Mengendalikan sifat dan fungsi pengendalian akses, penggunaan pengkodean dalam pengendalian akses, nomor identifikasi personal (PIN), digital signatures dan plastic cards.
Tujuan dari boundary control adalah:
a. Untuk menetapkan identitas dan otoritas User terhadap sistem komputer
b. Untuk menetapkan identitas dan kebenaran sumber informasi yang akan digunakan User.
c. Untuk membatasi kegiatan User dalam mendapat sumber informasi berdasarkan kewenangan.
Jenis-jenis pengendalian dalam subsistem boundary, yaitu:
a) Pengendalian Kriptografi
Kriptografi merupakan sistem untuk mentransformasikan data menjadi kode (cryptograms) sehingga tidak memiliki arti bagi orang yang tidak memiliki sistem untuk mengubah kembali data tersebut. Tujuannya untuk menjaga kerahasiaan informasi dengan mengacak data.
b) Pengendalian Akses
Pengendalian akses berfungsi untuk membatasi penggunaan sumberdaya sistem komputer, membatasi dan memastikan User untuk mendapatkan sumberdaya yang mereka butuhkan. Langkah-langkah umum untuk menunjang fungsi tersebut, yaitu:
1) Mengesahkan User yang telah mengidentifikasikan dirinya ke sistem; 2) Mengesahkan sumberdaya yang diminta oleh User, serta
(a) Fungsi mekanisme pengendalian akses
Mekanisme pengendalian akses memproses permintaan User melalui tiga tahap yaitu:
1) User mengidentifikasikan dirinya untuk mengidentifikasikan bahwa User sungguh-sungguh melakukan permintaan terhadap sistem;
2) User mengautentifikasikan dirinya, begitu juga dengan mekanisme; Terdapat dua cara proses autentifikasi; mekanisme harus yakin terhadap User dan User pun harus yakin terhadap mekanisme.
3) User meminta sumberdaya khusus.
Data access control name, account number
Identifikasi user
a. Proses Identifikasi
Data access control Remembered information
possessed objects personal characteristic Valid/invalid user b. Proses Otentikasi User X Mekanisme access controls User X Otorisasi data Otentikasi data Identifikasi data User X Mekanisme access controls User X Otorisasi data Otentikasi data Identifikasi data
Data access control
Object resources
Action request
Permitted/denied user c. Proses Otorisasi
Gambar 2.3 Tahapan Mekanisme Pengendalian Akses Sumber: Weber (1999,p379)
(1) Identifikasi dan Otentikasi
User mengidentifikasi dirinya pada mekanisme pengendalian akses dengan memberi informasi seperti nama atau nomor rekening. Informasi tersebut memungkinkan mekanisme untuk menentukan bahwa data yang masuk sesuai dengan informasi pada file otentikasi.
Terdapat tiga bagian yang dapat diisi oleh User untuk informasi otentikasi.
Pembagian informasi Contoh
Informasi yang mudah diingat
Nama, tanggal lahir, no account, password, PIN
Benda-benda yang dimiliki Badge, finger print, kunci, kartu.
Karakteristik pribadi Sidik jari, suara, ukuran tangan, tanda tangan, pola retina.
Setiap bagian memiliki kelemahan masing-masing. Permasalahan pada bagian informasi yang mudah diingat User adalah lupa, akibatnya
User X Mekanisme access controls User X Otorisasi data Otentikasi data Identifikasi data
kebanyakan User memilih informasi yang mudah ditebak atau mencatatnya disuatu tempat yang kurang aman.
Beberapa masalah sehubungan dengan password dapat dihat pada tabel 2.2
1 Untuk mengingat password, biasanya User mencatatnya didekat komputernya;
2 User memilih password yang mudah untuk ditebak, seperti nama keluarga atau bulan kelahiran;
3 User tidak mengganti password pada jangka waktu yang lama; 4 User kurang menyadari pentingnya password;
5 User memberitahu passwordnya kepada teman atau teman kerjanya;
6 Beberapa mekanisme pengendalian akses meminta User untuk mengingat beberapa password;
7 Beberapa mekanisme pengendalian akses tidak menyimpan password dengan menggunakan enkripsi;
8 Password tidak diganti ketika User keluar dari organisasi;
9 Password ditransmisikan melalui jalur komunikasi dalam bentuk cleartext.
Tabel 2.2 Permasalahan pada Password Sumber: Weber (1999,p381)
The U.S. National Bureau of Standards (1985) dan the U.S. Departement of Defense (1985), sebagaimana dikutip oleh Weber (1999,p382) mengusulkan langkah-langkah untuk menggenerasikan password.
Prinsip mengatur password dengan baik dapat dilihat pada tabel 2.3
1 Jumlah password yang ada seharusnya dapat diterima oleh mekanisme pengendalian akses;
2 Mekanisme pengendalian akses tidak menyetujui apabila panjang password kurang dari minimum;
3 Mekanisme pengendalian akses tidak memperbolehkan User menggunakan password yang kata-katanya mudah dicari dikamus; 4 User diharuskan mengganti passwordnya secara periodik;
5 User tidak diperbolehkan menggunakan kembali password yang usianya lebih dari 12 bulan;
6 Password harus dienkripsi ketika akan disimpan atau ditransmisikan;
7 User harus diberi penjelasan mengenai pentingnya keamanan password, prosedur yang dapat digunakan untuk memilih password yang aman, dan prosedur untuk menjaga keamanan password;
8 Password harus segera diganti, apabila terdapat indikasi bahwa password telah dikompromikan;
9 Mekanisme pengendalian akses membatasi User untuk memasukkan password yang salah.
Tabel 2.3 Prinsip-prinsip Mengatur Password Sumber: Weber (1999, p382)
Contoh identifikasi dan otentikasi yang dapat dilakukan oleh User ketika mengakses sistem diantaranya, yaitu:
a. Personal Identification Numbers (PIN)
PIN adalah suatu informasi yang mudah diingat dan digunakan untuk mengotentikasi User pada sistem transfer dana elektronik.
b. Plastic Card
Plastic card dimaksudkan untuk mengidentifikasikan setiap individu yang akan menggunakan sistem komputer.
c. Password
Menurut sumber yang dikutip dari website (www.oucs.ox.ac.uk/registration/password/password_security.xml),
password adalah sekelompok karakter yang kita berikan untuk memverifikasi bahwa yang mengakses sistem komputer adalah kita sendiri.
(2) Sumber Daya Objek
Sumberdaya yang digunakan oleh User untuk bekerja pada lingkungan sistem informasi berbasiskan komputer dapat dibagi menjadi empat, yaitu:
Klasifikasi Sumberdaya Contoh
Hardware Terminal, printer, prosesor, disk, jalur komunikasi.
Software Program sistem aplikasi, generalisasi software sistem.
Komoditi Kecepatan prosesor, tempat penyimpanan.
Data File, grup, data item (termasuk gambar dan suara)
Setiap sumberdaya harus diberi nama karena secara umum mekanisme pengendalian akses harus menyesuaikannya dengan permintaan User. (3) Action Privileges (Hak Istimewa)
Action privileges diberikan kepada User berdasarkan pada tingkatan kewenangan User dan jenis sumberdaya yang akan digunakan.
(b) Kebijakan Pengendalian Akses
Mekanisme pengendalian akses digunakan untuk menghasilkan kebijakan pengendalian akses, yaitu:
1) Discretionary Access Control
Apabila sebuah organisasi menggunakan jenis ini, User diizinkan untuk menentukan kepada siapakah mekanisme pengendalian akses memberikan akses atas file-nya. Dengan demikian User dapat memilih apakah digunakan sendiri atau akan berbagi dengan User lainnya.
2) Mandatory Access Control
Pada jenis ini baik User maupun sumberdaya menggunakan keamanan atribut yang tetap. Mekanisme pengendalian akses menggunakan atribut tersebut untuk menentukan User manakah yang dapat mengakses sumber daya tertentu. Hanya system administrator yang dapat mengubah keamanan atribut User dan sumber daya.
3) Audit Trail
Audit trail merekam semua kejadian yang berhubungan dengan boundary system. Audit trail dapat digunakan untuk menganalisa suatu kesalahan, selain itu dapat dijadikan bukti ketidakefisiensian dan ketidakefektifan penggunaan sumber daya.