FIREWALL: SEKURITI INTERNET

            Internetmerupakan sebuah jaringan komputer yang sangat terbuka di dunia, konsekuensiyang harus di tanggung adalah tidak ada jaminan keamanan bagi jaringan yangterkait ke Internet. Artinya jika operator jaringan tidak hati-hati dalammenset-up sistemnya, maka kemungkinan besar jaringan yang terkait ke Internetakan dengan mudah dimasuki orang yang tidak di undang dari luar. Adalah tugasdari operator jaringan yang bersangkutan, untuk menekan resiko tersebutseminimal mungkin. Pemilihan strategi dan kecakapan administrator jaringan ini,akan sangat membedakan apakah suatu jaringan mudah ditembus atau tidak.

            Firewallmerupakan alat untuk mengimplementasikan kebijakan security (security policy).Sedangkan kebijakan security, dibuat berdasarkan perimbangan antara fasilitasyang disediakan dengan implikasi security-nya. Semakin ketat kebijakansecurity, semakin kompleks konfigurasi layanan informasi atau semakin sedikitfasilitas yang tersedia di jaringan. Sebaliknya, dengan semakin banyakfasilitas yang tersedia atau sedemikian sederhananya konfigurasi yangditerapkan, maka semakin mudah orang orang ‘usil‘ dari luar masukkedalam sistem (akibat langsung dari lemahnya kebijakan security).

            Tulisanini akan mencoba melihat beberapa kebijakan sekuriti yang lazim digunakan padasaat mengkaitkan sebuah jaringan ke Internet.

Firewall

            Firewalladalah istilah yang biasa digunakan untuk menunjuk pada suatu komponen atausekumpulan komponen jaringan, yang berfungsi membatasi akses antara duajaringan, lebih khusus lagi, antara jaringan internal dengan jaringan globalInternet. Firewall mempunyai beberapa tugas:

·        Pertamadan yang terpenting adalah: harus dapat mengimplementasikan kebijakan securitydi jaringan (site security policy). Jika aksi tertentu tidak diperbolehkanoleh kebijakan ini, maka firewall harus meyakinkan bahwa semua usaha yangmewakili operasi tersebut harus gagal atau digagalkan. Dengan demikian, semuaakses ilegal antar jaringan (tidak diotorisasikan) akan ditolak.

·        Melakukanfiltering: mewajibkan semua traffik yang ada untuk dilewatkan melalui firewallbagi semua proses pemberian dan pemanfaatan layanan informasi. Dalam konteksini, aliran paket data dari/menuju firewall, diseleksi berdasarkan IP-address,nomor port, atau arahnya, dan disesuaikan dengan kebijakan security.

·        Firewalljuga harus dapat merekam/mencatat even-even mencurigakan serta memberitahuadministrator terhadap segala usaha-usaha menembus kebijakan security.

Merencanakan Jaringan dengan Firewall

            Merencanakansistem firewall pada jaringan, berkaitan erat dengan jenis fasilitas apa yangakan disediakan bagi para pemakai, sejauh mana level resiko-security yang bisaditerima, serta berapa banyak waktu, biaya dan keahlian yang tersedia (faktorteknis dan ekonomis). Firewall umumnya terdiri dari bagian filter (disebut jugascreen atau choke) dan bagian gateway (gate). Filterberfungsi untuk membatasi akses, mempersempit kanal, atau untuk memblok kelastrafik tertentu. Terjadinya pembatasan akses, berarti akan mengurangi fungsijaringan. Untuk tetap menjaga fungsi komunikasi jaringan dalam lingkungan yangber-firewall, umumnya ditempuh dua cara:

·        Pertama,bila kita bayangkan jaringan kita berada dalam perlindungan sebuah benteng,komunikasi dapat terjadi melalui pintu-pintu keluar benteng tersebut. Cara inidikenal sebagai packet-filtering, dimana filter hanya digunakan untukmenolak trafik pada kanal yang tidak digunakan atau kanal denganresiko-security cukup besar, sedangkan trafik pada kanal yang lain masih tetapdiperbolehkan.

·        Carakedua, menggunakan sistem proxy, dimana setiap komunikasi yang terjadiantar kedua jaringan harus dilakukan melalui suatu operator, dalam hal ini proxyserver. Beberapa protokol, seperti telnet dan SMTP(Simple Mail TransportProtocol), akan lebih efektif ditangani dengan evaluasi paket (packetfiltering), sedangkan yang lain seperti FTP (File Transport Protocol),Archie, Gopher dan HTTP (Hyper-Text Transport Protocol) akan lebihefektif ditangani dengan sistem proxy. Kebanyakan firewall menggunakan kombinasikedua teknik ini (packet filtering dan proxy).

Ada banyak literatur yang membahas masalahsecurity & membagi arsitektur dasar firewall menjadi tiga jenis. Masingmasing adalah:

·        arsitekturdengan dual-homed host (kadang kadang dikenal juga sebagai dual homedgateway/ DHG)

·        screened-host(screened host gateway/ SHG)

·        screenedsubnet (screened subnet gateway/ SSG).

Sistem DHG menggunakan sebuah komputerdengan (paling sedikit) dua network-interface. Interface pertama dihubungkandengan jaringan internal dan yang lainnya dengan Internet. Dual-homed host nyasendiri berfungsi sebagai bastion host (front terdepan, bagian terpenting dalamfirewall).

 Pada topologi SHG, fungsi firewalldilakukan oleh sebuah screening-router dan bastion host. Router inidikonfigurasi sedemikian sehingga akan menolak semua trafik kecuali yangditujukan ke bastion host, sedangkan pada trafik internal tidak dilakukanpembatasan. Dengan cara ini setiap client servis pada jaringan internal dapatmenggunakan fasilitas komunikasi standard dengan Internet tanpa harus melaluiproxy.

Firewall dengan arsitektur screened-subnetmenggunakan dua screening-router dan jaringan tengah (perimeter network)antara kedua router tersebut, dimana ditempatkan bastion host. Kelebihansusunan ini akan terlihat pada waktu optimasi penempatan server.

            Selanjutnya,bagaimana relevansi arsitektur firewall tersebut terhadap level security? Suatujaringan harus dapat menangani interaksi client-server, tidak terkecuali dengankehadiran firewall. Sejauh ini, untuk operasi client internal - serverinternal, atau client internal - server eksternal, tidak terlalu menimbulkanmasalah. Jika kita akan membuat sistem firewall untuk jaringan demikian, hanyadengan memasang proxy server pada bastion host dalam arsitektur yang dipilih,kualitas proteksi firewall yang bersangkutan akan maksimal. Artinya‘keselamatan’ seluruh jaringan, sekarang hanya tergantung pada baik-tidaknyaatau seberapa ‘bagus’ firewall tersebut dan tidak tergantung padaprogram-program yang lain. Beda halnya bila jaringan kita akan mendukung operasiclient eksternal - server internal, atau dengan kata lain: jaringan internalkita menyediakan layanan informasi yang dapat diakses dari luar. Dalam konteksini, harus diperhitungkan metoda penempatan mesin yang menjalankan programserver, supaya mesin tersebut dapat dikenali dari internet dan sedemikian,komunikasi dengan client-nya dapat berlangsung dengan baik tanpa mengorbankankepentingan security.

            Arsitekturdual-homed menawarkan solusi sederhana dan murah. Satu-satunya mesin yangdikenal dari internet dalam sistem ini adalah dual-homed host-nya sendiri, dandengan demikian ia menjadi satu-satunya mesin alternatif untuk menjalankanprogram server. Tetapi akan bermanfaat untuk mengingat, bahwa semakin banyaklayanan yang disediakan atau semakin banyak program yang berjalan padabastion-host, maka peluang penyusupan ke komputer tersebut semakin besar.Karena, seperti diyakini banyak orang, hampir dipastikan tidak ada programapapun yang bebas sama sekali dari bugs, apalagi untuk program-program berukuranbesar. Dan sekali bugs ini dapat dieksploitasi oleh seseorang yang kemudianmasuk ke dalam bastion-host, maka seluruh komputer di jaringan kita akanmenjadi terbuka! Jika faktor ekonomis memaksa kita untuk tetapmengimplementasikan arsitektur DHG, maka ada beberapa nasihat yang patutdiperhatikan, diantaranya: menggunakan perangkat lunak server yang telah terujirelatif ‘aman’ serta berukuran kecil, mereduksi dan mengoptimasi jumlah programyang berjalan, kemudian tidak memberikan account reguler pada bastion-host.

            Duaarsitektur lainnya, screened-host dan screened-subnet, menyediakan pilihanlebih banyak. Screening-router dapat diatur untuk melakukan operasi packetfiltering yang memungkinkan mesin-mesin tertentu dapat dikenali dari luar.Mesin mesin ini, kemudian menjalankan program-program server yang dapat diaksesdari internet. Resiko dengan metoda seperti ini adalah penambahan jumlahkomputer yang mungkin untuk diserang, sehingga akan lebih baik jika sebelumnyakita menyiapkan mesin-mesin tersebut dengan level security paling tidak samadengan bastion-host atau kalau bisa, lebih.

Packet Filtering

            Berbagaikebijakan dapat diterapkan dalam melakukan operasi packet filtering. Padaintinya, berupa mekanisme pengontrollan data yang diperbolehkan mengalir daridan/atau ke jaringan internal, dengan menggunakan beberapa parameter yangtercantum dalam header paket data: arah (inbound atau outbound),address asal dan tujuan, port asal dan tujuan, serta jenis protokol transport.Router akan mengevaluasi informasi ini dalam setiap paket data yang mengalirmelaluinya, kemudian menetapkan aksi yang harus dilakukan terhadap pakettersebut, berdasarkan set aturan/program dalam packet-filtering. Sehinggakeputusan routing dasar router tersebut, kemudian dilengkapi dengan bagian darikebijakan security jaringan.

            Tabelberikut akan menunjukan contoh konfigurasi operasi packet-filtering, untukmenyediakan hanya fasilitas SMTP inbound dan outbound pada jaringan.

Aturan	arah	address asal	address tujuan	protokol	port tujuan	aksi
A	masuk	eksternal	internal	TCP	25	ok
B	keluar	internal	eksternal	TCP	>1023	ok
C	keluar	internal	eksternal	TCP	25	ok
D	masuk	eksternal	internal	TCP	>1023	ok
E	sembarang	sembarang	sembarang	sembarang	sembarang	deny

Aturan A dan B melayani hubungan SMTPinbound (email datang), aturan C dan D melayani hubungan SMTP outbound (emailkeluar) serta aturan E merupakan aturan default yang dilakukan bila aturanaturan sebelumnya gagal. Kalau diamati lebih dekat, selain trafik SMTPkonfigurasi tersebut juga masih membolehkan hubungan masuk dan keluar pada port>1023 (aturan B dan D), sehingga terdapat kemungkinan bagi program-programserver seperti X11 (port 6000), OpenWindows (port 2000), atau kebanyakanprogram basis-data (Sybase, Oracle, Informix, dll), untuk dihubungi dari luar.Untuk menutup kemungkinan ini, diperlukan evaluasi parameter lain, sepertievaluasi port asal. Dengan cara ini, satu-satunya celah menembus firewalladalah dengan menggunakan port SMTP. Bila kita masih juga kurang yakin dengankejujuran para pengguna port ini, dapat dilakukan evaluasi lebih lanjut dariinformasi ACK.

Proxy

            Dalamjaringan yang menerapkan sistem proxy, hubungan komunikasi ke internetdilakukan melalui sistem pendelegasian. Komputer-komputer yang dapat dikenalioleh internet bertindak sebagai ‘wakil’ bagi mesin lain yang ingin berhubunganke luar. Proxy server untuk (kumpulan) protokol tertentu dijalankan padadual-homed host atau bastion-host, dimana seluruh pemakai jaringan dapatberkomunikasi dengannya, kemudian proxy server ini bertindak sebagai delegasi.Dengan kata lain setiap program client akan berhubungan dengan proxy server danproxy server ini lah yang akan berhubungan dengan server sebenarnya diinternet. Proxy server akan mengevaluasi setiap permintaan hubungan dari clientdan memutuskan mana yang diperbolehkan dan mana yang tidak. Bila permintaan hubunganini disetujui, maka proxy server me-relay permintaan tersebut pada serversebenarnya.

            Adabeberapa istilah menunjuk pada tipe proxy server, diantaranya proxy levelaplikasi, proxy level circuit, proxy generik atau khusus, proxy cerdasdll. Apapun jenis proxy yang digunakan, ada beberapa konsekuensi implementasisistem ini:

·        padaumumnya memerlukan modifikasi client dan/atau prosedur akses serta menuntutpenyediaan program server berbeda untuk setiap aplikasi.

·        Penggunaansistem proxy memungkinkan penggunaan private IP Address bagi jaringaninternal. Konsekuensinya kita bisa memilih untuk menggunakan IP Address kelas A(10.x.x.x) untuk private IP address yang digunakan dalam jaringan internet;sehingga komputer yang dapat tersambung dalam jaringan internal dapat mencapaijumlah jutaan komputer.

·        PaketSOCKS atau TIS FWTK merupakan contoh paket perangkat lunak proxy yang seringdigunakan dan tersedia bebas di internet.

Penutup

            Masalahkeamanan jaringan merupakan masalah yang sering di menjadi momok bagirekan-rekan yang ingin mengkaitkan sebuah institusi ke Internet. Tulisan iniberharap untuk memberikan sedikit masukan awal yang menjelaskan bahwa adabeberapa teknik keamanan yang dapat menjamin sekuriti jaringan yang terkait keInternet.