Arah Penelitian Dalam Bidang

Keamanan Informasi
Avinanta Tarigan, Dr.rer.nat

Pusat Studi Kriptografi dan Keamanan Sistem

Universitas Gunadarma
http://ps-sekuriti.gunadarma.ac.id
Tantangan
● Serangan siber meningkat baik dalam frekuensi,
keragaman, kecanggihan, dan jangkauan + motivasi
● Berkembangnya keragaman software (aplikasi, pustaka,
middleware, sistem operasi), dan hardware
● Berkembangnya paradigma komputasi: cloud computing
(2007), internet of things (2010), smart city, ? (2030), ?
(2040)
● Semakin banyak perangkat (akan) terkoneksi ke Internet
● Terdistribusi, terdesentralisasi, dan kompleks
● Semakin banyaknya pengguna (yang belum teredukasi)
● Ketergantungan semakin tinggi pada (vendor) TI
● Kriptografi belum dimaanfaatkan secara efektif
Insiden Keamanan Meningkat
NightMare
Arah Penelitian Dalam Bidang Keamanan
Informasi
● Cryptography & Its Applications
● Discovery of New Vulnerabilities & How to Harden the
System (Hardware, Software, etc)
● Formal Methods
● Methods of Authentication (Biometrics, etc)
● Network Security (Protocols, IDS, etc)
● Automated Security Testing
● Secure Software Development Methodology
● Intrusion Detection System
● Digital Forensic & Cybercrime Investigation Method
Riset Dalam Bidang Kriptograf
● Pairing Based Crypto
● Lattice Based Crypto
● Quantum Crypto
● Cryptanalysis of Symmetric & Asymmetric Crypto
● Identity Based Encryption
● Distributed Cryptography (Multiparty)
● Cryptographic Protocols
● Crypto Currency (Crypto Money ---- AHA !!!)
Identity Based Encryption (IBE)
● Based on Pairing Based Crypto
● Joux (2000), Boneh & Franklin, etc
Cryptographic Protocols
● Protocol yang menggunakan kriptografi untuk tujuan
tertentu :
– Authentication
– Confidentiality
– Non-Repudiation
● Example : NeedHam Schroeder, Kerberos, WEP, SSL
● Recent Development :
– Off-The-Record Messaging (2012)
– OTP Based Authentication (Tarigan, 2010) -UG
– MultiParty Non-Repudiation (Tarigan, 2007) - UG
–

–
Vulnerability
● Kerentanan / Kelemahan → dieksploitasi → insiden
● Apakah penyebabnya :
– Security Bugs dalam software → SQLi, BufferOverflow
– Insecure Desain
– Protocol tidak terverifikasi
¿

– Kelemahan dalam konfigurasi

–

● Functional Bugs <> Security Bugs

● Kompentensi dan Security Awareness Programmer
masih lemah
● Metode Pengembangan yang digunakan → kuno
Riset Untuk Mengatasi Vulnerability
● Penemuan Vulnerability Baru → race against Hacker
– Chip n PIN Attack / Cloning EMV Cards
– API Attack on HSM
– Proteksi Smartcard vs X-Ray
– Risk Analysis untuk sistem baru (Google Glass
apakah aman ?)
● Automated Security Testing
● Secure Programming Language
● Secure Software Development Methodology (GoodBye
Waterfall)
● Harden OS
–
Apakah Bahasa Pemrograman
Berpengaruh ?
Formal Methods
● Verifikasi Formal pada Protokol Kriptografi
● Kesalahan desain pada protokol sekuriti malah
menyebabkan vulnerability pada sistem
● Testing → sample → tidak semua state dalam algoritma /
protocol terkover
● Formal Method → penggunaan model matematik untuk
memverifikasi semua state dalam algoritma
● Metode & Tools :
– Logic Based (BAN, Dolev-Yao, SVO, etc)
– Automated Theorem Prover
–
Contoh → BAN Logic
Penelitian Formal Method / Protokol
Kripto, Applied Crypto di UG
● S3 : Pengembangan metode Baru
– → SVO-CP (Pardede, 2012) → Non-Repudiation Protocol
– → Cipher dg Chaos Theory, Golden Crypto
– → Decentralized Transactions (alternatif to BitCoin)
● S2 : Verifikasi Protocol dan Pembetulannya
– → Analisis ISP protocol dg BAN Logic
– → Analisis OTP protocol dg BAN Logic
– → Aplikasi SVO-CP Non-Rep
– → Aplikasi Blind-Signature untuk Mobile Based Electronic Voting
● S1 : Verifikasi Protocol dan Tools
– → Automated Theorem Prover : General Logic, Khusus untuk
BAN Logic
– → PKI Enabled Applications, Media - Watermarking
Intrusion Detection & Prevention System
● Sistem yang dapat mendeteksi munculnya serangan
dalam sistem komputer / jaringan
● Problem : apakah definisi serangan ?
● Signature Based → contoh anti virus → jika tidak
diupdate maka serangan baru tidak terdeteksi
● Anomali Based → attribut system yang normal dg tidak
normal
● Mendeteksi serangan yang umum & memprediksi
serangan yang belum diketahui
● STAT = State Transition Analysis → Colored Petri Nets
● Fitur Extraction - Machine Learning (Classification) Untuk
memprediksi apakah sequence of state adalah serangan
B
A Pusat Komando Siber
D
A
N Analisis Simulasi &
Ancaman & Analisis Analisis
R Basis Data Situasi Siber
I Resiko Penangkalan Pola
S
E
Serangan,
T Mitigasi
Koordinasi
_
Respon & Mitigasi &
Profile Tindakan
S Nasional Analisis
Pemutahiran
E
Aset TI Serangan
K Basis Data
U Pola Serangan
T
U
Analisis & Pencegahan &
S Reporting (Lokal) Pemulihan (Lokal)
I
B
E Firewall,
R Reactive IDS
Manajemen IDS
Honey SOP
Aset & Vulnerability
Konfigurasi IT Scanner
Pot
Asset TI
Organisasi
1 .. N
Penutup
● Riset dalam Keamanan Informasi memberikan arah baru
/ cakrawala baru untuk lebih mengamankan dunia siber
● Analisis Resiko produk teknologi baru belum optimal dan
seringkali diabaikan
● Pengetahuan dan kesadaran atas keamanan informasi
perlu ditingkatkan di sisi pengguna
● Tidak ada solusi tunggal untuk keamanan informasi
● Sementara itu → managemen resiko
● Ingin Lebih Aman : → Usaha Bersama
● Pusat Studi KKS UG : → kontribusi
Terimakasih