Pengamanan Data pada Aplikasi Web Pelajaran PWPB Kelas XII RPL

 C. Pengamanan Data pada Aplikasi Web 

Keamanan (security) pada sebuah web merupakan sesuatu hal wajib bagi para pelaku usaha online, seperti IM ataupun Online Store karena semua kegiatan yang berkaitan dengan akses data dan lain sebagainya, pada akhirnya bisa menjadi materi pada akses web tersebut. Di samping itu, layanan aplikasi berbasis web harus dapat memberikan konteks pengamanan secara end-to-end, di mana setiap transaksi harus dapat dijamin keamanannya mulai dari asal transaksi sampai dengan penyelesaian akhir transaksi sehingga dapat mempertahankan keamanan yang konsisten di semua tahapan pengolahan transaksi.

 1. Konsep Kriptografi, Plain Text, Chiper Text, dan Encrypted Text

a. Konsep Kriptografi 

Kriptografi adalah ilmu yang mempelajari tentang penyembunyian huruf atau tulisan sehingga membuat tulisan tersebut tidak dapat dibaca oleh orang yang tidak berkepentingan. Kriptografi memiliki dua bagian yang penting, yaitu enkripsi dan dekripsi. Enkripsi adalah proses dari penyandian pesan asli menjadi pesan yang tidak dapat diartikan seperti aslinya. Dekripsi sendiri berarti merubah pesan yang sudah disandikan menjadi pesan aslinya. Adapun cara kerjanya adalah masukan berupa plain text akan masuk ke dalam blok enkripsi dan keluarannya akan berupa cipher text, kemudian cipher text akan masuk ke dalam blok dekripsi dan keluarannya akan kembali menjadi plain text semula. 

Komponen-komponen yang sangat penting dalam kriptografi, yaitu sebagai berikut:

1) Secrecy

 Secrecy identik dengan komponen yang digunakan untuk menjaga pesan yang biasanya digunakan oleh seseorang yang mengirim pesan. Komponen ini hanya mengizinkan seseorang yang tahu akan kunci pada pesan yang telah dienkripsi dengan algoritma kriptografi.

2) Integrity

 Integrity adalah komponen yang digunakan untuk memeriksa apakah sebuah pesan telah diubah pada saat pengiriman untuk menggunakan algoritma hash. Misalnya algoritma tanda tangan digital menggunakan konsep yang sama dengan tanda tangan biasa. 

3) Authencity 

Semua algoritma kriptografi yang telah diusulkan diharapkan mempunyai stabi- litas yang kuat dan biasanya digunakan pada segala bidang, misalnya internet. Berbagai algoritma kriptografi telah dikembangkan sampai sekarang, kecuali fungsi hash, semua fungsi yang lain menggunakan kunci untuk memperoleh atribut yang dikehendaki.

b. Konsep Plain Text 

 Teks dokumen dikategorikan menjadi rich text dan teks biasa. Rich text mendukung karakter standar ASCII (American Standard Code for Information Interchange) termasuk nomor, simbol, dan ruang, tetapi tidak mendukung semua jenis format teks. Oleh karena itu, tidak dapat menerapkan tebal, miring, atau bergaris bawah gaya, dan tidak dapat menggunakan berbagai font atau ukuran font dalam sebuah dokumen teks biasa. Adapun teks biasa tidak mengandung informasi tentang ukuran teks (style) sebagai cara yang paling efisien untuk menyimpan teks. Dalam hal ini, kita dapat menggunakan editor teks dasar seperti Notepad atau WordPad (untuk Windows) atau TextEdit (untuk Mac) untuk menciptakan sebuah dokumen teks biasa. Perlu diketahui bahwa jika mengubah dokumen rich text ke file teks biasa, akan kehilangan format yang diterapkan pada teks.

c. Konsep Chipertext 

Chipertext adalah metode enkripsi dengan menggeser deretan karakter yang sudah ditentukan. Beberapa software yang diproteksi dengan serial number meng- gunakan metode ini untuk kombinasinya. Software yang didistribusikan shareware, trialware maupun evaluation version menggunakan metode kombinasi serial num- ber untuk melindungi software yang dibuat. Versi shareware dan evaluation version mungkin saja menggunakan nag screen atau mungkin ada fungsi dari software yang tidak dapat digunakan jika tidak di-register dengan serial number yang tepat. rapa metode serial number yang digunakan adalah sebagai berikut. 

1) Tidak memperhatikan nama user, biasanya serial number ini dapat digunakan oleh semua user. Metode yang dipakai biasanya adalah membagi suatu bilangan dengan bilangan tertentu, kemudian sisa hasil baginya yang digunakan. 

2) Memperhatikan nama user, serial number akan berbeda untuk setiap user name yang berbeda. Metode ini menggunakan kombinasi yang dari hasil enkripsi user name yang digunakan. Ada berbagai macam metode untuk mengenkripsi user name tersebut, dari hasil enkripsi itulah yang merupakan serial number yang valid untuk satu user name tersebut.

d. Konsep Encrypted Text 

Salah satu hal yang penting dalam komunikasi menggunakan komputer untuk menjamin kerahasiaan data adalah enkripsi. Enkripsi adalah sebuah proses yang melakukan perubahan sebuah kode dari yang bisa dimengerti menjadi sebuah kode yang tidak bisa dimengerti (tidak terbaca). Enkripsi dapat diartikan sebagai kode atau chiper. Sebuah sistem pengkodean menggunakan suatu table atau kamus yang telah didefinisikan untuk mengganti kata dari informasi atau yang merupakan bagian informasi yang dikirim. Oleh karena teknik chiper merupakan suatu sistem yang telah siap untuk diautomasi maka teknik ini digunakan dalam sistem keamanan komputer dan jaringan.

Enkripsi dimaksudkan untuk melindungi informasi agar tidak terlihat oleh orang atau pihak yang bukan seharusnya sedang melakukan proses mencari informasi terhadap file yang diinginkan. Informasi ini dapat berupa nomor kartu kredit, catatan penting dalam komputer maupun password untuk mengakses sesuatu. E-commerce adalah industri lain yang sangat intensif memanfaatkan kriptografi. Dengan meng- enkripsi paket data yang lalu lalang di Internet, walaupun seseorang dapat menangkap paket-paket data tersebut, namun tetap saja ia tidak dapat memahami artinya. Enkripsi juga digunakan untuk verifikasi. 

Dalam hal ini terdapat tiga kategori enskripsi, yaitu sebagai berikut.

 1) Kunci enkripsi rahasia, dalam hal ini terdapat sebuah kunci yang digunakan untuk mengenkripsi dan juga sekaligus mendeskripsi dan juga sekaligus men- deskripsikan informasi. 

2) Kunci enkripsi publik, dalam hal ini dua kunci digunakan, satu untuk proses deskripsi. Salah satu masalah dalam mengamankan enkripsi adalah bagaimana memastikan bahwa hanya sang penerima yang dapat mengakses data. 

3) Fungsi one-way, atau fungsi satu arah adalah suatu fungsi di mana informasi dienkripsi untuk menciptakan "signature" dari informasi asli yang bisa digunakan untuk keperluan autentifikasi.

2. Konsep Sistem Pengamanan Akses Data 

Konsep keamanan web, sangat erat kaitannya dengan jaringan, karena untuk mengakses sebuah website dibutuhkan sebuah koneksi jaringan. Saat ini sangat pesat sekali perkembangan teknologi website, jaringan, dan bermacam ancaman keamanan yang dihadapi, seperti ancaman terhadap kerahasiaan yang sering dihadapi adalah hacker, masquerader, virus dari internet maupun dari media transfer data seperti flash disk, hard disk eksternal, melalui jaringan LAN, unduh file tanpa proteksi, Trojan keamanan yang tidak disadari. Keamanan web horse dan masih banyak lagi ancaman keamanan mencakup semua aspek dari komputer, jaringan, dan operating system hardware, dan software-nya yang paling baik dari segi keamanan.

a. Mekanisme Keamanan 

Dikarenakan tidak ada peralatan yang dapat memelihara integritas informasi, maka penting untuk menempatkan empat mekanisme keamanan dalam struktur kinerja berlapis. Empat mekanisme tersebut identik dengan autentifikasi user, enkripsi data, penyaringan paket jaringan, dan kendali akses fisik. 1) Autentifikasi user, adalah mekanisme yang dirancang untuk mengidentifikasi user secara unik, menempatkan user pada hak akses informasi yang sesuai, dan menjejaki aktivitas mereka. Autentifikasi pada umumnya dilakukan dengan meminta kunci akses (dapat berupa username, password, informasi biometrik, kartu pengenal, ataupun smart card) dan menentukan hak akses mereka. 

2) Enkripsi data, adalah mekanisme yang melakukan proses penyandian data untuk mencegah pihak yang tidak diberi hak untuk melihat, mengamati, dan memodifikasi informasi. Mekanisme ini memiliki sasaran untuk melindungi integritas dan kerahasiaan informasi, bahkan ketika data yang disandikan itu melewati jalur media yang tidak aman (seperti internet). 

3) Penyaringan paket jaringan, adalah mekanisme pengamanan pada level jaringan yang dapat dilakukan pada router dan gateway dengan menganalisis header dari paket IP, kemudian mengizinkan atau menolak pengiriman paket berdasarkan pada alamat sumber, alamat tujuan, tipe protokol, nomor port TCP, panjang paket dan sebagainya. Firewal adalah alat yang melakukan penyaringan paket dan melakukan analisis s terhadap paket tersebut untuk menentukan apakah diizinkan atau ditolak.

4) Kendali akses fisik, adalah mekanisme pengamanan yang paling mendasar. Mekanisme ini mencegah pencurian data yang dilakukan penyerang dengan cara mengakses langsung pada peralatan fisik. Sebelum mengeluarkan banyak biaya untuk mengamankan data terhadap ancaman yang berasal dari jaringan, pastikan untuk mengendalikan keamanan akses fisik ke server kritis dan infrastruktur jaringan.

b. Autentifikasi SOAP 

web service menjanjikan solusi untuk mengatasi kelemahan teknologi berbasis web pada umumnya, namun demikian masih banyak yang merasa ragu untuk segera menerapkan web service, khususnya pada lingkungan internet (publik), misalnya untuk mendukung transaksi e-business. Keraguan ini disebabkan oleh fak- tor jaminan keamanan dari teknologi web service. Teknologi keamanan yang biasa digunakan untuk mengatasi aspek keamanan pada sistem berbasis web pada umumnya, seperti Secure Socket Layer (SSL)/Transport Secure Layer (TSL), tidak cukup memadai jika diterapkan pada sistem berbasis Web Service. Hal ini dikarenakan SSL/TLS menyediakan solusi kemanan dengan konteks point-to-point pada level transport layer. Sementara karakteristik transaksi Web Ser- vice, membutuhkan pengamanan dalam konteks end-to-end pada level application layer. Teknologi firewall yang menyediakan pengamanan pada level network layer juga tidak cukup memadai, karena karakteristik transaksi web service yang meng- gunakan standar internet (HTTP, SMTP, dan FTP) akan dilewatkan oleh firewall karena dianggap sebagai trafik internet pada umumnya (firewall friendly).

3. Konsep Pengamanan Program Aplikasi 

Konsep dasar pengamanan pada dasarnya suatu upaya untuk mengamankan aset berupa informasi atau sesuatu bersifat privasi terhadap ancaman yang mungkin timbul, sehingga pengamanan mutlak diperlukan, begitu pula dengan web atau website. Aplikasi web merupakan suatu lingkungan yang terstruktur dalam bentuk program komputer yang memungkinkan pengunjung website memasukkan dan menampilkan data dari dan ke suatu database server melalui internet dengan meng gunakan web browser. Kemudian data ditampilkan ke pengguna sebagai informasi yang dihasilkan secara dinamis oleh aplikasi web melalui web server. Keamanan dibutuhkan untuk melindungi isi dari aplikasi web yang sensitif dan menyediakan proses pengiriman data yang aman. Oleh karena itu, keamanan aplikasi harus diterapkan pada seluruh infrastruktur yang mendukung web aplikasi, termasuk juga web aplikasi itu sendiri. Salah satunya adalah PHP. PHP adalah aplikasi yang open source dan memiliki fasilitas auto global pada varibel di mana setiap programer diberikan kemudahan untuk mengaplikasikannya. 

Berangkat dari latar belakang tersebut, maka pengamanan website diperlukan. Maka disinilah pengamanan seperti pengamanan dalam konteks and-to-and pada level application layer.

4. Password, Hash, Md5, Mcrypt, dan Base64 

Sistem yang dibuat tidak selalu aman dan tidak ada sistem yang benar-benar seratus persen aman. Selalu ada celah keamanan yang rentan diserang dari luar, terutama apabila sistem yang buat sudah terhubung dengan jaringan internet. Selalu ada celah yang luput dari pengamatan. Namun demikian, masih bisa mengupayakan untuk mengurangi celah-celah keamanan dalam sistem dengan metode enkripsi. Enkripsi akan menjamin data-data tetap aman meskipun berada di tangan orang lain, karena mereka tidak tahu isi aslinya. Enkripsi adalah teknik untuk mengaman. kan data-data tersebut agar isinya tidak diketahui orang lain. Enkripsi biasanya dilakukan terhadap data-data sensitif seperti password. Beberapa fungsi enkripsi yang sudah disediakan oleh PHP, di antaranya password_hash(), crypt(), md5(), hash(), sha1(), dan base64_encode(). 

Masing-masing fungsi memiliki algoritmanya tersendiri, yaitu:

 a. Fungsi Password_hash() 

Fungsi ini akan menghasilkan sebuah kode hash baru dengan metode one-way hashing. Adapun one-way hashing artinya, hasil enkripsinya tidak bisa dikembalikan seperti semula (decrypt/decode). 

b. Fungsi Crypt() 

Fungsi ini menghasilkan kode hash dengan menggunakan algoritma DES, Blowfish, dan MD5.

 

c. Fungsi Md5() 

Fungsi ini akan menghasilkan kode hash sepanjang 32 karakter. 

d. Fungsi Hash() 

Metode hashing sebagai salah satu metode yang bisa mengubah karakter apapun menjadi karakter acak. Pada dasarnya, hash menggunakan enkripsi yang bersifat satu arah. Dengan demikian, fungsi ini akan menciptakan sebuah kode hash dengan algoritma tertentu.

e. Fungsi Shal() 

Fungsi ini akan menghasilkan kode hash sepanjang 40 karakter. Mirip seperti fungsi md5(). 

f. Fungsi Base64_encode() 

Fungsi ini akan menghasilkan kode hash dari teks yang diinputkan dan bisa dikembalikan ke bentuk semula dengan fungsi base64_decode(). Metode ini disebut two-way hashing. Guna mengembalikan (decrypt) atau decode dapat menggunakan fungsi base64_decode().