KEUTAMAAN SHOLAWAT

Allah swt memerintahkan kita agar bershalawat kepada Rasulullah saw dan keluarganya (sa): “Sesungguhnya Allah dan para malaikat-Nya bershalawat kepada Nabi. Wahai orang-orang yang beriman bershalawatlah kamu kepada Nabi dan ucapkan salam kepadanya.” (Al-Ahzab: 56).

Rasulullah saw bersabda: “Sebagaimana orang bermimpi, aku pernah bermimpi pamanku Hamzah bin Abdullah dan saudaraku Ja’far Ath-Thayyar. Mereka memegang tempat makanan yang berisi buah pidara dan mereka makan sebentar, kemudian buah pidara itu berubah menjadi buah anggur. Kemudian mereka makan sebentar dan buah anggur itu berubah menjadi buah kurma yang masih segar. Kemudian mereka makan sebentar, lalu aku mendekati mereka dan bertanya kepada mereka: Demi ayahku jadi tebusan kalian, amal utama apakah yang kalian dapatkan? Mereka menjawab: Demi ayahku dan ibuku jadi tebusanmu, kami dapatkan amal yang paling utama adalah shalawat kepadamu, memberi minuman, dan cinta kepada Ali bin Abi Thalib (sa).” (Ad-Da’awat Ar-Rawandi, halaman 90, bab 224, hadis ke 227)

Rasulullah saw bersabda: “Ketika aku diperjalankan di malam hari untuk mi’raj ke langit, aku melihat malaikat yang mempunyai seribu tangan, dan di setiap tangannya seribu jari-jemari. Ketika ia sedang menghitung dengan jari-jarinya, aku bertanya kepada Jibril: Siapakah malaikat itu dan apa yang sedang ia hitung? Jibril menjawab: ia adalah malaikat yang ditugaskan untuk menghitung setiap tetesan hujan, ia menghafal setiap tetesan hujan yang diturunkan dari langit ke bumi. Aku bertanya kepada malaikat itu: Apakah kamu mengetahui jumlah tetesan hujan yang diturunkan dari langit ke bumi sejak Allah menciptakan dunia? Ia menjawab: Ya Rasulallah, demi Allah yang mengutusmu membawa kebenaran kepada makhluk-Nya, aku tidak hanya mengetahui setiap tetesan hujan yang turun dari langit ke bumi, tetapi aku juga mengetahui secara rinci berapa jumlah tetesan hujan yang jatuh di lautan, di daratan, di bangunan, di perkebunan, di daratan yang bergaram, dan di pekuburan. Rasulullah saw bersabda: Aku kagum terhadap kemampuan hafalan dan ingatanmu dalam perhitungan. Ia berkata: Ya Rasulallah, ada yang tak sanggup aku menghafal dan mengingatnya dengan perhitungan tangan dan jari-jemariku. Rasulullah saw bertanya: Perhitungan apakah itu? Ia menjawab: Aku tidak sanggup menghitung pahala shalawat yang disampaikan oleh sekelompok ummatmu ketika namamu disebut di suatu majlis.”(Al-Mustadrah, Syeikh An-Nuri, 5: 355, hadis ke 72)

Rasulullah saw bersabda: “Pada hari kiamat nanti semua kaum muslimin akan melihatku kecuali orang yang durhaka kepada kedua orang tuanya, peminum khamer, dan orang yang tidak bershalawat kepadaku ketika namaku disebutkan.” (Jamus Sa’adah 2: 263).

Imam Ja’far Ash-Shadiq (sa) berkata: “Ketika nama Nabi saw disebutkan, maka perbanyaklah bershalawat kepadanya, sesungguhnya orang yang bershalawat kepada Nabi saw satu kali, Allah bershalawat kepadanya seribu kali bersama seribu barisan malaikat. Tidak ada satu pun makhluk Allah kecuali ia bershalawat kepada hamba-Nya karena Allah dan para malaikat-Nya bershalawat kepadanya. Barangsiapa yang tidak mencintai shalawat, ia adalah orang yang jahil dan ghurur (tertipu). Allah dan Rasul-Nya serta Ahlul baitnya berlepas diri darinya.” (Al-Kafi, jilid 2, halaman 492)

Ketika menjelaskan makna firman Allah swt: “Sesungguhnya Allah dan malaikat-Nya bershalawat kepada Nabi… Imam Ja’far Ash-Shadiq (sa) berkata: “Shalawat dari Allah azza wa jalla adalah rahmat, shalawat dari malaikat adalah pensucian, dan shalawat dari manusia adalah doa.” (Ma’anil akhbar, halaman 368)

Shalawat dan Mizan Amal

Rasulullah saw bersabda: “Pada hari kiamat nanti aku akan berada di dekat mizan amal. Barangsiapa yang amal buruknya lebih berat dari amal baiknya, aku akan datang bersama shalawat sehingga amal baiknya lebih berat berkat shalawat itu.” (Tsawabul A’mal, halaman 186)

Muhammad Al-Baqir (sa): ”Tidak ada suatupun amal yang lebih berat dalam mizan amal daripada shalawat kepada Muhammad dan keluarganya. Ssesungguhnya akan ada seseorang yang ketika amalnya diletakkan di mizan amal, timbangan amalnya miring. Kemudian Nabi saw mengeluarkan shalawat untuknya dan meletakkan di mizan amalnya, maka beruntunglah ia berkat shalawat itu.” (Al-Kafi, jilid 2, halaman 494)

Shalawat dan Pengampunan Dosa

Rasulullah saw bersabda:”Barangsiapa yang bershalawat kepadaku tiga kali setiap hari dan tiga kali setiap malam karena cinta dan rindu kepadaku, maka Allah azza wa jalla berhak mengampuni dosa-dosanya pada malam itu dan hari itu.” (Ad-Da’awat Ar-Rawandi, halaman 89, hadis ke 226)

Rasulullah saw bersabda:”Barangsiapa yang bershalawat kepadaku saat akan membaca Al-Qur’an, maka malaikat akan selalu memohonkan ampunan baginya selama namaku berada di dalam Al-Qur’an.” (Al-Biharul Anwar 94: 71)

Imam Ja’far Ash-Shadiq (sa) berkata:”Barangsiapa yang tidak sanggup menutupi dosa-dosanya, maka perbanyaklah bershalawat kepada Rasulullah dan keluarganya, sesungguhnya shalawat itu benar-benar dapat menghancurkan dosa-dosa.” (Al-Amali Ash-Shaduq, halaman 68)

Pahala Shalawat

Imam Ja’far Ash-Shadiq (sa) pernah ditanyai: Apakah pahala shalawat? Beliau menjawab: “Ia akan keluar dari dosa-dosanya seperti keadaan bayi yang baru lahir dari ibunya.” (Ma’anil akhbar, halaman 368)

Dalam suatu hadis tentang shalawat yang dianjurkan untuk dibaca setiap ba’da shalat Ashar dan hari Jum’at yaitu:

اللّهُمّ صَلِّ على محمّد وآل محمّد الاوصياء المرضيين بأفضل صلواتك وبارك عليهم بأفضل بركاتك والسلام عليه وعليهم ورحمة الله وبركاته

“Ya Allah, sampaikan shalawat kepada Muhammad dan keluarga Muhammad, para washi yang diridhai shalawat-Mu yang paling utama, berkahi mereka dengan keberkahan-Mu yang paling utama, semoga salam dan rahmat serta keberkahan Allah senantiasa tercurahkan kepadanya dan kepada mereka.”

Dalam hadis itu disebutkan: “Barangsiapa yang membaca shalawat ini (7 kali), Allah membalasnya setiap ibadah satu kebaikan, amalnya hari itu diterima, dan ia akan datang pada hari kiamat dengan cahaya di antara kedua matanya.” (Safinah Al-Bihar, jilid 5, halaman 170)

Dalam suatu hadis disebutkan: “Barangsiapa yang membaca shalawat berikut ini sesudah shalat Fajar dan sesudah shalat Zuhur, ia tidak akan mati sebelum berjumpa dengan Al-Qâim (Imam Mahdi) dari keluarga Nabi saw:

اَللَّهُمَّ صَلِّ عَلَى مُحَمَّدٍ وَآلِ مُحَمَّدٍ وَعَجِّلْ فَرَجَهُمْ

Ya Allah, sampaikan shalawat kepada Muhammad dan keluarga Muhammad, dan percepatlah kemenangan mereka .” (Biharul Anwar 86: 77).

4. Teknik Website Defacing
TEKNIK DEFACE DAN CARA PENCEGAHANNYA

Beberapa minggu lalu, ketika masalah pemukulan warga negara Indonesia oleh polisi Malaysia, dunia internet Indonesia ramai oleh kelakuan para hacker merusak tampilan situs-situs yang berdomain Malaysia.Juga beberapa bulan lalu ketika krisis Ambalat berlangsung, kedua kubu saling serang web deface.Deface adalah teknik mengganti atau menyisipkan file pada server, teknik ini dapat dilakukan karena terdapat lubang pada sistem security yang ada di dalam sebuah aplikasi.Defacer website dapat merubah tampilan sebagian atau seluruhnya tergantung kemauan defacer dan lubang yang bisa dimasuki, namun jika dia sudah putus asa, defacer akan melakukan denial of servis (DoS) attack yaitu mengirimkan request palsu pada server yang berlebihan sehingga kerja server lambat dan lama-kelamaan server akan crash dan down. Untuk dapat melakukan web deface, defacer melakukan beberapa tahap sebagai berikut :a. Mencari kelemahan pada sistem security, menemukan celah yang dapat dimasuki untuk melakukan eksplorasi di server target. Dia akan melakukan scanning tentang sistem operasi, service pack, service yang enable, port yang terbuka, dan lain sebagainya. Kemudian dianalisa celah mana yang bisa dimasuki.b. Melakukan penyusupan ke server korban. Teknik ini dia akan menggunakan beberapa tools, file yang akan disisipkan, file exploit yang dibuat sengaja untuk di-copy-kan. Setelah berhasil masuk , tangan-tangan defacer bisa mengobok-obok isi server.Tapi tidak adil kiranya jika hanya sharing tentang teknik deface web. Maka untuk pengelola situs harus waspada, karena deface bisa jadi bencana yang sangat merepotkan. Pekerjaan menata ulang dan memperbaiki bagian yang rusak, bukan pekerjaan yang mudah. Karena itu sebelum situs anda digerayangi seyogyanya melakukan langkah-langkah preventif sebagai berikut :1. Rutin melakukan update, upgrade dan patch pada sistem operasi dan aplikasi-aplikasi yang dipakai.2. Memeriksa ulang dan memperbaiki konfigurasi pada sistem operasi, web server dan aplikasi lainnya.3. Menganalisa kembali service-service yang aktif, matikan jika tidak perlu.4. Mengatur jadwal untuk melakukan backup data penting, file konfigurasi sistem, database, sehingga jika sewaktu-waktu terjadi deface, anda tinggal menggunakan data backup.5. Melindungi server dengan firewall dan IDS. Kedua tools ini ampuh untuk mengatasi serangan denial of service(DoS) attack.6. Selalu memperhatikan hal-hal yang mencurigakan pada server, baca log system operasi, log web server ataupun log aplikasi.7. Melakukan vulnerability scanning secara rutin, juga melakukan private security test.Demikian beberapa trik, baik melakukan deface (meskipun tak secara detail/teknis) maupun menangkal deface. Semoga website anda aman dari serangan para hacker

3. Teknik DNS Spoofing
DNS spoofing Dengan teknik Spacefox
Oleh admin (Feb 13, 2009 at 03:13) Filed under Keamanan Jaringan, DNS spoofing
Sekilas: Apa DNS spoofing?
DNS spoofing adalah seni membuat entri DNS untuk menunjuk ke sebuah IP lain daripada yang seharusnya untuk menunjuk ke. Untuk memahami lebih baik, mari kita lihat contoh. Anda di browser Anda dan ingin melihat berita di www.cnn.com, tanpa berpikir tentang itu, Anda hanya memasukkan URL ini di address bar dan tekan enter. Sekarang, apa yang terjadi di balik layar? Well ... pada dasarnya, browser akan mengirimkan permintaan ke DNS Server untuk mendapatkan alamat IP cocok untuk www.cnn.com, maka server DNS memberitahu browser alamat IP CNN, jadi browser untuk menghubungkan CNN ke alamat IP dan menampilkan konten dari halaman utama.
Terus pada menit ... Anda mendapatkan pesan yang mengatakan bahwa CNN dari situs web telah ditutup karena tidak ada lagi uang untuk membayar situs web mereka. Anda begitu kagum, Anda memanggil dan mengatakan itu kepada teman Anda terbaik pada ponsel, tentu saja ia tertawa pada Anda, tetapi untuk memastikan, dia pergi ke CNN untuk memeriksa situs web sendiri.
Anda akan terkejut ketika ia memberitahu Anda bisa melihat berita dari hari seperti biasa dan Anda mulai bertanya-tanya apa yang terjadi. Apakah Anda yakin Anda berbicara dengan baik alamat IP? Mari kita periksa. Anda meminta teman Anda untuk melepaskan api favorit DNS resolve alat (atau ping) dan memberikan Anda alamat IP dari dia untuk mendapatkan www.cnn.com. Setelah Anda mendapatkan, Anda letakkan pada browser bar URL: http://212.153.32.65 Anda merasa bodoh dan frustasi bila Anda melihat halaman web dari CNN dengan berita harian.
Anda juga hanya menjadi saksi dari DNS penggedoran skenario. Anda ingin apa yang terjadi, apakah yang dikatakan DNS Server anda yang salah alamat IP? Maybe ... Setidaknya ini adalah yang paling jelas terbaik datang ke pikiran kita. Sebenarnya ada dua teknik untuk accomplishing ini penggedoran DNS. Mari kita lihat satu satu, "DNS ID spoofing" teknik.
Itulah penjelasan dari DNS spoofing, silakan klik di sini untuk melihat lebih rinci tentang DNS spoofing

2. Teknik Packet Sniffing
tips dan trik
Mengubah Tampilan Windows Dengan TrueTransparency

Saat ini ada banyak sekali software yang dapat digunakan untuk mengganti tampilan Windows, misalnya dengan transformation pack yang pernah di tulis di sini, WindowBlinds, Talisman, dan sebagainya. Salah satu “kelemahan” dari transformation pack adalah seringkali membuat Windows kurang stabil alias sering hang.
Sekarang ada lagi software yang bisa Anda gunakan untuk membuat “beda” Windows Anda, yaitu dengan menggunakan TrueTransparency. Software ini cukup kecil, tidak makan resource yang besar dan yang tidak kalah penting adalah gratis
Kalau Anda pengen mencoba TrueTransparency, Anda bisa download di http://www.crystalxp.net. Untuk tambahan skin baru Anda bisa download di http://browse.deviantart.com.
TrueTransparency tidak dilengkapi dengan installer, jadi untuk menjalankan software ini Anda tinggal mengekstrak file yang sudah Anda download dan klik 2x pada file TrueTransparency.exe.

Tips dan Trik Keamanan internet Wireless
saat ini banyak orang yang mulai memasang jaringan komputer nirkabel di rumah mereka (wireless home network) yang mana bisa segera digunakan oleh mereka untuk terhubung ke internet. Contohnya si xxxxx, karyawan salah satu perusahaan TI telah berlangganan akses internet ADSL melalui Telkom Speedy.Agung membeli modem ADSL yang dilengkapi pula dengan fasilitas wireless atau Wi-Fi. Dia membeli model itu karena dia memiliki dua buah komputer di rumahnya, sebuah laptop dan desktop PC. Semuanya telah dilengkapi dengan Wi-Fi card dan dia menginginkan semuanya terhubung ke internet melalui access point yang dia buat sendiri. Selain itu Agung juga memiliki sebuah PDA yang mana terkadang dia perlu akses ke internet dari PDA nya ketika dia di rumah. Tepatlah jika ia membangun access point di rumahnya sendiri.Tetapi masalah selalu saja muncul. Sudah amankah jaringan nirkabel atau access point yang dia buat? Jangan-jangan di sebelah rumah ada hacker yang mengintip data Anda atau juga malah ikut menikmati akses internet dengan gratis. Untuk itu melalui tulisan kali ini akan disajikan beberapa tips yang berhubungan dengan jaringan nirkabel di rumah Anda.Ganti Password Administrator default (bila perlu ganti pula usernamenya)Jantung dari jaringan Wi-Fi di rumah Anda adalah access point atau router. Untuk melakukan set up dari peralatan access point ini, maka vendor dari access point device akan memberikan suatu interface yang berbasis web, dimana untuk masuk ke dalam interface ini maka Anda harus mengisikan username dan password. Sementara itu, pada beberapa kasus, peralatan access point tersebut di set oleh vendor dengan suatu username dan password tertentu yang mudah ditebak oleh pengguna. Untuk itu Anda harus mengganti password default dari access point Anda. Bahkan bila perlu Anda juga ubah username yang ada.
Mempercayai Password: Network Authentication
Aspek security jaringan berkaitan erat dengan servis yang disediakan: inbound atau outbound. Security pada servis outbound dapat diupayakan sebaik mungkin dengan konfigurasi firewall. Demikian pula dengan akses anonymous servis inbound, seperti anonymous FTP, HTTP, Gopher dll. Dalam hal ini, informasi sengaja disediakan bagi semua orang. Lain halnya bila kita ingin menyediakan akses non-anonymous (atau authenticated services), dimana selain melalui firewall, seseorang yang meminta akses juga harus mendapat ‘ijin’ server setelah terlebih dahulu membuktikan identitasnya. Inilah authentication. Untuk selanjutnya, penulis menggunakan istilah autentisasi sebagai sinonim kata tersebut.
RESIKO-SECURITY SERVIS INBOUNDMengapa perlu autentisasi…..? Internet adalah jaringan publik, dan terbuka bagi setiap orang diseluruh penjuru dunia untuk menggabungkan diri. Begitu besarnya jaringan ini, telah menimbulkan keuntungan serta kerugian. Sering kita dengar dan baca tentang bobolnya sistem komputer keuangan bank, informasi rahasia Pentagon atau basis data transkrip akademik mahasiswa. Kalimat tersebut cukup untuk mewakili pernyataan bahwa kita harus ‘waspada’ terhadap orang-orang ‘jahat’ dan senantiasa berusaha memperkecil kemungkinan bagi mereka untuk dapat melakukan niat jahatnya. Memang mudah untuk meniadakan kemungkinan penyusupan (akses ilegal) dari luar dengan menutup semua kanal trafik servis inbound ke jaringan internal. Namun ini berarti telah mereduksi keuntungan utama adanya jaringan: komunikasi dan pemakaian sumber daya bersama (sharing resources). Jadi, konsekuensi alami dengan jaringan cukup besar, adalah menerima dan berusaha untuk memperkecil resiko ini, bukan meniadakannya.
Kita akan mulai dari seorang network-administrator (NA) yang telah melakukan tugasnya dengan baik, dalam menyiapkan ‘pertahanan’ bagi semua servis outbound dan anonymous-inbound. Perlu beberapa hal tambahan lagi yang sebaiknya diingat. Apakah pertahanan tersebut sudah cukup kuat bagi terjadinya pencurian hubungan (hijacking attack)? Apakah didalamnya sudah dipertimbangkan kemungkinan pemonitoran ilegal paket-paket informasi yang dikirimkan (packet sniffing - playback attack)? Atau apakah sudah termasuk kesiapan bagi benar-benar adanya akses ilegal didalam sistem (false authentication)?
Hijacking biasanya terjadi pada komputer yang menghubungi jaringan kita, walaupun untuk beberapa kasus langka, bisa terjadi pada sembarang jalur yang dilaluinya. Sehingga akan bijaksana bila seorang NA mempertimbangkan pemberian kepercayaan akses, hanya dari komputer yang paling tidak mempunyai sistem security sama atau mungkin lebih ‘kuat’, dibandingkan dengan jaringan dibawah tanggung-jawabnya. Usaha memperkecil peluang musibah ini, juga dapat dilakukan dengan mengatur packet-filter dengan baik atau menggunakan server modifikasi. Misalnya, kita dapat menyediakan fasilitas anonymous-FTP bagi sembarang komputer dimanapun, tapi authenticated-FTP hanya diberikan pada host-host yang tercantum pada daftar ‘kepercayaan’. Hijacking ditengah jalur dapat dihindari dengan penggunaan enkripsi antar jaringan (end to end encryption).
Kerahasiaan data dan password juga merupakan topik disain security. Program yang didedikasikan untuk packet-sniffing dapat secara otomatis menampilkan isi setiap paket data antara client dengan servernya. Proteksi password dari kejahatan demikian dapat dilakukan dengan implementasi password sekali pakai (non-reusable password), sehingga walaupun dapat termonitor oleh sniffer, password tersebut tidak dapat digunakan lagi.
Resiko hijacking dan sniffing data (bukan password) tidak dapat dihindari sama sekali. Artinya NA harus mempertimbangkan kemungkinan ini dan melakukan optimasi bagi semakin kecil-nya kesempatan tersebut. Pembatasan jumlah account dengan akses penuh serta waktu akses jarak jauh, merupakan salah satu bentuk optimasi.
MEKANISME AUTENTISASISubyek autentisasi adalah pembuktian. Yang dibuktikan meliputi tiga kategori, yaitu: sesuatu pada diri kita (something you are SYA), sesuatu yang kita ketahui (something you know SYK), dan sesuatu yang kita punyai (something you have SYH). SYA berkaitan erat dengan bidang biometrik, seperti pemeriksaan sidik-jari, pemeriksaan retina mata, analisis suara dll. SYK identik dengan password. Sedangkan bagi SYH umumnya digunakan kartu identitas seperti smartcard. \
Barangkali, yang sekarang masih banyak digunakan adalah sistem ber-password. Untuk menghindari pencurian password dan pemakaian sistem secara ilegal, akan bijaksana bila jaringan kita dilengkapi sistem password sekali pakai. Bagaimana caranya penerapan metoda ini?
Pertama, menggunakan sistem perangko-waktu ter-enkripsi. Dengan cara ini, password baru dikirimkan setelah terlebih dulu dimodifikasi berdasarkan waktu saat itu. Kedua, menggunakan sistem challenge-response (CR), dimana password yang kita berikan tergantung challenge dari server. Kasarnya kita menyiapkan suatu daftar jawaban (response) berbeda bagi ‘pertanyaan’ (challenge) yang berbeda oleh server. Karena tentu sulit sekali untuk menghafal sekian puluh atau sekian ratus password, akan lebih mudah jika yang dihafal adalah aturan untuk mengubah challenge yang diberikan menjadi response (jadi tidak random). Misalnya aturan kita adalah: “kapitalkan huruf kelima dan hapus huruf keempat”, maka password yang kita berikan adalah MxyPtlk1W2 untuk challenge sistem Mxyzptlk1W2.
Kalau pada sistem CR, harus diketahui ‘aturan’-nya, maka pada sistem perangko-waktu, kita mesti mengingat password bagi pemberian perangko-waktu ini. Apakah cara seperti ini tidak mempersulit? Beruntung sekali mekanisme tersebut umumnya ditangani oleh suatu perangkat, baik perangkat lunak ataupun dengan perangkat keras. Kerberos, perangkat lunak autentisasi yang dibuat di MIT dan mengadopsi sistem perangko-waktu, mewajibkan modifikasi client bagi sinkronisasi waktu dengan server serta pemberian password perangko-waktu. Modifikasi program client mengingatkan kita pada proxy dan memang, kurang lebih seperti itu. Sistem CR biasanya diterapkan sekaligus dengan dukungan perangkat keras. Contoh sistem CR operasional adalah perangkat SNK-004 card (Digital Pathways) yang dapat diterapkan bersama-sama dengan paket TIS-FWTK (Trusted Information System - internet FireWall ToolKit).
TIS-FWTJ menawarkan solusi password sekali pakai (sistem CR) yang ‘menyenangkan’: S/Key. S/Key menerapkan prosedur algoritma hash iteratif terhadap suatu seed, sedemikian sistem dapat memvalidasi response-client instant tapi tidak mempunyai kemampuan untuk memprediksi response-client berikutnya. Sehingga bila terjadi penyusupan pada sistem, tidak ada ’sesuatu’ yang bisa dicuri (biasanya daftar password). Algoritma hash mempunyai dua sifat utama. Pertama, masukan tidak bisa diregenerasikan dari keluaran (non-reversibel). Kedua, terdapat dua kemungkinan masukan bagi sebuah keluaran yang sama.
ENKRIPSI DAN CRYPTOGRAPHYCryptography telah berkembang sejak lama, ketika orang menginginkan informasi yang ia kirimkan tidak dapat ‘dibaca’ oleh pihak tak berkepentingan. Secara tradisional cryptography dikenal dengan dua mekanisme, kunci privat atau kunci publik. DES (data encryption standard) yang digunakan oleh Kerberos menggunakan sistem kunci-privat. RSA (Rivest Shamir Addleman) mengimplementasikan sistem kunci-publik. Salah satu dari kontributor RSA, Ron Rivest kemudian membuat MD4 (message digest function # 4) yang digunakan oleh S/Key-nya TIS-FWTK. Optimasi dan blasteran antara kedua metoda tradisional ini melahirkan PGP (Pretty Good Privacy). Pembahasan dari DES, RSA, atau PGP merupakan buku tersendiri dan tidak pada tempatnya diungkapkan disini. Tapi yang jelas, sistem kunci-privat dicirikan dengan proses encrypt-decrypt melalui kunci identik, sedangkan pada sistem kunci-publik, proses ini dilakukan dengan dua buah kunci: kunci publik untuk encrypt dan kunci rahasia untuk decrypt dimana kedua kunci ini digenerasikan dan mempunyai relasi dekat melalui sebuah algoritma matematis. Karena diperlukan proses matematis terlebih dulu, kecepatan sistem kunci-publik bisa ribuan kali lebih lambat dari algoritma kunci-privat ekivalen walaupun disisi lain menawarkan proteksi lebih baik. Eksploitasi terhadap kelebihan dan kekurangan sistem kunci privat dan publik dilakukan PGP, dimana untuk transmisi data dilakukan secara sistem kunci-privat dengan session-key sehingga berjalan cepat, sedangkan transmisi session-key- nya sendiri menggunakan kunci-publik.
Dengan enkripsi, informasi yang kita kirimkan ke suatu jaringan melalui jaringan lain yang keamanannya meragukan (internet), relatif lebih terjamin. Enkripsi antar jaringan menyebabkan seorang ‘pencuri’ harus berusaha sedikit lebih keras untuk mendapatkan informasi ilegal yang ia harapkan. Ada beberapa kesempatan bagi implementasi enkripsi, yaitu: pada level aplikasi, level data-link, dan level jaringan.Enkripsi pada level aplikasi mensyaratkan penggunaan perangkat lunak client-server khusus. Sesuai dengan model referensi OSI, enkripsi data-link hanya berlaku untuk hubungan titik ke titik, seperti sistem enkripsi pada modem telepon. Sedangkan enkripsi level jaringan (network layer) diterapkan pada router atau peralatan lain yang bersebelahan dengan jaringan dikedua sisi. Optimasi kepentingan dan kebijakan security dilakukan dengan mengatur jenis/bagian paket IP yang akan dienkrip, penyesuaian terhadap arsitektur firewall dan konsekuensinya, efektifitas distribusi kunci-enkripsi dll. Di masa depan, dimana teknologi VLAN (Virtual LAN) diperkirakan menjadi pilihan utama untuk Intranet (enterprisewide), penggunaan enkripsi level jaringan ini menjadi begitu penting. Barangkali sama pentingnya dengan keadaan sebuah perusahaan yang sementara ini ‘terpaksa’ menggunakan internet sebagai jalur bagi pengiriman informasi sensitif antara kantor pusat dengan cabangnya dibelahan bumi yang lain.
KERBEROS DAN TIS-FWTK AUTHENTICATION SERVERKerberos adalah salah satu karya proyek Athena, kolaborasi antara MIT, IBM dan DEC. Kerberos didisain untuk medukung autentisasi dan enkripsi data pada lingkungan terdistribusi melalui modifikasi client atau server standard. Beberapa vendor sistem operasi telah memasukan Kerberos kedalam produknya. MIT sendiri menyediakan secara free banyak versi Unix yang telah di-Kerberizing. Bahkan bagi kepentingan porting ke sistem operasi atau perangkat lunak client-server yang belum mendukung Kerberos, MIT menyediakan source-code nya, juga secara free. Proyek Athena sendiri mengimplementasikan Kerberos pada banyak aplikasi seperti NFS, rlogin, email, dan sistem password. Secure RPC (Sun Microsystems) juga mengimplementasikan hal yang sama.
Ada beberapa hal yang perlu dipertimbangkan dalam implementasi Kerberos. Modifikasi perangkat lunak client dan server akan menyebabkan pembatasan pilihan aplikasi. Sayangnya juga tidak ada metoda alternatif sebagai pengganti modifikasi source-code (seperti dalam proxy yang membolehkan custom user procedure atau custom client software). Kemudian, umumnya orang juga sepakat untuk menyebut: “Kerberos relatif sulit diterapkan/ dikelola”.
Paket sistem autentisasi lain ditawarkan oleh TIS-FWTK: authentication-server. Server ini didisain secara modular, fleksibel sehingga mendukung banyak mekanisme autentisasi populer seperti sistem password reusable standard, S/Key, card SecurdID dari Security Dynamics (sistem dengan perangko-waktu), card SNK-004 Digital Pathways (sistem CR) serta kemudahan untuk pengintegrasian mekanisme baru. Kembali kepada perbincangan diawal tulisan ini, kalau kepentingan utama kita adalah bagaimana menyiapkan ‘pertahanan’ bagi servis inbound non-anonymous, barangkali authentication-server adalah solusi yang patut dipertimbangkan. Mengapa? Bagaimana sistem ini bekerja? Tidak banyak ruang dalam tulisan ini untuk memuat semua diskusi kita tentang autentisasi, tapi ilustrasi penutup berikut akan memberikan sedikit gambaran bagi anda, peminat security jaringan, menyangkut authentication-server.

Packet Sniffing
Packet sniffing adalah bentuk kawat-tap diterapkan pada jaringan komputer bukan jaringan telepon. Itu datang menjadi mode dengan Ethernet, yang dikenal sebagai jaringan "bersama media". Ini berarti bahwa lalu lintas di segmen melewati oleh semua host yang melekat pada segmen tersebut. Ethernet card memiliki filter yang mencegah mesin host dari melihat lalu lintas yang ditujukan ke stasiun lain. Program Sniffing mematikan filter, dan dengan demikian melihat lalu lintas everyones.

Jaringan saat ini semakin mempekerjakan "switch" teknologi, mencegah teknik ini dari yang berhasil seperti di masa lalu. Hal ini masih berguna, meskipun, seperti yang menjadi semakin mudah untuk menginstal program sniffing remote di server dan router, melalui mana banyak arus lalu lintas.

Hari jaringan sudah dapat mengandung built-in modul sniffing. Hub Kebanyakan mendukung standar RMON, yang memungkinkan penyusup untuk mengendus jarak jauh menggunakan SNMP, yang memiliki otentikasi yang lemah. Banyak perusahaan mempekerjakan Jaringan Associates "Distributed Sniffer Server", yang diatur dengan mudah untuk menebak password. Windows NT mesin sering memiliki "Jaringan Monitoring Agen" diinstal, yang lagi-lagi memungkinkan untuk remote sniffing.

Paket sniffing sulit untuk mendeteksi, tapi bisa dilakukan. Tapi kesulitan dari solusi berarti bahwa dalam prakteknya, hal ini jarang dilakukan.

Popularitas paket sniffing berasal dari kenyataan bahwa ia melihat segalanya. Item khas mendengus meliputi:

SMTP, POP, IMAP lalu lintas
Memungkinkan penyusup untuk membaca e-mail yang sebenarnya.
POP, IMAP, HTTP Basic, Telnet otentikasi
Membaca password dari kawat yang jelas-teks.
SMB, NFS, FTP lalu lintas
Membaca file dari kawat.
SQL databse
Membaca transaksi keuangan dan nomor kartu kredit.

Tidak hanya bisa sniffing membaca informasi yang membantu masuk ke sistem, itu adalah penyusupan dengan sendirinya karena membaca sangat file penyusup ini tertarik

Teknik ini dapat dikombinasikan dengan transimission aktif untuk serangan yang efektif bahkan lebih.

IP spoofing
Ketika program sniffing pada segmen antara dua titik akhir berkomunikasi, penyusup dapat meniru salah satu ujung untuk membajak koneksi. Hal ini sering dikombinasikan dengan penolakan layanan (DoS) serangan terhadap alamat palsu sehingga mereka tidak mengganggu lagi.
mentah mengirimkan
Memungkinkan abonormal lalu lintas yang dihasilkan, seperti banjir TCP SYN, fragmen tumpang tindih, fragmen ilegal, dan sidik jari TCP. Serangan terbaik adalah fragmentasi parah, yang fragmen header TCP untuk mencegah firewall dari penyaringan dengan nomor port.

Alat Packet sniffing biasanya ditulis oleh hacker. Ada banyak ekstensi untuk menarik data yang diinginkan dari jaringan. Yang paling populer adalah program sniffing password.

cara kerja packet sniffing
Packet sniffer menangkap "biner" data melewati jaringan, kebanyakan jika tidak semua sniffer yang layak "decode" data ini ke bentuk yang dapat dibaca manusia. Untuk membuatnya bahkan lebih mudah (bagi manusia) langkah lain terjadi yang dikenal sebagai "analisa protokol". Ada berbagai tingkat analisis yang terjadi, ada yang sederhana, hanya mendobrak "paket" informasi. Lain lebih kompleks memberikan "rinci" informasi tentang apa yang dilihatnya pada paket (yakni, menyoroti password untuk layanan a).

Satu hal yang sangat penting (dan sangat sederhana) untuk dipahami adalah bahwa sniffer harus pada "kawat" yang sama di mana data tersebut berpergian ke. Secara singkat "probing" perangkat yang "menangkap" memiliki data yang akan di kawat yang sama. Data kemudian dapat diteruskan ke komputer decoding pada jaringan yang berbeda.

Situasi: Bob dan John terlibat dalam sesi chatting. Anda berada di kota yang jauh terpisah dari tempat kedua orang itu berada. Bob dan Yohanes sedang berbicara rincian rahasia atas pada kesepakatan kokain. Anda (warga negara yang patuh hukum) mereka memutuskan untuk mengendus sesi chat (dari lokasi Anda) untuk membantu FBI payudara Bob dan John.

Jawaban yang sederhana adalah Anda TIDAK BISA melakukan itu karena Anda tidak memiliki akses ke jalan yang data perjalanan dari! Tentu saja jika Anda hacker baik (atau juga Cracker) maka Anda bisa menginstal sebuah Trojan di komputer Bob atau John's dan menjalankan sniffer dari sistem mereka, sehingga sniffer itu sendiri ada di kabel yang sama.

1.Teknik Session Hijacking

1.Teknik Session Hijacking

Web Application Session
Dalam web aplikasi umumnya pengunjung diharuskan memasukkan username dan password, setelah itu baru pengunjung bisa menikmati beragam fasilitas yang diberikan sampai pengunjung melakukan logout. Mari kita lihat apa yang terjadi ketika pengunjung melakukan login.
Ketika pengunjung memasukkan username (katakanlah “Budi”) dan password yang benar, web server akan memberikan tiket berupa sessionid katakanlah “1234″. Kemudian dalam database akan dicatat bahwa sessionid “1234″ adalah milik seorang pengunjung yang bernama “Budi”. Setiap kali ada request yang membawa tiket sessionid “1234″, server yakin bahwa request itu adalah dari pengunjung yang namanya adalah “Budi”. Tiket ini akan terus valid sampai suatu saat “Budi” melakukan logout. Setelah logout, ketika ada request dengan sessionid “1234″, maka server akan tahu bahwa sessionid itu sudah tidak valid, dan memaksa anda login.
Stealing Session
Bayangkan bila ketika anda keluar bioskop untuk ke toilet, tiket anda jatuh dan saya temukan. Lalu saya masuk ke studio dengan tiket itu, apakah saya diijinkan masuk? Tentu saja boleh! Karena saya memegang bukti tak terbantahkan berupa tiket. Sedangkan anda yang kehilangan tiket tidak akan boleh masuk studio karena penjaga studio tidak hafal wajah anda.
Itulah yang akan terjadi bila seseorang mencuri sessionid. Jika anda sedang baca email dan sessionid anda dicuri orang lain, maka orang lain itu akan bisa juga membaca email anda dan server akan yakin bahwa orang lain itu adalah anda.
Di internet, siapapun yang membawa sessionid anda akan menjadi anda!
Bagaimana cara mendapatkan sessionid korban? Secara garis besar ada 3 kategori teknik untuk mendapatkan sessionid, yaitu predict, capture dan fixate.
Predict
Teknik ini mirip dengan judi togel, yaitu dengan cara menebak-nebak angka. Kemungkinan berhasilnya tergantung dari tingkat ke-acak-an sessionid. Bila sessionid tidak cukup random, bahkan cenderung mengikuti suatu pola, maka kemungkinan sessionid bisa ditebak. Namun umumnya sessionid sekarang sudah menggunakan fungsi random dan ukurannya panjang, sehingga kecil kemungkinan berhasil dengan cara ini (jauh lebih mudah menebak togel yang cuma 4 angka, daripada menebak sessionid).
Capture
(Passive) Sniffing.
Menyadap komunikasi http antara browser korban dan server web. Teknik ini sangat mungkin dilakukan untuk situs yang tidak dilindungi https karena paket http tidak ter-enkripsi.
Man-in-them-middle (MITM).
Situs dengan https tidak bisa disniff secara passive. Man-in-the-middle attack diperlukan untuk sniffing komunikasi antara browser korban dan server yang dilindungi https. Namun tanpa sertifikat yang di-sign CA yang dipercaya browser, serangan ini mudah dicegah karena browser akan memberi warning bahwa sertifikat attacker tidak bisa dipercaya.
Cross Site Request Forgery (CSRF).
CSRF attack bertujuan untuk membuat korban melakukan request yang mengandung sessionid. Bila sessionid disimpan dalam cookie, maka request akan mengandung sessionid dalam header cookie. (baca contoh PoC-nya di membajak session https permatanet). Bila sessionid disimpan dalam URL (url rewriting), maka request akan mengandung sessionid dalam header referer.
Cross Site Scripting (XSS).
XSS dilakukan dengan cara meng-injeksi code javascript (client side script) yang akan dieksekusi oleh browser korban. Code javascript ini bertujuan mengirimkan cookie ke server yang sudah disiapkan attacker. Baca contoh PoC-nya di menjaring password klikBCA dengan XSS.
Fixate.
Kalau menebak dan menyadap sessionid sulit dilakukan, maka cara lain adalah dengan memaksa korban menggunakan sessionid yang sudah dipilih sebelumnya oleh attacker. Serangan ini disebut dengan session fixation attack.
Session Telkom.net
Anda ingin tahu bagaimana rasanya mencuri session? Benarkah bila anda mendapatkan sessionid orang lain, maka anda bisa menjadi orang lain? Untuk membuktikannya, anda harus mencoba sendiri. Contoh kasus yang mudah adalah dalam session webmail telkom.net.
Saya pakai contoh telkom.net karena telkom.net menyimpan sessionid dalam URL, bukan dalam cookie sehingga lebih mudah untuk contoh. Jika anda login ke webmail telkom.net, maka URL anda akan tampak seperti ini:
http://mail.telkom.net/Session/1348362-ri33mMyYqlqEBizKv9lW-kmbcuww/Mailbox.wssp?Mailbox=INBOX
Dalam URL di atas sessionid adalah 1348362-ri33mMyYqlqEBizKv9lW-kmbcuww. Coba saja klik URL di atas. Anda akan melihat halaman login telkom.net dengan pesan error: Anda telah disconnect dari server. Silakan login kembali. Hal itu terjadi karena anda mengakses webmail dengan sessionid yang sudah tidak valid karena sudah pernah logout.
Untuk merasakan mencuri session, coba saja buat account sendiri di mail.telkom.net, kemudian login. Setelah anda berhasil login, copy URL anda lalu berikan URL itu pada teman anda melalui Yahoo Messenger atau Email. Jika teman anda mengklik URL itu, maka teman anda otomatis menjadi anda dan bisa melakukan semua hal yang bisa anda lakukan. Atau anda bisa membuka URL anda di browser yang berbeda, hasilnya akan sama saja, di browser yang lain juga akan terbuka email anda.
Sekarang coba anda logout. Setelah logout, anda buka kembali URL yang sudah anda copy sebelumnya. Kini anda tidak bisa lagi membuka email anda karena sessionid sudah tidak valid.
Kesimpulan
Anda telah mengerti tentang session dan melakukan pencurian session dengan cara manual “Copy-Paste”. Karena artikel ini hanyalah introduction maka saya tidak menjelaskan tentang teknik pencurian session yang lebih canggih. Dalam artikel lainnya saya akan jelaskan teknik pencurian session yang lebih canggih.

Sistem informasi

Sistem Informasi (SI) - atau lanskap aplikasi[1] - adalah kombinasi dari teknologi informasi dan aktivitas orang yang menggunakan teknologi itu untuk mendukung operasi dan manajemen.[2] Dalam arti yang sangat luas, istilah sistem informasi yang sering digunakan merujuk kepada interaksi antara orang, proses algoritmik, data, dan teknologi. Dalam pengertian ini, istilah ini digunakan untuk merujuk tidak hanya pada penggunaan organisasi teknologi informasi dan komunikasi (TIK), tetapi juga untuk cara di mana orang berinteraksi dengan teknologi ini dalam mendukung proses bisnis.[3]

Ada yang membuat perbedaan yang jelas antara sistem informasi, dan komputer sistem TIK, dan proses bisnis. Sistem informasi yang berbeda dari teknologi informasi dalam sistem informasi biasanya terlihat seperti memiliki komponen TIK. Hal ini terutama berkaitan dengan tujuan pemanfaatan teknologi informasi. Sistem informasi juga berbeda dari proses bisnis. Sistem informasi membantu untuk mengontrol kinerja proses bisnis.[4]

Alter berpendapat untuk sistem informasi sebagai tipe khusus dari sistem kerja. Sistem kerja adalah suatu sistem di mana manusia dan/atau mesin melakukan pekerjaan dengan menggunakan sumber daya untuk memproduksi produk tertentu dan/atau jasa bagi pelanggan. Sistem informasi adalah suatu sistem kerja yang kegiatannya ditujukan untuk pengolahan (menangkap, transmisi, menyimpan, mengambil, memanipulasi dan menampilkan) informasi.[5]

Dengan demikian, sistem informasi antar-berhubungan dengan sistem data di satu sisi dan sistem aktivitas di sisi lain. Sistem informasi adalah suatu bentuk komunikasi sistem di mana data yang mewakili dan diproses sebagai bentuk dari memori sosial. Sistem informasi juga dapat dianggap sebagai bahasa semi formal yang mendukung manusia dalam pengambilan keputusan dan tindakan.

Sistem informasi merupakan fokus utama dari studi untuk disiplin sistem informasi dan organisasi informatika.[6]
[sunting]
Komponen

Ini terdiri dari komputer, instruksi, fakta yang tersimpan, manusia dan prosedur.

SI dapat dikategorikan dalam empat bagian:
Sistem Informasi Manajemen
Sistem Pendukung Keputusan
Sistem Informasi Eksekutif
Sistem Pemrosesan Transaksi