Category Archives: security

Indonesia dan Cybersecurity

Insiden hacking PDNS yang baru terjadi ini bukan suatu yang mengejutkan bagi mereka yang paham tentang kondisi cybersecurity di Indonesia. Misalnya, laporan “Hi-Tech Crime Trends Report 2023/2024” menyatakan bahwa Indonesia adalah juara / paling banyak mengalami insiden Ransomware di ASEAN. Sangat disayangkan, tapi itulah faktanya.

Di sisi lain, Indonesia menyimpan segudang talent / bakat luar biasa di bidang Cybersecurity ini. Sudah banyak yang muncul, ataupun memilih tidak muncul. Selalu ada harapan bahwa Indonesia bisa.

CYBERSECURITY

Topik ini terkesan sangat rumit dan sulit. Dan berbagai tokoh yang muncul juga tidak membantu, banyak yang malah memilih menebar jargon dan istilah-istilah yang memusingkan, sehingga terkesan cerdas – namun, tidak bermanfaat bagi masyarakat. Padahal cybersecurity itu seharusnya sederhana dan bisa disederhanakan.

Seperti berbagai pihak turut bekerja sama menjaga berbagai aspek keamanan di lingkungan sekitar kita, demikian pula dengan cybersecurity. Keamanan di dunia online, dunia siber, alias Cybersecurity, bisa dan perlu kita urus bersama.

Akademisi bisa membantu menyediakan data, informasi, melakukan riset, dan edukasi publik. Pemerintah bisa membuat aturan-aturan (public policies) yang memastikan terciptanya kondisi keamanan siber yang baik. Dan yang paling penting, masyarakat, bisa membantu mendampingi dan mengawasi pemerintah, dan saling mendidik sesama dalam berbagai hal ; seperti pemakaian perangkat yang aman, selalu berpikir kritis, agar tidak mudah menjadi bulan-bulanan para penipu digital.

Dunia siber adalah dunia yang luas sekali. Tidak mungkin hanya diurus oleh pemerintah, apalagi jika dibebankan hanya ke beberapa instansi. Kita semua bisa, dan perlu ikut serta juga.

APA HUBUNGANNYA DENGAN KITA ?

Ada satu hal yang menarik ketika berbincang dengan keluarga, salah satunya dengan ibu saya, tentang insiden hacking PDNS ini. Pertanyaan beliau sangat sederhana: “apa hubungan kejadian ini dengan saya?”

Apa hubungannya antara insiden yang menimpa institusi PDNS yang sangat besar itu, dengan saya, seorang masyarakat awam, ibu rumah tangga?

Masyarakat yang cerdas tentu akan mempertanyakan hal yang sama juga ; dan wajar jika kemudian pada menarik kesimpulan yang sama : tidak ada, ah itu urusannya yang diatas, dst.

Kesimpulan tersebut sangat bisa dipahami, karena mayoritas orang masih memisahkan dunia online dengan dunia offline.
Kita mengira bahwa dunia online, dunia siber, itu adalah sebuah dunia yang jauh nun disana. Beda planet. Sedikit sekali sentuhannya dengan kita. Dan seterusnya.

Sayangnya, tidak demikian halnya.

KITA DAN CYBERSECURITY

Berkat Internet, kini dunia siber sudah menyentuh semua aspek kehidupan kita. Dunia online dan dunia offline adalah dua dunia yang saling paralel berada di ruang yang sama, yaitu dunia kita.

Rekening bank kita sudah berada di dunia siber juga. Data-data pribadi kita ada / eksis di dua dunia tersebut juga. Berbagai kegiatan bahkan sosialisasi pun kita lakukan di dua dunia secara bersamaan. Dan seterusnya.

Insiden seperti PDNS, dampaknya bisa baru muncul & dirasakan belakangan. Tapi sayangnya, kadang buntutnya ini bisa terus berlangsung bahkan sampai bertahun-tahun setelah kejadian insidennya.

Misalnya, data yang bocor dari berbagai insiden hacking / peretasan itu bisa jatuh ke tangan sindikat penipu – yang kemudian jadi bisa menelpon kita, dan lalu berpura-pura menjadi bank atau polisi atau entitas lainnya; dan bisa meyakinkan karena tahu informasi yang seharusnya rahasia.

Atau data bocor tersebut jatuh ke tangan sindikat peretas, yang kemudian memakai data kita untuk melakukan transaksi dengan berbagai pengusaha pinjol (pinjaman online). Kemudian kita yang kebingungan karena tetiba dikejar-kejar oleh para debt collector.

Dan berbagai skenario lainnya, hanya terbatasi oleh imajinasi para oknum-oknum penjahat ini.

APA YANG BISA KITA LAKUKAN ?

Sungguh mengerikan membayangkan para penjahat yang gentayangan di dunia siber tapi bisa membahayakan kita. Apa yang bisa kita lakukan?

Untungnya senjata paling ampuh untuk melawan ini sudah kita miliki ; yaitu akal sehat.

Hanya perlu sering latihan untuk menggunakannya. Seperti senjata api yang perlu latihan agar bisa digunakan dengan baik, demikian pula dengan akal kita.

Perlu sering kita latih berpikir kritis, agar tidak mudah menjadi korban penipuan. Dapat kiriman surat undangan nikah? Jangan langsung klik – cek dulu pengirimnya. Tanya ke nama yang disebutkan di undangan tersebut, apakah memang mengirim surat undangan itu, atau sebetulnya itu virus? Dan seterusnya.

Tetiba dikejar debt collector pinjol bahkan sampai ke rumah? Jangan panik dan emosional – cari tahu apa aturan terkait hal ini. Cari tahu siapa saja yang bisa membantu kita; RT, RW, Babinsa, OJK, dan seterusnya. Kontak korban-korban serupa dan saling berbagi informasi & saling bekerjasama. Dan seterusnya.

Ada tawaran menggiurkan yang rasanya mustahil? Hampir bisa dipastikan, ya, itu mustahil, dan sebetulnya adalah penipuan.

Skeptis & berpikir kritis adalah senjata utama kita semua.

APA YANG PEMERINTAH BISA LAKUKAN ?

Terkait infrastruktur IT, cybersecurity musti menjadi pondasinya. Lalu semua hal lainnya dibangun di sekitar dan berdasarkan ini.

Karena security itu adalah proses, bukan suatu alat yang bisa dibeli.

Dokumen pengadaan / tender musti ditingkatkan kualitasnya. Tidak bisa cuma menuntut sertifikasi ini dan itu; namun musti membahas sampai detail rincian terkait berbagai kegiatan cybersecurity yang perlu dilakukan. Kawan-kawan akademisi bisa membantu disini, juga yang lainnya.

Vendor mahal dan ternama bukan jaminan. Banyak yang di dalamnya bekerja dengan sangat amatiran, dan tidak paham berbagai detail teknis yang diperlukan. Pemerintah musti kritis terkait kerjasamanya dalam bidang ini.

Cybersecurity musti menjadi prioritas utama bagi semua pihak. Maka yang lainnya otomatis akan jadi bisa berjalan dengan baik.

KESIMPULAN

Insiden PDNS ini, dengan segala aspeknya yang terkait, sebenarnya pada hakikatnya adalah “wake up call”, terapi kejut.

Ini yang kena serang baru PDNS, PDN Sementara.

Bukan PDN.
PDN yang sebenarnya masih dalam proses pembangunan di beberapa kota.

Namun, PDNS saja sudah seperti ini dampaknya. Luar biasa sekali.

Musti langsung kita sadari secara kolektif : Bagaimana jika PDN yang kena serang?

Apa yang akan terjadi? Apakah negeri ini akan jadi lumpuh seketika karenanya?

Maka bersama-sama kita harus mempersiapkan ini, agar tidak terjadi lagi.

Kita harus asumsikan yang terburuk yang bisa terjadi, dan lalu mempersiapkan untuk mencegahnya.
Seperti kata pepatah, “hope for the best, but plan for the worst”

Cukup PDNS saja menjadi korbannya. Cukuplah ini menjadi pelajaran bagi kita. Jangan ada lagi.

Dipublikasikan di Koran Tempo pada tanggal 1 Juli 2024 : https://koran.tempo.co/read/opini/489011/ransomware-pdns-dan-keamanan-siber

Old & New

Ketika akan posting hari ini, saya baru sadar bahwa situs ini lenyap. Kosong melompong. Hanya menampilkan indeks directory nya di server, yang polos tiada berisi suatu apa pun.

Kena hack? Bisa jadi.
Padahal ini dihosting di sebuah server yang sudah di harden.

Untunglah ini bukan masalah, karena situs ini rutin di backup 🙂
Dalam waktu kurang dari 5 menit, data situs dari backup nya selesai saya restore – dan situs ini kembali berjalan sebagaimana semula.

Ada beberapa pelajaran yang bisa kita ambil dari sini :

(1) Server yang secure itu percuma, jika aplikasinya belum secure. Tetap saja para hacker/cracker akan bisa masuk.

(2) Backup data itu sangat penting.

Oh ya, perusak situs ini adalah cracker, BUKAN hacker.
Hacker itu bisa jadi adalah seseorang yang banyak ingin tahu, senang mengutak-atik berbagai hal, senang mencoba-coba — namun, hacker TIDAK merusak.

Seseorang yang desktruktif / senang merusak tidak layak untuk menyandang predikat hacker.

OK, itu berita yang baru. Apa berita yang lama?

Tidak terlalu spesial sih. Saya hanya menemukan blog saya yang lama di Internet Archive. Lalu, saya putuskan untuk memindahkannya ke blog ini.

Ternyata, saya pertama kali ngeblog itu adalah tanggal 3 Januari 2001 🙂

Semua posting di blog lama tersebut akan mulai saya posting di kategori old-blog.

Memang blog itu luar biasa menarik. Tanpa sadar, ternyata sudah 8 tahun saya ngeblog ! Wow… rasanya baru kemarin saya membuat script blog saya sendiri, dan mengetikkan posting pertamanya.

Saya tertawa membaca posting saya tentang kamera digital pertama saya, pada tanggal 7 Maret 2001. Kamera tersebut merk Intel, dan memiliki kapasitas simpan memory sebesar 8 MB. Yak, 8 Megabytes saudara-saudara – BUKAN Gigabytes 😀

Kapasitas cuma secuil segitu bisa ngapain???“, mungkin itu pertanyaan kita semua.
Ternyata, bisa menjadi ratusan buah foto kenangan. Ya, sebagian besar foto-foto di halaman tersebut adalah berasal dari kamera digital yang super cemen ini 🙂
(ya, saking cemennya, bahkan foto-foto tersebut tidak ada metadatanya sama sekali / nama kamera yang digunakan tidak muncul. Pakar IT kita bisa kelabakan kalau menemukan foto-foto ini)

Selain tawa, dengan terharu saya juga menemukan kembali catatan-catatan perkembangan anak-anak saya. Berbagai memori yang sudah mulai terlupakan muncul kembali dengan manis. Inilah harta saya yang paling berharga.
Tanpa blog, semua kenangan itu akan pudar & lenyap seiring dengan berjalannya waktu.

Jadi, mari kita jangan ngehack blog orang lain. Mari kita ngeblog saja yuk. Mari 🙂

Virus di Linux

Salah satu pertanyaan lainnya yang paling banyak ditanyakan di berbagai seminar mengenai Open Source / Linux adalah tentang virus – apakah ada virus di Linux ?

Secara teknis, ya, ada virus di Linux. Itu adalah fakta yang tidak bisa dibantah.
Namun itu belum menjelaskan – karena SEMUA sistim komputer pasti bisa dibuatkan virusnya. Yang lebih penting untuk diketahui adalah kemudahan penularannya. Karena jika ada banyak virus, namun tidak menyebar, maka sama saja seperti dengan tidak ada virus kan?

Karena itu mari kita ubah pertanyaannya :
Apakah mudah bagi virus untuk menyebar di Linux ?

Jawabannya : Tidak 🙂
Bagi seekor virus, sangat sulit untuk menyebar di platform Linux.
Apalagi sampai pada level epidemik, dimana bisa ada jutaan komputer yang terinfeksi setiap harinya. Ini akan sangat sulit terjadi di Linux, dan memang belum pernah ada yang berhasil melakukannya.

Terlampir adalah sebuah email diskusi soal ini dengan kawan saya :

menurut saya linux tidak kebal terhadap virus, hanya bedanya dengan
windows:
– windows sudah lebih banyak yang pakai (pembuat virus tentu saja ingin
“ketenaran” semakin banyak yg terinfeksi akan membuatnya lebih bangga)
– varian linux terlalu banyak –> capek bikin virus yang bervariasi per
distro

beberapa reference:
http://www.desktoplinux.com/articles/AT3307459975.html
http://www.theregister.co.uk/2003/10/06/linux_vs_windows_viruses

Artikel2 ini sudah dibuat sejak tahun 2003. Dan saat ini (desktop) Linux jelas sudah JAUH lebih populer daripada 5 tahun yang lalu – sehingga mustinya sudah jauh lebih menarik untuk menjadi target .

Pertanyaannya: dimana virus Linux ? 🙂

Ada beberapa penyebab kenapa virus sulit berkembang di Linux :

(1) Secure default install : closed services :
Berbagai distro Linux sekarang sudah jauh lebih bijak daripada 5 tahun yang lalu. Misalnya, default install Ubuntu bahkan tidak menjalankan SSH server. Default install berbagai distro Linux sekarang tidak ada menghasilkan open listening port.

(2) Secure default install : non-admin default access :
Berbagai distro Linux sekarang mempraktekkan hal ini dengan baik, dan berimbang dari segi kemudahan vs keamanan : dengan implementasi sudo, maka sehari2 user bisa bekerja dengan produktif dengan aman karena bukan sebagai root user.

(3) Application-level firewall :
Merupakan software terpisah di Windows — di beberapa distro ini adalah layanan yang sudah disertakan secara default. Misal: AppArmor di Suse/Imunix/Ubuntu/dll.

App-firewall kini makin penting, karena makin banyak security hole di aplikasi yang di eksploit — bukan lagi di level operating system.

Dan masih ada beberapa hal lainnya.
Bagi pemerhati topik computer security, sangat menggembirakan melihat bahwa ada tindakan-tindakan proaktif dari berbagai vendor Linux. Dan karena disandarkan pada pondasi security yang solid, Unix/Linux, maka hasilnya juga cukup menggembirakan.
Yaitu tercapainya keseimbangan antara security dengan kemudahan pemakaian.

Menilik semua faktor tersebut, saya kira akan sulit bagi sebuah virus untuk dapat berkembang sampai ke level epidemik — sebagaimana yang terjadi dengan berbagai virus di platform Windows.

Salam, HS

Satu lagi pendapat yang menarik adalah dari John Stewart, Chief Security Officer Cisco. Pada pidatonya di konferensi AusCERT 2008, John menyatakan bahwa karena anti-virus yang ada tidak efektif (komputer tetap bisa terinfeksi), maka sebetulnya sia-sia / tidak ada gunanya.

Dikutip :

By Liam Tung, ZDNet Australia
Posted on ZDNet News: May 21, 2008 5:41:27 AM

Companies are wasting money on security processes–such as applying patches and using antivirus software–which just don’t work, according to Cisco’s chief security officer John Stewart.

Speaking at the AusCERT 2008 conference in the Gold Coast yesterday, Stewart said the malware industry is moving faster than the security industry, making it impossible for users to remain secure.

“If patching and antivirus is where I spend my money, and I’m still getting infected and I still have to clean up computers and I still need to reload them and still have to recover the user’s data and I still have to reinstall it, the entire cost equation of that is a waste.

“It’s completely wasted money,” Stewart told delegates. He said infections have become so common that most companies have learned to live with them.

Jadi kuncinya adalah pencegahan. Jika suatu sistem sulit untuk ditembus, maka virus akan sulit untuk bisa menyebar. Dan pada pembuat virus pun jadi kehilangan minat.

Dengan menggunakan Linux, kita sudah secara efektif memblokir berbagai macam virus / trojan / spyware. Kita jadi bisa bekerja dengan tenang tanpa perlu memusingkan soal virus lagi. Sangat menyenangkan bukan ?

Keamanan Kunci : Lock Bumping

Lock Bumping adalah salah satu cara untuk membuka nyaris segala jenis kunci yang ada — dan ini SANGAT mudah untuk dilakukan.

Trik ini ternyata sudah diketahui, paling tidak, sejak 80 tahun yang lalu. Namun rahasia ini baru diekspos kepada masyarakat umum di konferensi H.O.P.E (Hackers On Planet Earth) pada tahun 2006.

Tidak banyak kunci yang kebal terhadap trik Lock Bumping ini. Beberapa diantaranya adalah Medeco dan Schlage Everest. Dan harganya memang lebih mahal – mulai dari US$ 80 per kunci.

Bahkan Medeco pun bukan jaminan security 100% – masih ada cara untuk membobolnya. Mulai dari trik yang ditemukan di tahun 2007, sampai ke cara-cara sederhana yang terkesan konyol : seperti mem bypass nya,  dengan masuk melalui jendela / pintu lainnya / dll 🙂

Poin saya – security itu harus menyeluruh. Semua titik harus diamankan secara setara. Kalau ada satu titik saja yang lemah, maka semua pengamanan lainnya menjadi percuma. Prinsip utama : Your security is only as strong as its weakest link.

Menarik karena prinsip keamanan di komputer juga serupa. Kita harus mengamankan seluruh titik masuk sistem secara setara. Jika ada satu saja yang lebih lemah dari yang lainnya, maka titik itu yang akan menjadi fokus para hacker & cracker.

Anyway – saya belum tahu / menemukan kunci yang seaman Medeco di Indonesia. Silahkan jika Anda tahu informasinya. Pasti informasi tersebut akan sangat bermanfaat bagi yang memerlukannya. Terimakasih.

Anti-virus paling bagus ?

Apa sih anti-virus yang paling bagus ?“, adalah salah satu pertanyaan yang paling sering saya terima. Dan agak sulit saya jawab, karena sehari-hari saya bekerja dengan Mac & Linux. Sehingga saya tidak terlalu merasakan masalah virus dalam kegiatan saya sehari-hari.

Jadi kalau mendapat pertanyaan seperti itu, maka biasanya saya membuka situs http://www.av-comparatives.org/seiten/comparatives.html, dan melihat hasil test nya yang terbaru.

Mudah untuk saya kerjakan, dan insyaAllah data yang ditampilkan disitu bisa dipertanggung jawabkan.

Untuk saat ini, sepertinya masih (lagi-lagi) NOD32 dari Eset yang bisa saya rekomendasikan – plus Avira.

OK, semoga bermanfaat.

Dedicated Server : Self-hosted Atau Sewa ?

Ada seorang client saya yang bermasalah – websitenya sering down. Saya jadi bingung, karena instalasi dari kami sebetulnya sudah beres. Ternyata;

  1. Link ke internet dari datacenternya hanya memiliki bandwidth sebesar 128 Kbps
  2. Website nya cukup high-profile (salah satu ormas terbesar di Indonesia), sehingga
  3. Sangat sering diserang cracker (portscan, hack attempts, mailbomb, dll), atau
  4. Diserbu spam

Poin nomor 3 memerlukan strategi & implementasi keamanan yang ekstra ketat & bandwidth yang besar (terutama untuk menghadapi mailbombing, portscan, DoS, dll), sedangkan poin nomor 4 membutuhkan bandwidth yang besar.

Masalah utama pada kasus client tersebut adalah bandwidth – walaupun linknya adalah dedicated dengan rasio 1:1, namun jelas masih jauh dari cukup untuk menghadapi kasus DoS. 2 zombie saja sudah cukup untuk menghabisi seluruh bandwidth yang ada!

Saya kemudian merekomendasikan client tersebut untuk memindahkan websitenya ke webhoster. Ybs setuju, dan kini sedang dalam proses pemindahannya. Webhoster ini juga memasang web-app firewall, sehingga akan sedikit membantu untuk mengatasi berbagai security hole di website ybs; sambil perlahan-lahan dilakukan security audit secara keseluruhan.

Setelah website mereka up & running, maka kami kemudian bisa membenahi infrastruktur datacenter mereka dengan tenang tanpa terburu-buru.

Salah kaprah

Ini adalah kasus salah paham yang cukup lazim terjadi — datacenter yang berfasilitas lengkap, server bermerek, operating system original versi enterprise; maka berarti sudah lebih dari mencukupi untuk sekedar “hanya” menghosting sebuah website ?
Tidak selalu demikian halnya, seperti yang ditemukan oleh client saya.

Jika suatu saat Anda perlu memiliki sebuah server di Internet, apa saja faktor-faktor yang perlu dipertimbangkan ?
Beberapa saya coba cantumkan di bawah ini :

Kelebihan Dedicated Self-hosted : (seperti pada kasus client saya)

  • Full control : 100% kontrol server berada pada anda
  • Physical access : mudah untuk mengakses server secara langsung / fisik.

Kekurangan Dedicated Self-hosted :

  • Investasi infrastruktur : untuk mendapatkan uptime yang baik, perlu dilakukan investasi yang tidak sedikit untuk datacenter Anda — anti gempa, anti kebakaran, physical security, climate control, UPS, generator, dan jika ada banyak server di lantai tersebut maka mungkin lantai gedung tersebut mungkin perlu diperkuat / reinforced (karena satu rak server saja beratnya bisa lebih dari setengah ton pada footprint yang sangat kecil).
  • Investasi SDM : perlu ada SDM yang ahli dan jumlahnya mencukupi untuk me maintain semua server yang ada.
  • Biaya per server : untuk setiap server, ini adalah up-front cost yang biasanya dibayar 100% di muka. Ini mungkin dapat mengganggu cashflow perusahaan, apalagi jika jumlah server cukup banyak.
  • Biaya akses Internet : akses internet di Indonesia tidak murah (lebih tepatnya; luar biasa mahal). Dan tidak cukup untuk hanya satu jalur, Anda perlu menyediakan paling tidak 2 jalur akses yang berbeda ke Internet, agar bisa didapatkan uptime yang baik untuk datacenter Anda.

Jadi dari sini saja sudah bisa kelihatan, bahwa self-hosted server adalah opsi yang cenderung hanya bisa dilakukan oleh institusi yang besar & memiliki sumber daya yang cukup.

Untunglah kini sudah ada banyak provider dedicated server yang biayanya terjangkau namun dengan pelayanan yang sangat baik. Beberapa di antaranya adalah :

  • Layeredtech.com : saya sudah menggunakan ini selama hampir 4 tahun, dan belum pernah mengalami masalah yang fatal dengan mereka.
  • Dreamhost.com : well, sebetulnya ini shared-webhosting provider, mereka tidak menyediakan dedicated server. Namun, disk space 200 GB & bandwidth 1024 GB dengan biaya hanya sekitar US$ 9 / bulan, mungkin banyak orang akan menemukan ini sudah lebih dari mencukupi bagi kebutuhan mereka.

Saya belum bisa merekomendasikan secara pribadi selain 2 provider di atas, namun saya yakin masih ada lagi yang kualitasnya juga baik. Untuk memeriksa kualitas suatu provider dan menemukan penawaran-penawaran khusus, Anda bisa membuka WebHostingTalk.com

Catatan :

Pada berbagai paket Dedicated server, seringkali ada pilihan “Managed”. Jadi, server tersebut akan di manage oleh tim provider.

Tapi hati-hati, definisi “managed” itu sendiri amat, sangat bervariasi. Kadangkala “managed” bisa berarti hanya sekedar reboot; tim mereka tidak akan mau memasangkan software yang Anda butuhkan. Jadi, periksa dulu semua detailnya dengan seksama, sebelum Anda mengeluarkan biaya ekstra untuk layanan “managed” ini.

Open-source bug hunt

Setelah berjalan selama satu tahun, Open Source Hardening Project telah berhasil menemukan banyak bugs di berbagai proyek open source. Paling tidak 6000 bugs telah dikoreksi, dan kini semakin banyak proyek open source yang di audit oleh proyek ini.

Para pengguna software open source bisa menikmati tingkat keamanan yang pasti makin meningkat & bisa dibuktikan secara jelas. Sementara dengan solusi proprietary / tertutup, customer hanya dapat berpegang kepada klaim & janji-janji dari vendor.

Satu alasan lagi untuk mempertimbangkan pemanfaatan solusi yang open.

Open Source = National Security

Dari berbagai argumentasi yang saya sampaikan kepada para client, tentang mengapa sebaiknya mereka memilih solusi yang open, salah satunya (terutama client pemerintah / departemen) adalah security.
Pada solusi yang open, antara lain kita dapat melakukan source code auditing, sehingga kita dapat yakin bahwa software tersebut memang aman, dan tidak ada “titipan” dari pemerintah asing.
Hal ini sulit (kalau tidak bisa disebut mustahil) dilakukan pada software tertutup / proprietary.

Dan ini bukan hanya khayalan / fantasi saya saja. Kasus seperti sabotase pipa gas Rusia adalah salah satu kasus yang paling spektakuler.

Namun, yang perlu dicemaskan adalah kasus-kasus yang low profile, atau tersembunyi. Seperti, pencurian data-data rahasia secara diam-diam. Dan ini, lagi-lagi, bukan hanya skenario khayalan, namun sudah terjadi secara rutin dengan adanya Internet — ada beberapa mafia identity theft yang secara rutin mencuri data-data pribadi Anda dan kemudian menjualnya di black market.
Bagaimana kalau yang tercuri ternyata kemudian adalah rahasia negara? Pastinya akan dapat dijual lebih dari mahal dari detil kartu Visa Gold, yang dihargai sekitar US$ 100 di black market.

Mudah-mudahan dengan pertimbangan ini (dan lain2nya), maka pemerintah kita akan semakin bersemangat untuk go open.

Filesystem SSH di Ubuntu

Seringkali saya perlu meng copy file antar server Unix / Linux, dengan parameter cp tertentu, seperti /u (updated files only). Namun fasilitas ini tidak ada di scp. Atau, perlu mounting remote filesystem, namun secara secure. Apa akal ?

Dengan ssfs / fuse, maka kita bisa melakukan ini dengan mudah.

Copy-paste di Ubuntu perintah-perintah berikut ini :

sudo aptitude install sshfs
sudo modprobe fuse
sudo sh -c “echo ‘fuse’ >> /etc/modules”

sshfs / fuse telah terpasang, dan otomatis akan selalu berjalan.

Untuk mounting, ketik perintah berikut ini :

sshfs user@hostname:/path/to/folder /local/folder

Maka kini kita bisa mengakses folder di server remote tersebut via /local/folder, nice!

Ketika sudah selesai, ketikkan perintah berikut ini :

sudo umount /local/folder

Ingin agar ini selalu dilakukan setiap booting ? Cukup edit file /etc/fstab, dan tambahkan baris seperti ini :

[hostname/IP]:/path/to/folder /local/folder fuse defaults 0 0

Semoga bermanfaat.

Ref: ubuntu-tutorials.com

Keamanan Bank di Indonesia

Barusan saya membaca artikel How ATM fraud nearly brought down British banking, dan jadi teringat dengan sebuah cerita dari seorang Dekan di universitas negeri ternama di Indonesia.

Dekan tersebut, sebut saja SS, bercerita mengenai kawannya, seorang dosen di universitas negeri lainnya di Indonesia. Kawan SS tersebut bercerita bagaimana tidak amannya fasilitas Internet banking di beberapa bank.
Sebagai bukti, kawan SS tersebut kemudian mendemonstrasikan di laptopnya, bagaimana dia bisa mentransfer dana dari rekening orang lain, dari bank yang disebutkan oleh SS. Dana yang ditransfer adalah sebesar Rp 1 saja, namun ini sudah membuktikan kebenaran perkataannya tersebut.

Kemudian saya menemukan surat pembaca berikut ini, dimuat di Republika pada tanggal 1 November 2006 :

LIPPO CALL CENTER: Mana Tanggung Jawabmu

Bermula dari SMS orang yang tidak saya kenal meminta saya menghubungi nomor 021-68646705. Kemudian saya hubungi nomor tersebut pada 26 Juli 2006 pukul 17:30 WIB. Dan orang tersebut mengatakan kepada saya bahwa no HP sata 0811 943159 mendapat hadiah dari Telkomsel sebesar Rp 5 juta, dan memerintahkan saya untuk datang ke ATM karena uangnya mau ditransfer.

Maka hari itu juga saya datang ke ATM di Cikokol, tapi belum berhasil, kemudian ke ATM di kantor pusat Lippo Karawaci, juga tidak berhasil. Satu bulan berlalu (bulan Agustus 2006) tidak ada kejadian apa apa dengan ATM dan uang saya.

Kebetulan di awal September 2006 waktu saya dan teman-teman kerja lagi makan siang, ada salah satu teman saya bercerita tentang penipuan yang berkedok SMS. Penipu bisa mengambil uang di tabungan kita, tanpa sepengetahuan kita, dengan cara seperti yang saya ceritakan diatas dan meminta saya supaya segera lapor ke bank.

Pengumuman dari perusahaan kami bahwa THR akan dibayarkan bersamaan dengan gaji bulan September 2006. Referensi dari pengumuman itu digabungkan dengan cerita teman saya di atas, saya jadi was-was akan keselamata uang saya. Maka tanggal 7 September sekitar pukul 13:14 saya menghubungi Lippo Call Center 14042, cuma saya lupa nama petugasnya. Saya ceritakan kejadian diatas, kemudian saya minta tolong untuk bisa mengamankan uang saya yang akan masuk, karena itu uang gaji dan THR.

Saya ceritakan juga bahwa saya tidak tahu tentang Internet banking dan kalau perlu dihapus saja, karena tidak pernah saya pakai. Selain tidak mengerti juga karena memang gaji kecil jadi tiap bulan selalu langsung habis diambil. Dan sejak menabung sekitar tahun 1995 kalau dilihat riwayatnya hanya ada, penagmbilan ia ATM dan belanja bayarnya pakai gesek ATM, kemudian baru sekitar tahun 2000a-an dipakai bayar listrik dan telepon.

Tanggal 22 September 2006 gaji bulan September 2006 + THR dibayarkan. Sekitar pukul 18:00, cek saldo di BSD Plaza Tangerang, kemudian bayar telepon dan listrik via ATM dan terakhir transaksi pukul 18:11 pengambilan Rp 1 juta dan sisa tabungan masih ada Rp 4.197.852,73

Kemudian keesokan harinya 23 September 2006, sekitar pukul 12.53 di KK Bintaro saldo kurang (penarikan uang gagal).Cek saldo tinggal Rp 197.852, artinya uang di ATM saya hilang Rp 4.000.000. Kemudian telpon ke Lippo Call Center 14042 sekitar pukul 13:00, dan protes keras, juga minta ganti rugi kenapa uang di ATM bisa hilang padahal tidak ada pengambilan, dan ATM masih ada di kita.

Akhirnya, 23 September 2006 sekitar pukul 16:30 Lippo Call Center menghubungi HP saya, dan menginformasikan bahwa uang saya sudah diambil oleh seseorang melalui internet banking, dan disarankan untuk lapor ke polisi dalam batas waktu 1×24 jam.

Saya harap Lippo Bank segera mengganti uang saya yang hilang, karena secara prosedur bukan kesalahan saya.

Parmo RJ
Dasana Indah, Tangerang

Apakah ini semua berarti bahwa memang internet banking di berbagai bank di Indonesia tidak aman ? Wallahua’lam. Tapi harapan saya, mudah-mudahan ada seorang Alistair Kelman di Indonesia, yang mau meluangkan waktunya untuk menyelidiki hal ini.

Yang jelas, sistim bank tidaklah mungkin 100% aman, seperti yang telah terbukti di kasus Alistair. Pada kasusnya, uang bisa dicuri hanya bermodalkan nomor rekening, ada lagi yang bisa menyadap komunikasi antara ATM & Bank, kecurangan staf Bank sendiri, dst.
Perlu kebijakan dari masing-masing bank untuk menghindari adanya celah-celah keamanan di sistimnya, mendeteksi celah-celah yang sudah ada secara pro aktif, dan segera mengatasi yang ditemukan.

Apakah Bank Anda telah melakukan hal ini ?

Awas, security hole paling parah di Windows

Jika Anda ada membaca berita komputer dalam waktu beberapa hari ini, mungkin Anda sudah membaca berita mengenai masalah dengan format WMF di Windows. Secara singkat, pada suatu file WMF, bisa disisipkan software di dalamnya – ini bisa berupa virus, trojan, dll.
Salah satu berita mengenai hal ini bisa dibaca disini.

Security hole ini mungkin adalah yang paling parah – karena semua versi Windows (yang dirilis sejak tahun 1990) terpengaruh masalah ini.

Salah satu implikasinya adalah, bagi para pengguna Windows 98 / Millennium Edition sebaiknya segera upgrade ke versi yang lebih baru – karena Microsoft tidak akan merilis update untuk versi tersebut. Mungkin NT4 juga posisinya sama, tapi masih perlu saya konfirmasi lagi.

Dan, sampai saat ini Microsoft juga belum merilis update untuk security hole ini. Sehingga ratusan juta komputer di dunia pada saat ini terbuka lebar untuk disusupi oleh virus, hacker, dan para penjahat.

Beberapa tips:
1. Jangan buka gambar yag di attach di email
2. Jangan membuka situs yang tidak jelas bonafiditasnya.
3. Update anti virus Anda lebih sering lagi pada bulan ini.

Sekali lagi hati-hati, dan semoga informasi ini dapat bermanfaat bagi Anda.

[ FAQ dari SANS ]
[ Bahasan dari The Unofficial Microsoft Weblog ]

20 ways securing Apache

Jika Anda berurusan dengan Apache sehari-harinya, maka Anda perlu memperhatikan aspek security-nya. Apache memang lebih aman secara default dibandingkan dengan berbagai rivalnya, namun ini bukan berarti Apache 100% aman. Masih ada celah-celah yang bisa dimanfaatkan oleh hacker untuk menyusupinya.

Artikel [ 20 ways securing Apache ] akan memungkinkan Anda untuk meningkatkan security Apache secara signifikan, dalam waktu yang relatif singkat.

Selamat membaca.