Pembahasan ujian Registered Information Security Specialist, musim gugur 2023 (Reiwa 5), PM Q2 — berkas yang dibawa keluar dari Wi-Fi tamu

Sambungan USB dilarang. Penyimpanan berkas ke disk lokal juga dilarang. Komunikasi ke webmail dan penyimpanan cloud yang tidak diizinkan perusahaan diputus. Lampiran berkas pada email elektronik juga dilarang. Server berkas internal dihapuskan.

Meski begitu, berkas bisnis tetap dapat dibawa keluar.

Soal 2 sesi PM (sore) ujian Registered Information Security Specialist musim gugur 2023 (Reiwa 5) adalah soal yang, dengan perusahaan apparel M yang sudah melaksanakan tindakan sebanyak itu sebagai panggung, menyisir lubang yang masih tersisa.¹ Artikel ini adalah yang kedua dalam seri yang mengikuti pembahasan Q1 sebelumnya (stored XSS), dan cakupan yang ditangani berpindah dari aplikasi web ke jaringan internal dan autentikasi perangkat.

Jika Q1 adalah soal yang menanyakan «di mana tindakan yang disusun di aplikasi web diloloskan», Q2 adalah soal yang menanyakan «cakupan mana yang desain tindakan itu niatnya melindungi». Tindakan perusahaan M tidak satu pun salah. Hanya, jika penetapan cakupan yang dilindungi dikonfirmasi satu per satu, tepat di luarnya terbuka.

Yang diperoleh dari artikel ini, selain contoh jawaban tiap soal dan dasarnya, adalah sudut konfirmasi yang dapat dipakai apa adanya di praktik pada tiga wilayah: WLAN, sertifikat server, dan batasan alamat IP sumber. Bagi yang membaca sebagai persiapan ujian, bagian per soal; bagi yang hanya perlu sudut praktik, dari bab 11 dan 12, tetap masuk akal.

1. Intinya dulu

• Jalur keluar adalah ruang rapat. Perusahaan M melarang membawa masuk PC milik pribadi, tetapi yang dilarang hanya ruang kerja; ruang rapat di luar sasaran. Di ruang rapat, WLAN karyawan maupun WLAN tamu keduanya terbang
• Jalur pengeluaran oleh karyawan ada dua. Metode memalsukan alamat MAC lalu tersambung ke WLAN karyawan, dan metode hanya tersambung ke WLAN tamu. Yang belakangan jauh lebih mudah; yang diperlukan hanya kunci pra-bagi yang dibagikan kepada tamu
• Penyimpanan cloud (layanan B) dibatasi «hanya dapat masuk dari alamat IP global perusahaan M». Namun komunikasi WLAN tamu juga diubah ke alamat IP global yang sama dengan NAT yang sama, jadi batasan ini dilalui begitu saja. Batasan menurut alamat IP sumber adalah pengaturan yang mengizinkan bukan perangkat melainkan semua orang yang berbagi pintu keluar
• AP palsu + situs palsu oleh penyerang dari luar dihentikan oleh verifikasi sertifikat server. Yang berlaku adalah dua poin: «apakah diterbitkan otoritas sertifikasi terpercaya» dan «apakah nama server sertifikat cocok dengan tujuan sambungan». Menurut komentar penilaian IPA, tingkat jawaban benar soal yang menyuruh menjawab dua poin ini rendah
• Meski salah ketik http://, HSTS mengganti ke HTTPS dulu baru tersambung, jadi tetap menjadi error sertifikat. Selain itu, pada host yang HSTS-nya aktif, pilihan mengabaikan peringatan lalu maju tidak boleh diberikan kepada pengguna
• Fungsi berbagi berkas yang sah juga menjadi jalur pengeluaran. Cukup tetapkan alamat pribadi sendiri sebagai alamat email pihak berbagi eksternal. Persetujuan atasan ada, tetapi ada atasan yang tidak mengonfirmasi tujuan
• Pilar tindakan tiga. Jadikan WLAN karyawan EAP-TLS dan autentikasi dengan sertifikat klien per perangkat, masukkan kunci privat ke TPM agar tidak dapat dikeluarkan dari PC bisnis. WLAN tamu dipisah dari jaringan perusahaan M (atau alamat IP global pintu keluar dibedakan). Dan hapus VLAN, aturan penyaringan, dan SSID yang tidak dipakai lagi

Peta pengetahuan artikel ini

Artikel ini menata tinjauan desain seputar WLAN dan sertifikat server dengan memakai soal 2 sesi sore ujian Registered Information Security Specialist musim gugur 2023 (Reiwa 5) sebagai bahan. WPA2-PSK, di mana semua orang berbagi kunci yang sama, punya kelemahan bahwa siapa pun yang tahu kunci dapat mendirikan AP palsu (evil twin) yang tidak dapat dibedakan dari yang asli, tetapi jika ada verifikasi sertifikat server dan HSTS, masuk ke situs palsu tidak terbentuk. Pada pengeluaran oleh karyawan, pemalsuan alamat MAC ditangani dengan EAP-TLS yang memakai sertifikat klien dan RADIUS, dan masalah batasan alamat IP sumber yang diloloskan pintu keluar NAT yang dibagi beberapa jaringan ditangani dengan pemisahan jaringan tamu. Menyimpan kunci privat di TPM agar tidak dapat dikeluarkan adalah kunci yang membuat autentikasi dengan sertifikat benar-benar berfungsi.

flowchart LR
    accTitle: Peta pengetahuan ujian Registered Information Security Specialist musim gugur 2023 (Reiwa 5) PM Q2 (WLAN dan sertifikat server)
    accDescr: Diagram yang menunjukkan kelemahan WPA2-PSK karena kunci bersama yang mengundang pemalsuan alamat MAC dan serangan evil twin, sementara verifikasi sertifikat server dan HSTS mencegah masuk ke situs palsu; EAP-TLS dengan RADIUS dan kunci privat yang disimpan di TPM mewujudkan autentikasi per perangkat; serta batas batasan alamat IP sumber yang di-NAT bersama dan koreksinya.
    wpa2_psk["WPA2-PSK"]
    eap_tls["EAP-TLS"]
    evil_twin["serangan evil twin (kembar jahat)"]
    phishing["phishing"]
    mac_address_filtering["penyaringan alamat MAC"]
    mac_address_spoofing["pemalsuan alamat MAC"]
    server_certificate_validation["verifikasi sertifikat server"]
    certificate_chain["rantai sertifikat"]
    root_ca["sertifikat CA akar"]
    certificate_revocation_check["pemeriksaan pencabutan sertifikat"]
    trust_anchor_risk["risiko penyalahgunaan titik kepercayaan"]
    hsts["HSTS (HTTP Strict Transport Security)"]
    hsts_preload_list["daftar pramuat HSTS"]
    client_certificate["sertifikat klien"]
    radius["RADIUS"]
    ieee_802_1x["IEEE 802.1X (EAP over LAN)"]
    network_policy_server["Network Policy Server (NPS)"]
    private_key["kunci privat"]
    tpm["TPM"]
    key_exfiltration_risk["risiko pengeluaran kunci privat"]
    shared_egress_ip_bypass["pengelakan batasan IP sumber lewat IP keluar bersama"]
    nat["NAT (network address translation)"]
    guest_network_isolation["pemisahan jaringan tamu"]
    unused_config_cleanup["penghapusan pengaturan yang tidak dipakai lagi"]
    source_ip_restriction["pembatasan alamat IP sumber"]
    wpa2_psk -->|"dapat menyebabkan"| evil_twin
    evil_twin -.->|"dapat menyebabkan"| phishing
    mac_address_filtering -->|"tidak disarankan"| mac_address_spoofing
    eap_tls -->|"disarankan untuk"| mac_address_spoofing
    server_certificate_validation -.->|"mencegah"| phishing
    server_certificate_validation -->|"menggunakan"| certificate_chain
    server_certificate_validation -->|"menggunakan"| root_ca
    server_certificate_validation -.->|"menggunakan"| certificate_revocation_check
    root_ca -.->|"dapat menyebabkan"| trust_anchor_risk
    hsts -.->|"mencegah"| phishing
    hsts -->|"mensyaratkan"| server_certificate_validation
    hsts_preload_list -.->|"mengurangi"| evil_twin
    eap_tls -->|"menggunakan"| client_certificate
    eap_tls -.->|"menggunakan"| radius
    eap_tls -.->|"menggunakan"| ieee_802_1x
    network_policy_server -->|"mengimplementasikan"| radius
    client_certificate -->|"mensyaratkan"| private_key
    private_key -.->|"disimpan di"| tpm
    tpm -.->|"mencegah"| key_exfiltration_risk
    shared_egress_ip_bypass -.->|"mensyaratkan"| wpa2_psk
    nat -->|"dapat menyebabkan"| shared_egress_ip_bypass
    guest_network_isolation -->|"mencegah"| shared_egress_ip_bypass
    guest_network_isolation -->|"sebaiknya didahului"| unused_config_cleanup
    source_ip_restriction -.->|"tidak kompatibel"| nat

Pada diagram, garis utuh menunjukkan relasi yang selalu berlaku dan garis putus-putus menunjukkan relasi bersyarat (syaratnya ada pada penjelasan masing-masing relasi di halaman rincian). Daftar lengkap relasi (total 24, beserta bukti dan tingkat kepastian) serta definisi konsep utama dikumpulkan di halaman rincian peta pengetahuan (dalam bahasa Jepang). Data: JSON-LD / Turtle

2. Tentang bahan — sumber, dan cara artikel ini menanganinya

Yang diangkat adalah soal berikut.

Sumber: ujian Registered Information Security Specialist musim gugur 2023 (Reiwa 5), sesi sore, soal 2

IPA menyatakan, untuk soal ujian masa lalu yang diterbitkan, izin maupun biaya pemakaian tidak diperlukan kecuali ada ketentuan khusus dalam undang-undang. Namun hak cipta tidak dilepaskan; sumber harus dicantumkan dalam bentuk «tahun, periode, jenis ujian, pembagian waktu, nomor soal, dll.», dan jika sebagian soal diubah, itu juga harus dicantumkan.²

Dalam artikel ini, gambar dan tabel yang dimuat di naskah soal tidak dicetak ulang apa adanya. Dalam rentang yang diperlukan untuk menjelaskan mekanisme, kami menggantinya dengan diagram sederhana dan ringkasan yang kami tulis sendiri. Naskah soal dan contoh jawaban juga ditangani dalam ringkasan. Naskah soal, contoh jawaban, dan komentar penilaian asli dapat diunduh gratis dari halaman IPA, jadi disarankan membacanya sambil membukanya di tangan.^{1 3 4}

Korespondensi soal dan artikel ini

Tidak apa-apa mulai membaca dari soal yang ingin dipecahkan.

Deskripsi naskah soal, dan cara artikel ini menanganinya

Agar dapat dicocokkan dengan naskah, dirangkum di mana dan bagaimana ditangani.

3. Panggung soal — «yang sudah dilakukan» perusahaan M

Perusahaan M adalah anak perusahaan L, perusahaan apparel dengan 100 karyawan. Gedung kantor menghadap jalan raya ramai di Tokyo. Satu kalimat ini berlaku kemudian.

Tahun sebelumnya, terjadi insiden karyawan perusahaan M menyimpan berkas desain produk informasi rahasia yang tersimpan di server berkas internal ke USB, lalu membawanya ke perusahaan pesaing. Dengan bimbingan perusahaan induk L, tinjauan ulang tindakan keamanan maju. Tiga tinjauan yang sudah dilaksanakan adalah sebagai berikut.

• Perangkat lunak pencegahan kebocoran informasi dipasang di notebook yang dipinjamkan kepada karyawan (selanjutnya, PC bisnis), dan disetel: larangan sambungan media penyimpanan eksternal seperti USB, larangan penyimpanan berkas ke disk lokal kecuali pemasangan perangkat lunak, pemutusan komunikasi ke webmail dan penyimpanan cloud yang tidak diizinkan perusahaan, larangan pemasangan perangkat lunak yang tidak diizinkan perusahaan, larangan lampiran berkas saat mengirim email
• Tempat penyimpanan berkas bisnis disatukan ke satu tempat di penyimpanan cloud yang sudah dipakai sebelumnya (selanjutnya, layanan B), dan pengaturan ditinjau
• Server berkas internal dihapuskan

Insiden sebelumnya adalah jalur «server berkas internal» → «USB», jadi kedua ujung jalur itu yang ditutup. Alurnya masuk akal.

Konfigurasi jaringan

Di gedung kantor ada ruang kerja dan ruang rapat. Di ruang kerja WLAN karyawan dapat dipakai; di ruang rapat, karyawan maupun tamu keduanya dapat dipakai. Proyektor ruang rapat dipakai dengan menyambungkan perangkat yang dibawa tamu (PC, tablet, ponsel yang dibawa tamu) atau PC bisnis ke WLAN tamu.

Jika hanya rentang yang diperlukan untuk penjelasan dijadikan gambar, bentuknya sebagai berikut.

flowchart LR
    accTitle: Konfigurasi jaringan perusahaan M
    accDescr: WLAN tamu, WLAN karyawan, dan jaringan server diubah ke satu alamat IP global oleh NAT FW yang sama, lalu keluar ke layanan B
    subgraph M["jaringan internal perusahaan M"]
        direction TB
        G["WLAN tamu<br/>192.168.10.0/24<br/>(hanya AP ruang rapat)"]
        E["WLAN karyawan<br/>192.168.20.0/24<br/>(ruang kerja dan ruang rapat)"]
        S["jaringan server<br/>192.168.30.0/24<br/>DHCP, DNS, direktori"]
        FW["FW<br/>NAT mengubah sumber<br/>ke satu alamat IP<br/>global"]
        G --> FW
        E --> FW
        S --> FW
    end
    FW --> B["layanan B<br/>(penyimpanan cloud)"]
    FW --> I["internet"]

Gambar 1: Jaringan tamu, karyawan, dan server ketiganya keluar ke internet lewat satu NAT FW sebagai satu alamat IP global.

Spesifikasi yang harus dikuasai sebagai berikut.

Dan tiga aturan keamanan. Membawa PC bisnis ke luar dilarang, membawa masuk PC, tablet, ponsel milik pribadi, dll. ke ruang kerja dilarang, membawa berkas bisnis ke luar dengan cara selain fungsi berbagi berkas layanan B dilarang.

Apakah Anda sadar aturan kedua menuliskan «ke ruang kerja»? Ruang rapat tidak tertulis.

Cara soal ini maju

Y dari bagian sistem informasi, dengan dukungan S yang adalah Registered Information Security Specialist (spesialis keamanan terdaftar) perusahaan induk L, mengonfirmasi apakah tindakan terhadap pengeluaran berkas dari layanan B sudah cukup. Keduanya meninjau terpisah pengeluaran oleh penyerang dari luar dan pengeluaran oleh karyawan. Soal 1 yang pertama, soal 2 yang belakangan, soal 3 perancangan tindakan.

4. Wi-Fi palsu dan situs palsu — soal 1(1)(2)

Yang pertama disebut Y adalah skenario tamu yang pernah memakai WLAN tamu, sebagai penyerang, tersambung ke WLAN tamu dari dekat perusahaan M, lalu mengakses layanan B.

Alasan skenario ini terbentuk adalah cara autentikasi WLAN adalah WPA2-PSK. PSK (Pre-Shared Key, kunci pra-bagi) sesuai namanya adalah cara semua orang berbagi kunci yang sama. Kunci pra-bagi WLAN tamu adalah untuk diajarkan kepada tamu. Begitu diajarkan, tidak ada cara membatalkan keadaan orang itu terus mengetahuinya ke depan (selain mengubah milik semua orang). Selain itu gedung kantor menghadap jalan raya ramai, jadi gelombang radio sampai juga dari luar bangunan.

Jawaban S di sini pun jelas. Untuk masuk ke layanan B, [a] ID pengguna dan [b] kata sandi diperlukan. Ini contoh jawaban soal 1(1) (urutan bebas). Tersambung ke WLAN sendiri tidak berarti masuk ke layanan B.

AP palsu dan situs palsu

Maka Y mengeluarkan skenario satu tingkat lebih dalam. Bagaimana jika AP palsu dengan pengaturan sama seperti AP WLAN tamu, dan situs palsu dengan URL sama seperti layanan B disiapkan, pengaturan DNS dimanipulasi, lalu ID pengguna dan kata sandi dicuri. Jika AP palsu diletakkan dekat perusahaan M, karyawan perusahaan M mungkin salah tersambung ke AP palsu dengan PC bisnis, mencoba mengakses layanan B lalu mengakses situs palsu, dan masuk.

Inilah yang disebut evil twin (kembar jahat). Jika AP didirikan dengan SSID sama dan kunci pra-bagi sama seperti WLAN tamu, dari sisi perangkat tidak dapat dibedakan dari AP sah. Yang dapat dikonfirmasi perangkat tentang AP pada WPA2-PSK hanyalah «mengetahui kunci pra-bagi yang sama». AP yang tidak tahu kunci tidak dapat menyelesaikan prosedur sambungan, tetapi sebaliknya, siapa pun yang tahu kunci dapat menjadi «AP asli». Karena itu kunci yang dibagikan kepada tamu, anggap juga dibagikan kepada penyerang.

Jawaban S di sini pun jelas. Jika karyawan mencoba mengakses situs palsu dengan HTTPS, bersama pesan error bahwa sambungan tidak aman, satu atau lebih dari empat butir berikut ditampilkan di peramban web, sesuai sertifikat server yang dipakai situs palsu.

• Sertifikat server ini bukan sertifikat server yang diterbitkan otoritas sertifikasi terpercaya (isian c)
• Nama server yang tercantum di sertifikat server ini berbeda dari nama server tujuan sambungan (isian d)
• Sertifikat server ini sudah dicabut
• Sertifikat server ini masa berlakunya habis

Dua yang bawah sudah tertulis di naskah soal sejak awal; menjawab dua yang atas (isian c dan d, masing-masing dalam 40 karakter, urutan bebas) adalah soal 1(2).

sequenceDiagram
    accTitle: AP palsu dan situs palsu dihentikan oleh verifikasi sertifikat
    accDescr: Jika karyawan tersambung HTTPS lewat AP palsu, error muncul karena bukan terbitan otoritas sertifikasi terpercaya atau nama server tidak cocok, dan layar masuk tidak ditampilkan
    autonumber
    participant U as PC bisnis karyawan
    participant F as AP palsu, situs palsu<br/>(penyerang)
    participant B as layanan B (sah)

    Note over F: dirikan AP dengan SSID sama dan<br/>kunci pra-bagi sama seperti WLAN tamu
    U->>F: salah tersambung ke AP palsu
    Note over F: manipulasi DNS, arahkan nama domain<br/>layanan B ke situs palsu
    U->>F: tersambung ke URL layanan B dengan HTTPS
    F-->>U: sertifikat server situs palsu
    Note over U: gagal verifikasi<br/>· bukan terbitan otoritas sertifikasi terpercaya<br/>· nama server sertifikat berbeda dari tujuan sambungan
    Note over U: tampilkan error bahwa sambungan tidak aman<br/>layar masuk tidak ditampilkan
    Note over U,B: dengan layanan B yang sah<br/>sebenarnya tidak berkomunikasi

Gambar 2: Akses HTTPS lewat AP palsu gagal pada verifikasi sertifikat server; layar masuk tidak ditampilkan.

Apa yang dilihat verifikasi sertifikat

Komentar penilaian menulis tentang soal ini sebagai berikut.

Soal 1(2) tingkat jawaban benarnya rendah. Meski penyerang menyiapkan situs palsu, selama diakses dengan HTTPS, verifikasi sertifikat server gagal. Verifikasi sertifikat server adalah pengetahuan dasar untuk menjamin keamanan komunikasi, jadi harap dipahami dengan baik sampai hal konkret apa yang diverifikasi.

Artinya, meski «error sertifikat muncul» diketahui, orang yang dapat menguraikan apa yang dikonfirmasi sehingga gagal menjadi empat butir sedikit. Jika empat butir yang disebutkan gambar 2 ditata dari sudut «konfirmasi untuk apa masing-masing», menjadi sebagai berikut.

Dari sisi penyerang, dua yang atas menjadi dinding yang tidak dapat dilampaui. Jika membuat sertifikat self-signed, gagal di yang pertama; meski memperoleh sertifikat gratis secara sah untuk domainnya sendiri (misalnya b-service.example.net), tujuan sambungan adalah domain layanan B jadi gagal di yang kedua. Karena sertifikat untuk nama domain layanan B tidak dapat diperoleh kecuali mengelola domain layanan B. Kombinasi dua poin ini boleh dikatakan tubuh mekanisme sertifikat.

Prosedur verifikasi jalur sertifikat diatur RFC 5280⁵; prosedur mencocokkan nama yang tertulis di sertifikat dengan nama tujuan sambungan diatur RFC 6125⁶.

Empat butir tidak berlaku dengan kekuatan yang sama

Di sini, pisahkan jawaban ujian dari perilaku peramban yang sebenarnya. Empat butir di atas adalah yang disebutkan gambar 2 naskah soal sebagai «rincian error yang dapat ditampilkan», dan jangan dibaca bahwa setiap peramban memeriksa keempatnya dengan kepastian yang sama.

Penerbit, nama server, dan masa berlaku — tiga ini dapat diputuskan hanya dengan informasi di tangan saat sertifikat diterima, jadi selalu diverifikasi. Yang menghentikan serangan soal ini juga tiga ini.

Sementara hanya pemeriksaan pencabutan yang sifatnya berbeda. Apakah sudah dicabut tidak tertulis di dalam sertifikat, dan perlu mengambil informasi lain, jadi bergantung pada implementasi dan pengaturan.

• Chrome biasanya tidak melakukan pemeriksaan OCSP atau CRL daring. Sebagai gantinya, daftar terbatas bernama CRLSet yang tujuan utamanya memblokir sertifikat dengan cepat saat darurat didistribusikan, dan yang diambil dari daftar pencabutan CA hanya sebagian.⁷
• Bahkan pada implementasi yang menanyakan OCSP, konfigurasi yang melewatkan sambungan saat respons tidak diperoleh (soft-fail) dipakai luas

Karena itu jangan jadikan «jika kunci privat bocor, cabut saja» sebagai pilar tindakan. Pencabutan adalah hal yang harus dilakukan, tetapi bukan mekanisme yang pasti berlaku di semua peramban pengguna. Pemendekan masa berlaku sertifikat dalam beberapa tahun terakhir juga merupakan jawaban sisi industri terhadap pencabutan yang tidak dapat diandalkan. Saat menduga kebocoran kunci di perusahaan sendiri, sejajar dengan pengajuan pencabutan, perlu juga mengganti sertifikat dan menonaktifkan apa yang dilindungi kunci itu (sesi, kunci API, dll.).

Jebakan di praktik — siapa yang memutuskan «otoritas sertifikasi terpercaya»

Dari sini ke depan adalah di luar naskah soal. Yang pertama di tabel atas bergantung pada apa yang dipercaya perangkat itu. Daftar kepercayaan dimiliki peramban atau OS; di Windows, «Otoritas Sertifikasi Akar Terpercaya» penyimpanan sertifikat itulah.

Artinya, dalam situasi berikut, pemeriksaan pertama lolos.

• Sertifikat akar otoritas sertifikasi internal (CA privat) didistribusikan ke PC bisnis. Kunci privat CA itu, atau prosedur penerbitan sertifikat, dikuasai penyerang
• Proksi atau produk keamanan yang memeriksa isi komunikasi memasukkan sertifikat akar miliknya sendiri ke perangkat untuk mengakhiri TLS. Produk atau operasinya dikuasai penyerang
• Dengan alasan «error sertifikat muncul», seseorang di masa lalu mendaftarkan pengecualian, atau memasukkan sertifikat self-signed ke akar terpercaya

Yang ketiga benar-benar sering terlihat di lapangan. Yang sekali dimasukkan secara manual untuk menghilangkan error sertifikat sistem internal, tetap tinggal di citra yang diwarisi dari PC orang yang sudah keluar, dan bentuk serupa. Isi penyimpanan otoritas sertifikasi akar terpercaya adalah deklarasi itu sendiri tentang siapa yang dipercaya perangkat itu, jadi jadikan sasaran inventaris. Keputusan apa yang harus dimasukkan ke penyimpanan mana ditata di panduan praktis penyimpanan sertifikat Windows.

Untuk pemeriksaan kedua (kecocokan nama server), ada poin perhatian terpisah di praktik. Sertifikat tidak berdaya terhadap serangan pengguna salah melihat nama domain. Jika penyerang memperoleh domain yang membingungkan seperti b-serv1ce.example.com dan memperoleh sertifikat sah untuk domain itu, peramban tidak mengeluarkan error. Yang dijamin sertifikat adalah «nama server tujuan sambungan cocok dengan nama server sertifikat», bukan «nama server itu adalah pihak yang dimaksud pengguna». Mekanisme yang tidak mengandalkan langkah terakhir ini pada mata pengguna adalah cara seperti passkey (WebAuthn) yang memverifikasi origin di sisi authenticator. Rinciannya dibahas di mengapa passkey aman.

5. Alasan tetap berhenti meski http:// diketik — soal 1(3)

Y tidak menyerah. Jika dalam keadaan tersambung ke AP palsu, karyawan salah memasukkan http:// saat mengetik URL layanan B di peramban web, pesan error tidak ditampilkan, bukan?

Keraguan yang masuk akal. Jika tersambung dengan HTTP, sertifikat server tidak muncul sama sekali. Situs palsu tampaknya dapat menampilkan layar masuk tanpa error apa pun.

Jawaban S: «Tidak apa-apa. Karena HSTS sudah diaktifkan, dalam kasus itu pun pesan error yang sama seperti tadi ditampilkan». Soal 1(3) menanyakan gerakan peramban web sampai tepat sebelum pesan error ditampilkan, dalam 60 karakter.

Contoh jawaban: «Mengganti akses HTTP menjadi akses HTTPS lalu mengakses. Setelah itu, menerima sertifikat server dari situs palsu».

Apa yang terjadi di dalam peramban

HSTS (HTTP Strict Transport Security) adalah mekanisme situs menyatakan «ke depan, ke host ini selalu datang dengan HTTPS» dengan header Strict-Transport-Security, dan peramban mengingatnya. Diatur RFC 6797.⁸

Saat mencoba mengakses host yang diingat dengan http://, peramban bergerak sebagai berikut.

1. Ganti skema URL dari http ke https. Jika port 80 dinyatakan secara eksplisit, ubah menjadi 443 (RFC 6797 pasal 8.3)
2. Akibatnya tersambung dengan HTTPS. Saat itu DNS dimanipulasi, jadi tujuan sambungan adalah situs palsu
3. Menerima sertifikat server dari situs palsu
4. Verifikasi gagal, dan menjadi error yang sama seperti bab 4

Yang penting, penggantian 1 selesai sebelum keluar ke jaringan. Permintaan HTTP teks biasa tidak dikirim sama sekali. Karena itu situasi «tersambung dengan HTTP jadi sertifikat tidak muncul» tidak terjadi.

«Abaikan dan lanjut» tidak dapat ditekan

Satu lagi, HSTS punya sifat yang sangat besar di praktik. Pasal 8.4 RFC 6797, jika error terjadi selama pembentukan saluran komunikasi aman dengan host yang HSTS-nya aktif, terlepas dari peringatan atau fatal, menuntut memutus sambungan. Dan pasal 12.1 mengekspresikan perilaku itu sebagai “No User Recourse” (tidak memberi sarana pengelakan kepada pengguna), dan menyatakan bahwa pilihan seperti «sambungan ini tidak aman, tetapi lanjutkan?» tidak boleh dikeluarkan.

Pada error sertifikat biasa, banyak peramban menyiapkan jalur «pengaturan lanjutan», «lanjutkan» di layar peringatan. Di praktik, pemandangan pengguna yang sudah terbiasa error sertifikat sistem internal menekan ini secara refleks tidak jarang. HSTS menutup refleks itu. Sebagai pertahanan terhadap situs palsu, «tidak dapat ditekan» ini bahkan dapat dikatakan lebih manjur daripada verifikasi sertifikat itu sendiri.

Prasyarat HSTS — pertama kali saja tidak terlindungi

Namun HSTS punya prasyarat. Seperti ditetapkan pasal 8.1 RFC 6797, suatu host menjadi «host HSTS yang dikenal» saat agen pengguna menerima header Strict-Transport-Security di atas saluran komunikasi aman. Artinya, peramban itu perlu pernah mencapai situs sah dengan HTTPS.

Karena itu, kasus berikut tidak terlindungi.

• Di PC bisnis yang baru saja dibagikan, akses pertama langsung dilakukan di bawah AP palsu
• Profil peramban dibuat ulang, atau data penelusuran dihapus termasuk catatan HSTS
• Masa berlaku catatan (max-age) sudah habis

Yang mengisi masalah pertama kali ini adalah daftar pramuat HSTS. Jika tercantum di daftar domain yang tertanam di peramban sebelumnya, HTTPS dipaksa meski belum pernah diakses sama sekali.

Namun, jika mempertimbangkan pendaftaran situs sendiri, konfirmasi syarat dulu. Persyaratan pendaftaran sebagai berikut.⁹

• Menyediakan sertifikat yang sah
• Jika menunggu di port 80, mengalihkan dari HTTP ke HTTPS di host yang sama
• Menyediakan semua subdomain dengan HTTPS (termasuk www jika ada rekaman DNS)
• Di domain dasar, mengembalikan header Strict-Transport-Security dengan max-age 31536000 detik (1 tahun) ke atas, includeSubDomains, dan preload

Yang berlaku adalah yang ketiga, dan kombinasi includeSubDomains. Jika subdomain lama untuk internal khusus HTTP, atau sertifikat tidak disiapkan, begitu didaftarkan mereka tidak dapat dicapai. Inventaris semua subdomain sebelum mendaftar.

Dan pembatalan tidak mudah. Pengajuan penghapusan umumnya diterima, tetapi sampai perubahan sampai ke peramban pengguna butuh beberapa bulan, dan untuk peramban selain Chrome tidak ada jaminan.⁹ Ambil sikap bahwa pramuat bukan pengaturan «jika salah, dikembalikan saja».

Sebaliknya, dari sisi yang memakai, apakah layanan cloud yang dipakai bisnis mendukung HSTS adalah sudut yang boleh dimasukkan ke butir konfirmasi saat pemilihan.

6. Begitu persetujuan menjadi formalitas, fungsi berbagi menjadi jalur pengeluaran — soal 2(1)

Dari sini, berpindah ke tinjauan pengeluaran oleh karyawan.

S pertama-tama mengonfirmasi operasi fungsi berbagi berkas. Apakah atasan benar-benar mengonfirmasi alamat email tujuan dan berkas sebelum menyetujui. Jawaban Y: «tampaknya ada juga atasan yang tidak dapat dikonfirmasi».

Maka yang ditunjukkan S adalah soal 2(1). Cara penyalahgunaan fungsi berbagi berkas agar berkas dapat diunduh dari luar perusahaan M dijawab secara konkret dalam 40 karakter.

Contoh jawaban: «Menetapkan alamat email pribadi sendiri sebagai alamat email pihak berbagi eksternal».

Desainnya benar, operasinya bolong

Fungsi berbagi berkas layanan B dibuat dengan pemikiran yang baik.

• Berbagi memerlukan persetujuan atasan
• Tautan berbagi eksternal tidak diberitahukan kepada orang itu sendiri maupun atasan. Orang yang berbagi sendiri tidak dapat meneruskan tautan lalu membawa keluar
• Tautan mengandung string acak yang sulit ditebak, masa berlaku 1 hari

Khususnya yang kedua adalah desain yang sadar pengeluaran dari dalam. Meski begitu dapat ditembus. Karena jika tujuan dijadikan diri sendiri, tautan yang «tidak diberitahukan kepada orang itu sendiri» sampai ke tangan orang itu sendiri.

Dan syarat agar jalur keluar ini terbuka hanya satu: «atasan tidak mengonfirmasi tujuan». Alur kerja persetujuan dirancang dengan prasyarat penyetuju melihat isinya. Jika tidak melihat, itu hanya jalur pengiriman otomatis.

Syarat persetujuan menjadi formalitas sudah ditentukan

Saat persetujuan menjadi formalitas di praktik, penyebabnya biasanya salah satu berikut.

Yang kurang di perusahaan M soal ini terutama dua yang terakhir. Jika mekanisme melewatkan persetujuan dipasang, mekanisme melihat hasil persetujuan kemudian juga diperlukan. Hanya dapat mendaftar berapa banyak berbagi eksternal ke domain email gratis per bulan, modus ini menjadi cukup mudah ditemukan.

Gambaran keseluruhan dari mana UKM mulai dibahas di cara berjalan pada «Pedoman Tindakan Keamanan Informasi UKM» IPA edisi 4.0.

7. Jalur keluar bernama ruang rapat — soal 2(2)

Pertanyaan S berikutnya: «apakah PC milik pribadi dapat dibawa masuk ke ruang rapat». Jawaban Y: «membawa masuk ke ruang rapat tidak dilarang, jadi dapat dibawa masuk».

Di sini metode 1 dan metode 2 muncul. Keduanya alur mengunduh berkas dari layanan B dengan PC milik pribadi, lalu membawa keluar PC milik pribadi itu utuh. Pengaturan perangkat lunak pencegahan kebocoran informasi yang dipasang di PC bisnis tidak berlaku sama sekali pada PC milik pribadi.

Metode 1 — pemalsuan alamat MAC

Metode 1 adalah mengubah [e] alamat MAC antarmuka WLAN PC milik pribadi menjadi alamat MAC antarmuka WLAN PC bisnis, lalu menyambungkan PC milik pribadi ke WLAN karyawan. Menjawab isian e adalah soal 2(2).

Yang menjaga pintu masuk WLAN karyawan adalah dua: kunci pra-bagi WPA2-PSK, dan penyaringan alamat MAC. Keduanya dapat dilampaui karyawan.

• Kunci pra-bagi adalah yang disetel di PC bisnis, dan karyawan adalah pengguna PC bisnis. Karena cara semua orang berbagi satu kunci, prasyaratnya adalah «pengguna dapat mengetahuinya»
• Alamat MAC dapat ditulis ulang di sisi perangkat. Biasanya dapat diubah dari pengaturan OS atau properti driver, alat khusus tidak perlu. Selain itu alamat MAC yang dimuat di bingkai WLAN tidak dienkripsi, jadi menerima gelombang radio di dekatnya juga dapat mengetahui alamat MAC PC bisnis yang sudah terdaftar

Penyaringan alamat MAC dan tidak menayangkan SSID bermakna sebagai merapikan untuk mengurangi salah sambung. Namun bukan mekanisme autentikasi yang menghentikan pihak yang berniat masuk. Konfirmasi juga di konfigurasi sendiri apakah dua ini tidak dimasukkan ke dalam «tindakan» sebagai hitungan.

Metode 2 — hanya tersambung ke WLAN tamu

Metode 2 lebih sederhana. Sambungkan PC milik pribadi ke WLAN tamu, unduh berkas dari layanan B, bawa keluar PC milik pribadi utuh. Itu saja.

Pemalsuan alamat MAC pun tidak perlu. Yang diperlukan hanya kunci pra-bagi WLAN tamu, dan ini yang dibagikan kepada tamu. Tidak mungkin karyawan tidak mengetahuinya.

Di sini tentu muncul keraguan berikutnya. Bukankah layanan B dibatasi «dengan ID pengguna yang dialokasikan kepada karyawan perusahaan M, hanya dapat masuk dari alamat IP global perusahaan M»?

Apa yang diizinkan batasan alamat IP sumber

Membaca pengaturan firewall naskah soal, jawabannya keluar. Komunikasi dari WLAN tamu ke internet, maupun komunikasi dari WLAN karyawan, diubah ke satu alamat IP global yang sama dengan NAT yang sama.

Dari sisi layanan B, tiga ini tidak dapat dibedakan. Batasan menurut alamat IP dilalui begitu saja.

Struktur ini berulang juga di luar ujian. Batasan menurut alamat IP sumber tidak berarti «hanya dari perangkat ini». Berarti «dari semua orang yang keluar dengan alamat IP global ini». Contoh khas cakupan yang niatnya diizinkan dan cakupan yang benar-benar diizinkan bergeser disebutkan.

Bukan bahwa batasan menurut alamat IP sumber tidak berarti. Melainkan jangan memakai batasan dengan satu lembar saja. Setelah disempitkan dengan alamat IP, baru «orang ini, di perangkat ini» dapat diekspresikan setelah ditumpuk dengan mekanisme yang mengidentifikasi perangkat itu sendiri (sertifikat klien atau sertifikat perangkat) dan mekanisme yang mengidentifikasi pengguna (autentikasi multifaktor). Tindakan soal ini pun maju tepat ke arah itu.

8. Mengikat perangkat dengan sertifikat — soal 3(1)–(4)

Sebagai tindakan terhadap metode 1, perusahaan M memilih EAP-TLS sebagai cara autentikasi WLAN karyawan, dan memutuskan menyiapkan server autentikasi.

Soal 3(1) — RADIUS

Soal 3(1) menanyakan protokol di atas UDP yang dipakai server autentikasi untuk EAP. Contoh jawaban: RADIUS.

Jika strukturnya ditata, tokoh yang muncul tiga.

Antara PC bisnis dan AP adalah IEEE 802.1X (EAP over LAN); antara AP dan server autentikasi adalah RADIUS. RADIUS berjalan di atas UDP.¹⁰ Prosedur EAP-TLS itu sendiri diatur RFC 5216.¹¹ Jika disusun dengan Windows Server, yang menanggung peran server autentikasi adalah Network Policy Server (NPS).¹²

Kuasai apa yang berubah dengan berpindah dari WPA2-PSK ke EAP-TLS.

Baris terakhir perlu catatan. Pihak yang sertifikatnya diverifikasi klien pada EAP-TLS adalah server autentikasi, bukan AP. AP hanyalah authenticator yang meneruskan pertukaran EAP, dan klien tidak mengonfirmasi identitas AP itu sendiri.

Meski begitu menjadi kesiapan terhadap evil twin bab 4, karena bahan kunci yang dihasilkan baru setelah autentikasi berhasil hanya diberikan kepada AP sah yang punya rahasia bersama RADIUS. AP yang didirikan penyerang sendiri, kecuali memiliki server autentikasi sah di ujungnya, tidak dapat menyelesaikan prosedur ini sampai akhir. Yang diverifikasi klien secara langsung adalah server autentikasi; keabsahan AP diturunkan secara tidak langsung dari situ. Itulah strukturnya.

Namun bersyarat. Jika di sisi klien tidak disetel «sertifikat server nama mana, yang diterbitkan otoritas sertifikasi mana, yang dipercaya», saat penyerang menyiapkan server autentikasi miliknya sendiri tidak dapat dibedakan. Konfigurasi yang memasang EAP-TLS tetapi menonaktifkan verifikasi sertifikat server di profil klien memang ada. Setelah diperkenalkan, konfirmasi termasuk sampai situ.

Soal 3(2) — jawaban salah yang ditunjukkan komentar penilaian

Penjelasan Y berlanjut. Sertifikat klien diterbitkan dengan mendirikan server CA baru, dan bukan karyawan yang memasangnya sendiri ke PC bisnisnya, melainkan disimpan ke PC bisnis dengan fungsi server direktori. Dan [f] yang sesuai dengan sertifikat klien disimpan dan dilindungi di TPM PC bisnis agar [g].

Soal 3(2) menanyakan isian f. Contoh jawaban: kunci privat.

Komentar penilaian menulis sebagai berikut.

Soal 3(2) tingkat jawaban benarnya agak tinggi, tetapi jawaban seperti “kunci publik” atau “sertifikat server” terlihat di sebagian. PKI adalah teknologi penting yang menjadi dasar berbagai teknologi keamanan, jadi harap dipahami dengan baik di situasi mana dan bagaimana ia dipakai.

Kunci publik adalah yang masuk ke dalam sertifikat dan dibagikan ke seluruh dunia. Bukan sasaran yang dilindungi. Yang harus dilindungi adalah kunci privat yang seharusnya hanya dimiliki pemilik sertifikat itu. «Mengautentikasi dengan sertifikat klien», secara tepat, adalah «membuktikan memiliki kunci privat yang sesuai dengan kunci publik di dalam sertifikat, dengan menunjukkan tanda tangan memakai kunci itu». Karena itu jika kunci privat dapat disalin, autentikasi dengan sertifikat kehilangan arti.

Apa yang berubah jika dimasukkan ke TPM — soal 3(3)

Soal 3(3) menanyakan isian g dalam 20 karakter. Contoh jawaban: «agar tidak dapat dikeluarkan dari PC bisnis».

Jika kunci privat diletakkan sebagai berkas di perangkat, itu data yang dapat disalin. Jika disalin ke PC milik pribadi, PC milik pribadi itu lolos autentikasi sebagai PC bisnis. Niat menutup metode 1 (pemalsuan alamat MAC) hanya diganti menjadi «pemalsuan sertifikat».

TPM dapat menghasilkan kunci di dalamnya, dan menahannya dalam keadaan tidak dapat dikeluarkan ke luar. Operasi seperti tanda tangan dilakukan di dalam TPM, dan kunci itu sendiri tidak berpindah ke OS, aplikasi, maupun malware. Akibatnya, kunci privat itu dikunci ke satu komponen fisik perangkat itu.

Saat mengimplementasikan di Windows, tetapkan Microsoft Platform Crypto Provider sebagai key storage provider (KSP) templat sertifikat. Penyedia ini melindungi kunci dengan memakai TPM, dan tidak dapat dipilih jika «izinkan ekspor kunci privat» dicentang di sisi templat sertifikat.¹³ Kendala yang sudah sewajarnya: jika dapat diekspor, tidak ada artinya melindungi.

Peran komponen TPM itu sendiri dibahas dari konteks enkripsi drive di panduan praktis BitLocker. Cara berpikir «tidak mengeluarkan kunci privat ke luar perangkat» adalah gagasan yang sama dengan desain authenticator yang dijelaskan di mengapa passkey aman.

Mengapa dapat dikatakan «tidak masalah» — soal 3(4)

Setelah mendengar penjelasan Y, S menjawab «dengan cara penyimpanan itu, saya pikir tidak masalah». Soal 3(4) menanyakan alasannya dalam 40 karakter.

Contoh jawaban: «karena informasi autentikasi yang diperlukan EAP-TLS hanya dapat disimpan di PC bisnis».

Jika alurnya diikuti, menjadi sebagai berikut.

1. Sertifikat klien, bukan karyawan yang memasangnya sendiri, didistribusikan ke PC bisnis dengan fungsi server direktori. Tidak melewati tangan karyawan
2. Kunci privat ada di dalam TPM, dan tidak dapat dikeluarkan dari PC bisnis
3. Karena itu, yang dapat tersambung ke WLAN karyawan dengan EAP-TLS hanya PC bisnis yang dibagikan perusahaan
4. PC milik pribadi, meski memalsukan alamat MAC, tidak dapat lolos autentikasi. Metode 1 tertutup

Perhatikan cara berkata bersyarat «jika dengan cara penyimpanan itu». Jika kunci privat diletakkan sebagai berkas di PC bisnis, S tidak akan berkata tidak masalah. Meski «autentikasi dengan sertifikat klien» yang sama, cakupan yang dapat dilindungi berubah menurut cara menempatkan kunci privat.

Yang tidak dilindungi TPM

Di sisi lain, bukan bahwa memasukkan ke TPM lalu tenang. Yang dijamin TPM hanya «kunci itu tidak disalin ke perangkat lain». Hal berikut tidak dilindungi.

• Jika perangkat itu sendiri dibawa keluar. Membawa PC bisnis berarti membawa TPM utuh. Aturan perusahaan M melarang membawa PC bisnis ke luar, tetapi aturan dan paksaan teknis adalah hal yang berbeda. Enkripsi drive (termasuk autentikasi sebelum boot) dan operasi mencabut sertifikat saat hilang diperlukan terpisah
• Penyamarahan pengguna. TPM mengidentifikasi perangkat, tetapi tidak menjamin siapa orang yang mengoperasikan perangkat itu. Autentikasi pengguna diperlukan terpisah
• Malware yang berjalan di perangkat. Kunci privat tidak dapat dibaca, tetapi kode yang berjalan di perangkat itu dapat «meminta tanda tangan kepada TPM». Penyalinan kunci dicegah, tetapi penyalahgunaan selama perangkat itu dikuasai tidak dicegah

9. Membedakan alamat IP pintu keluar — soal 3(5)

Sebagai tindakan terhadap metode 2 (hanya tersambung ke WLAN tamu), perusahaan M meninjau dua usulan. Usulan mengubah pengaturan NAT FW, dan usulan memakai layanan WLAN (layanan D).

Soal 3(5) menanyakan isi perubahan yang pertama dalam 70 karakter. Contoh jawaban bermakna «saat mengakses internet dari WLAN tamu, jadikan alamat IP sumber alamat IP yang berbeda dari alamat IP global yang sedang dipakai» (di naskah soal alamat IP global itu dinotasikan a1.b1.c1.d1).

Seperti terlihat di bab 7, metode 2 terbentuk karena komunikasi WLAN tamu keluar dengan alamat IP global yang sama seperti karyawan. Maka, cukup ubah hanya WLAN tamu ke alamat IP global yang berbeda. Batasan alamat IP sisi layanan B tidak diubah, dan hanya akses dari WLAN tamu yang keluar dari situ.

Ini terbentuk karena beberapa alamat IP global dialokasikan di sisi WAN perusahaan M. Membaca pengaturan antarmuka FW naskah soal, subnet mask sisi WAN adalah 255.255.255.248, yaitu /29, dan terlihat bahwa alamat yang dapat dipakai bukan satu. Foreshadowing yang sederhana tetapi pasti, yang menyuruh membaca tabel naskah secara rinci.

Apakah tangan yang sama dapat dipakai di perusahaan sendiri bergantung pada apakah kontrak saluran memungkinkan beberapa alamat IP global. Jika hanya satu, usulan ini tidak dapat diambil. Dalam kasus itu, menjadi usulan pemisahan bab berikutnya.

10. Tindakan baru selesai sampai pengaturan yang tidak dipakai dihapus — soal 3(6)(7)

Hasil tinjauan, perusahaan M memutuskan memakai layanan D.

• Di ruang rapat, pasang router WLAN (router D) yang dipinjamkan dari layanan D
• Di router D, aktifkan fungsi server DHCP dan fungsi server cache DNS
• Perangkat yang dibawa tamu tersambung ke internet tanpa melewati jaringan perusahaan M, memakai SIM yang terpasang di router D
• Proyektor diubah ke cara tersambung dengan kabel HDMI, tanpa memakai WLAN tamu

flowchart LR
    accTitle: Setelah tindakan, jaringan tamu dipisah
    accDescr: Sisi karyawan memakai EAP-TLS dan TPM; perangkat yang dibawa tamu keluar ke internet dengan SIM router D tanpa melewati jaringan perusahaan M
    subgraph M["jaringan internal perusahaan M (setelah tindakan)"]
        direction TB
        E["WLAN karyawan<br/>EAP-TLS + RADIUS<br/>kunci privat di dalam TPM"]
        S["jaringan server"]
        FW["FW"]
        E --> FW
        S --> FW
    end
    subgraph K["ruang rapat"]
        T["perangkat yang dibawa tamu"]
        D["router D<br/>langsung ke internet dengan SIM"]
        T --> D
    end
    FW --> B["layanan B"]
    D --> I["internet"]

Gambar 3: Jaringan tamu dipisah secara fisik dan logis dari jaringan perusahaan M; keluar lewat alamat IP global yang sama pun tidak terjadi lagi.

Jaringan tamu dipisah dari jaringan perusahaan M secara fisik maupun logis. Keluar dengan alamat IP global yang sama pun tidak terjadi.

Soal 3(6) — komunikasi yang menjadi tidak perlu

Jika perangkat yang dibawa tamu tidak lagi memakai jaringan perusahaan M, komunikasi ke server DHCP dan server [h] yang sampai sekarang diperlukan menjadi tidak perlu. Contoh jawaban isian h: DNS.

Router D sendiri punya fungsi server DHCP dan fungsi server cache DNS, jadi perangkat yang dibawa tamu tidak perlu memakai server DHCP dan server DNS di jaringan server perusahaan M. Jika penjelasan naskah dibaca ulang, tertulis apa adanya.

Soal 3(7) — sebutkan seluruh pengaturan yang harus dihapus

Soal 3(7) menyuruh menjawab seluruh nomor butir yang harus dihapus dari pengaturan antarmuka VLAN FW dan pengaturan penyaringan, masing-masing, yang menyertai perubahan ini.

Jawabannya: dari pengaturan antarmuka VLAN, VLAN WLAN tamu (butir 1); dari pengaturan penyaringan, dua: aturan yang mengizinkan HTTP/HTTPS dari WLAN tamu ke internet (butir 1) dan aturan yang mengizinkan akses dari WLAN tamu ke DNS jaringan server (butir 4). Bersamaan, hapus pengaturan SSID tamu dari pengaturan AP.

Komentar penilaian menulis sebagai berikut.

Soal 3(7) tingkat jawaban benarnya tinggi. Perlu menjawab dengan memahami seluruh pengaturan penyaringan firewall dan dampak yang menyertai tinjauan ulang lingkungan WLAN, dan dipahami dengan tepat.

Soal dengan tingkat jawaban benar tinggi, tetapi organisasi yang benar-benar menyelesaikannya sampai situ di praktik tidak banyak. Pekerjaan memasukkan mekanisme baru mendapat anggaran dan tenggat; pekerjaan menghapus pengaturan lama tidak. Dan kelupaan menghapus muncul ke permukaan dalam bentuk berikut.

Firewall soal ini adalah cara mengevaluasi dari aturan bernomor kecil secara berurutan, dan menerapkan aturan yang pertama kali cocok (naskah soal menyatakan demikian). Dalam cara ini, meninggalkan aturan izin yang tidak dipakai di bagian atas sama dengan membiarkan lubang agar tidak sampai ke aturan tolak di ujung.

Namun, jangan generalisasi cara evaluasi ini ke semua firewall. Cara memutuskan berbeda menurut produk.

Cara apa pun, berbahaya meninggalkan izin yang tidak dipakai, itu sendiri tidak berubah. Yang berubah adalah «mengapa berbahaya» dan «cara memperbaikinya». Setelah mengonfirmasi cara mana perangkat sendiri, masukkan sudut «apakah sumber dan tujuan masih ada sekarang» ke sasaran inventaris berkala.

Pembicaraan firewall sisi host — cara mengelola aturan masuk yang diperlukan di sisi aplikasi bisnis — dibahas di Windows Firewall dan aplikasi bisnis.

11. Tindakan yang tidak manjur, dan tindakan yang manjur

Jika soal ini dirangkum dalam satu lembar, menjadi tabel berikut. Korespondensi tindakan yang dimiliki perusahaan M, dan di jalur mana ia dilampaui.

Hanya baris terakhir yang «manjur». Dan jika yang dirancang sebagai tindakan disusun, menjadi sebagai berikut.

Jika dibandingkan, perbedaan karakter menjadi jelas. Tindakan yang dilampaui banyak yang melarang «sarana», dan tindakan yang manjur serta yang dirancang adalah yang mengubah «jalur» atau «sifat kredensial». Meski USB ditutup, jika jalur ke berkas tersisa pengeluaran terbentuk; meski kunci pra-bagi dipanjangkan, fakta bahwa ia rahasia bersama tidak berubah.

12. Sudut pemeriksaan di praktik

Butir konfirmasi saat menerapkan soal ini ke konfigurasi sendiri disebutkan.

1. Dapatkah tindakan pengeluaran ditulis menurut jalur, bukan sarana. Bukan daftar sarana USB, lampiran email, webmail, melainkan membuat «daftar perangkat dan jaringan yang dapat mencapai berkas bisnis». Jika ada satu jalur pun yang dapat dicapai perangkat di luar pengelolaan, larangan sarana dilalui
2. Apakah aturan membawa masuk/keluar tidak membatasi tempat. «Larangan membawa masuk ke ruang kerja» mengizinkan ruang rapat, resepsionis, ruang bersama. Konfirmasi apakah partisi fisik dan partisi jaringan cocok
3. Dapatkah dikatakan cakupan yang benar-benar diizinkan batasan alamat IP sumber. Hitung semua yang keluar dengan alamat IP global itu. Wi-Fi tamu, jaringan tamu, VPN antarcabang, gerbang agregasi kerja jarak jauh, lingkungan validasi
4. Apakah kredensial WLAN sudah per perangkat. Kunci pra-bagi adalah rahasia bersama yang dimiliki semua orang; jika satu orang membocorkan, milik semua orang bocor, dan menghentikan hanya satu mesin pun tidak bisa
5. Apakah penyaringan alamat MAC dan tidak menayangkan SSID tidak dimasukkan ke hitungan tindakan. Keduanya merapikan untuk mengurangi salah sambung, bukan autentikasi
6. Apakah kunci privat sertifikat klien dalam keadaan tidak dapat dikeluarkan dari perangkat. Kunci privat yang diletakkan sebagai berkas dapat disalin. Tetapkan key storage provider yang memakai TPM, dan jangan izinkan ekspor
7. Apakah klien yang memasang EAP-TLS memverifikasi sertifikat server autentikasi. Jika ini dinonaktifkan, ketahanan terhadap server autentikasi palsu hilang
8. Apakah error sertifikat server dalam keadaan dapat dilampaui pengguna dengan «lanjutkan». Setel HSTS pada situs sendiri. Jangan membiarkan error sertifikat sistem internal, dan jangan mengajarkan pengguna «error adalah sesuatu yang ditekan lalu maju»
9. Apakah isi penyimpanan otoritas sertifikasi akar terpercaya diinventaris. Yang masuk ke situ adalah pihak yang perangkat itu deklarasikan «jika sertifikat diterbitkan otoritas ini, dianggap asli»
10. Apakah penyetuju alur kerja persetujuan diberi bahan keputusan. Dan apakah hasil persetujuan dilihat kemudian. Secara berkala konfirmasi daftar berbagi ke domain luar dan email gratis
11. Apakah pengaturan jalur yang dihapuskan sudah dihapus. Antarmuka VLAN, aturan penyaringan, SSID, entri daftar izinkan. Dengan perlakuan yang sama seperti pekerjaan «memasukkan yang baru», berikan juga tenggat pada pekerjaan menghapus

Penutup — tindakan yang tidak menuliskan «cakupan» tidak melindungi

Jika Q1 adalah soal yang menanyakan «tindakan itu menghentikan tahap mana, dari serangan mana», yang ditanyakan Q2 adalah «cakupan mana yang dilindungi tindakan itu».

Tindakan perusahaan M semuanya punya cakupan tersirat. Cakupan perangkat lunak pencegahan kebocoran informasi sampai PC bisnis. Cakupan larangan membawa masuk sampai ruang kerja. Cakupan penyaringan alamat MAC sampai «pihak yang tidak memalsukan». Cakupan batasan alamat IP sumber sampai «semua orang yang keluar dengan alamat IP global itu». Masing-masing cakupan berfungsi dengan benar; hanya, sambungan dengan yang di sebelah terbuka.

Yang praktis dari soal ini adalah perusahaan M digambarkan sebagai perusahaan yang serius menangani. Menerima insiden tahun sebelumnya, menutup kedua ujung jalur, bahkan memasang perangkat lunak khusus. Meski begitu lubang tersisa bukan karena petugas malas, melainkan karena cara menambah tindakan satu per satu membuat celah cakupan tidak terlihat.

Untuk menemukan celah, tidak ada cara selain menulis daftar jalur, bukan daftar tindakan. Yang dilakukan Y dan S soal ini justru itu. Membagi «penyerang dari luar» dan «karyawan», dan menutup jalur pencapaian satu per satu untuk masing-masing. «Kemampuan mengasumsikan ancaman di lingkungan yang memakai WLAN dari berbagai sudut» yang ditulis IPA di maksud soal, barangkali pekerjaan ini.

Area konsultasi terkait

KomuraSoft LLC menangani tinjauan desain yang mengasumsikan jaringan dan konfigurasi perangkat yang ada, serta implementasi distribusi sertifikat dan perlindungan kunci di lingkungan Windows.

• Konsultasi teknis dan tinjauan desain
• Pengembangan aplikasi Windows
• Investigasi bug dan akar masalah
• Hubungi kami

Tautan referensi

Artikel terkait

Artikel terbaru dengan tag yang sama untuk mendalami topik-topik terdekat.

Topik terkait

Halaman-halaman ini menempatkan topik dalam konteks layanan dan keputusan yang lebih luas.

Layanan yang terkait dengan topik ini

Artikel ini berkaitan langsung dengan layanan berikut.

Pertanyaan yang sering diajukan

Pertanyaan yang sering muncul dalam konsultasi tentang topik artikel ini.

Sambungan USB sudah dilarang, penyimpanan ke disk lokal juga dilarang — mengapa berkas tetap dapat dibawa keluar?

Karena yang dilarang adalah fungsi PC bisnis yang dipinjamkan perusahaan, bukan jalur mencapai tempat berkas berada. Dalam soal ini, yang dipakai karyawan adalah PC milik pribadinya sendiri. Tanpa menyentuh PC bisnis sama sekali, PC milik pribadi disambungkan ke WLAN ruang rapat, karyawan masuk ke penyimpanan cloud (layanan B) dengan ID penggunanya sendiri, mengunduh berkas, lalu membawa pulang PC milik pribadi itu utuh. Pengaturan perangkat lunak pencegahan kebocoran informasi yang dipasang di PC bisnis tidak berlaku sama sekali pada PC milik pribadi. Perusahaan M melarang membawa masuk PC milik pribadi, tetapi yang dilarang hanya ruang kerja; ruang rapat di luar sasaran. Meski sarana (USB, lampiran email, webmail) ditutup satu per satu, pengeluaran tetap terbentuk jika jalur yang dapat mencapai berkas masih tersisa.

Layanan B dibatasi «hanya dapat masuk dari alamat IP global perusahaan M». Mengapa dapat lolos dari WLAN tamu?

Karena komunikasi WLAN tamu juga melewati NAT firewall yang sama, diubah ke alamat IP global yang sama, lalu keluar ke internet. Dari sisi layanan B, akses dari PC bisnis internal dan akses dari PC milik pribadi yang tersambung ke WLAN tamu di ruang rapat terlihat sebagai alamat IP sumber yang sama. Tidak dapat dibedakan. Batasan menurut alamat IP sumber perlu dipahami sebagai pengaturan yang mengizinkan bukan «hanya dari perangkat ini» melainkan «semua orang yang berbagi pintu keluar ini». Semua yang keluar dengan alamat IP global yang sama — Wi-Fi tamu, VPN antarcabang, gerbang agregasi kerja jarak jauh — masuk ke cakupan izin.

WLAN karyawan punya penyaringan alamat MAC. Bukankah ini menjadi tindakan?

Tidak. Karena alamat MAC dapat ditulis ulang bebas di sisi perangkat. Metode 1 soal ini adalah mengubah alamat MAC antarmuka WLAN PC milik pribadi menjadi alamat MAC PC bisnis yang sudah terdaftar, lalu tersambung. Alamat MAC bingkai WLAN terbang tanpa dienkripsi, jadi menerima di dekatnya juga dapat mengetahui alamat MAC yang sudah terdaftar. Hal yang sama berlaku untuk tidak menayangkan SSID. Meski pemberitahuan SSID dinonaktifkan, SSID diketahui dari pertukaran saat perangkat tersambung. Penyaringan alamat MAC dan tidak menayangkan SSID punya efek mengurangi insiden tersambung karena salah, tetapi bukan mekanisme autentikasi yang menghentikan sambungan yang disengaja.

Meski titik akses palsu dan situs palsu disiapkan, mengapa karyawan dapat dikatakan tidak tertipu?

Karena selama tersambung dengan HTTPS, situs palsu tidak dapat lolos verifikasi sertifikat server. Gambar 2 naskah soal menyebutkan 4 butir sebagai rincian error yang dapat ditampilkan saat itu. Bukan diterbitkan oleh otoritas sertifikasi terpercaya, nama server yang tertulis di sertifikat berbeda dari nama server tujuan sambungan, sudah dicabut, masa berlaku habis — empat ini. Penyerang tidak dapat memperoleh sertifikat sah untuk nama domain layanan B, jadi jika memakai sertifikat self-signed gagal di yang pertama, dan jika memakai sertifikat yang diperoleh secara sah untuk domainnya sendiri gagal di yang kedua. Menurut komentar penilaian IPA, tingkat jawaban benar soal yang menanyakan isi verifikasi ini rendah. Catat bahwa keempat butir tidak berlaku dengan kekuatan yang sama. Yang menghentikan serangan adalah dua yang depan (penerbit dan nama) plus masa berlaku; ini selalu diverifikasi peramban. Sementara pemeriksaan pencabutan bergantung pada implementasi dan pengaturan. Misalnya Chrome biasanya tidak melakukan pemeriksaan OCSP atau CRL daring, dan memakai daftar terbatas bernama CRLSet yang tujuan utamanya memblokir saat darurat. Jangan anggap mencabut pasti menolak. Selain itu, jika sertifikat akar otoritas sertifikasi internal didistribusikan ke PC bisnis, dan kunci privat atau prosedur penerbitan otoritas itu dikuasai penyerang, pemeriksaan pertama juga lolos.

Apa yang terjadi jika URL salah diketik sebagai «http://»? Apa yang dilakukan HSTS?

Peramban mengganti HTTP menjadi HTTPS dulu baru tersambung, jadi hasilnya error sertifikat yang sama. HSTS adalah mekanisme peramban mengingat isi header yang diterima saat sebelumnya tersambung ke situs itu dengan HTTPS. RFC 6797 menuntut, jika URL ke host sasaran mengandung skema http, agen pengguna menggantinya menjadi https, dan jika port 80 dinyatakan secara eksplisit, diubah menjadi 443. Artinya permintaan HTTP teks biasa hilang sebelum keluar ke jaringan. Yang lebih penting, jika verifikasi sertifikat gagal pada komunikasi dengan host yang HSTS-nya aktif, RFC menuntut memutus sambungan terlepas dari peringatan atau fatal. Secara eksplisit dinyatakan bahwa pilihan «sambungan ini tidak aman, tetapi lanjutkan?» tidak boleh diberikan kepada pengguna. Namun HSTS mengasumsikan peramban itu pernah mencapai situs sah dengan HTTPS dan menerima header. Jika akses pertama di perangkat yang masih kosong langsung ke situs palsu, ia tidak berlaku. Yang mengisi pertama kali ini adalah daftar pramuat yang tertanam di peramban.

Jika kunci privat sertifikat klien disimpan di TPM, apa yang berubah?

Kunci privat tidak dapat dikeluarkan dari PC bisnis itu. Kunci privat yang diletakkan sebagai berkas di perangkat, jika disalin ke PC milik pribadi, PC itu lolos autentikasi sebagai PC bisnis. Jika kunci dihasilkan di dalam TPM dan dibuat tidak dapat diekspor, operasi seperti tanda tangan hanya dilakukan di dalam TPM, dan kunci itu sendiri tidak berpindah ke OS maupun malware. Akibatnya, yang dapat lolos autentikasi EAP-TLS hanya PC bisnis yang dibagikan perusahaan. Alasan S dalam soal ini dapat berkata «dengan cara penyimpanan itu, tidak masalah» adalah ini. Saat mengimplementasikan di Windows, tetapkan Microsoft Platform Crypto Provider sebagai penyedia penyimpanan kunci templat sertifikat, dan jangan izinkan ekspor kunci privat. Namun yang dilindungi TPM hanya «kunci tidak disalin ke perangkat lain»; fakta bahwa orang yang memegang perangkat itu dapat memakainya tidak berubah. Terhadap kehilangan atau pencurian perangkat, enkripsi drive dan pencabutan sertifikat perlu disiapkan terpisah.

Apa yang harus dibawa kembali ke praktik dari soal ini?

Empat hal. Pertama, pikirkan tindakan pengeluaran bukan menurut sarana melainkan menurut jalur. Meski USB, lampiran email, dan webmail ditutup satu per satu, tidak ada artinya jika perangkat yang dapat mencapai berkas masih tersisa. Kedua, tuliskan cakupan yang benar-benar diizinkan batasan alamat IP sumber. Jika Wi-Fi tamu atau VPN memakai pintu keluar yang sama, itu juga cakupan izin. Ketiga, jadikan autentikasi WLAN kredensial per perangkat. Kunci pra-bagi adalah rahasia bersama yang dimiliki semua orang, jadi jika satu orang membocorkan, milik semua orang bocor. Dengan EAP-TLS dan sertifikat klien, plus konfigurasi yang tidak mengeluarkan kunci privat dari TPM, kredensial dikunci ke perangkat. Keempat, hapus pengaturan yang tidak dipakai lagi. Soal terakhir soal ini menyuruh menyebutkan seluruh pengaturan antarmuka VLAN dan aturan penyaringan firewall yang tersisa setelah WLAN tamu dihapuskan; menurut komentar penilaian IPA tingkat jawaban benar tinggi, tetapi organisasi yang benar-benar menyelesaikannya sampai situ di praktik tidak banyak.

Profil penulis

Halaman perkenalan penulis artikel.

Go Komura

Direktur KomuraSoft LLC

Berspesialisasi dalam pengembangan perangkat lunak Windows, konsultasi teknis, dan investigasi bug, terutama pada proyek dengan sistem yang sudah ada dan bug yang sulit direproduksi.