Authentication dan authorization adalah kunci untuk mendapatkan akses kepada resources corporate – banyak jenis authentication method yang bisa diadopsi dengan keuntungan dan kerugiannya
Dalam suatu infrastructure jaringan business atau corporasi yang berskala menengah dan besar , perhatian terhadap perlindungan asset corporate yang berupa informasi begitu besarnya. Keamanan terhadap segala macam ancaman jaringan maupun ancaman dari internet adalah yang paling utama. Adanya manajemen keamanan terhadap informasi adalah seuatu keharusan, yang merupakan framework, procedure, kebijakan dan lain-2 yang tujuannya adalah keamanan total terhadap asset informasi. Salah satu pintu masuk kompromi keamanan adalah mendapatkan akses melalui authentication dan authorization.
Authentication adalah proses dimana seorang user (melalui berbagai macam akses fisik berupa komputer , melalui jaringan , atau melalui remote access ) mendapatkan hak akses kepada suatu entity (dalam hal ini jaringan suatu corporate). Seorang user melakukan logon kedalam suatu infrastruckture jaringan dan system mengenali user ID ini dan menerimanya untuk kemudian diberikan akses terhadap resources jaringan sesuai dengan authorisasi yang dia terima.
Authorization adalah proses penentuan apakah user tersebut diijinkan / ditolak untuk melakukan satu atau beberapa action atau akses terhadap resources tertentu dalam system. User logon terhadap system dengan menggunakan user-ID dan password, kemudian system mengenalinya dan user mendapatkan akses atau ditolak terhadap suatu resource system tertentu.
Authentication
Ada banyak method yang berbeda yang bisa digunakan untuk melakukan user authentication, diantaranya adalah seperti berikut ini.
User name and password Authentication
Kebanyakan system operasi dan server Web mempunyai beberapa jenis system authentication dengan menggunakan user-name dan password. Kebanyaka system ini mempunyai beberapa jenis mekanisme untuk memanaje architecture user-name dan password – seperti account expiration (kadaluarsa account), password expiration, panjang password minimum, dan atau kualitas password (perpaduan capital, angka, symbol). Metoda inilah yang banyak dipakai dalam hampir sebagian besar web-pages di internet.
Keuntungan :
- Gampang diimplementasikan dan di manage
- Murah – banyak tersedia dengan hampir sebagian besar system operasi dan web-pages.
- Hanya memerlukan pelatihan sebentar saja untuk user
Kerugiannya :
- User name dan password dikirim dalam bentuk clear text untuk authentication dasar (walau tidak semua kasus dan SSL dapat meng-inkripsi pada level network)
- User name dan password rentan terhadap serangan password dictionary
- Pada internet, user bisa mempunyai banyak user-name dan password yang berbeda-beda yang hanya bikin pusing untuk mengingatnya.
Certificates Authentication
User certificate bisa digunakan oleh end-user untuk menjamin identitas mereka. Akses terhadap certificate normalnya dikendalikan oleh sebuah password yang local terhadap certificate. Banyak company sudah mulai memanfaatkan dan mengimplementasikan user certificate dalam jaringan internal mereka.
Keuntungan :
- Certificate menyatu terhadap user
- Kemampuan meng-inkripsi data dan melakukan signature digital terhadap message.
- Didukung hampir sebagian besar browser dan paket email.
- Menawarkan beberapa mekanisme solusi single sign-on
- Kebal terhadap serangan dictionary
- Mengijinkan roaming user, yaitu user pindah dari satu lokasi ke lokasi lainnya (hanya jika vendor anda mendukung fitur ini)
- Dapat meng-inkrip data, e-mail, dan sign hanya dengan satu certificate saja (sesungguhnya akan lebih baik untuk membedakan certificate untuk signing dan inkryption
Kerugian :
- Mahal – jika mengimplementasikan suatu PKI (public key infrastructure)
- Pelatihan user yang extensive
- Memerlukan stuktur support
- Roaming users, yaitu users berpindah dari satu lokasi ke lokasi lainnya (dimana tidak semua vendor mendukung fitur ini – akan tetapi hal ini menjadi lebih bagus)
Biometric techniques Authentication
System authentication Biometric menggunakan piranti semacam sidik jari atau scanner mata untuk mendapatkan akses. Jenis authentication ini mempunyai tingkat keamanan yang sangat tinggi untuk lingkungan berresiko tinggi dengan membatasi dan mengendalikan akses kepada system yang sangat sensitive seperti instalasi militer. Dengan method ini membatasi user lain menggunakan semacam user-name dan password orang lain.
Keuntungan :
- Authentication berupa orang – yang sangat sulit untuk diserupakan
- Directory attacks adalah hampir tidak mungkin
- Menawarkan solusi mekanisme single sign-on
- Disadvantages
- Tidak semua vendor mendukung technology biometric ini. Tetapi beberapa jenis laptop sudah banyak menggunakan teknologi sidik jari ini untuk authenticasi logon.
- Imlementasinya sangat mahal, terkecuali diproduksi dalam jumlah masal.
Smart cards Authentication
Suatu authenticasi Smart Card adalah mirip kartu kridit yang mempunyai chip sirkuit (IC) tertempel didalam kartu smart ini. Smart card bisa menyimpan semua jenis informasi, yang bisa ditransfer melalui interface electronic yang terhubung melalui sebuah komputer.
Smart card ini bisa menyimpan informasi tentang siapa anda dan dan kunci cryptography dan melakukan algoritme cryptography semacam inkripsi. Akses terhadap smart card dikendalikan melalui suatu PIN atau suatu password. Akses semacam ini banyak digunakan dalam akses pintu area dengan tingkat keamanan yang sangat tinggi seperti dalam instalasi militer, bank, atau goldroom.
Keuntungan :
- Gampang menggabungkan kartu ini dengan orang
- Card ii bisa menyimpan informasi kunci dan informasi lainnya tentang user.
- Jika kunci juga dimasukkan, maka akan mudah melakukan inkripsi data dan email.
- Pelatihan user tentang teknologi ini mudah dilakukan.
- Solusi yang bagus untuk roaming user; certificate bisa dengan mudah ditransport kedalam
Kerugiannya :
- Sangat mahal, walau technology semacam ini harganya menurun.
- Masih juga rentan digunakan oleh user lain yang tidak berhak – istilahnya tailgating
- Memerlukan system support dan memerlukan hardware tambahan kedalam komputer.
Anonymous Authentication
Suatu user anonymous adalah metoda untuk memberikan akses user terhadap file sehingga tidak memerlukan identifikasi user terhadap server. user memasukkan anonymous sebagai user ID. Metoda ini umum dipakai untuk mendapatkan akses terhadap server untuk hanya sekedar melihat / membaca dan download file yang disediakan untuk umum.
Dengan penggunaan anonymous hal ini dimaksudkan sebaghai metoda authentication dan sekaligus authorization. Pastikan anda menyadari bahwa dengan control anonymous, berarti anda memberikan akses authentication dan authorization sekaligus. Tapi pastikan bahwa anonymous bukan menjadi setting default anda, hal ini sangat berbahaya. Pastikan bahwa data yang mestinya harus mendapatkan access khusus, jangan dibuka untuk umum dengan memberikan control anonymous.
Keuntungan :
- Mudah diimplementasikan
- Sedikit dan bahkan tidak memerlukan training user
- Memberikan kemampuan melakukan transaksi aman tanpa harus memberikan / meregister user-name dan password. Bagaimana mungkin? Pernahkan anda membeli barang online seperti di Amazon? Tidak semua company meminta anda membuat suatu account. Yang anda perlukan adalah memberikan nomor credit card – dan pastikan lewat secure channel seperti SSL (https) atau semacam Paypall.
Kerugian :
- Jelas bahwa tidak ada sangkut pautnya terhadap user tertentu. Konsequensinya anda tidak tahu siapa yang mengakses data.
- Tidak bisa memblokir berdasarkan user
- Mempunyai potensi serangan spam, dimana bakal banyak sampah masuk ke site anda.
- Tidak ada logging atau audit trail
