Dalam perkembangannya yang pesat seringkali Internet menyebabkan beberapa dampak negatif kepada penggunanya. Kejadian "klikBCA" semu yang baru saja terjadi menyadarkan para pengguna Internet banking di Indonesia akan hal ini. Saat ini, waktu antara diperkenalkannya suatu teknologi dengan penggunaannya secara massal relatif sangat singkat. Di tambah lagi perusahaan yang tadinya tak pernah menggunakan perangkat lunak tertentu, sekarang menjadi bergantung pada perangkat lunak tersebut.

Seringkali kita menerima keuntungan ekonomis atau lainnya dari TI (Teknologi Informasi), tetapi lupa mempertimbangkan analisis cost-risk-benefit secara komprehensif. Pertimbangan resiko seringkali dilakukan setelah timbulnya kejadian atau munculnya kerugian. Kecenderungan menutupi kejadian seringkali malah menyebabkan kurang adanya edukasi pada pengguna. Perilaku yang menganggap penanganan masalah sekuriti hanyalah bagian dari Public Relation (PR) sebaiknya perlu ditinggalkan. Karena hal tersebut sangat merugikan kustomer.

Semakin kompleks dan saling terhubungnya antar bagian dalam sistem, menjadikan sistem makin sulit untuk dijamin keamanannya. Sekuriti adalah suatu proses, bukan produk. Sebagai proses maka sekuriti itu memiliki banyak komponen. Sekuriti juga seperti rantai yang terdiri dari banyak mata rantai. Seperti halnya rantai, maka kekuatan sistem setara dengan kekuatan dari mata rantai yang terlemah. Pada kasus KlikBCA ada dua hal yang menjadi rantai terlemah dari sistem yang terserang, yaitu ketak-pedulian user, dan kekurang-tanggapan BCA. Dua kelemahan ini menjadikan komponen relatif lebih kuat (misal 128-bit SSL) menjadi hilang artinya.

Tulisan ini akan menerangkan secara sekilas resiko dan kemungkinan yang ada dalam Internet bank. Penulis tidak bermaksud menakut-nakuti tetapi mencoba mengedukasi pengguna karena informasi dari pemberi layanan Internet banking di Indonesia relatif sangatlah terbatas. Beberapa hal sengaja tidak dijelaskan secara rinci, tetapi pada bagian akhir tulisan diberikan daftar referensi untuk memudahkan bagi yang ingin mendalami hal ini. Pada bagian akhir akan diberikan skenario ancaman lainnya, bukan maksud penulis untuk menakut-nakuti hanya sekedar memberikan peringatan kepada para pembaca.

Kekuatan dan kelemahan Secure Socket Layer

Sebagian besar penyelenggara Internet banking di Indonesia mengklaim menggunakan teknologi Secure Socket Layer (SSL) untuk menjamin keamanan layanan mereka. Jaminan SSL 128 bit inilah yang sering digunakan dalam iklan dan dalam meyakinkan kustomer. Kata-kata lainnya yang sering digunakan dalam menjamin keamanan para pengguna adalah penggunaan firewall, Public Key Infrastructure dan Encryption Accelerator Card. Pendekatan keterbukaan belum menjadi suatu tradisi pada Internet Banking di Indonesia. Sehingga penjelasan sekuriti relatif masih berfungsi sebagai PR belaka.

Sayangnya seringkali informasi yang diterima pengguna kuranglah lengkap mengenai apa yang diamankan oleh SSL ini. Begitu juga dengan firewall kurang dijelaskan apa yang diamankan oleh firewall ini. Hal ini mengakibatkan munculnya, pemahaman akan adanya jaminan keamanan semu dalam benak pengguna. Pengguna sering memiliki anggapan karena sudah memakai SSL maka pasti koneksi yang dilakukannya aman, tak ada masalah sekuriti yang bisa timbul. Hal ini juga dididorong oleh informasi yang kurang lengkap dari penyedia jasa Internet Banking.

SSL (Secure Socket Layer) pada dasarnya merupakan suatu mekanisme yang melindungi koneksi dari usaha penyadapan. Hal ini karena komunikasi yang terjadi antara client-server melalui suatu jalur yang dienkripsi. Tetapi sistem ini tidak melindungi dari salah masuknya pengguna ke host yang berbahaya, ataupun tak melindungi apakah suatu kode yang didownload dari suatu situs bisa dipercaya, atau apakah suatu situs itu bisa dipercaya. Abadi (1996) telah menunjukkan kelemahan protokol SSL versi awal secara teoritis. Jadi jelas SSL ini tidak melindungi dari beberapa hal misal (detail dari tiap ancaman ini tidak dibahas pada tulisan ini):

• Denial of Services
• Buffer overflow
• Man-in-the-middle attack
• Cross scripting attack

Pada model SSL, user-lah yang harus bertanggung jawab untuk memastikan apakah server di ujung sana yang ingin diajak berkomunikasi benar-benar merupakan server yang ingin dituju. Pada dunia nyata untuk meyakinkan bahwa orang yang dihubungi adalah orang sesungguhnya, dapat dilakukan dengan mudah karena orang saling mengenal. Dengan melihat muka, suara, bau dan sebagainya kita bisa mendeteksi bahwa dia orang yang sesungguhnya.

Pada dunia Internet hal seperti itu sulit dilakukan, oleh karenanya digunakan sertifikat digital untuk melakukan hal ini. Sertifikat ini mengikat antara suatu public key dengan suatu identitas. Sertifikat ini dikeluarkan oleh sebuah pihak yang disebut CA (Certificate Authority) misal dalam hal ini Verisign atau Thawte. CA sendiri memperoleh sertifikat dari CA lainnya. CA yang tertinggi disebut root dan tidak memerlukan sertifikat dari CA lainnya. Penanganan sertifikat ini dilakukan secara hierarki dan terdistribusi.

Sayangnya sertifikat digital saja, bukanlah obat mujarab yang bisa mengobati semua jenis permasalahan sekuriti. Agar SSL dapat bekerja dengan semestinya (melakukan koneksi terenkripsi dengan pihak yang semestinya), maka penggunalah yang harus memverifikasi apakah sertifikat yang dimiliki oleh server yang ditujunya adalah benar. Berikut ini adalah beberapa hal minimal harus diperhatikan :

• Apakah sertifikat tersebut dikeluarkan oleh CA yang dipercaya.
• Apakah sertifikat tersebut dikeluarkan untuk pihak yang semestinya (perusahaan yang situsnya dituju).
• Apakah sertifikat itu masih berlaku.

Sayangnya banyak orang tak peduli terhadap permasalahan di atas. Sebetulnya ketika melakukan koneksi ke sebuah situs yang mendukung SSL, hal tersebut ditanyakan oleh browser, tetapi sebagian besar pengguna selalu menekan Yes ketika ditanya untuk verifikasi sertifikat ini. Untuk melihat ketiga hal tersebut, dapat dilakukan dengan double-click pada tombol kunci yang ada di bagian kiri bawah browser.

Begitu juga dengan keterangan 128-bit SSL. Seringkali tanpa dilengkapi dengan penjelasan semestinya apa maksud 128-bit ini, dan apa kaitannya dengan PIN pengguna, ataupun hal lainnya. Masih banyak perusahaan yang mengambil mentah-mentah keyakinan akan keamanan SSL ini tanpa mencoba memahami atau menerangkan keterbatasan SSL dalam melakukan perlindungan. Sebagai dampaknya pengguna menjadi tak peduli terhadap ditail mekanisme transaksi yang dilakukannya.

Dengan memanfaatkan kekurang-waspadaan pengguna dapat timbul beberapa masalah sekuriti. Berikut ini adalah celah sekuriti dalam penggunaan SSL yang diakibatkan oleh server si penyerang di luar server asli. Celah seperti ini relatif sulit dideteksi dan dijejaki tanpa adanya tindakan aktif, karena terjadi di server lain. Celah ini pada dasarnya dilakukan dengan cara mengalihkan akses user dari situs aslinya ke situs palsu lainnya, sehingga dikenal dengan istilah page hijacking. Beberapa kemungkinan teknik yang digunakan untuk melakukan hal ini adalah :

• Ticker symbol smashing. Biasanya digunakan pada pengumuman press release, dengan memanfaatkan simbol dari perusahaan besar lainnya. Sehingga secara tersamar pengguna akan belok ke situs ini. Misal Perusahaan KUMBAYO baru saja meluncurkan produknya. Perusahaan ini tak ada hubungan dengan Bank Ha Ha. Misal Bank Ha-Ha adalah suatu bank besar. Dengan cara ini orang akan terdorong ke situs perusahaan KUMBAYO, yang semula akan ke Bank Ha-Ha.

• Web Spoofing (Felten et al, 1997). Memanipulasi alamat URL pada sisi client, sehingga akan memaksa si korban melakukan browsing dengan melalui situs tertentu terlebih dahulu. Dengan cara ini dapat menyadap segala tindakan si korban, ketika melakukan akses ke situs-situs. Sehingga si penyerang dapat memperoleh PIN ataupun password. Cara ini biasanya memanfaatkan trick URL Rewrite. Umumnya pengguna awam tak memperhatikan apakah akses dia ke suatu situs melalui http://www.yahoo.com ataukah melalui http://www.perusak.org/http://www.yahoo.com. Karena yang tampil di browsernya adalah tetap halaman dari www.yahoo.com

• DNS Spoofing (Bellovin, 1995). Teknik ini digunakan untuk memanfaatkan DNS server untuk membangkitkan celah sekuriti. Dengan cara ini penyerang mampu membelokkan seorang pengguna ke server DNS lain yang bukan server semestinya, ketika ia memasukkan nama situs. Dengan cara ini maka penipuan dapat dilanjutkan misalnya dengan mengumpulkan PIN atau password.

• typo pirates. Dengan cara mendaftar nama domain yang hampir mirip, dan membuat situs yang mirip. Pengguna yang tak waspada akan masuk ke situs ini dan memberikan PIN dan password. Cara inilah yang terjadi pada kasus KlikBCA palsu. Hal ini disebabkan sebagian besar pengguna tak waspada, apakah alamat URL (Universal Resource Locator) yang dimasukkannya benar pada saat ia mengakses suatu situs web, dan apakah sertifikat yang diterima sama dengan sertifikat seharusnya pada saat ia mengakses situs web yang mendukung SSL.

• cybersquating. Membeli nama domain yang mungkin akan digunakan orang. Tujuan penggunaan cara ini adalah lebih kepada mengambil keuntungan keuangan dengan menjual kembali domain tersebut pada harga yang jauh lebih tinggi daripada harga sebenarnya.

• Man-in-the-middle-attack. Cara ini dilakukan dengan memaksa orang percaya bahwa situs yang dituju sama halnya dengan situs asli. Hal itu dilakukan dengan mencegat akses pengguna ketika hendak melakukan koneksi ke situs asli, teknik seperti TCP Hijack sering digunakan, lalu meneruskan akses pengguna ke web situs sebenarnya. Sepintas lalu hal ini tidak terlihat oleh pengguna. Serangan ini lebih berbahaya daripada sekedar typo pirates. Resiko ini bisa timbul ketika jalur penyerang berada di antara pengguna dan situs penyedia layanan.

Trik-trik di atas sebagian besar memanfaatkan kelengahan pengguna, atau keawaman pengguna. Dalam mendisain sistem maka perlu diperhatikan kelengahan pengguna ini. Baik kesalahan dia mengetik nama situs, dan lain-lainnya. Untuk itu sudah sepantasnya pemahaman tentang user Indonesia perlu dilakukan lebih dalam sebelum dilakukan perancangan sistem ini.

Begitu juga dengan produk firewall, sering kali banyak jaminan semu yang diberikan penyedia jasa Internet banking dengan mengatakan bahwa sistem akan aman, karena menggunakan firewall merek tertentu. Jaminan ini tidak bicara apa-apa. begitu juga dengan card encryption accelerator. Sebab pada hakikatnya pernyataan aman memiliki rentang pembicaraan. Sehingga lebih tepat disebutkan aman ketika melakukan hal apa, aman terhadap apa atau aman terhadap siapa. Bahkan ada keterangan yang mengatakan bahwa firewall berkaitan dengan otorisasi login dari seseorang pengguna. Jelas keterangan ini akan menyesatkan pengguna. Sudah saatnya penyedia jasa layanan Internet Bank, memberikan informasi yang lebih tepat.

Disain sistem dari sisi user

Orang/pengguna merupakan sisi terlemah dari sekuriti. Mereka tak memahami komputer, mereka percaya apa yang disebutkan komputer. Mereka tak memahami resiko. Mereka tak mengetahui ancaman yang ada. Orang menginginkan sistem yang aman tetapi mereka tak mau melihat bagaimana kerja sistem tersebut. Pengguna tak memiliki ide, apakah situs yang dimasukinya situs yang bisa dipercaya atau tidak.

Salah satu permasalahan utama dengan user di sisi sekuriti, adalah akibat komunikasi atau penjelasan yang kurang memadai pada user dan disain yang kurang berpusat pada user yang mengakibatkan lemahnya sekuriti (Adams dan Sasse, 1999). User seringkali tak menerima penjelasan yang cukup, sehingga mereka membuat atau mereka-reka sendiri resiko atau model sekuriti yang terjadi. Seringkali ini menimbulkan pengabaian dan mengakibatkan kelemahan sekuriti.

Di samping itu, akibat pengabaian para pendisain sistem terhadap perilaku user dalam berinteraksi terhadap sistem, maka timbul kesalahan misalnya adanya pengetatan yang tak perlu, yang malah mengakibatkan user mengabaikan pengetatan itu. Atau penyesuaian kecil yang seharusnya bisa dilakukan untuk menambah keamanan, tetapi tak dilakukan. Sebagai contoh layout page tidak pernah mempertimbangkan sisi sekuriti, ataupun belum ada desain layout yang meningkatkan kewaspadaan pengguna akan keamanan. Disan halaman Web lebih ditekankan pada sisi estetika belaka. Untuk itu sebaiknya dalam disain sistem, user diasumsikan sebagai pihak yang memiliki kewaspadaan terendah, yang mudah melakukan kesalahan. Artinya pihak perancanglah yang mencoba menutupi, atau memaksa si user menjadi waspada.

Penyedia jasa sangat perlu memberikan keterangan tentang mekanisme sekuriti termasuk resiko dan langkah yang perlu diperhatikan, termasuk juga ancaman yang dapat membuat lemahnya sistem sekuriti. Komunikasi antar pengguna dan pembuat sistem menjadi sangat penting. Seperti yang diungkapkan oleh Dirk Henze dari BSI (Bundesamt für Sicherheit in der Informationstechnik) pada Computerzeitung, solusi teknik bukanlah satu-satunya yang perlu diperhatikan, penjelasan ke pengguna sangat dibutuhkan. Pengguna perlu diingatkan akan resiko dan situasi yang perlu diperhatikan ketika melakukan transaksi melalui Internet. Solusi teknis dan penjelasan kepada user merupakan suatu kesatuan yang tak bisa diabaikan.

Beberapa langkah yang perlu dilakukan oleh penyedia layanan dalam merancang sistem yang berkaitan dengan sisi pengguna adalah :

• Sekuriti perlu menjadi pertimbangan yang penting dari disain sistem.
  Bukan sekedar tempelan iklan belaka. Memberikan umpan balik pada mekanisme sekuriti akan meningkatkan pemahaman user terhadap mekanisme sekuriti ini. Sehingga disain tata letak, homepage juga perlu mempertimbangkan faktor sekuriti ini juga.

• Menginformasikan user tentang ancaman potensial pada sistem.
  Kepedulian akan ancaman ini akan mengurangi ketakpedulian pengguna terhadap ditail langkah transaksi yang dilakukan. Sebagai contoh mereka tidak cenderung menekan Yes. Ketika memverifikasi sertifikat. Memang para pengguna Internet di Indonesia kebanyakan memiliki kendala dalam hal bahasa. Sehingga mereka sering melewati dan tak membaca pesan yang tampil di layar. Hal ini menuntut Semakin perlunya menu dan keterangan berbahasa Indonesia pada aplikasi Internet Banking. Tidak saja di halaman Internet tetapi juga di browser yang digunakan para pengguna Internet di Indonesia.

• Kepedulian user perlu selalu dipelihara.
  Secara rutin penyedia layanan harus memberikan jawaban terhadap pertanyaaan masalah sekuriti, baik yang secara langsung maupun tidak. Ini dapat melalui newsletter, press release, ataupun white paper. Sebaiknya jangan digunakan penjelasan yang sekedar menutupi ancaman sesungguhnya, ataupun jangan juga memberikan penjelasan yang menakut-nakuti. Keputusan suatu perusahaan untuk menggunakan Internet sebagai jalur pemberian layanan, memberikan konsekuensi bahwa perusahaan tersebut juga harus aktif memonitor masukan dari Internet, misal melalui kotak surat khusus pengaduan, memonitor mailing list yang mempertanyakan masalah keamanan situs tersebut.

• Berikan user panduan tentang sekuriti sistem, termasuk langkah-langkah yang sensitif.
  Sebaiknya ketika user baru memulai menggunakan suatu layanan, mereka telah di-"paksa" untuk membaca petunjuk ini terlebih dahulu. Jangan setelah ada suatu kasus baru dikeluarkan langkah-langkah yang perlu diperhatikan. Dokumentasi dan penjelasan di situs harus lebih ditail dan lengkap lagi.

Selain penyedia jasa, pengguna juga harus lebih waspada misalnya dengan melakukan beberapa hal berikut ini :

• Memahami prinsip dan keterbatasan sekuriti yang diberikan.
  Secara aktif bertanya kepada penyedia layanan Internet banking, bagaimana proses keamanan, teknologi yang digunakan, serta batasan yang ada. Sudah barang tentu, keterbukaan penyedia jasa dalam menjawab pertanyaan pengguna menjadi suatu hal yang menentukan dalam hal ini.

• Jangan terlalu mudah menjawab "Yes" pada suatu pertanyaan . Sebaiknya apapun pertanyaan atau pernyataan yang muncul di layar perlu dibaca dengan seksama. Karena seringkali ketakpedulian pengguna ini menyebabkan timbulnya resiko keamanan. Memang masalah bahasa pengantar pada user interface program browser, telah menimbulkan permasalahan. Akan lebih mudah bila bahasa pengantar ini tertulis dalam bahasa Indonesia sehingga pengguna awam akan lebih mudah memahaminya.

• Sebaiknya hindari penggunaan sistem operasi desktop yang tidak menjaga integritas, atau lengkapi dengan utilitas bantu
  Seringkali masalah keamanan juga timbul akibat pengguna menggunakan sistem operasi yang tidak memiliki proteksi terhadap kernel (bagian sistem operasi). Atau tidak bersifat multi user. (Michener, 1999). Sehingga pengaruh virus, plug-in dapat menyebabkan tingkat sekuriti rendah. Bila pengguna memutuskan menggunakan sistem operasi semacam ini (misal DOS, Windows 95/98/ME), maka sudah sewajarnya tingkat pencegahan harus digunakan oleh pengguna tersebut. Misalnya lebih berhati-hati dalam menggunakan program asing, Active-X, dan plug-in. Pengguna juga harus berhati-hati terhadap program-program keylogger yang berfungsi untuk merekam segala yang anda ketikkan. Sudah barang tentu, pihak penyedia layanan Internet Bank, jangan hanya mendorong pengguna memanfaatkan satu jenis sistem operasi saja, sehingga pengguna tak memiliki pilihan lain untuk melakukan koneksi secara lebih aman.

• Mewaspadai virus, plug-in, Active-X .
  Active X dan plug-in dapat pula menyebabkan bahaya. Karena secara otomatis mereka dianggap "trusted" (dapat dipercaya). Untuk itu seringkali pengguna menghadapi dilema, karena seringkali suatu Internet Banking mengharapkan pengguna menginstall plug-in tertentu, atau suatu situs mendorong pengguna menginstal plug-in. Padahal penggunaan plug-in yang diperoleh dari situs di Internet, seringkali sulit diuji keamanannya, dan meletakkan sistem komputer pengguna dalam resiko yang tinggi. Memang pilihan berada pada pengguna, apakah harus mengorbankan keamanan, atau mengikuti instalasi plug-in ini. Instalasi plug-in dan Active-X dapat menimbulkan kasus sekuriti, hal ini telah ditunjukkan oleh Chaos Computer Club pada tahun 1997-an. Keberadaaan virus juga dapat merusakkan integritas komputer client. Saat ini sudah mulai beredar virus yang dapat menangkap password, PIN, digital signature dari komputer pengguna dan mengirimkannya ke suatu situs tertentu.

• Sebaiknya pengguna selalu mencatat dan menyimpan log akses ke Internet.
  Log ini akan sangat penting sekali ketika timbulnya suatu kasus di masa mendatang. Sayang sekali tidak semua sistem operasi di sisi desktop secara otomatis menyediakan fasilitas log ini. Akan lebih baik lagi, bila mekanisme log ini dilengkapi mekanisme tanda tangan digital yang dilakukan 2 pihak terpisah, misal pengguna dan ISP, atau penyedia jasa Internet banking. Log file (baik milik pengguna, atau penyedia layanan) yang tak memiliki tanda tangan digital, relatif memiliki kekuatan hukum yang kurang tinggi.

Beberapa langkah praktis di situs http://salma.haryan.to/tips-ibank.html menjelaskan cukup ditail langkah-langkah yang harus diamati pengguna ketika melakukan koneksi ke BCA. Sayang sekali informasi ditail seperti ini malah disediakan pihak lain, bukan pihak penyedia jasa, dalam hal ini klikBCA.

Prinsip disain teknologi

Tampaknya sudah saatnya para penyedia layanan Internet Banking meninjau kembali prinsip disain sistem sekuriti yang telah dipublikasikan oleh Jerome Saltzer dan MD. Schroeder sejak tahun 1975.

• Least priviledge.
  Setiap pengguna atau proses, harus hanya memiliki hak yang memang benar-benar dibutuhkan. Hal ini akan mencegah kerusakan yang dapat ditimbulkan oleh penyerang. Hak akses harus secara eksplisit diminta, ketimbang secara default diberikan.

• Economy of mechanism.
  Disain sistem harus kecil, dan sederhana sehingga dapat diverifikasi dan diimplementasi dengan benar. Untuk itu perlu dipertimbangkan juga bagaimana cara verifikasi terhadap sistem pembangun yang digunakan. Pada beberapa standard sekuriti untuk aplikasi perbankan , keberadaan source code menjadi syarat dalam verifikasi.

• Complete mediation.
  Setiap akses harus diuji untuk otorisasi yang tepat

• Open design.
  Sekuriti harus didisain dengan asumsi yang tak bergantung pada pengabaian dari penyerang. Desain sistem harus bersifat terbuka, artinya jika memiliki source code maka kode tersebut harus dibuka, sehingga meminimalkan kemungkinan adanya backdoor (celah keamanan) dalam sistem.

• Separation of priviledge.
  Bila mungkin, akses ke resource sistem harus bergantung pada lebih dari satu persyaratan yang harus dipenuhi. Model sekuriti yang memisahkan tingkat pengguna akan lebih baik.

• Least common mechanism.
  User harus terpisahkan satu dengan yang lainnya pada sistem.

• Psychological acceptability.
  Pengendalian sekuriti harus mudah digunakan oleh pemakai sehingga mereka akan menggunakan dan tidak mengabaikannya. Sudah saatnya disainer memikirkan perilaku pengguna.

Disain Otentifikasi

Dari sisi otentifikasi, disain sistem yang mengakibatkan dikirimnya password oleh user sebaiknya dihindari. Sistem dengan user-PIN sebagai password memiliki kelemahan pada sistem seperti Web, karena model ini lebih cocok untuk sistem dengan manual interface, seperti pada ATM (Automated Teller Machine). Penggunaan Transaction Number (TAN) seharusnya juga diterapkan bila sistem hanya menggunakan SSL saja. Untuk lebih amannya lagi dapat digunakan metoda sertifikat secara software, sertifikat dengan smart card, dan sertifkat dengan biometri. Teknologi tersebut telah ada dan dapat dimanfaatkan.

Teknologi semacam Home Banking Computer Interface [http://www.hbci.de] menggunakan teknologi yang tak hanya bersandarkan pada SSL atau hanya terbatas pada koneksi menggunakan TCP/IP. Perkembangan model E2S untuk B2B (Business to Business) di Eropa. (Madsen, 1997) yang memanfaatkan smart card juga perlu dipertimbangkan. Teknologi semacam Secure Request Technology (SRT), yang dikembangkan oleh Brokat GmbH [http://www.brokat.de] sejak 1997 dan merupakan bagian dari paket XPRESSO Security Packet yang menggunakan Java, dapat digunakan untuk mempertinggi faktor keamanan. Sedangkan bila ingin memanfaatkan perangkat keras tambahan, teknologi semacam MeCHIP dari EDS GmbH [http://www.eds.de] yang telah dikembangkan sejak 1996-an telah dapat digunakan.

Panduan Penyelenggaraan Internet Banking

Dalam menyediakan layanan Internet banking, penyedia layanan sebaiknya mengikuti panduan yang biasanya dapat diimplementasikan dengan mengikuti sistem sertifikasi keamanan, dan juga mengikuti model sekuriti tertentu. Sistem yang memberikan fasilitas transaksi seperti transfer keuangan, credit dan debit card, harus memiliki kemampuan untuk memulihkan kesalahan bila terjadi kesalahan. Beberapa ini adalah beberapa persyaratan minimum yang harus dipenuhi :

• Jika sistem menyimpan informasi finansial rahasia, maka harus didisain agar informasi rahasia tersebut dapat digunakan tetapi tanpa dapat dilihat oleh pengguna . Informasi ini harus tersimpan dalam subsistem yang trusted yang menjamin bahwa informasi tersebut tak bisa terbaca walaupun host telah dikuasai oleh pihak lain.
• Subsistem yang menangani database transaksi, record akuntansi, audit informasi harus diimplementasikan dalam sistem "trusted" yang akan melindungi informasi ini walau host dikuasai oleh orang lain
• Seluruh transaksi dan operasi memerlukan pengikatan (binding) yang kuat antara user, kustomer, identitas proses dan operasi yang dilakukan. Semua operasi ini harus di-log secara aman. Untuk kebutuhan audit.

Sistem yang menyediakan fasilitas transaksi yang dapat dijejaki di atas, untuk standard USA rata-rata berada di antara B2, dan B3 atau E4 untuk standard Jerman. Untuk anonymous transaction harus menggunakan sistem yang disertifikasi A1 (US) atau E6 (Jerman). Sistem yang menyediakan fasilitas di atas harus memiliki sistem operasi dengan model multilevel security system. Biasanya sekitar B1, atau E3 (untuk standard Eropa). Di Jerman peraturan menuntut pihak yang menjalankan Public Key Certificate Authority harus dijalankan pada sistem dengan evaluasi minimal E4. Untuk informasi lebih lengkap mengenai standard security ini dapat dilihat situs Trusted Product Evalution Program [ http://www.radium.ncsc.mil/tpep/tpep.html].

Dalam kegiatannya, jika penyedia layanan Internet banking ingin memberikan layanan dengan baik, maka sudah saatnya menerapkan 6 langkah proses proteksi infrastruktur informasi yang meliputi (Cybenko dan Jiang, 2000)

1. Intelligence, dilakukan oleh Early warning system yang terdiri dari :
   • Incident report analysis
   • Human intelligence gathering
   • Automated monitoring web and newsgroup
2. Threat assesment. dilakukan dengan simulasi, cost-benefit analysis terhadap threat.
   • Infrastructure epidemiology
   • Discrete Event simulation
   • Industrial and commercial task forces
   • Vulnerability analysis
3. Interdiction, dilakukan dengan beragam tool dan protocol, virus scanner, dan lain-lain :
   • Vulnerability detection and repair
   • Law enforcement alerts and training
   • Network and protocol design
4. Detection, dengan teknik data mining
   • Automated incident report correlation
   • Distributed intrusion detection
   • Real time analysis of gigabit networks
5. Response, : dengan teknik forensics, mitigation
   • Upstream packet tracing
   • Secure terabyte packet vaults
   • Out of band networking
   • Distribtuted sensing
6. Recovery : dengan auditing. Seringkali security secara teknis digital menjadi segala-galanya dan melupakan audit. Untuk informasi sensitif (misal log file, password file dan sebagainya), diterapkan mekanisme two-person ruleyaitu harus minimum 2 orang yang terpisah dan berkualifikasi dapat melakukan perubahan.
   • Incident analysis
   • Admissible evidence
   • Non repudiation
   • Third party privacy

Dengan mekanisme di atas, maka si pemberi layanan semestinya menerapkan prinsip Protect-Detect-React. Jangan hanya bersikap menanti hingga ada kasus terjadi. Harus secara terus menerus mengamati informasi, baik melalui jalur hotline, mailing list, forum diskusi dan lain sebagainya. Dengan beraninya menawarkan layanan Internet banking, maka sudah sewajarnya bila penyedia jasa melakukan hal tersebut sebagai suatu bagian dari kegiatan rutin.

Perlindungan konsumen

Tampaknya pendekatan yang dilakukan selama ini yang cenderung mengabaikan faktor-faktor kecil sudah harus ditinggalkan. Peningkatan Internet Banking di Indonesia belum dibarengi dengan usaha dari penyedia layanan untuk mendukung beberapa hal. Karena hal tersebut sepertinya tak terkait. Kegiatan tersebut antara lain :

• Dukungan bagi lembaga clearance masalah sekuriti, seperti ID-CERT. Tidak saja dengan dana tetapi juga dengan sumber daya lainnya termasuk informasi. Sangat sulit sekali mengharapkan ID-CERT sebagai lembaga yang didorong para sukarelawan untuk dapat mengeluarkan advisory secara terus menerus bila tak ada dukungan dari penyedia layanan dan vendor lainnya.

• Mendukung riset dalam bidang sekuriti, bukan saja sisi teknologi, tapi aspek sosial, dan pengguna. Sudah barang tentu kerja sama antara pihak penyelenggara layanan dengan pihak universitas atau lembaga penelitian sangat dibutuhkan dalam hal ini.

• Sertifikasi ataupun produk sekuriti, jangan hanya dijadikan iklan, tetapi digunakan sebagai panduan minimal untuk melakukan penyelenggaraan proses. Memang di Indonesia, saat ini belum ada badan resmi ataupun definisi mengenai standar sekuriti ini, atapun belum ada panduan semacam yang dikeluarkan oleh BSI dalam dokumen IT Baseline Protection Manual - Standard security safeguards yang dapat diperoleh di [ http://www.bsi.de/gshb/english/menue.htm].

Sudah saatnya perlindungan konsumen pada produk TI mendapat perhatian. Pelaporan mengenai buruknya suatu produk, jangan dianggap sebagai hal yang negatif. Pemberian informasi sejelas-jelasnya dan yang tepat harus makin diutamakan. Jangan malah pihak pemberi layanan memanfaatkan keluguan para pengguna hanya untuk menimbulkan dampak marketing.

Bila ada laporan mengenai celah sekuriti (baik di server sendiri, ataupun pada mekanisme keseluruhan). Sebaiknya segera ditanggapi. Begitu juga komentar atau pernyataan di mailing-list perlu diamati dan ditanggapi. Jadi pendekatan secara aktif perlu dilakukan ketimbang secara pasif. Banyak perusahaan mempertimbangkan masalah ini hanya bagian dari masalah PR. Seringkali orang tak memiliki pilihan lain selain melaporkan ke umum. Ekspose buruk dari pers seringkali menyebabkan kerugian yang jauh lebih besar daripada nilai kerugian itu sendiri. Untuk itu sudah saatnya perusahaan penyedia jasa layanan Internet banking, cukup tanggap terhadap pertanyaan dan komentar mengenai layanannya.

Dari sisi para pengamat sekuriti, memang seringkali ditempatkan pada situasi yang dilematis. Seringkali pelaporan celah keamanan ditanggapi dengan tidak semestinya, hingga ditunjukkannya suatu bukti yang lebih jauh lagi. Sehingga sering pelapor dianggap kriminal. Padahal kriminal biasanya hanya menyerang sistem karena ada keuntungan, pencari publisitas akan menyerang sistem bila ada kesempatan pers akan mengekspose.

Untuk itu, proses pemberian peringatan dapat menggunakan beberapa panduan antara lain :

• Keterangan mengenai suatu ancaman, sebaiknya bukan untuk mempublikasikan ketakutan atau mendiskreditkan pihak tertentu. Tetapi dalam konteks melindungi pengguna.
• Sebaiknya sebelum melakukan pengumuman ke publik, vendor atau penyedia layanan dikontak terlebih dahulu. Untuk melakukan hal ni dapat digunakan berbagai cara, misalnya mengirim email/surat langsung, ataupun melalui telpon. Setelah beberapa saat tidak ada tanggapan, barulah diumumkan ke publik. Seorang hacker bernama Rain Forest Puppy telah mengeluarkan panduan yang bagus mengenai Full Disclosure Policy, http://www.wiretrip.net/rfp/policy.html.
• Informasi detail suatu eksploit harus dicegah. Menunjukkan suatu hal secara ditail mengenai langkah-langkah yang dilakukan untuk mengeksploitasi sesuatu celah keamanan sebaiknya tidak dilakukan.

Timbulnya kasus KlikBCA semu memunculkan pertanyaan terhadap kesiapan BCA dalam menyediakan layanan Internet Bankingnya antara lain :

• Mengingat bahwa celah sekuriti ini sudah tergolong lama, apakah pihak klikBCA sudah mempertimbangkannya sebelum meluncurkan layanan Internet Bankingnya ? Termasuk juga celah-celah sekuriti lainnya yang pernah terjadi pada layanan sejenis di negara lain.

• Bila sudah mempertimbangkannya mengapa tidak ada tindakan pencegahan, misal mendeteksi situs sejenis, atau memberi peringatan yang jelas kepada pengguna. Sebagai analogi, seorang yang naik pesawat terbang, selalu mendapat penjelasan ditail dari pramugari, mengenai pemakaian peralatan darurat, dan ini harus selalu dilakukan.

• Apabila klikBCA belum mempertimbangkan celah sekuriti tentunya menjadi pertanyaan, apakah sudah ditugaskannya seorang isecurity officer yang melakukan hal ini, dan bagaimana proses persiapan layanan tersebut. Dalam mendisain layanan Internet bankingnya apakah masalah pengguna ini sudah dipertimbangkan ?

• Untuk mencegah terjadinya hal-hal yang tak diinginkan, misalnya transaksi palsu, apakah klikBCA sudah menyiapkan mekanisme log yang dapat dipertanggung-jawabkan (termasuk menggunakan digital signature, yang ditanda-tangani 2 pihak terpisah). Dan bagaimana dengan mekanisme pengamanan log tersebut serta masalah backup-nya.

• Pertanyaan lainnya adalah bagaimana tindakan edukasi pengguna yang telah dilakukan oleh pihak BCA kepada para pengguna Internet banking ini. Memberikan pelatihan singkat dengan demonstrasi langsung (mungkin sekitar 1 jam) kepada pengguna akan sangat mencegah terjadinya kasus di atas. Hal ini berkaitan dengan mengedukasi pengguna terhadap masalah keamanan.
• Seandainya telah terjadi kasus seperti yang terjadi pada KlikBCA, siapa yang bertanggung jawab ? Bagaimana bila konsumen telah dirugikan, bagaimana mekanisme penyelesaiannya?

Memang kasus klikBCA semu tersebut sebetulnya bisa dicegah (walau memang belum tentu dihilangkan) misal secara teknis :

• Memeriksa URL referer dan memberikan feedback kepada user secara jelas-jelas mengenai situs yang sedang diakses.
• Melakukan proses tanya jawab beberapa kali sebelum login ke situs sesungguhnya.
• Dipasangnya suatu program yang secara rutin mencari domain salah typo ini. Program ini relatif mudah dibuat, dan mudah sekali diimplementasikan. Setiap dideteksi suatu kemungkinan baru, maka pada halaman situs Internet banking dan kepada pengguna diberikan "alert".
• Menggunakan teknologi lain misal HBCI, ataupun sistem otentikasi lainnya.
• Early alert detection dengan cara dekat ke komunitas TI Indonesia.
• Membatasi client koneksi ke sembarang host.
• Meminta user untuk mem-bookmark situs resminya.

Sehubungan dengan masih mudanya usia perkembangan Internet, tetapi telah makin bernafsunya pihak bisnis untuk memanfaatkannya, sudah sepantasnya bila tanggung jawab pengguna dan perlindungan konsumen dipertimbangkan juga. Jangan hanya mencari kambing hitam pada suatu permasalahan, karena pada akhirnya konsumenlah yang selalu menerima akibat buruknya.

Sebagai penutup penulis mencoba mengemukakan 2 jenis skenario ancaman sekuriti yang mungkin saja terjadi pada dunia Internet Bank. Sebagian dari ancaman ini telah timbul, dan tidak tertutup kemungkinan akan terjadi di Indonesia. Tulisan ini mencoba mengangkat masalah ini sehingga pengguna, dan pihak bank menjadi waspada.

Sebagai penutup saya mencoba memberikan suatu bayangan akan kemungkinan terjadinya celah sekuriti lainnya. Mohon penjelasan ini jangan dianggap sebagai hal untuk menakut-nakuti. Beberapa hal di bawah ini memanfaatkan kelemahan sistem operasi client dan penggunaan plug-in.

Skenario 1

Skenario ini mirip dengan teknik typo pirates tetapi yang berbeda adalah situs tersebut tak melakukan pengambilan atau pengumpulan PIN. Cara yang ditempuh :

• Suatu situs mirip dibangun dengan nama yang mirip artinya akan memanfaatkan typo pirates tersebut.
• Pada script tersebut tak perlu dilakukan pengambilan PIN, tetapi memaksa user memasang plug-innya. Sebagian besar Internet bank, meminta user memasang plug-in tertentu dengan alasan agar sistem lebih aman. Sehingga dengan sedikit trick social engineering, maka user menjadi tertarik untuk memasang plug-in.
• Karena plug-in bekerja di tingkat sistem, maka dapat leluasan, menangkap apa yang diketikkan oleh pengguna. Setiap kali pengguna memasukkan username/password, di situs tertentu (Internet Bank) misalnya maka plug-in ini akan mencatat. Atau mengirimkannya langsung ke alamat tertentu di Internet.
• Pengiriman ke alamat tertentu ini dapat memanfaatkan trick pengiriman melalui URL, Misal dengan http://situs-jahat.com?usernama=xxx . Atau dapat juga dikirimkan melalui media mail ke alamat tertentu.
• Bila telah melewati batas tertentu, maka plug-in tersebut melakukan proses penghapusan sendiri.

Skenario di atas jelas memanfaatkan kelemahan pengguna, serta memanfaatkan kebutuhan instalasi plug-in. Untuk itu sudah saatnya penyedia jasa Internet banking perlu mempertimbangkan bagaimana mekanisme instalasi plug-in yang aman. Memasang plug-in melalui media Internet dapat memberikan celah sekuriti.

Skenario 2

Skenario ini memanfaatkan kerentanan suatu mail reader, ataupun sistem operasi terhadap virus. Penjelasan berikut ini bukan ingin menakut-nakuti pengguna sistem operasi tertentu, tetapi meminta kewaspadaan (good practice) dan penggunaan utilitas untuk meminimalkan bahaya tersebut. Jalannya skenario adalah sebagai berikut :

• Suatu macro virus dapat dimanfaatkan untuk memasukkan code yang akan memasang suatu plug-in. Karena plug-in ini terlalu besar untuk dibawa dalam badan virus. Maka virus hanya berisi program yang akan menyebabkan mendownload suatu plug-in dari situs tertentu di Internet ketika pengguna sedang online. Agar lebih sulit dideteksi, bisa saja plug-in ini diperoleh bukannya dari suatu situs, tetapi melalu suatu newsgroup. Teknik semacam ini telah digunakan oleh virus Hybris (Edwards, 2001).
• Plugin ini pada dasarnya melakukan hal yang sama seperti menyadap user/password, mencatat digital signature, dan lain sebagainya. Yang lalu dikirimkan pada suatu alamat. Berita tentang suatu troyan horse yang telah dapat memanipulasi digital signature, seperti yang diberitakan situs HEISE http://www.heise.de/newsticker/data/js-11.06.01-000/, tentunya menunjukkannya adanya kemungkinan ini.
• Setelah menginfeksi seseoerang, dengan membaca pada address book, maka si virus dapat menyebar ke pengguna lain di Internet dan melakukan hal yang sama.

Mudah-mudahan dengan 2 skenario sederhana di atas, penyelenggara Internet Bank di Indonesia semakin waspada, dan menyiapkan antisipasi serta sosialisasi lebih baik. Begitu juga para pengguna Internet lebih hati-hati dalam mengggunakan jasa Internet Banking.

Referensi

Penulis memberikan referensi di bawah ini, agar bagi pembaca yang tertarik membaca lebih ditail dapat mencari informasi tersebut.

• Abadi, Martin, (1996) Prudent engineering practice for cryptography protocols. IEEE Transactions on Software Engineering. vol 22 (1), Januari 1996 hlm, 7-18.

• Adams, Anne dan Martina Angela Sasse (1999). Users are not the enemy. Communication of the ACM. Desember 1999, vol 42 (12). hlm.41-45.

• Bellovin, Steven M. (1995). Using the Domain Name System for Sytem Break-ins. Proceedings of the Fifth Usenix UNIX Security Symposium, Hune, Salt Lake City. Tersedia di ftp://ftp.research.att.com

• Butler, Randy, Von Welch, Douglas Engert, Ian Foster, Steven Tuecke, John Volmer, Carl Kesselman (2000). A national scale authentication infrastructure. IEEE Computer, Desember 2000. hlm. 60-64.

• Cybenko, George, Guofei Jiang (2000). Developing a distributed system for infrastructure protection. IT Pro, July/Agustus 299 hlm. 17 - 22.

• Computerzeitung, Interview Dirk Henz-BSI : Opensource ist positiv. Nr. 22/31 Mei 2001.

• Edwards, John (2001). Next-generation viruses present new chanllenges, IEEE Computer, May 2001, hlm. 16-18.

• Felten, Edward W, Dirk Balfans, Drew Dean, Dan S Wallach (1997). Web Spoofing : An Internet Con Came. Technical Report 540-96. Department of Computer Science, Princeton University

• Madsen, Mark, Andrew Herbert (1997). A guide to secure electronic bussiness using the E2S architecture. Web Security : A matter of trust. OReilly.

• Michener, John (1999). System Insecurity in the Internet Age. IEEE Software, July/August 1999, hlm 62-68.

• Schneier, Bruce (2000). Secrets & Lies. John Willey and Sons.

• Wiryana, I Made, Avinanta Tarigan (2000). Public Key Infrastructure dan Open Source. Seminar : Secure your Future. Tersedia di http://pandu.dhs.org/Security/artikel-01

Penulis

*) I Made Wiryana, dosen tetap Universitas Gunadarma, sedang melanjutkan studi doktoral di RVS Arbeitsgruppe - Universitas Bielefeld Jerman.

**) Tedi Heriyanto, software developer. Email : tedi_h@gmx.net