TCP and UDP Vulnerabilities

Meskipun beberapa serangan menargetkan IP, topik ini membahas serangan yang menargetkan TCP dan UDP.

Informasi segmen TCP muncul segera setelah header IP. Bidang segmen TCP dan tanda untuk bidang Bit Kontrol ditampilkan pada gambar.

TCP Services

TCP menyediakan layanan ini:

Reliable delivery - TCP menggabungkan pengakuan untuk menjamin pengiriman, alih-alih mengandalkan protokol lapisan atas untuk mendeteksi dan menyelesaikan kesalahan. Jika pengakuan tepat waktu tidak diterima, pengirim mengirimkan ulang datanya. Mewajibkan pengakuan atas data yang diterima dapat menyebabkan penundaan yang besar. Contoh protokol lapisan aplikasi yang memanfaatkan keandalan TCP antara lain HTTP, SSL/TLS, FTP, transfer zona DNS, dan lain-lain.

Flow control - TCP mengimplementasikan kontrol aliran untuk mengatasi masalah ini. Daripada mengakui satu segmen pada satu waktu, beberapa segmen dapat diakui dengan satu segmen pengakuan.

Stateful communication - Komunikasi stateful TCP antara dua pihak terjadi selama jabat tangan tiga arah TCP. Sebelum data dapat ditransfer menggunakan TCP, jabat tangan tiga arah membuka koneksi TCP, seperti yang ditunjukkan pada gambar. Jika kedua belah pihak menyetujui koneksi TCP, data dapat dikirim dan diterima oleh kedua belah pihak menggunakan TCP.

TCP Attacks

Aplikasi jaringan menggunakan port TCP atau UDP. Pelaku ancaman melakukan pemindaian port pada perangkat target untuk mengetahui layanan apa yang mereka tawarkan.

Serangan Banjir TCP SYN

Serangan TCP SYN Flood mengeksploitasi jabat tangan tiga arah TCP. Gambar tersebut menunjukkan pelaku ancaman terus-menerus mengirimkan paket permintaan sesi TCP SYN dengan alamat IP sumber yang dipalsukan secara acak ke target. Perangkat target membalas dengan paket TCP SYN-ACK ke alamat IP palsu dan menunggu paket TCP ACK. Tanggapan tersebut tidak pernah sampai. Akhirnya host target kewalahan dengan koneksi TCP setengah terbuka, dan layanan TCP ditolak untuk pengguna yang sah.

TCP Reset Attack

Serangan reset TCP dapat digunakan untuk menghentikan komunikasi TCP antara dua host. TCP dapat mengakhiri koneksi dengan cara yang beradab (yaitu normal) dan tidak beradab (yaitu tiba-tiba).

Gambar tersebut menampilkan cara yang beradab ketika TCP menggunakan pertukaran empat arah yang terdiri dari sepasang segmen FIN dan ACK dari setiap titik akhir TCP untuk menutup koneksi TCP.

Cara yang tidak beradab adalah ketika sebuah host menerima segmen TCP dengan set bit RST. Ini adalah cara mendadak untuk memutuskan koneksi TCP dan memberi tahu host penerima untuk segera berhenti menggunakan koneksi TCP.

Pelaku ancaman dapat melakukan serangan pengaturan ulang TCP dan mengirimkan paket palsu yang berisi TCP RST ke salah satu atau kedua titik akhir.

Pembajakan Sesi TCP

Pembajakan sesi TCP adalah kerentanan TCP lainnya. Meskipun sulit untuk dilakukan, pelaku ancaman mengambil alih host yang sudah diautentikasi saat berkomunikasi dengan target. Pelaku ancaman harus memalsukan alamat IP salah satu host, memprediksi nomor urut berikutnya, dan mengirimkan ACK ke host lainnya. Jika berhasil, pelaku ancaman dapat mengirim, namun tidak menerima, data dari perangkat target.

IP Services

UDP Segment Header and Operation

UDP umumnya digunakan oleh DNS, TFTP, NFS, dan SNMP. Hal ini juga digunakan dengan aplikasi real-time seperti media streaming atau VoIP. UDP adalah protokol lapisan transport tanpa koneksi. Ia memiliki overhead yang jauh lebih rendah daripada TCP karena tidak berorientasi koneksi dan tidak menawarkan mekanisme transmisi ulang, pengurutan, dan kontrol aliran yang canggih yang memberikan keandalan. Struktur segmen UDP, yang ditunjukkan pada gambar, jauh lebih kecil dibandingkan struktur segmen TCP.

Meskipun UPD biasanya disebut tidak dapat diandalkan, berbeda dengan keandalan TCP, hal ini tidak berarti bahwa aplikasi yang menggunakan UDP selalu tidak dapat diandalkan, juga tidak berarti bahwa UDP merupakan protokol yang lebih rendah. Artinya fungsi-fungsi ini tidak disediakan oleh protokol lapisan transport dan harus diimplementasikan di tempat lain jika diperlukan.

Overhead UDP yang rendah membuatnya sangat diinginkan untuk protokol yang membuat transaksi permintaan dan balasan sederhana. Misalnya, menggunakan TCP untuk DHCP akan menimbulkan lalu lintas jaringan yang tidak perlu. Jika tidak ada respons yang diterima, perangkat akan mengirim ulang permintaan tersebut.

UDP Attacks

UDP tidak dilindungi oleh enkripsi apa pun. Anda dapat menambahkan enkripsi ke UDP, namun ini tidak tersedia secara default. Kurangnya enkripsi berarti siapa pun dapat melihat lalu lintas, mengubahnya, dan mengirimkannya ke tujuannya. Mengubah data dalam lalu lintas akan mengubah checksum 16-bit, tetapi checksum bersifat opsional dan tidak selalu digunakan. Saat checksum digunakan, pelaku ancaman dapat membuat checksum baru berdasarkan payload data baru, lalu mencatatnya di header sebagai checksum baru. Perangkat tujuan akan menemukan bahwa checksum cocok dengan data tanpa mengetahui bahwa data tersebut telah diubah. Jenis serangan ini tidak banyak digunakan.

UDP Flood Attacks

Anda lebih mungkin melihat serangan banjir UDP. Dalam serangan banjir UDP, semua sumber daya di jaringan dikonsumsi. Pelaku ancaman harus menggunakan alat seperti UDP Unicorn atau Low Orbit Ion Cannon. Alat-alat ini mengirimkan banyak sekali paket UDP, sering kali dari host palsu, ke server di subnet. Program ini akan menyapu semua port yang dikenal untuk mencoba menemukan port yang tertutup. Hal ini akan menyebabkan server membalas dengan pesan ICMP port unreachable. Karena ada banyak port tertutup di server, hal ini menciptakan banyak lalu lintas di segmen tersebut, yang menghabiskan sebagian besar bandwidth. Hasilnya sangat mirip dengan serangan DoS.

ARP Vulnerabilities

Sebelumnya di modul ini Anda telah mempelajari tentang kerentanan pada IP, TCP dan UDP. Rangkaian protokol TCP/IP tidak pernah dibuat untuk keamanan. Oleh karena itu, layanan yang digunakan IP untuk menangani fungsi seperti ARP, DNS, dan DHCP, juga tidak aman, seperti yang akan Anda pelajari di topik ini.

Host menyampaikan permintaan ARP ke host lain pada segmen tersebut untuk menentukan alamat MAC suatu host dengan alamat IP tertentu. Semua host di subnet menerima dan memproses permintaan ARP. Host dengan alamat IP yang cocok dalam permintaan ARP mengirimkan Balasan ARP.

DNS Attacks

Protokol Sistem Nama Domain (DNS) mendefinisikan layanan otomatis yang mencocokkan nama sumber daya, seperti www.cisco.com, dengan alamat jaringan numerik yang diperlukan, seperti alamat IPv4 atau IPv6. Ini mencakup format kueri, tanggapan, dan data serta menggunakan catatan sumber daya (RR) untuk mengidentifikasi jenis respons DNS.

Mengamankan DNS sering kali diabaikan. Namun, ini penting untuk pengoperasian jaringan dan harus diamankan.

Serangan DNS meliputi hal berikut:

DNS open resolver attacks

DNS stealth attacks

DNS domain shadowing attacks

DNS tunneling attacks

DNS open resolver attacks

Banyak organisasi menggunakan layanan server DNS yang terbuka untuk umum seperti GoogleDNS (8.8.8.8) untuk memberikan tanggapan terhadap pertanyaan. Jenis server DNS ini disebut pemecah masalah terbuka. Penyelesai terbuka DNS menjawab pertanyaan dari klien di luar domain administratifnya. Resolver terbuka DNS rentan terhadap berbagai aktivitas jahat yang dijelaskan dalam tabel.

DNS Stealth Attacks

Untuk menyembunyikan identitasnya, pelaku ancaman juga menggunakan teknik siluman DNS yang dijelaskan dalam tabel untuk melakukan serangan.

DNS domain shadowing attacks

Pembayangan domain melibatkan pelaku ancaman yang mengumpulkan kredensial akun domain untuk secara diam-diam membuat beberapa sub-domain untuk digunakan selama serangan. Subdomain ini biasanya mengarah ke server berbahaya tanpa memberi tahu pemilik sebenarnya dari domain induk.

DNS tunneling attacks

Pelaku ancaman yang menggunakan terowongan DNS menempatkan lalu lintas non-DNS dalam lalu lintas DNS. Metode ini sering kali menghindari solusi keamanan ketika pelaku ancaman ingin berkomunikasi dengan bot di dalam jaringan yang dilindungi, atau mengambil data dari organisasi, seperti database kata sandi. Saat pelaku ancaman menggunakan terowongan DNS, berbagai jenis catatan DNS diubah. Beginilah cara kerja terowongan DNS untuk perintah CnC yang dikirim ke botnet:

Data perintah dibagi menjadi beberapa bagian yang dikodekan.

Setiap potongan ditempatkan ke dalam label nama domain tingkat rendah dari kueri DNS.

Karena tidak ada respons dari DNS lokal atau jaringan untuk kueri tersebut, permintaan dikirim ke server DNS rekursif ISP.

Layanan DNS rekursif akan meneruskan kueri ke server nama resmi pelaku ancaman.

Proses ini diulangi hingga semua kueri yang berisi potongan terkirim.

Ketika server nama otoritatif pelaku ancaman menerima kueri DNS dari perangkat yang terinfeksi, server tersebut mengirimkan respons untuk setiap kueri DNS, yang berisi perintah CnC yang dienkapsulasi dan dikodekan.

Malware pada host yang disusupi menggabungkan kembali potongan-potongan tersebut dan menjalankan perintah yang tersembunyi di dalam data DNS.

Untuk menghentikan penerowongan DNS, administrator jaringan harus menggunakan filter yang memeriksa lalu lintas DNS. Perhatikan baik-baik kueri DNS yang lebih panjang dari rata-rata, atau kueri yang memiliki nama domain mencurigakan. Solusi DNS, seperti Cisco OpenDNS, memblokir sebagian besar lalu lintas terowongan DNS dengan mengidentifikasi domain yang mencurigakan.

DHCP

Server DHCP secara dinamis memberikan informasi konfigurasi IP kepada klien. Gambar tersebut menunjukkan urutan khas pertukaran pesan DHCP antara klien dan server.

DHCP Attacks

DHCP Spoofing Attack

Serangan spoofing DHCP terjadi ketika server DHCP jahat terhubung ke jaringan dan memberikan parameter konfigurasi IP palsu kepada klien yang sah. Server jahat dapat memberikan berbagai informasi yang menyesatkan:

Wrong default gateway- Aktor ancaman memberikan gateway yang tidak valid, atau alamat IP hostnya untuk membuat serangan MITM. Hal ini mungkin tidak terdeteksi sepenuhnya karena penyusup mencegat aliran data melalui jaringan.

Wrong DNS server - Pelaku ancaman memberikan alamat server DNS yang salah yang mengarahkan pengguna ke situs web jahat.

Wrong IP address - Pelaku ancaman memberikan alamat IP yang tidak valid, alamat IP gateway default yang tidak valid, atau keduanya. Pelaku ancaman kemudian menciptakan serangan DoS pada klien DHCP.

Network Security Best Practices

Confidentiality, Integrity, and Availability

Memang benar bahwa daftar jenis serangan jaringan sangat panjang. Namun ada banyak praktik terbaik yang dapat Anda gunakan untuk mempertahankan jaringan Anda, seperti yang akan Anda pelajari dalam topik ini.

Keamanan jaringan terdiri dari perlindungan informasi dan sistem informasi dari akses, penggunaan, pengungkapan, gangguan, modifikasi, atau penghancuran yang tidak sah.

Sebagian besar organisasi mengikuti triad keamanan informasi CIA:

Confidentiality - Hanya individu, entitas, atau proses yang berwenang yang dapat mengakses informasi sensitif. Mungkin memerlukan penggunaan algoritma enkripsi kriptografi seperti AES untuk mengenkripsi dan mendekripsi data.

Integrity - Mengacu pada perlindungan data dari perubahan yang tidak sah. Hal ini memerlukan penggunaan algoritma hashing kriptografi seperti SHA.

Availability - Pengguna resmi harus memiliki akses tanpa gangguan ke sumber daya dan data penting. Hal ini memerlukan penerapan layanan, gateway, dan tautan yang berlebihan.

The Defense-in-Depth Approach

Untuk memastikan komunikasi yang aman di jaringan publik dan pribadi, Anda harus mengamankan perangkat termasuk router, switch, server, dan host. Kebanyakan organisasi menerapkan pendekatan pertahanan mendalam terhadap keamanan. Hal ini juga dikenal sebagai pendekatan berlapis. Hal ini memerlukan kombinasi perangkat jaringan dan layanan yang bekerja sama. Perhatikan jaringan pada gambar.

Protecting Against Network Attacks

Beberapa perangkat dan layanan keamanan diterapkan untuk melindungi pengguna dan aset organisasi terhadap ancaman TCP/IP.

•

⚫ VPN - Router digunakan untuk menyediakan layanan VPN aman dengan situs perusahaan dan dukungan akses jarak jauh untuk pengguna jarak jauh

menggunakan terowongan terenkripsi yang aman.

⚫ ASA Firewall - Perangkat khusus ini menyediakan layanan firewall stateful. Ini memastikan bahwa lalu lintas internal dapat keluar dan

kembali, tetapi lalu lintas eksternal tidak dapat memulai koneksi ke host dalam.

•

⚫ IPS - Sistem Pencegahan Intrusi (IPS) memantau lalu lintas masuk dan keluar untuk mencari malware, serangan jaringan

•

tanda tangan, dan banyak lagi. Jika mereka mengenali adanya ancaman, mereka dapat segera menghentikannya.

⚫ ESA/WSA - Alat keamanan email (ESA) memfilter spam dan email mencurigakan. Filter alat keamanan web

situs malware internet yang dikenal dan mencurigakan.

. Server AAA - Server ini berisi database aman tentang siapa yang berwenang mengakses dan mengelola perangkat jaringan.

Perangkat jaringan mengautentikasi pengguna administratif menggunakan database ini.

Semua perangkat jaringan termasuk router dan switch telah diperkeras, yang berarti perangkat tersebut telah diamankan untuk mencegah pelaku ancaman mendapatkan akses dan merusak perangkat.

Firewalls

Firewall adalah suatu sistem, atau sekelompok sistem, yang menerapkan kebijakan kontrol akses antar jaringan. Klik Mainkan pada gambar untuk melihat animasi cara kerja firewall.

Semua firewall memiliki beberapa properti yang sama:

~ Firewall tahan terhadap serangan jaringan.

~ Firewall adalah satu-satunya titik transit antara jaringan internal perusahaan dan jaringan eksternal karena semua lalu lintas mengalir melalui firewall.

~ Firewall menerapkan kebijakan kontrol akses.

Ada beberapa keuntungan menggunakan firewall dalam jaringan:

~ Mereka mencegah paparan host, sumber daya, dan aplikasi sensitif kepada pengguna yang tidak dipercaya.

~ Mereka membersihkan aliran protokol, yang mencegah eksploitasi kelemahan protokol.

~ Mereka memblokir data berbahaya dari server dan klien.

~Mereka mengurangi kompleksitas manajemen keamanan dengan memindahkan sebagian besar kontrol akses jaringan ke beberapa firewall di jaringan.

Firewall juga mempunyai beberapa keterbatasan:

~ Firewall yang salah dikonfigurasi dapat menimbulkan konsekuensi serius bagi jaringan, seperti menjadi satu titik kegagalan.

~ Data dari banyak aplikasi tidak dapat melewati firewall dengan aman.

~ Pengguna mungkin secara proaktif mencari cara di sekitar firewall untuk menerima materi yang diblokir, sehingga jaringan dapat terkena potensi serangan.

~ Kinerja jaringan dapat melambat.

~ Lalu lintas yang tidak sah dapat disalurkan atau disembunyikan sehingga tampak sebagai lalu lintas yang sah melalui firewall.

IPS

Untuk bertahan melawan serangan yang bergerak cepat dan berkembang, Anda mungkin memerlukan sistem deteksi dan pencegahan yang hemat biaya, seperti sistem deteksi intrusi (IDS), atau sistem pencegahan intrusi (IPS) yang lebih skalabel. Arsitektur jaringan mengintegrasikan solusi ini ke dalam titik masuk dan keluar jaringan.

Teknologi IDS dan IPS memiliki beberapa karakteristik yang sama, seperti yang ditunjukkan pada gambar. Teknologi IDS dan IPS keduanya digunakan sebagai sensor. Sensor IDS atau IPS dapat berupa beberapa perangkat berbeda:

~ Router yang dikonfigurasi dengan perangkat lunak Cisco IOS IPS

~ Perangkat yang dirancang khusus untuk menyediakan layanan IDS atau IPS khusus

~ Modul jaringan yang dipasang di alat keamanan adaptif (ASA), sakelar, atau router

IPS Operation

Teknologi IDS dan IPS mendeteksi pola lalu lintas jaringan menggunakan tanda tangan. Tanda tangan adalah seperangkat aturan yang digunakan IDS atau IPS untuk mendeteksi aktivitas jahat. Tanda tangan dapat digunakan untuk mendeteksi pelanggaran keamanan yang parah, untuk mendeteksi serangan jaringan yang umum, dan untuk mengumpulkan informasi. Teknologi IDS dan IPS dapat mendeteksi pola tanda tangan atom (paket tunggal) atau pola tanda tangan gabungan (multi-paket).

Content Security Appliances

Content security appliances mencakup kontrol menyeluruh atas email dan penjelajahan web untuk pengguna organisasi.

Cisco Email Security Appliance (ESA)

Cisco Email Security Appliance (ESA) adalah perangkat khusus yang dirancang untuk memantau Simple Mail Transfer Protocol (SMTP). Cisco ESA terus diperbarui melalui umpan waktu nyata dari Cisco Talos, yang mendeteksi dan menghubungkan ancaman dan solusi dengan menggunakan sistem pemantauan basis data di seluruh dunia. Data intelijen ancaman ini diambil oleh Cisco ESA setiap tiga hingga lima menit.

Cisco Web Security Appliance (WSA)

Cisco Web Security Appliance (WSA) adalah teknologi mitigasi untuk ancaman berbasis web. Ini membantu organisasi mengatasi tantangan dalam mengamankan dan mengendalikan lalu lintas web. Cisco WSA menggabungkan perlindungan malware tingkat lanjut, visibilitas dan kontrol aplikasi, kontrol kebijakan penggunaan yang dapat diterima, dan pelaporan.

Cisco WSA memberikan kontrol penuh atas cara pengguna mengakses internet. Fitur dan aplikasi tertentu, seperti obrolan, perpesanan, video dan audio, dapat diizinkan, dibatasi berdasarkan batas waktu dan bandwidth, atau diblokir, sesuai dengan persyaratan organisasi. WSA dapat melakukan daftar hitam URL, pemfilteran URL, pemindaian malware, kategorisasi URL, pemfilteran aplikasi web, serta enkripsi dan dekripsi lalu lintas web.

Cryptography

Securing Communications

Organisasi harus memberikan dukungan untuk mengamankan data saat melintasi tautan. Hal ini mungkin mencakup lalu lintas internal, namun yang lebih penting lagi adalah melindungi data yang berpindah ke luar organisasi ke situs cabang, situs telecommuter, dan situs mitra.

Ini adalah empat elemen komunikasi yang aman:

Data Integrity - Menjamin bahwa pesan tidak diubah. Setiap perubahan pada data dalam perjalanan akan terdeteksi. Integritas dipastikan dengan menerapkan salah satu Algoritma Hash Aman (SHA-2 atau SHA-3). Algoritma intisari pesan MD5 masih digunakan secara luas namun pada dasarnya tidak aman dan menciptakan kerentanan dalam jaringan. Penggunaan MD5 harus dihindari.

Origin Authentication - Menjamin bahwa pesan tersebut bukan palsu dan benar-benar berasal dari siapa yang dinyatakannya. Banyak jaringan modern memastikan otentikasi dengan protokol, seperti kode otentikasi pesan hash (HMAC).

Data Confidentiality - Menjamin bahwa hanya pengguna yang berwenang yang dapat membaca pesan. Jika pesan disadap, pesan tersebut tidak dapat diuraikan dalam jangka waktu yang wajar. Kerahasiaan data diimplementasikan menggunakan algoritma enkripsi simetris dan asimetris.

Data Non-Repudiation - Jaminan bahwa pengirim tidak dapat menyangkal, atau menyangkal, keabsahan pesan yang dikirim. Nonrepudiation bergantung pada fakta bahwa hanya pengirim yang memiliki karakteristik atau tanda tangan unik mengenai bagaimana pesan tersebut diperlakukan.

Kriptografi dapat digunakan hampir di mana saja selama ada komunikasi data. Faktanya, trennya adalah semua komunikasi dienkripsi.

Data Integrity

ungsi hash digunakan untuk memastikan integritas pesan. Mereka menjamin bahwa data pesan tidak berubah secara tidak sengaja.

Pada gambar, pengirim mengirimkan transfer uang $100 ke Alex.

Hash Functions

Ada empat fungsi hash yang terkenal.

MD5 dengan Intisari 128-bit

Dikembangkan oleh Ron Rivest dan digunakan dalam berbagai aplikasi internet, MD5 adalah fungsi satu arah yang menghasilkan pesan hash 128-bit. MD5 dianggap sebagai algoritma lama dan harus dihindari serta digunakan hanya jika tidak ada alternatif yang lebih baik. Disarankan agar SHA-2 atau SHA-3 digunakan sebagai gantinya.

SHA Hashing Algorithm

Dikembangkan oleh Badan Keamanan Nasional AS (NSA) pada tahun 1995. Fungsi ini sangat mirip dengan fungsi hash MD5. Ada beberapa versi. SHA-1 membuat pesan hash 160-bit dan sedikit lebih lambat dari MD5. SHA-1 telah mengetahui kekurangannya dan merupakan algoritma lama.

SHA-2

Dikembangkan oleh NSA. Ini mencakup SHA-224 (224 bit), SHA-256 (256 bit), SHA-384 (384 bit), dan SHA-512 (512 bit). Jika Anda menggunakan SHA-2, algoritma SHA-256, SHA-384, dan SHA-512 harus digunakan bila memungkinkan.

SHA-3

SHA-3 adalah algoritma hashing terbaru dan diperkenalkan oleh NIST sebagai alternatif dan pengganti untuk keluarga algoritma hashing SHA-2. SHA-3 mencakup SHA3-224 (224 bit), SHA3-256 (256 bit), SHA3-384 (384 bit), dan SHA3-512 (512 bit). Keluarga SHA-3 adalah algoritma generasi berikutnya dan harus digunakan bila memungkinkan.

Meskipun hashing dapat digunakan untuk mendeteksi perubahan yang tidak disengaja, hashing tidak dapat digunakan untuk mencegah perubahan yang disengaja yang dilakukan oleh pelaku ancaman. Tidak ada informasi pengenal unik dari pengirim dalam prosedur hashing. Artinya siapa pun dapat menghitung hash untuk data apa pun, selama mereka memiliki fungsi hash yang benar.

Misalnya, ketika pesan melintasi jaringan, calon penyerang dapat mencegat pesan tersebut, mengubahnya, menghitung ulang hash, dan menambahkannya ke pesan. Perangkat penerima hanya akan memvalidasi terhadap hash apa pun yang ditambahkan.

Oleh karena itu, hashing rentan terhadap serangan man-in-the-middle dan tidak memberikan keamanan pada data yang dikirimkan. Untuk memberikan integritas dan autentikasi asal, diperlukan sesuatu yang lebih.

Origin Authentication

Untuk menambahkan autentikasi ke jaminan integritas, gunakan kode autentikasi pesan hash yang dikunci (HMAC). HMAC menggunakan kunci rahasia tambahan sebagai masukan ke fungsi hash.

Hanya pengirim dan penerima yang mengetahui kunci rahasia, dan keluaran dari fungsi hash sekarang bergantung pada data masukan dan kunci rahasia. Hanya pihak yang memiliki akses ke kunci rahasia tersebut yang dapat menghitung intisari fungsi HMAC. Hal ini mengalahkan serangan man-in-the-middle dan menyediakan otentikasi asal data.

Jika dua pihak berbagi kunci rahasia dan menggunakan fungsi HMAC untuk otentikasi, intisari HMAC yang dibangun dengan benar dari pesan yang diterima salah satu pihak menunjukkan bahwa pihak lain adalah pencetus pesan tersebut. Ini karena pihak lain memiliki kunci rahasianya.

Data Confidentiality

Ada dua kelas enkripsi yang digunakan untuk menjaga kerahasiaan data. Kedua kelas ini berbeda dalam cara mereka menggunakan kunci.

Algoritme enkripsi simetris seperti Data Encryption Standard (DES), 3DES, dan Advanced Encryption Standard (AES) didasarkan pada premis bahwa setiap pihak yang berkomunikasi mengetahui kunci yang dibagikan sebelumnya. Kerahasiaan data juga dapat dipastikan menggunakan algoritma asimetris, termasuk Rivest, Shamir, dan Adleman (RSA) dan infrastruktur kunci publik (PKI).

Gambar tersebut menunjukkan perbedaan antara enkripsi simetris dan asimetris. Karakteristik enkripsi simetris meliputi: menggunakan kunci yang sama untuk mengenkripsi dan mendekripsi data; panjang kuncinya pendek (40 bit - 256 bit); lebih cepat dari enkripsi asimetris; dan biasanya digunakan untuk mengenkripsi data massal seperti lalu lintas VPN. Karakteristik enkripsi asimetris meliputi: menggunakan kunci berbeda untuk mengenkripsi dan mendekripsi data; panjang kuncinya panjang (512 bit - 4096 bit); oleh karena itu, tugas komputasi lebih lambat dibandingkan enkripsi simetris; dan biasa digunakan untuk transaksi data cepat seperti HTTPS saat mengakses data bank Anda.

Symmetric Encryption

Algoritme simetris menggunakan kunci yang dibagikan sebelumnya yang sama untuk mengenkripsi dan mendekripsi data. Kunci yang dibagikan sebelumnya, juga disebut kunci rahasia, diketahui oleh pengirim dan penerima sebelum komunikasi terenkripsi dapat dilakukan.

Untuk membantu mengilustrasikan cara kerja enkripsi simetris, pertimbangkan contoh di mana Alice dan Bob tinggal di lokasi berbeda dan ingin bertukar pesan rahasia satu sama lain melalui sistem email. Dalam contoh ini, Alice ingin mengirimkan pesan rahasia kepada Bob.

Algoritma enkripsi simetris terbagi dalam dua kategori, block cipher dan stream cipher. Block cipher mengenkripsi data dalam blok berukuran tetap. Bloknya biasanya 64-bit atau 128-bit. Padding ditambahkan jika panjang data teks biasa bukan kelipatan 8 untuk membuat blok lengkap. Contoh cipher blok termasuk DES, dan AES. Stream cipher mengenkripsi data satu bit atau byte pada satu waktu dalam string yang berkelanjutan.

Contoh stream cipher termasuk RC4 dan SEAL.

Asymmetric Encryption

Algoritma asimetris, disebut juga algoritma kunci publik, dirancang sedemikian rupa sehingga kunci yang digunakan untuk enkripsi berbeda dengan kunci yang digunakan untuk dekripsi, seperti yang ditunjukkan pada gambar. Kunci dekripsi tidak dapat, dalam jangka waktu yang wajar, dihitung dari kunci enkripsi dan sebaliknya.

Algoritma asimetris menggunakan kunci publik dan kunci privat. Kedua kunci mampu melakukan proses enkripsi, namun pasangan kunci pelengkap diperlukan untuk dekripsi. Prosesnya juga bisa dibalik. Data yang dienkripsi dengan kunci publik memerlukan kunci pribadi untuk mendekripsi. Algoritma asimetris mencapai kerahasiaan, otentikasi, dan integritas dengan menggunakan proses ini.

Diffie-Hellman

Diffie-Hellman (DH) adalah algoritma matematika asimetris dimana dua komputer menghasilkan kunci rahasia bersama yang identik tanpa berkomunikasi sebelumnya. Kunci bersama yang baru tidak pernah benar-benar dipertukarkan antara pengirim dan penerima. Namun, karena kedua belah pihak mengetahuinya, kunci tersebut dapat digunakan oleh algoritma enkripsi untuk mengenkripsi lalu lintas antara kedua sistem.

Berikut adalah tiga contoh contoh ketika DH umum digunakan:

~ Data dipertukarkan menggunakan VPN IPsec.

~ Digunakan saat pertukaran data menggunakan SSL atau TLS VPN.

~ Data SSH dipertukarkan.

Cari Blog Ini

Rangkuman OSPF

Network Security Concepts