalu mendekripsi
versi menandatangani m dan berhasil membandingkannya hanya dengan 111 berarti dapat
diketahui berasal dari Alice. Alice dilindungi terhadap modifikasi berbahaya untuk m, karena
Bob selalu akan harus membuktikan bahwa versi dimodifikasi m juga ditandatangani oleh
Alice. Dengan kata lain, pesan didekripsi pernah dianggap sebagai bukti. Hal ini juga sesuai
dengan kepentingan Bob untuk menjaga versi ditanda tangani m toprotect dirinya terhadap
penolakan oleh Alice. Ada sejumlah masalah dengan skema ini, meskipun protokol di
dalamnya adalah benar. Pertama, keabsahan tanda tangan Alice memegang hanya selama
Alice memiki kunci pribadi yang tetap rahasia. Jika Alice ingin menyelamatkan dari
kesepakatan bahkan setelah mengirim konfirmasi Bob, dia bisa klaim. bahwa kunci privat
nya dicuri sebelum pesan itu dikirim.
Masalah lain terjadi ketika Alice memutuskan untuk mengubah kunci pribadinya,
karena mengubah kunci dari waktu ke waktu membantu terhadap penyusupan. Namun,
begitu Alice telah berubah kuncinya, pernyataan itu dikirim ke Bob menjadi tidak berguna.
Apa yang mungkin diperlukan dalam kasus seperti itu adalah kewenangan pusat yang
melacak ketika tombol yang berubah, selain menggunakan perangko saat penandatanganan
pesan. Masalah lain dengan skema ini adalah bahwa Alice mengenkripsi seluruh pesan
dengan kunci pribadinya. Seperti enkripsi mungkin mahal dari segi persyaratan pengolahan
(atau bahkan matematis tidak layak karena kami menganggap bahwa pesan ditafsirkan
sebagai angka biner dibatasi oleh maksimum yang telah ditetapkan), dan sebenarnya tidak
perlu. Ingatlah bahwa kita perlu mengaitkan tanda tangan unik dengan hanya pesan khusus
dihitung dari pesan panjang 111 melalui suatu hash kriptografi fungsi H. Jika m adalah
diubah ke m ', yang hash H (111') akan berbeda dari h = H (m) sehingga dapat dengan mudah
mendeteksi bahwa modifikasi telah terjadi. Alice pertama dapat menghitung message digest
dankemudian mengenkripsi digest dengan kunci pribadinya, seperti ditunjukkan pada
Gambar. 9-21.
Digest yang dienkripsi dikirim bersama dengan pesan kepada Bob. Perhatikan bahwa
pesan itu Jika dikirim sebagai plaintext: setiap orang diperbolehkan untuk membacanya. Jika
kerahasiaan diperlukan, maka pesan tersebut juga harus dienkripsi dengan kunci publik Bob.
Ketika Bob menerima pesan dan yang dienkripsi , ia hanya butuh untuk mendekripsi digest
dengan kunci publik Alice, dan secara terpisah menghitung pesan digest. Jika digest dihitung
dari pesan yang diterima dan didekripsi, Bob tahu pesan tersebut telah ditandatangani oleh
Alice.
Sesi Kunci
Setelah tahap otentikasi telah selesai, pihak-pihak yang berkomunikasi umumnya
menggunakan sesi berbagi kunci yang unik untuk kerahasiaan. Session key dengan aman
dibuang bila saluran ini tidak lagi digunakan. Sebagai alternatif akan menggunakan kunci
yang sama untuk kerahasiaan seperti yang yang digunakan untuk menyiapkan saluran aman.
Jika seorang penyusup bisa menahan banyak data yang telah dienkripsi menggunakan tombol
yang sama, maka ada kemungkinan untuk me-mount serangan untuk menemukan
karakteristik tertentu dari tombol yang digunakan, dan mungkin mengungkapkan plaintext
atau tombol itu sendiri. Untuk alasan ini, jauh lebih aman untuk menggunakan otentikasi
kunci sesedikit mungkin.
Confidential Group Communication (Kelompok Rahasia Komunikasi)
Pertama, mempertimbangkan masalah komunikasi melindungi antara kelompok N
pengguna menghadapi eavesdropping. Untuk menjamin kerahasiaan, skema sederhana adalah
membiarkan semua anggota kelompok berbagi kunci rahasia yang sama, yang digunakan
untuk mengenkripsi dan mendekripsi semua pesan ditransmisikan antara anggota kelompok.
Karena kunci rahasia dalam skema ini dibagi oleh semua anggota, adalah penting bahwa
semua anggota yang terpercaya memang benar-benar menjaga rahasia kunci.karena membuat
penggunaan satu kunci rahasia bersama untuk komunikasi kelompok rahasia lebih rentan
terhadap serangan dibandingkan dengan saluran mengamankan dua saluran aman.
Sebuah solusi alternatif adalah dengan menggunakan kunci rahasia yang terpisah
dibagi antara EAC sepasang anggota kelompok. Begitu sebagai salah satu anggota ternyata
membocokanr informasi yang lainnya hanya bisa berhenti mengirim pesan ke anggota, tetapi
masih menggunakan kunci mereka gunakan untuk berkomunikasi satu sama lain. Dengan
menggunakan kriptografi kunci publik dapat memperbaiki masalah. Dalam hal ini, setiap
anggota memiliki sendiri (kunci publik, kunci privat) pasangan, dimana kunci publik dapat
digunakan oleh semua anggota untuk mengirimkan pesan rahasia. Dalam hal ini, total
pasangan N kunci diperlukan. Jika salah satu anggota lagi dapat dipercaya, itu hanya dihapus
dari grup tanpa bisa kompromi kunci yang lain.
Replikasi Secure Server
Dilihat dari permasalahan berbeda klien melakukan permintaan ke kelompok server
untuk direplikasi. Dengan alasan server mungkin telah direplikasi untuk alasan toleransi
kesalahan atau kinerja, tetapi dalam hal apapun, klien mengharapkan respon. Dengan kata
lain, terlepas dari apakah kelompok server dikenakan kegagalan Byzantium bahwa respon
yang dikembalikan tersebut belum dikenakan sebagai serangan keamanan. Seperti serangan
keamanan biasanya terjadi jika satu atau lebih server telah berhasil dirusak oleh penyusup.
Sebuah solusi untuk melindungi klien terhadap serangan tersebut yaitu mengumpulkan
respon dari semua server dan mengesahkan masing-masing dari mereka.
Jika mayoritas ada di antara respon noncorrupted berarti diotentikasi oleh server,
klien mendapatkan kepercayaan respon yang akan benar juga. Sayangnya, pendekatan ini
mengungkapkan replikasi dari server, sehingga melanggar transparansi replikasi. Reiter et al.
(1994) mengusulkan solusi ke server, aman direplikasi di mana transparansi replikasi
dipertahankan. Keuntungan dari skema mereka adalah karena klien tidak menyadari replika
yang sebenarnya, menjadi lebih mudah untuk menambah atau menghapus replika secara
aman lakukan.
9.2.4 Contoh Kerberos
Sekarang jelas bahwa memasukkan keamanan dalam sistem terdistribusi tidak mudah.
Masalah ini disebabkan oleh kenyataan bahwa seluruh sistem harus aman. Untuk membantu
pembangunan sistem terdistribusi yang dapat menegakkan segudang kebijakan keamanan,
sejumlah sistem pendukung telah dikembangkan yang dapat digunakan sebagai dasar untuk
pengembangan lebih lanjut. Sebuah sistem penting yang banyak digunakan adalah Kerberos
(Steiner et al, 1988;. dan Kohl dan Neuman, 1994).Kerbero dikembangkan di M.LT. dan
didasarkan pada Needham-Schroeder protokol otentikasi. Saat ini ada dua yang berbedaversi
Kerberos digunakan, versi 4 (V4) dan versi 5 (V5). Kedua versi adalah konseptual yang
sama, dengan V5 yang jauh lebih fleksibel dan scalable. Sebuah rinci deskripsi V5 dapat
ditemukan di Neuman et al. (2005).
Kerberos dapat dilihat sebagai suatu sistem keamanan yang membantu klien dalam
mendirikan sebuah saluran aman dengan server yang merupakan bagian dari suatu sistem
terdistribusi. Keamanan adalah berdasarkan rahasia kunci bersama. Ada dua komponen yang
berbeda. Server Authentication (AS) bertanggung jawab untuk menangani permintaan login
dari pengguna. Sebagai mengotentikasi pengguna dan memberikan kunci yang dapat
digunakan untuk mengatur saluran aman dengan server. Menyiapkan saluran aman adalah
Pemberian Tiket Service (TGS). TGS pesan khusus, yang dikenal sebagai tiket, yang
digunakan untuk meyakinkan server bahwa klien benar-benar dia yang menggunakan atau
dapat di ketahui siapa yang menggunakan.
9.3 ACCESS CONTROL
Dalam model client-server, yang telah kami gunakan sejauh ini,menerapkan suatu
saluran yang aman sebagai client dan server, klien dapat mengeluarkan permintaan yang akan
dilakukan oleh server. Permintaan melibatkan melaksanakan operasi pada sumber daya yang
dikendalikan oleh server. Situasi umum adalah bahwa sejumlah server objek di bawah
kontrolnya. Permintaan dari klien umumnya melibatkan memanggil sebuah metode objek
tertentu. Permohonan tersebut dapat dilakukan jika klien memiliki hak akses yang memadai
untuk melakukan pemanggilan.
Secara formal, hak akses memverifikasi disebut sebagai kontrol akses, sedangkan otorisasi
adalah tentang pemberian hak akses. Dua istilah ini sangat terkait satu sama lain. Ada banyak
cara untuk mencapai kontrol akses. Kita mulai dengan membahas beberapa isu umum,
berkonsentrasi pada model yang berbeda untuk menangani kontrol akses. Salah satu cara
penting untuk benar-benar mengendalikan akses ke sumber daya adalah untuk membangun
firewall yang melindungi aplikasi atau bahkan seluruh jaringan. Firewall dibahas secara
terpisah. Dengan munculnya kode mobilitas, kontrol akses tidak bisa lagi dilakukan hanya
menggunakan metode tradisional.
9.3.1 Masalah Umum di Control Akses
Dalam rangka untuk memahami berbagai isu yang terlibat dalam kontrol akses, model
sederhana ditunjukkan pada Gambar. 9-25. Terdiri dari mata pelajaran yang mengeluarkan
permintaan untuk mengakses objek. Hal ini dapat dianggap sebagai encapsulating negara
sendiri dan melaksanakan operasi di negara itu. Operasi dari sebuah objek yang subjeknya
dapat meminta untuk dilakukan dibuat yang tersedia melalui antarmuka. Subjek terbaik yang
dapat dianggap sebagai proses yang bertindak atas nama pengguna.
Mengontrol akses ke obyek adalah semua yang melindungi tentang obyek terhadap
pemanggilan oleh subjek yang tidak diizinkan untuk memiliki spesifik (atau bahkan ada) dari
metode yang dilakukan. Juga terdapat perlindungan termasuk masalah-masalah manajemen
objek,seperti membuat, mengubah nama, atau menghapus objek. Perlindungan sering
diberlakukan oleh program yang disebut referensi monitor. Contoh Monitor referensi catatan
A yang sesuai mungkin melakukan apa, dan memutuskan apakah subyek diperbolehkan
untuk memiliki operasi tertentu dilakukan. Monitor ini disebut (misalnya, dengan mendasari
terpercaya operasi system) setiap kali suatu obyek dipanggil. Oleh Karena itu, sangat
pentingbahwa monitor referensi itu sendiri tamperproof .
Access Control Matrix
Akses control adalah kemampuan untuk membatasi dan mengontrol akses ke host
system. Setiap entitas dalam mencoba untuk akses, maka yang pertama dilakukan adalah
identitas atau autentikasi.Pendekatan umum untuk pemodelan hak akses subyek sehubungan
dengan benda-benda adalah untuk membangun sebuah kontrol akses matriks. Setiap subjek
diwakili oleh baris dalam matriks ini, setiap objek diwakili oleh kolom. Melihat bahwa sistem
perlu dengan mudah untuk mendukung ribuan pengguna dan membutuhkan perlindungan,
menerapkan kontrol akses matriks sebagai matriks yang benar. Oleh karena itu, cara yang
lebih efisien yang diikuti untuk menerapkan kontrol akses matriks. Salah satu pendekatan
yang diterapkan secara luas-untuk memiliki setiap benda mempertahankan daftar hak akses
yang ingin mengakses objek.
Jenis ini pelaksanaan disebut Access Control List (ACL). Setiap objek diasumsikan
memiliki ACL sendiri terkait. Dengan kata lain, kemampuan yang sesuai untuk entri dalam
matriks kontrol akses tidak memiliki kemampuan untuk objek tertentu berarti bahwa subjek
tidak memiliki hak akses untuk objek tersebut.Salah satu pendekatan yang sangat cocok
dalam sistem terdistribusi dan yang telah diterapkan secara luas di Amoeba (Tanenbaum et
ai,1990.), adalah untuk melindungi dan hal-hal lain membahas manajemen keamanan.
Perbedaan antara bagaimana ACL dan kemampuan digunakan untuk melindungi
akses ke obyek ditunjukkan pada Gambar. 9-26. Menggunakan ACL, ketika klien
mengirimkan permintaan ke server, referensi monitor server akan memeriksa apakah ia tahu
klien dan jika klien yang dikenal maka diperbolehkan untuk memiliki operasi yang diminta
dilakukan seperti ditunjukkan pada Gambar. 9-26 (a).
Perlindungan Domain
ACL mempunyai kemampuan membantu dalam menerapkan kontrol akses matrix
dengan efisien dan mengabaikan semua entri kosong. Namun demikian, ACL atau daftar
kemampuan dapat masih menjadi sangat besar jika tidak ada tindakan lebih lanjut diambil.
Salah satu cara umum mengurangi ACL adalah untuk menggunakan domain perlindungan.
Secara formal, sebuah domain perlindungan adalah satu set (objek, hak akses) pasang. Setiap
pasangan menentukan suatu objek tertentu persis yang operasi diperbolehkan untuk dilakukan
(Saltzer dan Schroeder, 1975).
Permintaan untuk melakukan operasi selalu dikeluarkan dalam sebuah domain. Oleh
karena itu, setiap kali permintaan operasi subjek untuk menjadi dilakukan pada suatu objek,
monitor referensi pertama melihat domain perlindungan terkait dengan permintaan itu.
Kemudian,domain memonitor referensi yang kemudian memeriksa apakah permintaan
tersebut boleh dilakukan.
Peran Domain sebagai pelindung dalam kontrol akses untuk pengguna selalu log ke
dalam sistem dengan peran tertentu, yang sering dikaitkan dengan fungsi user dalam sebuah
organisasi (Sandhu et al, 1996.). Seorang pengguna mungkin memiliki beberapa fungsi
perannya menentukan domain perlindungan (yaitu, kelompok) di mana ia akan beroperasi.
Selain menggunakan domain perlindungan, efisiensi dapat lebih ditingkatkan oleh (Hirarkis)
pengelompokan objek berdasarkan operasi yang mereka berikan.
Misalnya,memperhitungkan objek individu, objek yang dikelompokkan menurut
antarmuka yang mereka berikan, mungkin menggunakan subtyping juga yang disebut sebagai
antarmuka. Dalam hal ini, ketika permintaan operasi untuk dilakukan pada objek, referensi
monitor menuju kepada interface yang dioperasi untuk objek yang dimiliki. Hal ini kemudian
memeriksa apakah subjek diperbolehkan untuk memanggil operasi milik interface, atau dapat
memanggil operasi untuk objek tertentu. Menggabungkan domain perlindungan dan
pengelompokan objek juga mungkin teknik baik bersama dengan struktur data tertentu dan
operasi terbatas pada objek, Gladney (1997) yang menjelaskan bagaimana menerapkan ACL
untuk digunakan dalam perpustakaan digital.
9.3.2 Firewall
Sejauh ini perlindungan dapat dibangun dengan menggunakan teknik kriptografi
dikombinasikan dengan beberapa implementasi kontrol akses matriks .Hal ini dapat bekerja
dengan baik asalkan semua pihak berkomunikasi berjalan ke set aturan yang sama,
perlindungan ini bisa dikombinasikan atau digabung Aturan tersebut dapat diberlakukan
ketika mengembangkan sebuah sistem terdistribusi yang terisolasi dari seluruh dunia. Namun,
hal-hal menjadi lebih rumit ketika orang luar diizinkan untuk mengakses sumber daya
dikendalikan oleh sistem terdistribusi. Contoh akses tersebut termasuk pengiriman email,
download file, upload formulir pajak, dan sebagainya. Dalam prakteknya, apa yang terjadi
adalah bahwa akses eksternal untuk setiap bagian dari sistem distribusi dikendalikan oleh
jenis khusus dari referensi monitor dikenal yang disebut sebagai firewall(Cheswick dan
Bellovin, 2000) dan Zwicky et ai, 2000.).
Pada dasarnya, firewall terputus setiap bagian dari sistem terdistribusi dari dunia luar,
seperti yang ditunjukkan dalam Gambar. 9-28. Semua paket keluar, tetapi khususnya semua
paket masuk diarahkan melalui komputer khusus dan diperiksa sebelum mereka berlalu. Lalu
lintas yang tidak sah akan dibuang dan tidak diperbolehkan untuk melanjutkan. Suatu hal
yang penting adalah bahwa firewall itu sendiri harus sangat dilindungi terhadap segala bentuk
ancaman keamanan ia tidak boleh gagal.
Suatu jenis penting dari firewall gateway packet-filtering. Jenis firewall beroperasi
sebagai router dan membuat keputusan, apakah melanjutkan atau tidak untuk masuk ke
jaringan paket berdasarkan alamat sumber dan tujuan sebagaimana tercantum dalam paket
header. Biasanya, gateway packet-filtering ditampilkan pada LAN di luar Gambar. 9-28 akan
melindungi terhadap paket yang datang, sedangkan yang di bagian dalam LAN akan filter
paket yang keluar. Misalnya, untuk melindungi sebuah server web internal terhadap
permintaan dari host yang tidak pada jaringan internal, sebuah packet-filtering gateway dapat
memutuskan untuk drop semua paket yang masuk ditujukan ke server Web.
Setiap LAN dapat dilindungi melalui gateway packet-filtering, yang dikonfigurasi
untuk melewatkan lalu lintas masuk hanya jika berasal dari host di salah satu LAN lain.
Dengan cara ini, jaringan virtual pribadi dapat diatur. Jenis lain dari firewall adalah sebuah
gateway level aplikasi. Berbeda dengan packet-filtering gateway, yang hanya memeriksa
header dari paket jaringan, ini merupakan jenis firewall yang benar-benar memeriksa isi
pesan yang masuk atau keluar. Sebuah contoh adalah gateway mail yang membuang surat
masuk atau keluar melebihi ukuran tertentu,dengan mail gateway yang handal mampu
menyaring spam e-mail.
Contoh lain dari aplikasi-level gateway adalah salah satu yang memungkinkan
eksternal akses ke server perpustakaan digital, namun akan memberikan hanya abstrak
dokumen. khusus gateway level aplikasi adalah dikenal sebagai gatway proxy.
Jenis firewall bekerja sebagai front end untuk jenis tertentu aplikasi,dan memastikan
bahwa hanya pesan-pesan tersebut diteruskan yang memenuhi kriteria tertentu. Perhatikan,
misalnya, surfing di Web. Seperti yang kita bahas di bagian berikutnya, banyak Web.
Halaman ini berisi script atau applet yang akan dijalankan dalam browser pengguna. Untuk
mencegah kode tersebut untuk di-download ke dalam LAN, semua lalu lintas Web dapat
diarahkan melalui gateway proxy web. Gateway ini menerima permintaan HTTP biasa, baik
dari dalam maupun luar firewall.
9.3.3 Kode Secure Mobile
Pentingnya perkembangan sistem terdistribusi modern adalah kemampuan untuk
bermigrasi kode di antara host bukan hanya migrasi data pasif. Namun, mobile code
memperkenalkan sejumlah ancaman keamanan serius. Melindungi terhadap host berbahaya
yang mencoba untuk mencuri atau memodifikasi informasi. Masalah lainnya adalah bahwa
host perlu dilindungi terhadap agen berbahaya. Sebagian besar pengguna sistem terdistribusi
tidak pakar di bidang teknologi sistem dan tidak memiliki cara memberitahu apakah program
mereka mengambil dari host lain.
Melindungi Sebuah Agen
Ketika agen tiba di sebuah host, yang host dengan mudah dapat mendeteksi apakah
saja telah dirusak oleh karena itu memverifikasi negara terhadap pesan dari keadaan
semula.Untuk memungkinkan agen untuk mengumpulkan informasi sambil bergerak antara
host, menyediakan aman append-only log. Log ini ditandai oleh kenyataan bahwa data hanya
dapat ditambahkan ke log, tidak ada cara bahwa data dapat dihapus atau diubah tanpa pemilik
bisa mendeteksi ini. Menggunakan hanya log-append bekerja sebagai berikut:
Ketika agen datang kepada pemiliknya, pemilik dapat dengan mudah memverifikasi
apakahlog telah dirusak. Pemilik mulai membaca log pada akhir dengan komputasi berturut
K wner ~ (C) pada checksum C. Setiap iterasi mengembalikan checksum C "ext untuk iterasi
berikutnya, bersama dengan sig (S, X) dan S untuk beberapa server S. pemilik kemudian
dapat memverifikasi apakah atau tidak maka elemen-terakhir di log pertandingan sig (S, X).
Jika demikian, elemen akan dihapus dan diproses, setelah itu Langkah iterasi selanjutnya
adalah diambil. Iterasi ini akan berhenti bila checksum awal tercapai, atau ketika
pemberitahuan pemilik bahwa log dirusak karena tanda tangan tidak cocok.
Melindungi Target
Meskipun melindungi mobile code jahat adalah yang lebih penting untuk melindungi
host terhadap mobile code berbahaya. Jika mengirim agen ke dunia luar dianggap terlalu
berbahaya, pengguna biasanya akan memiliki alternatif untuk mendapatkan pekerjaan yang
dimaksudkan agen. Oleh karena itu, jika sekali memutuskan bahwa agen akan datang
pengguna perlu mengendalikan penuh. Meskipun melindungi agen dari modifikasi mungkin
mustahil, setidaknya itu adalah mungkin untuk pemilik agen untuk mendeteksi bahwa
modifikasi telah dibuat. Sebaliknya, adalah penting untuk melindungi semua sumber daya
terhadap akses yang tidak sah oleh kode download.
9.3.4 Denial of Service
Kontrol akses umumnya memastikan bahwa sumber daya yang diakses hanya oleh
proses yang berwenang. Jenis yang mengganggu terutama serangan yang berkaitan dengan
kontrol akses jahat mencegah proses dasar dari mengakses sumber daya. Pertahanan terhadap
layanan seperti penolakan-(DoS) serangan menjadi semakin penting sebagai sistem
terdistribusi yang dibuka melalui Internet. Dimana serangan DoS yang berasal dari satu atau
beberapa sumber seringkali dapat ditangani cukup efektif, hal menjadi jauh lebih sulit ketika
harus berurusan dengan distribusi penolakan layanan (DDoS).
Di sini ada metode tunggal untuk melindungi terhadap serangan DDoS. Satu masalah
adalah bahwa penyerang memanfaatkan korban tak berdosa dengan diam-diam menginstal
perangkat lunak pada mereka mesin. Dalam kasus ini, satu-satunya solusi adalah dengan
memiliki mesin terus memantau negara mereka dengan memeriksa file untuk polusi.
Mempertimbangkan kemudahan dengan Virus dapat menyebar melalui Internet.
Jauh lebih baik adalah dengan terus menerus memonitor lalu lintas jaringan, misalnya,
mulaidi router egress mana paket yang meninggalkan jaringan organisasi. Pengalaman
menunjukkan bahwa dengan paket menjatuhkan alamat sumber yang bukan milik jaringan
organisasi kita bisa mencegah banyak masalah. Secara umum, lebih banyak paket dapat
disaring dekat dengan sumber, semakin baik. Atau juga memungkinkan untuk berkonsentrasi
pada router masuknya, yaitu,mana lalu lintas mengalir ke jaringan organisasi.
Masalahnya adalah bahwa mendeteksi serangan pada router ingress terlambat sebagai
jaringan akan mungkin sudah menjadi terjangkau untuk lalu lintas biasa. Lebih baik adalah
memiliki router lebih lanjut di Internet,seperti di jaringan ISP, mulai menjatuhkan paket
ketika mereka menduga bahwa 'suatu serangan yang terjadi. Pendekatan ini diikuti oleh Gil
dan Poletto (2001), dimana router akan drop paket ketika pemberitahuan bahwa tingkat
antara jumlah paket ke node tertentu tidak seimbang dengan jumlah paket-paket dari node itu.
Secara umum, segudang teknik harus dikerahkan, sedangkan serangan baru terus muncul.
9.4 MANAJEMEN KEAMANAN
Sejauh ini, kita telah mempertimbangkan jalur aman dan kontrol akses, tetapi hampir
tidak menyinggung masalah bagaimana, misalnya, kunci diperoleh. Pada bagian ini, kita
melihat lebih dekat pada manajemen keamanan. Secara khusus, kami membedakan tiga yang
berbeda. Pertama, kita perlu mempertimbangkan manajemen umum kunci kriptografi, dan
terutama cara-cara yang kunci publik didistribusikan. Ternyata, sertifikat memainkan peran
penting di sini.Kedua, kita membahas masalah dari aman mengelola kelompok server oleh
berkonsentrasi pada masalah menambahkan anggota kelompok baru yang dipercaya oleh
anggota. Jelas, dalam menghadapi layanan terdistribusi dan diulang, itu keamanan yang
penting . Ketiga, kita memperhatikan manajemen otorisasi dengan melihat kemampuan dan
apa yang dikenal sebagai atribut sertifikat. Isu penting dalam sistem terdistribusi berkenaan
dengan manajemen otorisasi adalah bahwa satu proses dapat mendelegasi beberapa atau
seluruh hak akses kepada proses lain. Mendelegasikan hak atas cara yang aman.
9.4.1 Manajemen Key
Sejauh ini, kita telah dijelaskan berbagai protokol kriptografi yang kita (secara
implisit) diasumsikan bahwa berbagai kunci yang tersedia. Misalnya, dalam kasus dari
kriptografi kunci publik, kita mengasumsikan bahwa pengirim pesan memiliki kunci publik
penerima yang tersedia sehingga bisa mengenkripsi pesan untuk memastikan kerahasiaan.
Demikian pula, dalam kasus otentikasi menggunakan distribusi kunci pusat (KDC), kita
masing-masing pihak diasumsikan sudah berbagi kunci rahasia dengan KDC.
Namun, membangun dan mendistribusikan kunci bukanlah hal mudah. Misalnya,
penyebaran kunci rahasia melalui saluran tanpa jaminan yang keluar dari questIOnand dalam
banyak kasus-kasus yang kita perlu resor out metode band juga. Mekanisme yang diperlukan
untuk mencabut kunci, yaitu kunci mencegah dari yang digunakan setelah telah diganggu
atau batal. Misalnya, pencabutan ini diperlukan bila kunci telah diganggu.
Pembentukan Kunci
Mari kita mulai dengan mempertimbangkan bagaimana kunci sesi dapat dibentuk.
Contoh ketika Alice ingin mendirikan sebuah saluran yang aman dengan Bob, ia pertama kali
dapat menggunakan kunci publik Bob untuk melakukan komunikasi seperti ditunjukkan pada
Gambar. 9-19. Jika Bob menerima, dia kemudian bisa menghasilkan kunci sesi dan kembali
ke Alice dienkripsi dengan kunci publik Alice.
Dengan enkripsi session key bersama sebelum transmisi, ia dapat dengan aman
dilewatkan melalui jaringan. Skema yang sama dapat digunakan untuk menghasilkan dan
mendistribusikan kunci sesi ketika Alice dan Bob sudah berbagi kunci rahasia. Namun, kedua
metode mengharuskan pihak berkomunikasi sudah memiliki sarana yang tersedia untuk
membentuk aman saluran.
Dengan kata lain, beberapa bentuk pendirian kunci dan distribusi harus sudah terjadi.
Argumen yang sama berlaku ketika sebuah kunci rahasia bersama adalah dibentuk melalui
pihak ketiga yang terpercaya, seperti KDC. Sebuah skema yang paling banyak diterapkan
untuk membangun sebuah kunci bersama melintasi saluran tidak aman adalah pertukaran
kunci Diffie-Hellman (Diffie dan Hellman, 1976). Protokol ini bekerja sebagai berikut.
Misalkan Alice dan Bob ingin mendirikan sebuah kunci rahasia bersama. Baik n dan g bisa
dibuat publik; tidak perlu menyembunyikan mereka dari luar. Alice mengambil nomor acak
yang besar, katakanlah x, yang dia rahasia Demikian juga Bob mengambil nomor sendiri
rahasia yang besar, misalnya y. Pada titik ini ada adalah informasi yang cukup untuk
membangun sebuah kunci rahasia, seperti ditunjukkan pada Gambar. 9-33.
Alice dimulai dengan mengirim n mod s 'untuk Bob, bersama dengan n dan g. Adalah
penting untuk diperhatikan bahwa informasi ini dapat dikirim sebagai plaintext, karena
hampir mustahil untuk menghitung x mod diberikan GX n. Saat Bob menerima pesan, ia
kemudian menghitung (GX mod n} '"yang secara matematis sama dengan GX. \' mod n.
Selain itu, ia mengirimkan gy n mod untuk Alice, yang kemudian dapat menghitung (nt mod
gy mod = gXY n. Akibatnya, baik Alice dan Bob, dan hanya dua, sekarang akan hav ~ etne
berbagi kunci rahasia gXY mod n. Perhatikan bahwa keduanya tidak lagi diperlukan untuk
membuat nomor pribadi mereka (xdan y, masing-masing), diketahui yang lain. Diffie-
Hellman dapat dilihat sebagai sistem kriptografi kunci publik.
Dalam kasus, dari Alice, x adalah kunci pribadinya, sedangkan GX mod n adalah
kunci publik-nya. Seperti yang kita bahas berikutnya,mendistribusikan kunci publik adalah
penting untuk membuat Diffie-Hellman bekerja dalam prakteknya.
Distribusi Kunci
Salah satu bagian yang lebih sulit dalam manajemen kunci adalah distribusi aktual
kunci awal. Dalam sistem kriptografi simetris, kunci rahasia awal bersama harus
dikomunikasikan sepanjang saluran aman yang menyediakan otentikasi serta kerahasiaan,
seperti ditunjukkan pada Gambar. 9-34 (a). menggunakan beberapa sarana komunikasi
lainnya dari jaringan. Sebagai contoh, salah satu mereka mungkin telepon yang lain, atau
mengirim tombol pada sebuah floppy disk menggunakan snail mail. Dalam kasus kriptografi
kunci publik, kita perlu untuk mendistribusikan kunci publik sedemikian rupa sehingga
penerima dapat yakin bahwa kunci tersebut memang kunci pribadinya. Dengan kata lain,
seperti ditunjukkan pada Gambar. 9-34 (b), meskipun publik tombol sendiri mungkin dikirim
sebagai plaintext, yang perlu disalurkan melalui yang dikirim dapat memberikan otentikasi.
Kunci pribadi, tentu saja, perlu dikirim di saluran aman menyediakan otentikasi maupun
kerahasiaan.
Secara khusus, klien harus mengasumsikan bahwa KTA kunci publik memang milik
otoritas certifcation terkait. Jika ragu, itu harus mungkin untuk memverifikasi keabsahan
KTAmelalui sertifikat lain datang dari yang berbeda, mungkin lebih dipercaya otoritas
sertifikasi. Model kepercayaan seperti hirarkis di mana otoritas sertifikasi tingkat tertinggi
harus dipercaya oleh semua orang, yang tidak biasa. Misalnya, Privasi Enhanced Mail (PEM)
menggunakan model tiga-tingkat kepercayaan yang terendah di tingkat otoritas sertifikasi
dapat disahkan oleh Kebijakan Sertifikasi Otoritas (PCA), yang pada gilirannya dapat
disahkan oleh Internet Kebijakan Pendaftaran Authority (IPRA). Jika pengguna tidak
mempercayai IPRA, atau tidak berpikir ia dapat dengan aman berbicara dengan IPRA, tidak
ada harapan ia akan pernah percaya e-mail yang akan dikirim dalam cara yang aman ketika
menggunakan PEM. Informasi lebih lanjut pada model ini dapat ditemukan di Kent (993).
Model kepercayaan lainnya dibahas dalam Menezes et al. (1996).
Lifetime Sertifikat
Pada dasarnya, sertifikat adalah kunci publik yang akan selalu berlaku untuk entitas
yang diidentifikasi oleh sertifikat. Jika kunci privat dari entitas yang teridentifikasi pernah
terganggu, tidak ada klien yang tidak curiga harus menggunakan kunci publik (apalagi untuk
klien jahat). Dalam hal ini, kita perlu suatu mekanisme untuk mencabut sertifikat dengan
membuatnya publik diketahui bahwa sertifikat tersebut tidak lagi berlaku.
Ada beberapa cara untuk mencabut sertifikat. Salah satu pendekatan umum adalah
dengan Daftar Pencabutan Sertifikat (CRL) diterbitkan secara teratur oleh sertifikasi otoritas.
Setiap kali klien memeriksa sertifikat, diharuskan memeriksa CRL untuk melihat apakah
sertifikat tersebut telah dicabut atau tidak. Ini berarti bahwa klien akan setidaknya harus
menghubungi otoritas sertifikasi setiap kali CRL baru diterbitkan. Perhatikan bahwa jika
CRL diterbitkan setiap hari, ini membutuhkan waktu untuk mencabut sertifikat.
Sementara itu, sertifikat bisa dibuat palsu dan digunakan sampai diterbitkan di CRL
berikutnya. Akibatnya, waktu antara penerbitan CRL tidak bisa terlalu lama. Selain itu,
mendapatkan CRL sebuah menimbulkan beberapa overhead. Suatu pendekatan alternatif
adalah untuk membatasi keaktifan tiap sertifikat. Validitas sertifikat secara otomatis berakhir
setelah beberapa waktu.
Jika untuk alasan apapun sertifikat harus dicabut sebelum kadaluarsa, otoritas
sertifikasi masih bisa menerbitkannya di sebuah CRL. Namun, pendekatan ini masih akan
memaksa klien untuk memeriksa CRL terbaru setiap kali verifvins sertifikat. Dengan kata
lain. Mereka akan perlu menghubungi otoritas sertifikasi atau database dipercaya berisi CRL
terbaru.
9.4.2 Secure Manajemen Grup
Banyak sistem keamanan menggunakan layanan khusus seperti Distribusi Kunci
Pusat (KDCs) atau Sertifikasi Authorities (CA). Layanan ini menunjukkan masalah sulit
dalam sistem terdistribusi. Di tempat pertama, mereka harus dipercaya. Untuk
meningkatkan kepercayaan dalam pelayanan keamanan, perlu untuk memberikan tingkat
tinggi perlindungan terhadap segala macam ancaman keamanan. Sebagai contoh, setelah CA
telah dijalankan, maka akan menjadi mustahil untuk memverifikasi validitas kunci publik,
membuat sistem keamanan seluruh sepenuhnya tak berharga. Di sisi lain, perlu juga banyak
yang menawarkan jasa keamanan yang tinggi ketersediaan. Misalnya, dalam kasus KDC,
setiap kali dua proses ingin mengatur saluran yang aman, setidaknya satu dari mereka akan
perlu menghubungi KDC untuk berbagi kunci rahasia.
Jika KDC tidak tersedia, komunikasi yang aman tidak dapat didirikan kecuali sebuah
teknik alternatif untuk pembentukan kunci tersedia, seperti sebagai pertukaran kunci Diffie-
Hellman.Solusi untuk ketersediaan tinggi adalah replikasi. Di sisi lain, replikasi membuat
server lebih rentan terhadap serangan keamanan. Kita telah membahas bagaimana
komunikasi kelompok aman dapat berlangsung dengan berbagi rahasia di antara kelompok
anggota. Apa yang masih dipertimbangkan adalah bagaimana benar-benar mengelola
kelompok server direplikasi.
9.4.3 Otorisasi Manajemen
Mengelola keamanan dalam sistem terdistribusi juga khawatir dengan mengelola hak
akses. Sejauh ini, kita hampir tidak menyinggung masalah bagaimana hak akses awalnya
diberikan kepada pengguna atau kelompok pengguna, dan bagaimana mereka kemudian
diselenggarakan dalam cara unforgeable. Ini adalah waktu untuk memperbaiki kelalaian ini.
Dalam sistem nondistributed, mengelola hak akses relatif mudah. Ketika user baru yang
ditambahkan ke sistem, pengguna yang diberikan hak awal, misalnya, untuk membuat file
dan subdirektori dalam direktori spesifik. membuat proses, penggunaan CPU waktu, dan
sebagainya. Dengan kata lain, account lengkap untuk pengguna sudah diatur untuk satu
mesin khusus di mana semua hak telah ditetapkan sebelumnya oleh sistem
administrator.
Dalam sistem terdistribusi, hal ini dipersulit oleh kenyataan bahwa sumber daya ~ e
tersebar di beberapa mesin. Jika pendekatan untuk sistem nondistributed adalah
yang harus diikuti, itu akan diperlukan untuk membuat account untuk setiap user pada
masing-masingmesin. Pada dasarnya, ini adalah pendekatan diikuti dalam sistem operasi
jaringan.Hal-hal yang dapat disederhanakan sedikit dengan menciptakan satu account pada
server pusat. Server Itulah dikonsultasikan setiap kali pengguna mengakses sumber daya
tertentu atau mesin.
Kemampuan dan Sertifikat Atribut
Pendekatan yang lebih baik yang telah banyak diterapkan dalam sistem terdistribusi
adalah penggunaan kemampuan. Seperti yang kita dijelaskan secara singkat di atas,
kemampuan adalah suatu struktur data unforgeable untuk suatu sumber daya tertentu,
menetapkan hak akses persis yang pemegang kemampuan yang berkaitan dengan sumber
daya itu. Implementasi yang berbeda-beda kemampuan ada. Di sini, kita membahas secara
singkat pelaksanaan seperti yang digunakan dalam sistem operasi Amoeba (Tanenbaum et al,
1986.). Amoeba adalah salah satu sistem pertama terdistribusi berbasis obyek. Model
didistribusikan objek adalah benda-benda jauh.
Dengan kata lain, sebuah objek berada pada server sedangkan klien yang ditawarkan
akses transparan ke obyek yang melalui suatu proxy. Untuk memanggil sebuah operasi pada
objek, klien melewati kemampuan untuk lokal sistem operasi, yang kemudian menempatkan
server di mana objek tersebut berada dan selanjutnya melakukan sebuah RPC ke server itu.
Kemampuan adalah 128-bit identifier, internal terorganisir seperti ditunjukkan pada Gambar.
9-36. Yang 48 bit pertama yang diinisialisasi oleh server objek ketika objek dibuat dan efektif
membentuk-mesin independen identifier dari server objek disebut sebagai port server.
24 bit berikutnya digunakan untuk mengidentifikasi objek pada server yang diberikan.
Perhatikan bahwa port server bersama dengan obyek identifier membentuk sistem 72-bit
yang unik lebar pengidentifikasi untuk setiap obyek dalam Amoeba. The 8 bit berikutnya
digunakan untuk menentukan hak akses dari pemegang kemampuan.
Akhirnya, bidang cek 48-bit digunakan untuk membuat kemampuan suatu
unforgeable, seperti yang kita jelaskan di halaman berikut.Ketika suatu objek dibuat, server
yang mengambil bidang pemeriksaan acak dan menyimpannya baik dalam kemampuan
maupun internal dalam tabel sendiri. Semua hak bit dalamKemampuan baru pada awalnya,
dan inilah kemampuan pemilik yang dikembalikan ke klien. Bila kemampuan dikirim
kembali ke server dalam permintaan untuk melakukan operasi, bidang cek diverifikasi.
Delegasi
Ada beberapa cara untuk menerapkan delegasi. Pendekatan umum sebagai dijelaskan
dalam Neuman (1993), adalah dengan menggunakan proxy. Sebuah proxy dalam konteks
keamanan dalam sistem komputer adalah tanda yang memungkinkan pemiliknya untuk
beroperasi dengan sama atau dibatasi hak dan hak istimewa sebagai subyek yang diberikan
token. (Catatan bahwa ini gagasan proxy berbeda dari proxy sebagai sinonim untuk sisi-klien
stub. Meskipun kami mencoba untuk menghindari istilah overloading, kami membuat
pengecualian di sini sebagai "proxy"dalam definisi di atas terlalu banyak digunakan untuk
mengabaikan) Sebuah proses.dapat membuat proxy dengan di terbaik hak yang sama dan
hak-hak istimewa telah sendiri.
Jika proses membuat proxy baru berdasarkan satu itu saat ini memiliki, proxy akan
diturunkan memiliki setidaknya pembatasan sama dengan yang asli, dan mungkin lebih.
Delegasi hak akses adalah teknik yang penting untuk melaksanakan perlindungan dalam
sistem komputer dan sistem terdistribusi, pada khususnya. Ide dasar
sederhana dengan melewatkan hak akses tertentu dari satu proses ke yang lain, menjadi
lebih mudah untuk mendistribusikan kerja antara beberapa proses tanpa mengganggu
perlindungan sumber daya. Dalam kasus sistem terdistribusi, proses dapat berjalan
pada mesin yang berbeda dan bahkan di dalam domain administrasi yang berbeda seperti
yang kita dibahas untuk Globus. Delegasi dapat menghindari overhead banyak sebagai
perlindungan yang sering ditangani secara lokal.
9.5 RINGKASAN
Keamanan memainkan peran yang sangat penting dalam sistem terdistribusi. Sebuah
sistem terdistribusi harus menyediakan mekanisme yang memungkinkan berbagai kebijakan
keamanan yang berbeda untuk ditegakkan. Mengembangkan dan benar untuk menerapkan
mekanisme yang umumnya membuat teknik keamanan latihan yang sulit. Tiga isu penting
dapat dibedakan. Masalah pertama adalah bahwa sebuah sistem terdistribusi harus
menawarkan fasilitas untuk membangun saluran yang aman antara proses.
Saluran aman pada prinsipnya, menyediakan sarana untuk saling mengotentikasi
pihak berkomunikasi, dan melindungi pesan terhadap gangguan selama mereka transmisi.
Saluran aman umumnya juga menyediakan kerahasiaan sehingga tidak ada satu tapi pihak
berkomunikasi dapat membaca pesan-pesan yang masuk melalui saluran. Suatu hal desain
penting adalah apakah untuk hanya menggunakan kriptografi simetris (Yang didasarkan pada
kunci rahasia bersama-sama), atau untuk menggabungkan dengan sistem kunci publik.
Praktek saat ini menunjukkan penggunaan kriptografi kunci publik penyebaran jangka
pendek kunci rahasia bersama.
Yang terakhir dikenal sebagai kunci sesi. Isu kedua dalam sistem terdistribusi yang
aman adalah akses kontrol, atau otorisasi. Otorisasi berkaitan dengan melindungi sumber
daya sedemikian rupa sehingga hanya proses yang memiliki hak akses yang tepat akses yang
sebenarnya dapat dan menggunakan sumber daya tersebut. Kontrol akses selalu berlangsung
setelah proses telah dikonfirmasi. Terkait untuk mengakses kontrol adalah mencegah denial-
of-service, yang ternyata sulit masalah untuk sistem yang dapat diakses melalui Internet. Ada
dua cara untuk menerapkan kontrol akses.
Pertama, sumber daya masing-masing dapat memelihara daftar kontrol akses,
pencatatan persis hak akses dari tiap pengguna atau proses. Atau, suatu proses yang dapat
membawa sertifikat yang menyatakan persis apa yang hak tersebut untuk satu set tertentu
sumber daya. Manfaat utama menggunakan sertifikat adalah bahwa proses dengan mudah
dapat lulus tiket ke proses lain, yaitu, delegasi hak aksesnya. Sertifikat, bagaimanapun,
mempunyai kelemahan bahwa mereka sering sulit untuk mencabut.
Perhatian khusus dibutuhkan ketika berhadapan dengan kontrol akses dalam kasus
mobile kode. Selain mampu melindungi kode ponsel terhadap host berbahaya, yang
umumnya lebih penting untuk melindungi sebuah host terhadap mobile code berbahaya. saat
ini yang paling diterapkan secara luas dan lebih fleksibel pendekatan yang didasarkan pada
domain perlindungan benar telah dirancang juga. Isu ketiga dalam mengamankan manajemen
sistem terdistribusi keprihatinan. Yang dasarnya dua penting subtopik manajemen kunci dan
manajemen otorisasi. manajemen kunci meliputi distribusi kunci kriptografi, yang sertifikat
yang dikeluarkan oleh pihak ketiga yang dipercaya memainkan peran penting. Yang
berkaitan dengan manajemen otorisasi adalah atribut sertifikat dan delegasi.
Soal
1. Bagaimana ACL di Implementasikan di dalam sistem berkas UNIX ?
Jawaban
Pendekatan yang paling umum dipakai dalam mengatasi masalah proteksi berkas adalah
dengan membiarkan akses keberkas ditentukan langsung oleh pengguna (dalam hal ini
pemilik/pembuat berkas itu). Sang pemilik bebas menentukan tipe akses apa yang
diperbolehkan untuk pengguna lain. Hal ini dapat dilakukan dengan menghubungkan setiap
berkas atau direktori dengan suatu daftar kontrol-akses (Access-Control Lists/ACL) yang
berisi nama pengguna dan tipe akses apa yangdiberikan kepada pengguna tersebut.Sistem
UNIX dimana konrol-aksesnya dinyatakan dalam 3 bagian. Masing-masing bagian
merupakan klasifikasi pengguna (yi.pemilik, grup dan semesta). Setiap bagian kemudian
dibagi lagi menjadi 3 bit tipe akses -rwx, dimana r mengontrol akses baca, w mengontrol
akses tulis dan x mengontrol eksekusi. Dalam pendekatan ini, 9 bit diperlukan untuk
merekam seluruh informasi proteksi berkas.
2. The Diffie-Hellman adalah protokol untuk pertukaran kunci yang dapat digunakan untuk
membangun kunci rahasia bersama antara tiga pihak. Jelaskan bagaimana.?
Jawaban
Sebuah skema yang paling banyak diterapkan untuk membangun sebuah kunci bersama
melintasi saluran tidak aman adalah pertukaran kunci Diffie-Hellman (Diffie dan Hellman,
1976). Protokol ini bekerja sebagai berikut. Semua algoritma kunci publik (asimetri)
menggunakan fungsi matematis untuk mengubah plaintext menjadi ciphertext. Diffie-
Hellman menggunakan aritmetik modulus dimana dua kunci berbeda akan memberi hasil
yang sama berdasarkan nilai modulus-nya. RSA adalah singkatan dari Rivest, Shamir, dan
Adleman, tiga orang yang bekerja sama membangun suatu algoritma kunci publik. RSA
merupakan algoritma kunci publik yang terkuat, dan seperti Diffie-Hellman, RSA juga
menggunakan aritmetik modulus dalam komputasi enkripsi-dekripsi. Rabin adalah teknik
yang merupakan salah satu variasi dari RSA, ditemukan oleh M.Rabin. ElGamal merupakan
variasi dari Diffie-Hellman, ditemukan ElGamal.
Salah satu aplikasi dari algoritma kunci publik adalah software PGP (Pretty Good Privacy).
PGP digunakan untuk pengamanan berkomunikasi lewat e-mail, dimana e-mai di-enkripsi
pada saat dikirim sehingga hanya orang yang memiliki kunci private yang bisa membaca e-
mail tersebut.
Misalkan Alice dan Bob ingin mendirikan sebuah kunci rahasia bersama. Baik n dan g
bisa dibuat publik; tidak perlu menyembunyikan mereka dari luar. Alice mengambil nomor
acak yang besar, katakanlah x, yang dia rahasia Demikian juga Bob mengambil nomor
sendiri rahasia yang besar, misalnya y. Pada titik ini ada adalah informasi yang cukup untuk
membangun sebuah kunci rahasia, seperti ditunjukkan pada Gambar. 9-33.
Alice dimulai dengan mengirim n mod s 'untuk Bob, bersama dengan n dan g. Adalah
penting untuk diperhatikan bahwa informasi ini dapat dikirim sebagai plaintext, karena
hampir mustahil untuk menghitung x mod diberikan GX n. Saat Bob menerima pesan, ia
kemudian menghitung (GX mod n} '"yang secara matematis sama dengan GX. \' mod n.
Selain itu, ia mengirimkan gy n mod untuk Alice, yang kemudian dapat menghitung (nt mod
gy mod = gXY n. Akibatnya, baik Alice dan Bob, dan hanya dua, sekarang akan hav ~ etne
berbagi kunci rahasia gXY mod n.
Perhatikan bahwa keduanya tidak lagi diperlukan untuk membuat nomor pribadi
mereka (xdan y, masing-masing), diketahui yang lain. Diffie-Hellman dapat dilihat sebagai
sistem kriptografi kunci publik. Dalam kasus, dari Alice, x adalah kunci pribadinya,
sedangkan GX mod n adalah kunci publik-nya. mendistribusikan kunci publik adalah penting
untuk membuat Diffie-Hellman bekerja dalam prakteknya.
3. Jelaskan bagaimana rancangan protokol otentikasi menggunakan tanda tangan dalam
cryptosystem kunci publik.
Jawaban
Whitfield Diffie dan Martin Hellman memperkenalkan konsep public-key
cryptography pada 1976. Public-key cryptosystems memiliki dua kegunaan primer, enkripsi
dan tanda tangan digital. Pada sistemnya, setiap orang mendapatkan sepasang kunci, satu
disebut kunci public dan yang lain disebut kunci privat. Kunci publik dipublikasikan,
sedangkan kunci privat disimpan rahasia. Kebutuhan pengirim dan penerima untuk berbagi
informasi rahasia
Dieliminasi semua komunikasi hanya mencakup kunci publik, kunci privat tidak
pernah ditransmisikan atau dipakai bersama. Pada sistem ini, tidak perlu lagi untuk
mempercayai keamanan beberapa peralatan komunikasi. Kebutuhannya hanya kunci publik
diasosiasikan dengan penggunanya dengan cara yang dapat dipercaya (diotentikasi) (sebagai
contoh, dalam direktori yang dipercaya). Setiap orang dapat mengirimkan pesan rahasia
hanya dengan menggunakan informasi publik, tetapi pesan hanya dapat didekripsi dengan
kunci privat, yang merupakan milik penerima yang dituju. Lebih jauh lagi, public-key
cryptography dapat digunakan tidak hanya untuk kerahasiaan (enkripsi), tetapi juga untuk
otentikasi (tandatangan digital) dan teknik-teknik lainnya.
Pada public-key cryptosystem, kunci privat selalu dihubungkan secara matematis
dengan kunci publik. Karena itu, dimungkinkan untuk menyerang sistem public-key dengan
menurunkan kunci privat dari kunci publik. Pada umumnya, antisipasi atas masalah ini adalah
dengan membuat masalah penurunan kunci privat sesulit mungkin. Sebagai contoh, beberapa
public-key cryptosystem dirancang sedemikian rupa sehingga penurunan kunci privat dari
kunci public membutuhkan penyerang untuk memfaktorkan angka yang besar, dalam kasus
tidak mungkin secara komputasi untuk melakukan penurunan ini. Ini disebut RSA public-key
cryptosystem.
Proses Authentication dengan public key
Dalam hal ini B diasumsikan menghasilkan public key dan private key. A mengakses layanan
distribusi kunci untuk mendapatkan public key certificate yang mengandung public key B.
Disebut certificate karena adanya tanda tangan oleh yang berwenang. Setelah dicek tanda
tangannya, A akan membaca public key B (Kbpup) dari sertifikat.
A membuat shared key baru (KAB) dan mengenkripnya menggunakan Kbpub dengan algoritma
public key. A mengirim hasilnya ke B, dengan suatu nama unik yang menunjukkan pasangan
public/private key. Sehingga A mengirim keyname, {KAB}Kbpub ke B.
B menggunakan private key Kbpriv untuk mendekrip KAB.
Ilustrasi di atas menggambarkan kriptografi public key untuk mendistribusikan shared secret
key. Teknik ini disebut dengan istilah Hybrid Cryptographic Protocol.
Tujuan dari tanda tangan digital adalah untuk mendeteksi modifikasi data yang tidak diotorisasi
dan untuk mengotentikasi identitas dari penandatangan, juga untuk non-repudiasi. Fungsi-fungsi ini
dicapai dengan menggenerate blok data yang biasanya ukurannya lebih kecil dari data asli. Blok data
yang lebih kecil ini dibubuhkan pada data asli dan pada identitas pengirim. Pembubuhan ini
memverifikasi integritas data dan mendukung non-repudiasi.Untuk menghasilkan tanda tangan digital,
program sinyal digital melewatkan file untuk dikirimkan melalui fungsi hash satu arah. Setelah
message digest dihitung, kemudian dienkripsi dengan kunci privat pengirim. Penerima kemudian
mendekripsi message digest dengan menggunakan kunci publik pengirim. Jika kunci publik ini
membuka message digest dan benar bahwa ia merupakan kunci publik pengirim, verifikasi pengirim
telah tercapai. Verifikasi terjadi karena hanya kunci publik pengirim yang dapat
mendekrip message digestyang dienkripsi dengan kunci privat pengirim. Kemudian, penerima dapat
menghitung message digest dari file yang diterima menggunakan fungsi hash yang identik dengan
pengirim. Jika message digest identik dengan message digest yang dikirim sebagai bagian dari tanda
tangan, maka pesan tidak dimodifikasi.
4. Dalam pendekatan RISSC, untuk keamanan semua akan terkonsentrasi pada server apakah itu aman
atau tidak?
Jawaban
Komponen (RISSC) pendekatan, seperti dijelaskan dalam Neumann (1995). Dalam RISSC
pendekatan setiap keamanan server kritis atau tidak aman karena ditempatkan pada mesin
yang terpisah terisolasi dari sistem pengguna akhir menggunakan tingkat rendah antarmuka
jaringan yang aman, seperti yang ditunjukkan dalam Gambar. 9-5. Klien dan aplikasi mereka
berjalan di mesin yang berbeda dan server dapat melaui jaringan antar muka.
5. Bagaimana sebuah organisasi melakukan penggunaan gateway proxy Web dan mencegah
pengguna untuk langsung mengakses ke server web eksternal?
Jawaban
Web proxy
Sebuah proxy yang berfokus pada lalu lintas World Wide Web disebut ‘web proxy’.
Yang paling sering menggunakan web proxy adalah untuk melayani sebagai web cache.
Sebagian besar program proxy menyediakan cara untuk menolak akses ke URL yang
ditetapkan dalam daftar hitam, sehingga memberikan penyaringan konten. Hal ini sering
digunakan dalam perusahaan, pendidikan atau lingkungan perpustakaan, dan tempat lain di
mana penyaringan konten yang diinginkan. Beberapa web proxy memformat ulang halaman
web untuk tujuan tertentu atau khalayak, seperti untuk ponsel dan PDA. Sebuah proxy
mencegat menggabungkan server proxy dengan gateway atau router (umumnya dengan
kemampuan NAT). Sambungan dibuat oleh browser klien melalui gateway ini dialihkan ke
proxy tanpa konfigurasi sisi klien (atau sering pengetahuan). Sambungan juga dapat dialihkan
dari SOCKS server atau proxy level sirkuit. Mencegat proxy juga sering disebut sebagai
‘transparan’ proxy, atau ‘memaksa’ proxy, mungkin karena keberadaan dari proxy adalah
transparan kepada pengguna, atau user dipaksa untuk menggunakan proxy tanpa pengaturan
lokal.
Tujuan
Mencegat proxy biasanya digunakan dalam usaha untuk mencegah atau menghindari
acceptable use policy, dan untuk meringankan beban administrasi, karena tidak ada
konfigurasi browser klien diperlukan. Namun alasan kedua ini adalah dikurangi oleh fitur-
fitur seperti Active Directory kebijakan kelompok, atau DHCP dan otomatis deteksi proxy.
Mencegat proxy juga umum digunakan oleh ISP di beberapa negara untuk menghemat
bandwidth Sumber dan meningkatkan respons arus pelanggan oleh caching. Ini lebih umum
di negara-negara di mana bandwidth yang lebih terbatas (misalnya negara-negara pulau) atau
harus dibayar.
Pengalihan / pencegatan dari sebuah koneksi TCP menciptakan beberapa masalah.
Pertama tujuan asli IP dan port harus entah bagaimana dikomunikasikan ke proxy. Ini tidak
selalu memungkinkan (misalnya di mana gateway dan proxy berada pada host yang berbeda).
Ada kelas serangan lintas situs yang bergantung pada perilaku tertentu mencegat proxy yang
tidak memeriksa atau memiliki akses ke informasi tentang tujuan asli (disadap). Masalah ini
dapat diatasi dengan menggunakan paket-tingkat terpadu dan alat tingkat aplikasi atau
perangkat lunak yang kemudian bisa mengkomunikasikan informasi antara paket penangan
dan proxy.Mencegat juga menimbulkan masalah bagi otentikasi HTTP, khususnya
berorientasi sambungan otentikasi seperti NTLM, karena browser klien percaya itu bukan
berkomunikasi ke server proxy. Hal ini dapat menyebabkan masalah di mana sebuah proxy
mencegat memerlukan otentikasi, kemudian menghubungkan pengguna ke sebuah situs yang
juga memerlukan otentikasi.
Hal ini memungkinkan untuk mendeteksi penggunaan server proxy yang mencegat
dengan membandingkan eksternal alamat IP klien ke alamat yang dilihat oleh eksternal web
server, atau kadang-kadang dengan memeriksa HTTP header yang diterima oleh server.
Sejumlah situs telah diciptakan untuk mengatasi masalah ini, dengan melaporkan pengguna
alamat IP seperti yang terlihat oleh situs kembali ke pengguna di halaman web.
top related