Cara Pengamanan Sistem Informasi Akademik dan Keuangan (SIAK) Universitas Ibn Khaldun Bogor

Sistem informasi akademik dan keuangan atau biasa disebut SIAK di UIKA masih jauh dari kata aman, mungkin bisa dibilang masih versi BETA. Disini saya akan menjelaskan celah-celah yang perlu diamankan dan saya bagi menjadi 2 kategori yaitu:

       I.            ONPAGE SECURITY SYSTEMS

A.     Sertifikat SSL

SSL adalah kependekan dari Secure Sockets Layer, sebuah protokol yang dikembangkan oleh Netscape untuk komunikasi dokumen yang membutuhkan privasi melalui Internet. SSL menggunakan suatu sistem enkripsi yang menggunakan dua kunci untuk melakukan enkripsi data. Sertifikat SSL diperlukan untuk SIAK karena di SIAK banyak sekali data-data penting yang perlu di enkripsi seperti data nilai mahasiswa, data keuangan mahasiswa, dan masih banyak lagi.

Pengguna SIAK dapat dengan mudah mendeteksi ketika mereka memiliki sesi SSL dengan Website karena browser mereka akan menampilkan gembok emas kecil atau address bar hijau dan alamat website dimulai dengan "https" bukan "http". sertifikat SSL dapat digunakan pada server Web untuk keamanan Internet dan mailservers seperti imap, pop3 dan smtp untuk keamanan pengiriman email.

Ini contoh website dengan sertifikat SSL

Website SIAK yang belum mempunyai sertifikat SSL

Ini adalah beberapa rekomendasi penyedia sertifikat digital terpercaya diantaranya :

1.       adalah penyedia sertifikat digital terbesar kedua di dunia. Lebih dari 100.000 pelanggan di lebih dari 150 negara mempercayai GeoTrust untuk mengamankan transaksi online dan melakukan bisnis melalui Internet.

2.       VeriSign didirikan pada tahun 1995 sebagai spin-off dari bisnis jasa sertifikasi RSA Security. VeriSign menerima lisensi untuk paten kriptografi kunci RSA. Sebelum menjual bisnis sertifikat ke Symantec pada 2010, VeriSign memiliki lebih dari 3.000.000 sertifikat telah beroperasi dalam segala bidang jasa keuangan dan aplikasi ritel, sehingga CA terbesar di balik enkripsi dan otentikasi di Internet, yang kebanyakan orang mengakui sebagai ikon gembok kecil di browser Web mereka saat berbelanja online atau masuk ke situs Web aman.

3.       Comodo adalah pemimpin industri dalam produk dan jasa untuk "Identity and Trust Assurance services" di Internet. Fokus utama mereka ialah pada produk Comodo SSL (Secure Socket Layer). Comodo adalah sebuah perusahaan swasta yang didirikan pada tahun 1998. Perangkat lunak komputer dan produk sertifikat SSL mereka telah diakui sebagai beberapa yang terbaik secara global. Pada tahun 2008 Comodo tercatat sebagai distributor terbesar kedua dalam bisnis sertifikat SSL validasi dibawah VeriSign. Menurut website mereka, produk "threat prevention" Comodo telah diinstal lebih dari 10.000.000 kali. Dan salah satu alasan Comodo adalah pemimpin industri adalah karena jumlah dan jenis sertifikat SSL yang mereka tawarkan.

B.      URL friendly untuk mencegah SQL Injection

SQL injection adalah jenis aksi hacking pada keamanan komputer di mana seorang penyerang bisa mendapatkan akses ke basis data di dalam sistem. Aksi hacking SQL Injection melakukan serangan melalui jalur query pada address browser, yaitu dengan menyisipkan langsung atau menambahkan karakter-karakter tertentu pada address browser. Cara mencegah SQL Injection adalah dengan mengubah alamat website menjadi SEO URL Friendly. Dalam membuat URL (Uniform Resource Locator) yang friendly atau yang lebih disukai oleh mesin pencari seperti google dan yahoo adalah dengan cara memanfaatkan modul yang terdapat pada Apache, modul tersebut adalah modul mod_rewrite yang dapat mengubah URL dinamis menjadi URL statis.

Contoh URL Friendly

URL Website SIAK

SQL injection juga bisa memanfaatkan kesalahan penulisan query SQL pada suatu website sehingga seorang hacker bisa menginsert beberapa SQL statement ke ‘query’ dengan cara memanipulasi data input ke aplikasi tersebut. Biasanya penyusupan SQL Injection melalui form yang digunakan interaktifitas pengunjung dengan website SIAK, seperti form login, form data mahasiswa dan sebagainya. Berikut salah satu contohnya :

Saat saya mencoba script SQL injection yang saya dapatkan dari internet di form login website SIAK dan hasilnya “You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ';//', 'ADMIN', 'LOGIN', 'FAILED', '114.4.23.105', 'Invalid Key ')' at line 2”. Disini celah harus ditutup agar data-data penting yang ada di database tidak dihacker.

Lain halnya dengan website SIAKNG Universitas Indonesia, saya mencoba script SQL injection yang serupa, dan yang terjadi adalah security memberitahukan bahwa “Username tidak ditemukan”.

C.      XSS(Cross Side Scripting) Attack

XSS dikenal juga dengan CSS adalah singkatan dari Cross Site Scripting. XSS adalah suatu metode memasukan code atau script HTML kedalam suatu website yang dijalankan melalui browser di client. Untuk melumpuhkan XSS Attack digunakan skrip simpankomentar.php. Berikut adalah contoh skrip XSS yang disisipkan pada website SIAK:

     II.            HUMAN RESOURCE SECURITY

A.