Satu perbedaan besar antara Ethernet dan nirkabel bahwa jaringan nirkabel di sebuah medium yang dipakai bersama. Mereka lebih terlihat seperti hub jaringan lama daripada switch modern, di mana setiap komputer yang terdapat di jaringan bisa “melihat” trafik semua user lain. Untuk mengawasi semua trafik jaringan di sebuah akses point, seseorang tinggal
mengatur ke channel yang sedang dipakai, pasang network card ke monitor mode, dan log semua frame. Data ini mungkin penting untuk pencuri dengar (termasuk data seperti email, voice data, atau log chat online). Ini mungkin juga memberikan password dan data sensitif lainnya, membuatnya mungkin untuk memasuki jaringan itu lebih jauh lagi. Seperti yang akan kita lihat nanti di bab ini, masalah ini bisa di selesaikan dengan enkripsi.
Masalah serius yang lainnya pada jaringan nirkabel adalah bahwa user cukup tidak diketahui (anonim). Biarpun benar bahwa setiap alat wireless memasukkan sebuah alamat MAC unik yang di berikan oleh pembuatnya, alamat ini dapat dirubah dengan software. Bahkan ketika alamat MAC ini diketahui, bisa sangat sulit untuk mengetahui dimana letak user nirkabel berada secara fisik. Efek multi-path, antena penguatan tinggi, dan banyaknya perbedaan karakteristik transmitter radio bisa membuatnya tidak mungkin untuk mengetahui jika user nirkabel jahat sedang duduk di ruangan sebelah atau sedang di apartemen sejauh satu mil. Biarpun spektrum tidak terlisensi memberikan penghematan biaya yang besar kepada user, dia mempunyai efek samping yang buruk yaitu serangan denial of service (DoS) yang sederhana. Hanya dengan menyalakan sebuah akses point berkekuatan tinggi, telepon cordless, transmitter video, atau alat-alat 2.4 GHz lainnya, seseorang yang jahat bisa membuat kerusakan besar pada jaringan. Banyak juga alat-alat jaringan yang mudah diserang oleh bentuk-bentuk lain dari serangan denial of service, seperti disassociation flood- ing dan ARP table overflows.
Berikut adalah beberapa kategori dari individu yang mungkin bisa membuat masalah di jaringan nirkabel:
● User yang tidak sengaja: Karena makin banyak jaringan nirkabel yang diinstalli di tempat yang padat penduduk, sangat mungkin seorang pengguna laptop tidak sengaja masuk ke jaringan yang salah. Kebanyakan client nirkabel akan dengan mudah memilih jaringan nirkabel manapun ketika jaringan mereka tidak bisa dipakai. User lalu mungkin memakai jaringan seperti biasanya, sama sekali tidak sadar kalau mereka mengirim data sensitif melalui jaringan orang lain. Orang jahat akan mengambil kesempatan seperti ini dengan cara membuat akses point di lokasi strategis, untuk mencoba menarik user dan menangkap data mereka.
Hal pertama yang dilakukan untuk mencegah masalah ini adalah dengan memberi pengetahuan pada user anda, dan memberitahu pentingnya menyambung hanya pada jaringan yang diketahui dan dipercaya.Kebanyakan client nirkabel bisa di atur untuk hanya menyambung pada jaringan yang dipercaya, atau untuk meminta izin sebelum bergabung dengan network baru. Seperti yang akan kita lihat nanti di bab ini, user bisa menyambung dengan aman ke jaringan publik yang terbuka dengan memakai enkripsi yang kuat.
menggunakan informasi ini mengakses jaringan disana secara ilegal. AP seperti itu harusnya memang tidak pernah dipasang, tetapi war driver membuat masalah ini menjadi lebih mendesak. Seperti yang nanti akan kita lihat di bab ini, war driver yang memakai program populer NetStumbler bisa di deteksi dengan memakai program seperti Kismet. Untuk lebih jelas tentang war driver, lihat site seperti
http://www.wifimaps.com/, http://www.nodedb.com/, atau http://www.netstumbler.com/ . ● Rogue akses point. Ada dua kelas umum rogue akses points: yang di install secara
salah oleh user yang sah, dan yang di install oleh orang jahat yang bermaksud untuk mengkoleksi data atau merusak jaringan. Di kasus yang paling sederhana, user yang sah mungkin ingin mempunyai cakupan nirkabel yang lebih baik di kantor mereka, atau mereka mungkin menemukan restriksi keamanan di jaringan nirkabel perusahaan terlalu sulit untuk diikuti. Dengan menginstall sebuah akses point konsumen yang murah tanpa izin, user itu membuka seluruh jaringan itu untuk serangan dari dalam. Biarpun bisa melakukan scan untuk mengetahui akses point tidak sah, membuat peraturan yang jelas yang melarang mereka sangat penting.
Kelas kedua dari rogue akses point bisa sangat sulit untuk diurus. Dengan menginstall AP berkekuatan tinggi yang memakai ESSID yang sama dengan jaringan yang ada, orang yang jahat bisa menipu orang untuk memakai peralatan mereka, dan menyimpan atau bahkan memanipulasi semua data yang melewatinya. Jika user anda terlatih untuk memakai enkripsi kuat, masalah ini berkurang secara signifikan.
● Eavesdropper. Seperti yang dibicarakan sebelumnya Eavesdropper (pencuri dengar) adalah masalah yang sangat susah dihadapi di jaringan nirkabel. Dengan memakai alat pengawas pasif (seperti Kismet), seorang eavesdropper bisa menyimpan semua data jaringan dari jarak yang jauh, tanpa harus membuat kehadiran mereka diketahui. Data yang di enkripsi dengan buruk dengan sederhana bisa di simpan lalu di crack kemudian, sedangkan data yang tak di enkripsi dengan mudah bisa langsung dibaca secara realtime.
Jika anda mempunyai kesuitan meyakinkan orang lain tentang masalah ini, anda mungkin mau mempertunjukkan alat seperti Etherpeg (http://www.etherpeg.org/) atau Driftnet (http://www.ex-parrot.com/~chris/driftnet/). Alat ini memperlihatkan jaringan nirkabel dalam bentuk data grafis, seperti GIF dan JPEG. Sementara user lain sedang melihat-lihat Internet, alat ini dengan sederhana menunjukkan semua graphics yang ditemukan di graphical collage. Saya sering memakai alat seperti ini sebagai
demonstrasi kalau memberi kuliah tentang keamanan nirkabel. Biarpun anda bisa memberi tahu seorang user bahwa email mereka rentan tanpa enkripsi, tidak ada yang memberikan pesan setegas memperlihatkan kepada mereka gambar yang sedang mereka lihat di web browser mereka. Lagi pula, biarpun ini tidak bisa dicegah sepenuhnya, penggunaan aplikasi memadai yang enkripsinya kuat akan menghalangi Eavesdropper.
Perkenalan ini dimaksudkan untuk memberi gambaran kepada anda masalah yang akan anda hadapi ketika mendesain jaringan nirkabel. Nanti di bab ini, kami akan meperlihatkan alat dan teknik yang akan menolong anda untuk mengurangi masalah-masalah ini
Authentikasi
Sebelum diberi akses untuk ke sumber daya jaringan, user sebaiknya diauthentikasi terlebih dahulu. Di dunia ideal, setiap user nirkabel akan mempunyai identifier yang unik, tak bisa diubah, dan tidak bisa ditirukan oleh user lain. Ini ternyata masalah yang sangat sulit untuk diselesaikan di dunia nyata.
Fitur yang terdekat dengan identifier unik adalah alamat MAC. Ini adalah angka 48-bit yang diberikan pada setiap alat nirkabel dan Ethernet oleh pembuat alat. Dengan menjalankan mac filtering di akses point kami, kami bisa mengauthentikasi user berdasarkan dari alamat MAC mereka. Dengan fitur ini, akses point menyimpan internal table berisi alamat MAC yang sudah diakui. Kalau seorang user nirkabel berusaha untuk berrelasi ke akses point, alamat MAC klien harus ada di daftar yang diakui, atau relasi akan ditolak. Sebagai alternatif, AP mungkin menyimpan table berisi alamat MAC yang dikenal “buruk”, dan mengizinkan semua alat yang tidak ada di daftar untuk berelasi.
Sayangnya, ini bukan mekanisme keamanan yang ideal. Mempertahankan table MAC di setiap alat sangat tidak praktis, perlu mencatat semua alamat MAC client dan di upload ke AP. Lebih parah lagi, alamat MAC sering bisa diganti dengan software. Dengan memperhatikan alamat MAC di penggunaan pada jaringan nirkabel, seorang penyerang gigih bisa spoof / menipu (menirukan) alamat MAC yang diakui dan berhasil relasi kepada AP. Biarpun MAC filter akan mencegah user yang tak sengaja dan kebanyakan pengguna untuk mengakses jaringan, MAC filtering sendiri tidak bisa mencegah serangan dari penyerang yang gigih.
MAC filter berguna untuk membatasi akses untuk sementara dari client nakal. Misalnya, jika sebuah laptop mempunyai virus yang mengirim banyak spam atau trafik lain, alamat MAC-nya dapat ditambahkan ke table saringan untuk menghentikan trafik. Ini akan memberikan anda waktu untuk menemukan user itu dan membetulkan masalahnya.
site survey seperti NetStumbler, ini bisa mencegah jaringan-jaringan anda terlihat di peta Wardriver. Tetapi menyatakan juga bahwa pembuat jaringan lainnya tidak bisa dengan mudah menemukan jaringan, dan mereka tidak tahu bahwa anda sudah memakai suatu kanal. Tetangga yang bersungguh-sungguh mungkin melakukan site survey, memastikan tidak ada jaringan didekatnya, dan memasang jaringan mereka sendiri di atas saluran sama dengan yang sedang anda gunakan. Ini akan menyebabkan masalah gangguan bagi baik anda maupun tetangga anda.
Menggunakan jaringan tertutup pada akhirnya akan menambah sedikit keamanan jaringan secara keseluruhan. Dengan memakai alat mengamat pasif (seperti Kismet), seorang user trampil bisa mengetahui frame yang dikirim dari klien sah anda ke AP. Frame ini perlu berisi nama jaringan itu. Seorang pemakai jahat kemudian bisa memakai nama ini untuk berelasi ke akses point, seperti seorang pemakai normal.
Enkripsi mungkin adalah alat terbaik kita yang ada untuk mengauthentikasi user nirkabel. Melalui enkripsi kuat, kita secara unik bisa mengenali seorang user dengan cara yang sangat sulit untuk di spoof, dan mempergunakan identitas itu untuk menentukan akses jaringan lebih lanjut. Enkripsi juga mempunyai keuntungan menambahkan selapis privasi dengan mencegah Eavesdropper melihat dengan mudah trafik jaringan.
Metode enkripsi yang paling banyak dipakai adalah enkripsi WEP. WEP adalah singkatan dari Wired Equivalent Privacy, dan disokong oleh semua peralatan 802.11a/b/g. WEP mempergunakan kunci shared 40 bit untuk enkripsi data antara akses point dan klien. Kunci harus dimasukkan di AP dan pada masing-masing klien. Dengan memakai WEP, klien nirkabel tidak bisa menghubungkan dengan AP sampai mereka memakai kunci yang benar. Seorang Eavesdropper yang mendengarkan jaringan yang sudah memakai WEP masih akan melihat trafik dan alamat MAC, tetapi muatan data masing-masing paket di enkripsi. Ini menyediakan mekanisme authetikasi yang cukup baik sedangkan juga menambahkan sedikit privasi ke jaringan.
WEP pasti bukan solusi enkripsi terkuat yang ada. Untuk satu hal, kunci WEP di pakai bersama-sama oleh semua pemakai. Jika kunci ketahuan (seperti, jika seorang user memberitahu kepada seorang teman apa passwordnya, atau jika seorang pegawai dilepaskan) lalu mengganti password bisa sulit, karena semua AP dan alat client perlu diganti. Ini juga berarti pemakai sah jaringan masih bisa menguping pada trafik masing-masing , karena semuanya mengetahui kunci yang dipakai bersama-sama.
Kuncinya itu sendiri sering dipilih secara buruk, membuat penge-crack-an offline bisa dilakukan. Lebih buruknya lagi, implementasiWEP dipecah ke banyak akses point, membuatnya lebih mudah lagi untuk meng-crack beberapa jaringan. Biarpun pembuat sudah melaksanakan sejumlah extensi pada WEP (seperti kunci yang lebih panjang dan fast rotation scheme), extensi ini bukan bagian dari standar, dan secara umum tidak akan interoperate di antara perlengkapan dari pembuat yang berbeda. Dengan upgrade ke firmware yang paling baru untuk semua alat nirkabel, anda bisa mencegah beberapa serangan awal yang ditemukan di WEP.
WEP masih bisa menjadi alat authentikasi yang berguna. Mengasumsikan user anda bisa dipercaya untuk tidak menyerahkan password, anda bisa cukup yakin bahwa klien nirkabel anda sah. Biarpun menge-crack WEP itu mungkin, itu bukan ketrampilan kebanyakan user. WEP cukup berguna untuk mengamankan sambungan point-to-point jarak jauh, bahkan di jaringan-jaringan yang umumnya terbuka. Dengan memakai WEP di sambungan tersebut, anda mengurangi niat orang untuk berasosiasi dengan sambungan anda, dan mereka akan cenderung menggunakan AP yang lain. Pikirkan WEP sebagai tanda “jangan masuk” untuk jaringan anda. Siapa saja yang mendeteksi jaringan akan melihat bahwa jaringan tersebut menggunakan kunci, membuatnya jelas bahwa sambungan tersebut bukan untuk mereka. Kekuatan paling hebat dari WEP adalah interoperability. Untuk mengikuti standar 802.11, semua alat nirkabel harus mendukung WEP yang paling dasar. Biarpun bukan metode paling kuat yang ada, tentu dia adalah fitur enkripsi yang paling umum untuk digunakan. Kita akan melihat teknik enkripsi tingkat lanjut lainnya nanti di bab ini.
Untuk lebih detil tentang enkripsi WEP, silahkan lihat alamat berikut ini: ● http://www.isaac.cs.berkeley.edu/isaac/wep-faq.html
● http://www.cs.umd.edu/~waa/wireless.pdf
● http://www.crypto.com/papers/others/rc4_ksaproc.ps
Protokol authentikasi lapisan data-link lain adalah Wi-Fi Protected Access, atau WPA. WPA diciptakan khusus untuk mengatasi masalah / kekurangan WEP. WPA menyediakan pola enkripsi yang lebih kuat secara signifikan, dan bisa memakai kunci private yang dipakai bersama, kunci unik yang dialokasikan pada masing-masing user, atau bahkan sertifikat SSL untuk authentikasi baik klien maupun akses point. Keabsahan authentikasi diperiksa menggunakan protokol 802.1X, yang bisa berunding dengan database pihak ketiga seperti RADIUS. Melalui penggunaan Temporal Key Integrity Protocol (TKIP), kunci bisa dirotasi dengan cepat setelah selang waktu tertentu, sehingga sangat mengurangi kemungkinan sebuah sesi di crack. Secara keseluruhan, WPA menyediakan authentikasi dan privasi lebih baik secara signifikan daripada WEP standar.
memakai standar web browser untuk memberi seorang user nirkabel kesempatan untuk mengauthentikasi dirinya, biasanya berupa username & password. Captive portal juga dapat memberi informasi (seperti Kebijakan Penggunaan Jaringan yang Dapat di Terima / Acceptable Use Policy) kepada pemakai sebelum memberi akses lebih lanjut. Dengan memakai web browser, captive portal dapat bekerja dengan semua laptop dan sistem operasi. Captive portal biasanya dipakai di jaringan terbuka yang tak punya metode authentikasi lain (seperti WEP atau MAC filter).
Untuk memulai, seorang user nirkabel membuka laptop mereka dan memilih jaringan. Komputer mereka akan meminta sewa DHCP, yang kemudian akan diberi. Mereka kemudian memakai web browser untuk pergi ke situs mana pun di Internet.
Gambar 6.1: User meminta sebuah halaman web dan diarahkan.
Daripada menerima halaman yang diminta, user diperlihatkan layar login. Halaman ini bisa mengharuskan user untuk memasukkan username dan password, kemudian klik tombol “login”, ketik nomor voucher yang sudah dibayar lebih dulu, atau masukkan surat kepercayaan lain diperlukan oleh administrator jaringan. User memasukan keabsahan mereka, yang diperiksa oleh akses point atau server lain di jaringan. Semua akses jaringan lain di blok sampai authentikasi telah dicek.
Gambar 6.2: Keabsahan user dicek sebelum akses jaringan lebih lanjut diberikan. Server authentikasi bisa dilakukan di akses point, atau mesin lain di jaringan lokal, atau server di
mana pun di Internet.
Setelah di authentikasi, user diizinkan untuk mengakses sumber daya jaringan, dan biasanya dialihkan penggunaannya ke situs yang semula mereka minta.
Gambar 6.3: Sesudah diauthentikasi, user diizinkan akses ke seluruh jaringan.
Captive portal tidak menyediakan enkripsi untuk user nirkabel, malahan mengandalkan alamat MAC dan IP dari klien sebagai identifier unik. Karena ini tidak perlu terlalu aman, banyak implementasi akan memerlukan user untuk mengauthentikasi kembali secara periodik. Ini sering dilakukan secara otomatis dengan minimizing pop-up window pada browser ketika user pertama kali login.
Karena mereka tidak menyediakan enkripsi kuat, captive portal bukan pilihan bagus untuk jaringan-jaringan yang perlu diamankan yang hanya dapat di akses oleh user yang dapat di percaya. Teknik ini lebih cocok untuk kafe, hotel, dan lokasi akses umum lain di mana user umum akan berdatangan dan akan menggunakan jaringan.
Di jaringan publik atau semi-publik, teknik enkripsi seperti WEP dan WPA tidak berguna. Tidak ada cara untuk menyebarkan publik atau kunci yang dipakai bersama kepada masyarakat tanpa membahayakan keamanan dari kunci tersebut. Pada konfigurasi ini, aplikasi sederhana seperti captive portal menyediakan tingkat layanan antara betul-betul terbuka dan betul-betul tertutup.
perspektif user, dia tidak memerlukan pop-up atau sokongan javascript, memperbolehkannya mengerjakan jenis alat nirkabel yang lebih luas.
● m0n0wall (http://m0n0.ch/wall/). M0n0wall adalah sebuah sistem operasi embedded yang berbasis pada FreeBSD. Termasuk di dalamnya adalah captive portal dengan dukungan untuk RADIUS, serta web server PHP.
● NoCatSplash (http://nocat.net/download/NoCatSplash/) memberikan splash page yang dapat diubah-ubah kepada user anda, mengharuskan mereka untuk klik tombol “login” sebelum memakai jaringan. Ini berguna untuk mengenali operator jaringan dan menampilkan peraturan untuk akses jaringan. Dia menyediakan solusi yang sangat mudah di situasi di mana anda perlu memberi user jaringan terbuka dengan informasi dan Acceptable Use Policy.
Privasi
Kebanyakan user dengan tak sadar bahwa email pribadi mereka, percakapan chat, dan malah password sering dikirim “dengan sangat jelas” ke puluhan jaringan yang tak dipercaya sebelum tiba di tujuan akhir mereka di Internet. Tetapi sesalah apapun mereka, user biasanya masih berharap adanya privasi di jaringan.
Privasi bisa tercapai, bahkan pada jaringan yang tak dipercaya seperti akses point umum dan Internet. Satu-satunya metode efektif yang terbukti dapat melindungi privasi adalah penggunaan enkripsi kuat.
Teknik enkripsi seperti WEP dan WPA mencoba mengatasi persoalan privasi di lapisan dua, lapisan data-link. Ini melindungi melawan Eavesdropper yang menguping sambungan nirkabel, tetapi perlindungan ini berakhir di akses point. Jika pelanggan pengguna nirkabel memakai protokol yang tidak aman (seperti POP atau SMTP sederhana untuk menerima dan mengirim email), lalu user diluar AP masih bisa log sesi itu dan melihat data peka. Seperti yang dikatakan sebelumnya, WEP juga menderita dari fakta bahwa dia memakai kunci private yang dipakai bersama. Ini berarti user nirkabel yang sah bisa menguping satu sama lain, karena semuanya mengetahui kuncinya.
masalah ini. Teknik ini bekerja baik bahkan di jaringan-jaringan umum yang tak dipercaya, di mana Eavesdropper sedang mendengarkan dan mungkin memanipulasi data yang datang dari akses point.
Untuk menjamin privasi data, enkripsi end-to-end yang baik sebaiknya menyediakan fitur berikut:
● Verifikasi authentikasi dari remote end. User sebaiknya dapat tahu tanpa ragu-ragu kepada siapa dia berbicara di ujung lain. Tanpa authentikasi, seorang user bisa dapat data sensitif kepada siapa saja yang menyebutkan bahwa dia adalah layanan yang sah.
● Metode enkripsi kuat. Algoritma enkripsi sebaiknya kuat terhadap serangan di masyarakat, dan tidak dengan mudah di pecahkan oleh pihak ketiga. Tidak ada keamanan di ketidakjelasan, dan enkripsi akan lebih kuat lagi jika algoritma dikenal secara luas dan sudah di review oleh banyak orang. Algoritma yang baik dengan kunci yang panjang dan terlindungi dapat menyediakan enkripsi yang tak mungkin di bongkar oleh siapapun pada generasi kita dengan memakai teknologi sekarang.
● Public key cryptography.. Biarpun bukan syarat mutlak untuk enkripsi end-to-end, penggunaan public key cryptography bukan shared key (kunci bersama) dapat menjamin bahwa data seorang individu tetap pribadi (aman), sekalipun kunci dari pemakai lain telah jebol. Hal ini memecahkan masalah penyebaran kunci kepada pemakai melalui jaringan yang tidak dipercayai.
● Data encapsulation. Mekanisme enkripsi end-to-end yang baik akan berusaha melindungi sebanyak mungkin data. Mulai dari meng-enkripsi satu transaksi email sampai encapsulation seluruh trafik IP, termasuk DNS lookups dan protokol pendukung lain. Beberapa tool enkripsi yang sederhana hanya menyediakan saluran aman yang bisa dipakai oleh aplikasi lain. Ini memungkinkan user memakai program apapun yang mereka suka dan masih memperoleh perlindungan enkripsi yang kuat, sekalipun program itu sendiri tidak menyokongnya.
Undang-undang tentang penggunaan enkripsi berbeda-beda dari suatu negara ke negara lain. Beberapa negara menganggap enkripsi sebagai senjata, dan mungkin memerlukan surat izin, dibutuhkan penjaga kunci private, bahkan atau malah melarang penggunaannya secara keseluruhan. Sebelum mengoperasikan apapun yang melibatkan enkripsi, pastikan bahwa penggunaan teknologi ini diizinkan di negara anda.
Di bagian-bagian berikut, kita akan melihat beberapa tool khusus yang bisa menyediakan perlindungan yang baik untuk data user anda.
Browser mencek bahwa sertifikat yang disediakan oleh server sama dengan hostname DNS-nya, bahwa dia belum expire, dan bahwa ditandatangani oleh certificate authorities terpercaya. Server dapat juga mencek identitas sertifikat browser. Jika surat keterangan diakui, browser dan server akan menegosiasikan kunci sesi master menggunakan sertifikat yang sudah dipertukarkan sebelumnya untuk melindunginya. Kunci itu kemudian dipergunakan untuk meng-enkripsi semua komunikasi sampai browser selesai berkomunikasi. Enkapsulasi data seperti ini dikenal sebagai tunnel.