Amankah System Kita ?
Menarik untuk menyimak berbagai artikel tentang keamanan sistem informasi dan komunikasi. Telah banyak artikel yang dimuat tentang keamanan ini di banyak media. Tetapi sudahkah kita menerapkan sistem keamanan yang tepat untuk mengamankan sistem informasi dan komunikasi kita? Ada banyak aspek yang perlu dipertimbangkan untuk menilai "Amankah Sistem Kita?" Berikut ini adalah beberapa aspek tersebut.
Keamanan Fisik. Amankah hardware kita? Perlu dipikirkan bahwa komputer server atau desktop kita adalah pintu untuk masuk-ke dan keluar-dari sistem informasi kita. Bayangkan kalau seseorang yang tidak berhak tiba-tiba berada di depan komputer server. Entah apa yang terlintas dalam benaknya dan apa yang dapat dia lakukan terhadap server tersebut. Bagaimana kalau dia iseng? Atau memang ada niat jahat? Kalau sekedar memadamkan server sih masih mending. Tetapi kalau sudah sampai membawa lari server tersebut? Yang jelas, harus diperhatikan keamanan hardware sistem informasi kita. Keamanan secara fisik umumnya diberikan pada komputer server. Tetapi tidak menutup kemungkinan juga diterapkan pada komputer client/workstation. Misalnya diberikan ruang khusus dengan kondisi ruang yang terjaga (misalnya suhunya, kelembabannya, penerangan, dll), penerapan sistem keamanan (dengan sensor gerak, sensor cahaya, dll), sistem pemadam kebakaran yang canggih (Bukan dengan air, bisa korslet! Tetapi dengan memvakumkan atau menghampa-udarakan ruangan),dll.
Keamanan Personal. Dalam sebuah buku yang dikarang oleh seorang hacker, ternyata salah satu cara agar hacker tersebut dapat menembus keamanan sistem informasi dan komunikasi adalah dengan pendekatan personal atau sosialisasi yang baik dengan karyawan/operator pengguna sistem. Ada metode pendekatan sang hacker/cracker agar dapat memperoleh cara (biasanya berupa prosedur dan password) dari "orang-dalam" dari pengguna sistem. Bisa saja hacker tersebut dekat dengan wanita operator sebuah sistem, dan si hacker tadi berhasil mengorek password sistem. Atau juga ada hacker yang berpura-pura sebagai karyawan suatu perusahaan dan meminta System Administrator untuk mengubah password seorang operator. Dengan demikian hacker tersebut dapat memperoleh password dari operator tadi. Banyak cara yang dilakukan oleh hacker dan cracker untuk membobol sistem dari pendekatan personal.
Keamanan Data. Data adalah bagian yang vital. Perlu pengamanan ekstra. Suatu sistem yang hanya dapat mengumpulkan/mencatat data ditambah kemampuan untuk menganalisa dan memprosesnya menjadi informasi adalah sebuah sistem yang lugu. Perlu ditambahkan prosedur kemanan untuk data tersebut, yaitu prosedur backup atau replikasi. Backup data ini sendiri perlu sehingga bila terjadi hal-hal yang mengganggu atau pun merusak sistem, kita masih memiliki data yang tersimpan di tempat dan di media lain yang aman. Gangguan dan perusakan terhadap data ini bisa terjadi karena banyak hal, misalnya: virus/worm, bencana alam dan buatan, terorisme, cracker/hacker, dll. Betapa pentingnya masalah keamanan data ini sampai menjadi bisnis di bidang TIK (teknologi informasi dan komunikasi) yang berdiri sendiri. Misalnya adalah datawarehouse, asuransi keamanan data, anti-virus, dll. Lugukah system informasi Anda?
Keamanan Komunikasi Jaringan. Keamanan komunikasi jaringan juga masalah yang penting. Apalagi sekarang teknologi wireless sedang marak-maraknya. Pada saat teknologi wireless masih baru lahir, banyak pakar dan praktisi TIK menilai penggunaan jaringan wireless merupakan jaringan yang paling rentan terhadap gangguan dan perusakan. Betulkah demikian? Sebuah majalah di Indonesia bahkan menguraikan cara-cara "menyantol" jaringan wireless ini. Terlepas dari itu semua, keamanan jaringan komunikasi ini juga sangat vital. Bentuknya bisa penyusupan ke jaringan, gangguan jaringan (flooding), atau bahkan perusakan sarana dan prasarana komunikasi jaringan(vandalism).
Keamanan Prosedur Operasi. Jelas harus ada aturan baku untuk prosedur operasional suatu sistem. Perlu ditingkatkan keamanan untuk prosedur operasional. Contoh gampangnya adalah: seorang operator harus logout (setelah login tentunya) jika akan meninggalkan komputernya, walau pun cuma untuk ke toilet. Mengapa bisa begitu? Karena ketika seorang operator meninggalkan komputernya dalam keadaan tidak logout, maka seseorang mungkin akan menggunakan komputernya untuk melakukan apa saja (misalnya transaksi) atas nama operator tadi. Bayangkan kalau operator yang ke toilet tadi ternyata seorang teller dari sebuah bank, mungkin saja seseorang melakukan transaksi untuk mentransfer sejumlah uang atas nama operator tadi.
Keamanan Desain Sistem. Yang dimaksud keamanan desain di sini adalah bagaimana desain sistem teknologi informasi dan komunikasi kita dapat menjaga hal-hal yang tidak diinginkan, misalnya penyusup/pengganggu dan perusak. Keamanan desain ini dapat berupa desain software aplikasi, sistem operasi, hardware, jaringan, dll. Di sini lebih ditekankan pada aspek desainnya. Sebagai contoh misalnya untuk keamanan desain software aplikasi: Aplikasi yang baik, terutama bila aplikasi tersebut multi-user, maka perlu ada autentikasi user yang login dan dicatat dalam file log untuk penelusuran kelak. Sekarang tidak hanya fasilitas login-logout ini saja, tetapi aplikasi harus lebih pintar, misalnya dengan penambahan pewaktu (timer) yang akan menghitung waktu idle (menganggur) aplikasi. Jika melewati batas waktu tertentu, maka otomatis aplikasi akan menjalankan proses logout. Berjalannya waktu, proses login-logout ini sendiri tidak melulu menggunakan nama login dan password atau dengan kartu magnetik biasa, tetapi sudah memanfaatkan teknologi biometrik. Misalnya dengan sidik jari, sidik telapak tangan, pengenalan retina, pengenalan suara, dll. Mungkin saja kelak untuk mengambil uang di ATM kita tidak menggunakan kartu magnetik tetapi hanya dengan sidik jari/tangankita.
Keamanan Hukum. Isu keamanan hukum menjadi marak sejak diberlakukannya UU HAKI (Hak Atas Kekayaan Intelektual) di Indonesia. Terkuak sudah banyaknya pelanggaran hukum atas penggunaan produk-produk bajakan. Sudah amankah sistem teknologi informasi dan komunikasi Anda? Jangan sampai perusahaan dibreidel gara-gara menggunakan software bajakan! Tetapi bukan ini saja masalah keamanan hukum. Ada sisi lain, yaitu: Anda dapat memetik manfaat dari adanya hukum yang mengatur teknologi informasi dan komunikasi. Misalnya saja jika Anda sebagai pengembang software, Anda akan sangat merasa terlindungi jika hasil karya Anda dilindungi oleh hukum. Demikian juga pengakuan publik atas kekayaan intelektual Anda. Sebagai contoh lain, mungkin perusahaan Anda menggunakan vendor yang memasok sistem teknologi informasi dan komunikasi perusahaan Anda. Buat dan gunakan kontrak atau perjanjian kerja yang melindungi perusahaan Anda. Dengan adanya kontrak atau perjanjian ini, maka hal-hal yang sekiranya mengganggu dan merugikan yang kelak timbul di kemudian hari dan telah tercakup dalam kontrak/perjanjian, dapat menjadi pijakan yang kuat bagi Anda dalam menuntut vendor tersebut Seperti telah dibahas diatas potensi keamanan dan potensi hacker dalam web security sangatlah besar sehingga perlu di minimalkan dengan cara mengalokasikan berbagai sumber atau resource yang mempunyai keterkaitan dengan web dibawah merupakan contoh security dalam kasus log in yahoo.
Study kasus
Yahoo Authentication
Yahoo menerapkan single-sign-on dalam melakukan authentication sehingga seseorang cukup melakukan login sekali saja, bila login berhasil, kemudian dia akan mendapatkan semacam kartu free pass untuk bisa menikmati semua layanan dalam yahoo network. Kartu freepass yang dimaksud adalah dalam bentuk cookie. Hanya user yang memegang cookie yang benar yang dibolehkan masuk. Tanpa cookie yang benar, anda akan ditendang ke halaman login.
Cookie yahoo yang berfungsi untuk authentication adalah Y dan T. Cuma dua cookie ini yang anda perlukan untuk mengakses semua layanan yahoo, termasuk email dan messenger. Skema authentication yahoo yang normal adalah seperti pada gambar berikut ini:
normal authentication flow
Panah yang merah menunjukkan akses tanpa cookie, sedangkan yang biru adalah akses dengan cookie. Dalam contoh di atas saya menggunakan contoh mail service. Login server di yahoo adalah login.yahoo.com yang hanya boleh diakses dengan https. Bila seorang user mengakses tanpa cookie maka dia akan diarahkan ke login server, bila login berhasil dia akan diberikan cookie dan diarahkan kembali ke service yang akan diakses semula.
Paper gammarays menunjukkan bahwa seorang user bisa membangkitkan cookienya sendiri, sehingga dia tidak perlu lagi login ke login.yahoo.com. Itu artinya dia tidak perlu mengetahui password seseorang untuk membaca emailnya, flownya tampak seperti pada gambar berikut:
without login
Dalam flow di atas user tidak perlu mengakses login.yahoo.com karena dia bisa membuat sendiri cookie yang valid untuk masuk ke mail.yahoo.com. Ini artinya dia bisa mengakses account siapapun tanpa perlu mengetahui passwordnya. Mari kita bedah apa isi dari cookie Y dan T.
Y Cookie
Cookie Y ini statis, setiap user berhasil login ke yahoo, dia akan mendapatkan nilai cookie Y yang sama. Cookie Y terdiri dari beberapa field:
• v : version, selalu terisi dengan nilai 1.
• n : nilai acak yang dibangkitkan ketika user membuat account atau mengubah password.
• l : username yang di-encode dengan teknik substitusi sederhana. Pemetaan dari “abcdefghijklmnopqrstuvwxyz0123456789._@-+” menjadi “0123456789abcdefghijklmnopqrstuvwxyz._@-+”. Contohnya username rizkiwicaksono akan menjadi h8pa8m820aiede.
• r : register week. Waktu register account relatif terhadap tanggal 30 Juni 1996 – 6:00pm dalam minggu.
Dari semua variabel itu yang sifatnya rahasia adalah n dan r. Tanpa mengetahui nilai n dan r yang benar, maka tidak bisa membuat sendiri cookie Y. Untuk mendapatkan nilai n dan r bisa dengan mengakses database yahoo (anda harus menghack server yahoo) seperti yang dilakukan Gammarays, atau anda bisa mencuri cookie orang lain kemudian mengambil nilai n dan r dari cookie itu. Yahoo hanya menggunakan https pada waktu login, selanjutnya ketika seseorang mengakses layanannya tidak melalui https, jadi mudah untuk di-sniff cookienya.
T Cookie
Cookie T ini sifatnya tidak statis karena mengandung field timestamp dan ip address. Selain itu cookie ini juga mengandung signature yang berfungsi menjaga integritas field lainnya. Dengan signature ini maka bila ada field lain yang diubah maka signature menjad tidak valid lagi.
Field yang ada pada T Cookie adalah:
• a : age berisi nilai YAE atau QAE. Menunjukkan apakah user ini boleh mengakses konten untuk pembaca umur 18 tahun ke atas.
• d : data yang terdiri dari beberapa subfield: a, sl, g, ok, zz, tip.
• sk : signature version 3.
• ks: signature version 4.
Sub field dari field d adalah:
• a : age, YAE atau QAE.
• g: global unique identifier. Bila anda login ke yahoo dan melihat profil anda, akan diredirectt ke alamat: profiles.yahoo.com/u/.
• ok: verified email, biasanya berisi ZW0-.
• sl : sled ID diambil dari database user (sifatnya tetap, mengubah password tidak akan mengubah sl).
• zz : timestamp, digunakan untuk memeriksa apakah cookie sudah expired.
• tip : tcookie ip address, ip address pengguna.
Dari semua field pada cookie T yang rahasia adalah sl. Global identifier bisa dicari dengan menggunakan Yahoo Query Language console. Contoh: select * from yahoo.identity where yid=’spullara’ hasilnya adalah:7C7SIF3MMHEOH3MJ5HYPYQQVQI.
select guide by yql
Sedangkan field lain adalah zzz yang diambil dari waktu dan tip yang diambil dari ip address. Setelah semua field diketahui nilainya maka field a, sl, g, ok, zz, tip diconcat menjadi field d. Kemudian field l, n dan d dijadikan input untuk menghasilkan signature yang disimpan dalam field sk. Kemudian field ks digenerate dengan input dari l, n, d dan sk. Script untuk generate sk dan ks ada pada paper Gammarays tersebut. Namun untuk alasan keamanan script tersebut tidak lengkap sehingga tidak bisa dijalankan.
Menarik untuk menyimak berbagai artikel tentang keamanan sistem informasi dan komunikasi. Telah banyak artikel yang dimuat tentang keamanan ini di banyak media. Tetapi sudahkah kita menerapkan sistem keamanan yang tepat untuk mengamankan sistem informasi dan komunikasi kita? Ada banyak aspek yang perlu dipertimbangkan untuk menilai "Amankah Sistem Kita?" Berikut ini adalah beberapa aspek tersebut.
Keamanan Fisik. Amankah hardware kita? Perlu dipikirkan bahwa komputer server atau desktop kita adalah pintu untuk masuk-ke dan keluar-dari sistem informasi kita. Bayangkan kalau seseorang yang tidak berhak tiba-tiba berada di depan komputer server. Entah apa yang terlintas dalam benaknya dan apa yang dapat dia lakukan terhadap server tersebut. Bagaimana kalau dia iseng? Atau memang ada niat jahat? Kalau sekedar memadamkan server sih masih mending. Tetapi kalau sudah sampai membawa lari server tersebut? Yang jelas, harus diperhatikan keamanan hardware sistem informasi kita. Keamanan secara fisik umumnya diberikan pada komputer server. Tetapi tidak menutup kemungkinan juga diterapkan pada komputer client/workstation. Misalnya diberikan ruang khusus dengan kondisi ruang yang terjaga (misalnya suhunya, kelembabannya, penerangan, dll), penerapan sistem keamanan (dengan sensor gerak, sensor cahaya, dll), sistem pemadam kebakaran yang canggih (Bukan dengan air, bisa korslet! Tetapi dengan memvakumkan atau menghampa-udarakan ruangan),dll.
Keamanan Personal. Dalam sebuah buku yang dikarang oleh seorang hacker, ternyata salah satu cara agar hacker tersebut dapat menembus keamanan sistem informasi dan komunikasi adalah dengan pendekatan personal atau sosialisasi yang baik dengan karyawan/operator pengguna sistem. Ada metode pendekatan sang hacker/cracker agar dapat memperoleh cara (biasanya berupa prosedur dan password) dari "orang-dalam" dari pengguna sistem. Bisa saja hacker tersebut dekat dengan wanita operator sebuah sistem, dan si hacker tadi berhasil mengorek password sistem. Atau juga ada hacker yang berpura-pura sebagai karyawan suatu perusahaan dan meminta System Administrator untuk mengubah password seorang operator. Dengan demikian hacker tersebut dapat memperoleh password dari operator tadi. Banyak cara yang dilakukan oleh hacker dan cracker untuk membobol sistem dari pendekatan personal.
Keamanan Data. Data adalah bagian yang vital. Perlu pengamanan ekstra. Suatu sistem yang hanya dapat mengumpulkan/mencatat data ditambah kemampuan untuk menganalisa dan memprosesnya menjadi informasi adalah sebuah sistem yang lugu. Perlu ditambahkan prosedur kemanan untuk data tersebut, yaitu prosedur backup atau replikasi. Backup data ini sendiri perlu sehingga bila terjadi hal-hal yang mengganggu atau pun merusak sistem, kita masih memiliki data yang tersimpan di tempat dan di media lain yang aman. Gangguan dan perusakan terhadap data ini bisa terjadi karena banyak hal, misalnya: virus/worm, bencana alam dan buatan, terorisme, cracker/hacker, dll. Betapa pentingnya masalah keamanan data ini sampai menjadi bisnis di bidang TIK (teknologi informasi dan komunikasi) yang berdiri sendiri. Misalnya adalah datawarehouse, asuransi keamanan data, anti-virus, dll. Lugukah system informasi Anda?
Keamanan Komunikasi Jaringan. Keamanan komunikasi jaringan juga masalah yang penting. Apalagi sekarang teknologi wireless sedang marak-maraknya. Pada saat teknologi wireless masih baru lahir, banyak pakar dan praktisi TIK menilai penggunaan jaringan wireless merupakan jaringan yang paling rentan terhadap gangguan dan perusakan. Betulkah demikian? Sebuah majalah di Indonesia bahkan menguraikan cara-cara "menyantol" jaringan wireless ini. Terlepas dari itu semua, keamanan jaringan komunikasi ini juga sangat vital. Bentuknya bisa penyusupan ke jaringan, gangguan jaringan (flooding), atau bahkan perusakan sarana dan prasarana komunikasi jaringan(vandalism).
Keamanan Prosedur Operasi. Jelas harus ada aturan baku untuk prosedur operasional suatu sistem. Perlu ditingkatkan keamanan untuk prosedur operasional. Contoh gampangnya adalah: seorang operator harus logout (setelah login tentunya) jika akan meninggalkan komputernya, walau pun cuma untuk ke toilet. Mengapa bisa begitu? Karena ketika seorang operator meninggalkan komputernya dalam keadaan tidak logout, maka seseorang mungkin akan menggunakan komputernya untuk melakukan apa saja (misalnya transaksi) atas nama operator tadi. Bayangkan kalau operator yang ke toilet tadi ternyata seorang teller dari sebuah bank, mungkin saja seseorang melakukan transaksi untuk mentransfer sejumlah uang atas nama operator tadi.
Keamanan Desain Sistem. Yang dimaksud keamanan desain di sini adalah bagaimana desain sistem teknologi informasi dan komunikasi kita dapat menjaga hal-hal yang tidak diinginkan, misalnya penyusup/pengganggu dan perusak. Keamanan desain ini dapat berupa desain software aplikasi, sistem operasi, hardware, jaringan, dll. Di sini lebih ditekankan pada aspek desainnya. Sebagai contoh misalnya untuk keamanan desain software aplikasi: Aplikasi yang baik, terutama bila aplikasi tersebut multi-user, maka perlu ada autentikasi user yang login dan dicatat dalam file log untuk penelusuran kelak. Sekarang tidak hanya fasilitas login-logout ini saja, tetapi aplikasi harus lebih pintar, misalnya dengan penambahan pewaktu (timer) yang akan menghitung waktu idle (menganggur) aplikasi. Jika melewati batas waktu tertentu, maka otomatis aplikasi akan menjalankan proses logout. Berjalannya waktu, proses login-logout ini sendiri tidak melulu menggunakan nama login dan password atau dengan kartu magnetik biasa, tetapi sudah memanfaatkan teknologi biometrik. Misalnya dengan sidik jari, sidik telapak tangan, pengenalan retina, pengenalan suara, dll. Mungkin saja kelak untuk mengambil uang di ATM kita tidak menggunakan kartu magnetik tetapi hanya dengan sidik jari/tangankita.
Keamanan Hukum. Isu keamanan hukum menjadi marak sejak diberlakukannya UU HAKI (Hak Atas Kekayaan Intelektual) di Indonesia. Terkuak sudah banyaknya pelanggaran hukum atas penggunaan produk-produk bajakan. Sudah amankah sistem teknologi informasi dan komunikasi Anda? Jangan sampai perusahaan dibreidel gara-gara menggunakan software bajakan! Tetapi bukan ini saja masalah keamanan hukum. Ada sisi lain, yaitu: Anda dapat memetik manfaat dari adanya hukum yang mengatur teknologi informasi dan komunikasi. Misalnya saja jika Anda sebagai pengembang software, Anda akan sangat merasa terlindungi jika hasil karya Anda dilindungi oleh hukum. Demikian juga pengakuan publik atas kekayaan intelektual Anda. Sebagai contoh lain, mungkin perusahaan Anda menggunakan vendor yang memasok sistem teknologi informasi dan komunikasi perusahaan Anda. Buat dan gunakan kontrak atau perjanjian kerja yang melindungi perusahaan Anda. Dengan adanya kontrak atau perjanjian ini, maka hal-hal yang sekiranya mengganggu dan merugikan yang kelak timbul di kemudian hari dan telah tercakup dalam kontrak/perjanjian, dapat menjadi pijakan yang kuat bagi Anda dalam menuntut vendor tersebut Seperti telah dibahas diatas potensi keamanan dan potensi hacker dalam web security sangatlah besar sehingga perlu di minimalkan dengan cara mengalokasikan berbagai sumber atau resource yang mempunyai keterkaitan dengan web dibawah merupakan contoh security dalam kasus log in yahoo.
Study kasus
Yahoo Authentication
Yahoo menerapkan single-sign-on dalam melakukan authentication sehingga seseorang cukup melakukan login sekali saja, bila login berhasil, kemudian dia akan mendapatkan semacam kartu free pass untuk bisa menikmati semua layanan dalam yahoo network. Kartu freepass yang dimaksud adalah dalam bentuk cookie. Hanya user yang memegang cookie yang benar yang dibolehkan masuk. Tanpa cookie yang benar, anda akan ditendang ke halaman login.
Cookie yahoo yang berfungsi untuk authentication adalah Y dan T. Cuma dua cookie ini yang anda perlukan untuk mengakses semua layanan yahoo, termasuk email dan messenger. Skema authentication yahoo yang normal adalah seperti pada gambar berikut ini:
normal authentication flow
Panah yang merah menunjukkan akses tanpa cookie, sedangkan yang biru adalah akses dengan cookie. Dalam contoh di atas saya menggunakan contoh mail service. Login server di yahoo adalah login.yahoo.com yang hanya boleh diakses dengan https. Bila seorang user mengakses tanpa cookie maka dia akan diarahkan ke login server, bila login berhasil dia akan diberikan cookie dan diarahkan kembali ke service yang akan diakses semula.
Paper gammarays menunjukkan bahwa seorang user bisa membangkitkan cookienya sendiri, sehingga dia tidak perlu lagi login ke login.yahoo.com. Itu artinya dia tidak perlu mengetahui password seseorang untuk membaca emailnya, flownya tampak seperti pada gambar berikut:
without login
Dalam flow di atas user tidak perlu mengakses login.yahoo.com karena dia bisa membuat sendiri cookie yang valid untuk masuk ke mail.yahoo.com. Ini artinya dia bisa mengakses account siapapun tanpa perlu mengetahui passwordnya. Mari kita bedah apa isi dari cookie Y dan T.
Y Cookie
Cookie Y ini statis, setiap user berhasil login ke yahoo, dia akan mendapatkan nilai cookie Y yang sama. Cookie Y terdiri dari beberapa field:
• v : version, selalu terisi dengan nilai 1.
• n : nilai acak yang dibangkitkan ketika user membuat account atau mengubah password.
• l : username yang di-encode dengan teknik substitusi sederhana. Pemetaan dari “abcdefghijklmnopqrstuvwxyz0123456789._@-+” menjadi “0123456789abcdefghijklmnopqrstuvwxyz._@-+”. Contohnya username rizkiwicaksono akan menjadi h8pa8m820aiede.
• r : register week. Waktu register account relatif terhadap tanggal 30 Juni 1996 – 6:00pm dalam minggu.
Dari semua variabel itu yang sifatnya rahasia adalah n dan r. Tanpa mengetahui nilai n dan r yang benar, maka tidak bisa membuat sendiri cookie Y. Untuk mendapatkan nilai n dan r bisa dengan mengakses database yahoo (anda harus menghack server yahoo) seperti yang dilakukan Gammarays, atau anda bisa mencuri cookie orang lain kemudian mengambil nilai n dan r dari cookie itu. Yahoo hanya menggunakan https pada waktu login, selanjutnya ketika seseorang mengakses layanannya tidak melalui https, jadi mudah untuk di-sniff cookienya.
T Cookie
Cookie T ini sifatnya tidak statis karena mengandung field timestamp dan ip address. Selain itu cookie ini juga mengandung signature yang berfungsi menjaga integritas field lainnya. Dengan signature ini maka bila ada field lain yang diubah maka signature menjad tidak valid lagi.
Field yang ada pada T Cookie adalah:
• a : age berisi nilai YAE atau QAE. Menunjukkan apakah user ini boleh mengakses konten untuk pembaca umur 18 tahun ke atas.
• d : data yang terdiri dari beberapa subfield: a, sl, g, ok, zz, tip.
• sk : signature version 3.
• ks: signature version 4.
Sub field dari field d adalah:
• a : age, YAE atau QAE.
• g: global unique identifier. Bila anda login ke yahoo dan melihat profil anda, akan diredirectt ke alamat: profiles.yahoo.com/u/
Kesimpulan
Hubungan antara field dan cookie dalam yahoo bisa saya gambarkan seperti dibawah ini:
yahoo cookie
Dari semua field yang diperlukan yang menjadi kunci rahasia hanyalah n,r dan sl. Selebihnya adalah field yang tidak rahasia. Field rahasia n, r dan sl pun juga mudah untuk dicuri karena isi dari field ini dikirimkan dalam bentuk cookie yang tidak ter-enkrip sehingga rentan sniffing. Begitu cookie berhasil dicuri, maka nilai n, r dan sl korban akan bisa diambil dengan mudah. Bila itu yang terjadi maka selanjutnya attacker bisa men-generate cookie Y dan T sendiri untuk mengakses account korban.
Authentication token di yahoo tidak dalam bentuk random sessionid tapi dalam bentuk kumpulan field yang di-encode dan diberi signature. Di sinilah letak kesalahannya, yaitu yahoo menerapkan security through obscurity pada session tokennya. Karena begitu algoritma encoding dan signature diketahui dan field n, r dan sl juga didapatkan, attacker bisa dengan mudah membuat session cookienya sendiri. Hal ini berbeda dengan penggunaan random session id dalam cookie.
Stolen random session id only valid for session lifetime. Stolen n,r and sl last forever (until victims change their password).Random session id tidak mengandalkan kerahasiaan algoritma atau data, tapi menggunakan angka acak yang sangat sulit ditebak. Session id yang baik harus bersifat one time only (unique) dan extremely hard to guess. Dengan cara ini untuk mendapatkan session id attacker harus melakukan brute force guessing session id. Kalaupun dia berhasil mencuri sessionid maka sessionid ini hanya valid sampai session itu valid, selanjutnya sessionid itu akan useless. Berbeda dengan kebocoran sessionid, kebocoran field n,r dan sl dalam yahoo cookie berlangsung sangat lama, sampai user mengubah passwordnya. Walaupun user sudah logout dari yahoo, attacker yang mempunyai field n,r dan sl bisa masuk lagi dengan men-generate cookie Y dan T.
Hubungan antara field dan cookie dalam yahoo bisa saya gambarkan seperti dibawah ini:
yahoo cookie
Dari semua field yang diperlukan yang menjadi kunci rahasia hanyalah n,r dan sl. Selebihnya adalah field yang tidak rahasia. Field rahasia n, r dan sl pun juga mudah untuk dicuri karena isi dari field ini dikirimkan dalam bentuk cookie yang tidak ter-enkrip sehingga rentan sniffing. Begitu cookie berhasil dicuri, maka nilai n, r dan sl korban akan bisa diambil dengan mudah. Bila itu yang terjadi maka selanjutnya attacker bisa men-generate cookie Y dan T sendiri untuk mengakses account korban.
Authentication token di yahoo tidak dalam bentuk random sessionid tapi dalam bentuk kumpulan field yang di-encode dan diberi signature. Di sinilah letak kesalahannya, yaitu yahoo menerapkan security through obscurity pada session tokennya. Karena begitu algoritma encoding dan signature diketahui dan field n, r dan sl juga didapatkan, attacker bisa dengan mudah membuat session cookienya sendiri. Hal ini berbeda dengan penggunaan random session id dalam cookie.
Stolen random session id only valid for session lifetime. Stolen n,r and sl last forever (until victims change their password).Random session id tidak mengandalkan kerahasiaan algoritma atau data, tapi menggunakan angka acak yang sangat sulit ditebak. Session id yang baik harus bersifat one time only (unique) dan extremely hard to guess. Dengan cara ini untuk mendapatkan session id attacker harus melakukan brute force guessing session id. Kalaupun dia berhasil mencuri sessionid maka sessionid ini hanya valid sampai session itu valid, selanjutnya sessionid itu akan useless. Berbeda dengan kebocoran sessionid, kebocoran field n,r dan sl dalam yahoo cookie berlangsung sangat lama, sampai user mengubah passwordnya. Walaupun user sudah logout dari yahoo, attacker yang mempunyai field n,r dan sl bisa masuk lagi dengan men-generate cookie Y dan T.
