Pertemuan 6 ( ACCESS CONTROL )

ACCESS CONTROL

 

A.   Access Control

Access control merupakan kumpulan dari metode dan komponen yang dipergunakan untuk asset informasi. Access control memberikan kemampuan untuk mendikte mana informasi yang bisa dilihat atau dimodifikasi oleh user. Adapun yang dipersiapkan dalam perencanaan access control yaitu:

Bagaimana caranya membedakan mana informasi yang rahasia atau tidak?

Metode apakah yang harus kita ambil untuk mengidentifikasi user yang meminta akses ke informasi yang rahasia?

Apa cara terbaik untuk memastikan bahwa memang user yang berhak yang akan mengakses informasi yang rahasia?

B.  Least privilege

Least privilege membantu menghindari authorization creep, yaitu sebuah kondisi dimana sebuah subyek memiliki hak akses lebih dari apa sebenarnya dibutuhkan.

 

C.Subjek dan objek

Subyek merupakan entitas yang aktif karena menginisiasi sebuah permintaan akses, sedangkan objek dari akses merupakan bagian yang pasif dari akses.

D.Mendatory acces control (MAC)

Control akses didasarkan pada system pelabelan keamanan. Pengguna subyek memiliki izin keamanan dan obyek memiliki label keamanan yang berisi klarifikasi data. Model ini dugunakan dalam lingkungan di mana klasifikasi informasi dan kerahasiaan sangat penting.

 

E.  Goal of MAC

1. Menjaga kerahasiaan dan integritas informasi
2. Mencegah beberapa jenis serangan trojan
3. Mencegah bahwa pengguna dapat mengubah atribut keamanan

F. Directional access control

Control mempergunakan identitas dari subyek untuk menentukan apakah permintaan akses tersebut akan dipenuhi atau ditolak. Setiap obyek memiliki permission, yang menentukan user atau group yang bisa melakukan akses terhadap obyek.

 

G. Identity-based access control

Merupakan keputusan untuk akses terhadap obyek berdasarkan user id atau keanggotaan group dari user yang bersangkutan. Pemilik dari obyek yang menentukan user atau group yang mana yang bisa melakukan akses terhadap obyek.

 

H. Access control list (ACL)

Untuk memudahkan administrasi access control list(ACLs) mengijinkan groups dari, atau groups dari subyek untuk dikontrol bersama-sama. Acces control lists dapat memberikan hak akses terhadap group dari subyek atau memberikan hak kepada akses group dari subyek kepada obyek tertentu.

 

I.Non-discreationary access control

Non-discreationary access control disebut juga roled-based acces control atau task base access control. Dapat dipakai pada kasus high turnover atau reassignment.

 

J. Access control administration

Merupakan langkah setelah desain akses control dan dapat diimplementasikan secara centralized atau decentralized tergantung kebutuhan dari organisasi dan sentivities informasi.

 

K. Centralized access control

Pendekatan yang sangat mudah karena obyek hanya dipelihara pada lokasi yang tunggal. Contohnya : radius dan chap

 

L.Decentralized access control

Control yang meletakan tanggung jawab dari lebih dekat terhadap obyek, sehingga lebih stabil. Diimplementasikan memakai security domain. Security domain sendiri merupakan bagian sebuah kepercayaan, atau koleksi dari obyek dan subyek, yang mendefinisikan access rule dan permisions.

 

M.  Accountability 

Accountability berkaitan erat dengan instrument untuk kegiatan control terutama dalam hal pencapaian hasil dengan membuat log dari aktivitas pengontrolan atau system audit membantu administrasi. Log aktif ini memudahkan administrasi system untuk memonitor siapa saja yang memakai system dan apa yang dilakukannya.

 

N.   Access control models

Access control model memungkinakan untuk memilih kebijakan keamanan yang kompleks menjadi langkah kemanan yang lebih sederhana dan terkontrol.

 

O.  Autentikasi

Merupakan metode untuk menyatakan bahwa informasi betul-betul asli, atau orang yang mengakses atau memberikan informasi adalah betul-betul orang yang dimaksud. Teknik autentikasi adalah prosedur yang digunakan untuk membuktikan keaslian pesan (message integrity), Keaslian identitas pengirim (user authentication), dan pengirim tidak dapat menyangkal isi pesan (non- repudation.

 

P.    Elemen Autentikasi

Yang di autentikasi = person/group/code/system

Tingkat perbedaan entitas yang di-autentikasi = Distinguishing characteristic : KArakteristik yang membedakan penipuan computer adalah bahwa pelaku mengakses atau menggunakan computer dengan maksud untuk menjalankan skema penipuan.\

Penanggung jawab system = Operator/ system owner/ administrator

Authrentication mechanism : hak akses = Access control mechanism

Q.  Faktor-Faktor Autentikasi

• Something you know      : Password, PIN ATM, nomor kunci
• Something you have       : Peralatan fisik : kartu ATM, KTM, Smart card, kunci kamar
• Something you are          : Biometric : mata, tangan, sidik jari, suara
• Something you do           : Lokasi : GPS