Amankah Password Windows Anda ?

Kuliah Umum Politeknik Pos Indonesia | 2010

Aris Lesmanahttp://arhiez.net | email@arhiez.net

Microsoft Certified Trainer | Certified EC-Council Instructor

http://www.informationweek.com/news/internet/ebusiness

/showArticle.jhtml?articleID=205100197

19 Desember 2007

http://www.informationweek.com/news/security

/showArticle.jhtml?articleID=205600229

08 Januari 2008

http://www.detikinet.com/read/2009/02/10/121013

/1082378/323/virus-mengaku-teman-di-yahoo-messenger

10 Februari 2009

http://www.detikinet.com/read/2009/11/05/155639

/1235954/323/undangan-google-wave-bertabur-jebakan

05 November 2009

http://www.securityfocus.com/brief/1053

28 Desember 2009

http://www.gss.co.uk/news/article/7046

/Facebook_users_hacked_with_direct_messages/

07 Januari 2010

http://www.detikinet.com/read/2009/10/23/132423/1227135/323

/kewalahan-bendung-hacker-situs-kpu-tutup

23 Oktober 2009

http://www.detikinet.com/read/2009/12/11/163537

/1258673/398/metrodata-digerayangi-dedemit-maya--lesbian-

11 Desember 2009

http://bandung.detik.com/read/2009/12/14/165010

/1259917/486/-ini-adalah-ulah-hacker-

14 Desember 2009

http://www.detikinet.com/read/2009/02/11/075931

/1082891/323/waduh-situs-keamanan-kok-malah-kebobolan

11 Februari 2009

http://www.detikinet.com/read/2009/02/13/163052/1084567/323/usai-kaspersky-giliran-f-

secure-dipecundangi-cracker

13 Februari 2009

http://www.detikinet.com/read/2009/11/24/145523/1247899/323/symantec-jadi-bulan-

bulanan-dedemit-maya

24 November 2009

Kemampuan komputer untuk menjaga dan melindungi suatuinformasi agar tetap tersedia, terhindar dari pengguna ilegalserta terhindar dari proses modifikasi.

Kemampuan komputer untuk meminimalisir setiap ancamandan serangan hingga masih dapat dapat ditoleransi.

Bersandar pada 3 komponen:

Kerahasiaan (Confidentiality)

Integritas (Integrity)

Ketersediaan (Availability)

Perkembangan teknologi yang berfokus pada kemudahan pakai.

Meningkatnya pengguna internet.

Penerapan network dan internet di berbagai bidang

Meningkatnya penggunaan aplikasi berbasis network dan internet.

Menurunnya level keahlian untuk menjalankan exploit.

Pelanggaran terhadap security yang dapat mengakibatkan hilangnya materi dan kepercayaan.

Infrastruktur teknologi yang semakin kompleks.

Unjuk kepintaran / pamer.

… etc …

Aset (Asset)

Ancaman (Threat) Akses ilegal ; Data yang dicuri / hilang / rusak / dimodifikasi

Informasi rahasia yang terbuka ; Serangan hacker ; Cyber Teroris

Virus dan malware ; Denial of Service (DoS)

Bencana alam.

Celah / Kelemahan (Vulnerability) Firmware ; Sistem operasi

Files konfigurasi

Software aplikasi

Patch / update

Eksploit (Exploit)

Phreakers

Script / Click Kiddies

Disgruntled Employee

Whackers

Software Cracker / Hacker

Cyber-Terrorists / Cyber-Criminals

System Cracker / Hacker

… etc …

Dibuat oleh salah satu vendor software terbesar di dunia.

Sistem operasi client / workstation yang paling banyak digunakan.

Beragam fungsionalitas.

Berfokus pada kemudahan pakai.

Menjadi incaran utama.

FUNGSIONALITAS

KEAMANAN

KEMUDAHAN PAKAI

?

Encrypted File System (EFS)

Data Execution Prevention (DEP)

Firewall

Windows Defender

BitLocker

AppLocker

User Account Control (UAC)

Credential Manager

Parental Control

Network Access Protection (NAP)

… etc …

Tiket utama untuk masuk kedalam suatu sistem komputer.

Berupa rangkaian kata atau karakter rahasia sebagai autentikasi kepemilikan informasi yang sah.

Mengatur batasan akses dari pengguna.

Salah satu faktor penting dalam keamanan Windows.

Menjadi incaran utama para attacker.

Metode untuk membuat password yang lebih aman terus dikembangkan demikian juga dengan metode pengamanannya.

HASH

Metode perhitungan password pada Windows.

Data dihitung untuk menghasilkan suatu nilai yang kecil.

Nilai hasil perhitungan digunakan sebagai ciri khas (signature) data tersebut.

Setiap perubahan sekecil apapun (1 bit) akan merubah nilai Hash.

SALT

Teknik penambahan string tertentu kepada data sebelum dihitung dengan Hash.

Digunakan untuk membedakan 2 data yang sama.

Pengguna mengetikan password pada Windows.

Data password dihitung untuk menjadi nilai Hash.

Nilai Hash yang dihasilkan dibandingkan dengan nilai Hash yang disimpan pada Windows.

Suatu database tempat Windows menyimpan password.

Berupa suatu Binary File yang rumit untuk dibaca.

Disimpan dalam folder \WINDOWS_ROOT\SYSTEM32\CONFIG\

Versi SAM:

LanMan (LM) Menjaga kompatibilitas dengan Windows Worksgroups

NT Hash (NTLM) Cryptographic Hash pada Windows NT/2000

Brute-Force Attack Menebak password secara acak untuk tiap-tiap karakter

Membutuhkan waktu yang relatif sangat lama

Dictionary Attack Menggunakan suatu daftar kata tertentu yang tersimpan dalam

sebuah file sebagai referensi Dictionary File

Setiap kata dicocokan dengan nilai Hash yang telah didapatkan

Hybrid Attack Dictionary Attack dengan variasi penambahan karakter tertentu

Pre-Computed Hashes Dictionary Attack dengan referensi berupa nilai Hash Rainbow

Tables

Active Online Attacks

Passive Online Attacks

Offline Attacks

Non-Electronic Attacks

Dumpster Diving

Shoulder Surfing

Keyboard Sniffing

Social Engineering

http://pogostick.net/~pnh/ntpasswd/

http://www.password-changer.com/

http://ophcrack.sourceforge.net/

Gunakan komputer, network dan internet dengan “sehat”.

Rawat dan kuasai komputer dengan baik.

Peduli terhadap lingkungan sekitar.

Peduli terhadap teknologi dan perkembangannya.

Gunakan password dengan jumlah karakter minimum diatas 7 karakterdengan variasi karakter lain dan besar-kecilnya huruf.

Ganti password secara berkala.

Jangan menuliskan password di sembarang tempat.

Gunakan Firewall dan metode enkripsi jika memungkinkan.

Lakukan audit secara berkala.

Gunakan Policy Editor untuk membatasi hak akses.

Gunakan software yang legal / resmi.