Dasar-Dasar Keamanan Web Part 2

C. Dasar-Dasar Pengamanan

Setelah sedikit mengetahui hal-hal di atas, maka sekarang kita membahas tentang strategi dasar pengamanan web. Pada dasarnya, strategi pengamanan web yang dapat kita lakukan di antaranya sebagai berikut :

1. Pemilihan Sistem Operasi (OS), Setting Server, dan Desain Aplikasi

Salah satu hal penting yang harus dicermati adalah pemilihan sistem operasi (OS). Seberapa besar pengamanan yang dibutuhkan sangat berhubungan dengan sistem operasi. Sebagai ilustrasi, meskipun sistem operasi semisal Windows 9x bisa dijadikan sebagai server web dengan keterbatasannya melalui Personal Web Service (PWS), sistem ini tidak cukup apabila pengamanan merupakan faktor penting. Salah satu kelemahannya Windows 9x tidak dapat menyediakan NTFS yang sangat penting untuk kontrol akses.

Setting konfigurasi pada server yang tidak memadai dan hanya mengandalkan default merupakan faktor utama penyebab server yang dibangun tidak terjamin keamanannya. Penentuan kebijakan dalam menerapkan sistem pengamanan ini merupakan kunci utama yang harus diperhatikan untuk diterapkan pertama kali. Ironisnya justru hal ini merupakan hal yang paling sering diabaikan.

2. Instalasi Patch

Idealnya, software yang kita pakai mestinya sudah sempurna sejak awal. Namun kenyataannya tidak pernah ada software yang benar-benar 100% bugs free. Ada saja bagian program yang rawan keamanan. Pada saat kerawanan tersebut ditemukan biasanya perusahaan pembuat software akan mengeluarkan aplikasi baru untuk memperbaiki kesalahan software terdahulu. Aplikasi inilah yang dikenal dengan nama patch. Meskipun penggunaan istilah ini sekarang juga digunakan bagi para cracker untuk membajak sebuah software resmi.

Penerapan patch ini harus dilakukan pada sistem operasi, server web, add on, maupun file-file komponen lain yang terintegrasi dengan web kita. Kemalasan, ketidaktahuan, serta kesibukan admin server membuat mereka tidak konsisten menerapkan patch ini. Sangat ironis jika dibandingkan dengan kemudahan dalam instalasi patch tersebut.

3. Kontrol Akses

Penentuan siapa yang dapat mengakses server harus dilakukan dengan menggunakan kontrol akses, baik dengan autentikasi maupun otorisasi. Autentikasi adalah proses validasi identitas yang dilakukan dengan membandingkan data user yang dikirim dengan data yang terdapat dalam database. Setelah melakukan autentikasi, langkah selanjutnya yaitu melakukan otorisasi yang merupakan proses untuk menentukan apakah pengguna memiliki ijin untuk melakukan tindakan yang diminta.

Ada dua tipe dasar autentikasi, yaitu berbasiskan akses direktori dan autentikasi berbasiskan form. Khusus untuk Windows ada tipe autentikasi lain yaitu autentikasi passport. Sedangkan otorisasi terbagi dua bentuk, yaitu ACL (Access Control Listi) dan hostname.

4. Audit dan Log File

Audit diperlukan untuk menunjang cara-cara pengamanan yang telah dijelaskan di atas. Proses monitoring aktivitas tertentu seperti usaha login (berhasil atau gagal), dan kemudian menuliskannya ke dalam log ini merupakan proses audit. Sebagai contoh, kita dapat menganalisa dengan mengaudit kegagalan usaha login dalam log, memungkinkan kita menentukan saat seseorang berusaha menyerang server.

Untuk mengaktifkan sistem audit dan log sangat bergantung pada sistem operasi, aplikasi server yang dijalankan, database yang digunakan, dll. Pada sistem Posix (*nix: unix dan variannya (linux, FreeBSD)), log defaultnya berada di /var/log yang pengaktifannya bergantung pada aplikasi atau proses apa yang ingin diaudit. Log server web yang kita jalankan dikonfigurasikan di file konfigurasi server apache (defaultnya httpd.conf)

5. Menerapkan Kriptografi

Selanjutnya, juga perlu diketahui bagaimana proses pengiriman lewat protokol http, baik permintaan layanan maupun respon berupa teks biasa (plaintext). Kemungkinan attacker untuk melakukan tindakan kriminal dengan mencuri data sensitif seperti password, e-mail atau nomor kartu kredit sangat besar kemungkinannya.

Untuk menjaga informasi semacam ini tetap aman, diperlukan enkripsi yang membuat plaintext menjadi ciphertext (teks yang tidak terbaca akibat proses enkripsi). Proses kebalikan dari enkripsi yaitu deskripsi. Ilmu yang mempelajari tentang keamanan informasi inilah yang disebut kriptografi.

Pada level sistem operasi, penerapan yang dilakukan untuk mengamankan server web adalah dengan menggunakan SSL. Secara default komunikasi SSL terjadi pada port 443 dengan prefiks https:// untuk url yang menggunakan SSL. Untuk mengaktifkan SSL pada server diperlukan sertifikat server. Pembuatan server ini dapat diajukan kepada pemegang sertifikat pihak ketiga yang sudah terkenal seperti Verisign atau bahkan bisa juga dengan membuat sendiri. Secara default konfigurasi SSL pada apache terletak pada direktori httpd di mana server apache diinstall.

D. Penerapan Dasar-Dasar Pengamanan

Dari dasar-dasar pengamanan di atas, kita dapat menerapkan ke dalam 3 level keamanan sebagai berikut :

1. Level Sistem Operasi (OS) dan Hardware

Cakupan level akses ini menjangkau hadware server, network, dan sistem operasi yang digunakan. Jika web kita pengelolaannya dilakukan oleh perusahaan hosting, maka tanggung jawab ini ada pada admin sistem perusahaan hosting tersebut. Oleh karena itu kita harus tahu dengan yakin apakah perusahaan hosting tempat web kita berada cukup terpercaya dan dapat diandalkan. Terutama jika web kita dinilai memang cukup berharga.

Namun sebaliknya, jika pengelolaan web kita pegang sendiri, atau dengan kata lain kitalah yang menjadi adminnya, ada baiknya jika melakukan hal-hal sebagai berikut :

- Back up full dan differential secara periodik dan otomatis

- Mengaktifkan firewall

- Mengaktifkan sistem loging yang baik dan efektif untuk keperluan audit dan monitoring

- Untuk OS *nix, mengaktifkan Intrusion Detection atau akan lebih baik jika menggunakan IPS

- Untuk OS *nix, mengaktifkan detektor malicious code seperti Tripwire atau dengan membuat sendiri

- Untuk OS *nix, mengaktifkan detektor scan, SATAN, seperti courtney, icmpinfo, klaxon, snort, atau dengan membuat script sendiri

- Menerapkan otorisasi ACL dengan melakukan restriksi pada user, direktori, dan file dengan akses paling terbatas. Semua akses --rwx group, sebaiknya di nonaktifkan dan akses untuk other sebaiknya tidak bisa melakukan write

- Untuk OS *nix, sebaiknya menggunakan perintah chown dan chmod

- Untuk OS Windows, menggunakan properti file atau direktori dan menyetting user serta hak aksesnya

- Selalu melakukan patching atau upgrade dengan versi yang lebih baru atau stabil

- Tidak memperbolehkan user menggunakan program remote seperti telnet. Jika terpaksa, lebih baik diganti dengan menggunakan service yang lebih aman seperti SSH dan mengubah port defaultnya (port 22) menjadi port lain.

- Menonaktifkan semua service yang tidak diperlukan

- Jika perlu menggunakan SSL

2. Level Akses Host

Level berikutnya untuk memperkuat keamanan web yaitu mengaktifkan restriksi akses level host. Dengan kata lain, implementasi otorisasi host dilakukan di sini.

Pertama, kita harus menentukan dahulu IP/host atau ID network mana saja yang boleh mengakses web kita. Atau bahkan bisa juga untuk memblokir IP/host yang tidak diharapkan.

Untuk mengaktifkannya, kita harus menambahkan perintah seperti berikut :



Order deny,allow

Deny from all

Allow from .situskita.com

Allow from 123.123.123.123



Yang dapat disisipkan dikonfigurasi daemon http (defaultnya httpd.conf) maupun di file .htaccess. Atau jika menggunakan fasilitas CPanel, dapat melakukan konfigurasi pada menu yang tersedia.



3. Level Akses Direktori dan File

Level Akses Direktori

Lakukan proteksi pada direktori yang dianggap penting dan bukan untuk konsumsi umum, seperti direktori administrator, login, dll.

Keamanan direktori tersebut yang umumnya hanya 1 level keamanan, bisa ditingkatkan menjadi 2 level keamanan dengan menambah 1 level akses keamanan lagi, yaitu autentikasi akses direktori. Sehingga ketika akan melakukan login, sebelum masuk ke menu login administrator, akan muncul terlebih dahulu jendela autentikasi yang berisi user dan password. Di mana sebaiknya user dan passwordnya berbeda dengan user dan password untuk login pada direktori web.

Cara mengatifkannya cukup dengan melakukan konfigurasi autentikasi user dan password pada Cpanel web kita, jika kendali web ada pada kita.

Level Akses File

- Selalu melakukan back up secara berkala (full dan differential)

- Menghapus file instalasi dan direktorinya

- Aktif di forum yang membahas tentang keamanan website

- Mengganti user admin menjadi nama yang tidak menunjukkan account admin

- Jika menggunakan CMS sebaiknya tidak menginstall komponen yang masih versi beta, kecuali kita yakin tidak ada bugs yang berkaitan dengan keamanan atau kita sendiri yang telah melakukan modifikasi.

- Tidak mengaktifkan komponen yang tidak diperlukan. Bahkan lebih baik lagi jika di uninstall atau dihapus

- Jika menggunakan fasilitas registrasi member pada forum atau semacamnya, sebaiknya tidak memberikan akses registrasi user, kecuali jika memberlakukan sistem registrasi yang ketat. Misalnya dengan mengaktifkan e-mail activation pada user yang melakukan registrasi.

- Tambahkan perintah : Disallow: /administrator/ atau Disallow: /[nama_direktori]/ pada file robots.txt

[nama_direktori] adalah direktori yang tidak ingin ditampilkan pada search engine

- Setelah selesai melakukan development, jangan lupa melakuakn restriksi attribut untuk semua file dan direktori. Semua akses --rwx group, sebaiknya di nonaktifkan dan akses untuk other sebaiknya tidak bisa melakukan write, kecuali untuk direktori cache ataupun direktori upload dan semacamnya yang memang diperlukan oleh server web

- Jika situs kita memberikan fasilitas kepada pengunjung untuk mengupload file, pastikan bahwa fasilitas tersebut tidak dapat digunakan untuk mengupload file script seperti php, cgi, pl, sh, dll.

- Mengaktifkan sef dan alias manager

- Mengubah nama direktori administrator menjadi nama direktori yang tidak mencerminkan direktori admin. Nama direktori administrator dapat saja tetap dipertahankan untuk membuat suatu fake atau decoy seolah-olah direktori tersebut yaitu direktori admin. Dan untuk lebih meyakinkan, dapat kita proteksi juga direktori fake ini dengan .htaccess

- Jika menggunakan CMS dan berniat membuat komponen sendiri, pastikan selalu menambahkan perintah :

defined( ‘_VALID_MOS ) or die( ‘Direct Access to this location is not allowed.’ )

di awal baris setiap file PHPnya

- Jika memungkinkan, pindahkan direktori administrator sedemikian rupa sehingga direktori tersebut sejajar dengan direktori root file inti web kita secara fisik. Gunakan alias untuk membuat direktori pada konfigurasi server apache kita agar direktori ini dapat diakses.

Apa yang telah saya tulis di atas, bukanlah suatu hal yang mutlak harus dilakukan keseluruhannya. Namun lebih kepada kebutuhan kita sendiri. Mungkin memang sedikit terkesan phobia dan berlebihan. Tapi bagi web yang memiliki tingkat bisnis dan reputasi tinggi, mempertahankan keamanannya adalah suatu hal yang mutlak.

Mudah-mudahan apa yang saya tulis ini bisa bermanfaat bagi para pecinta dunia IT, terlebih bagi para webmaster pemula seperti saya.