Warnet harus menggunakan Windows? Tentu saja tidak. Bahkan dengan menggunakan Linux, kamu dapat membuat warnet yang memiliki akses lebih ringan dan cepat. Baca disini caranya. CARA MUDAH MEMBUAT WARNET
Note : Jika anda adalah perusahaan atau perorangan yang tidak ingin di rumitkan oleh hal-hal teknis ini, kami menyediakan mode komersial dari system pengendali warnet. Untuk keterangannya dapat di lihat pada komersil Area. Pada komersil area di sediakan fitur-fitur tambahan untuk menunjang operasi warnet pada skala perusahaan.
INSTALASI SERVER
Note !!!: Sistem ini telah diuji di REDHAT LINUX versi 6.2 dan berjalan baik. Untuk linux distro lain belum teruji.
Sediakan sebuah PC yang telah terinstall linux dengan versi kernel 2.2 ke atas. (disarankan RedHat Linux 6.2). PC ini akan digunakan sebagai server. Jangan lupa memasang network card dan modem external pada PC . Untuk linux, sebaiknya digunakan ethernet card PCI dengan chipset RTL 8089. Disamping murah juga mudah penanganannya. Perangkat lunak yang harus ada pada server :
Dialer (wvdial)
named
pppd
Baik wvdal,pppd maupun named sudah tersedia dalam distribusi Redhat linux 6.2
Instalasi Network
Instalasi IP address menggunakan aturan yang di tetapkan RFC 1597 tentang non connected network yaitu :
Network class C menggunakan 192.168.0.0 s/d 192.168.255.255
Network class B menggunakan 172.16.0.0 s/d 172.31.255.255
Network class A menggunakan 10.0.0.0 s/d 10.255.255.255
Misalnya diputuskan menggunakan network class C dengan net address 192.168.1.0. Maka IP server adalah 192.168.1.1 dengan net mask 255.255.255.0.Masuklah sebagai root. Jalan netconf dan isikan IP address dan netmask. Kemudian aktifkan perubahan tersebut. (Jika IP address telah di set pada saat installasi, langkah ini tidak perlu dilakukan lagi.) Periksa configurasi network dengan menjalankan ifconfig. Hasil yang benar akan seperti berikut ini :
[root]# ifconfig
eth0 Link encap:Ethernet HWaddr 00:00:C0:1B:0E:A9
inet addr:192.168.1.1 Bcast:192.168.1.255 Mask:255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:0 errors:0 dropped:0 overruns:0 frame:0
TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:100
Interrupt:3 Base address:0x300
lo Link encap:Local Loopback
inet addr:127.0.0.1 Mask:255.0.0.0
UP LOOPBACK RUNNING MTU:3924 Metric:1
RX packets:74 errors:0 dropped:0 overruns:0 frame:0
TX packets:74 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0
entry pertama (eth0) menandakan bahwa module pengendali network card telah terpasang dengan alamat hardware adalah 00:00:C0:1B:0E:A9 dan IP address 192.168.1.1 . Untuk lebih jelas tentang instalasi network di linux baca NET3 -HOWTO (versi terakhir NET3-4-HOWTO) dari LDP (linux documentation project).
Instalasi Modem
Langkah selanjut buat file dengan nama wvdial.conf dan diletak di directory /etc. Isi dari wvdial.conf adalah sbb :
[Modem0]
Modem = /dev/ttyS0
Baud = 115200
Init1 = ATZ
SetVolume = 0
Dial Command = ATDT
[Dialer Defaults]
Modem = /dev/ttyS0
Baud = 115200
Init1 = ATZ
SetVolume = 0
Dial Command = ATDT
[Dialer warnet]
Username = telkomnet@instan
Password = telkom
Phone = 080989999
Inherits = Dialer Defaults
Stupid mode = 0
Auto Reconnect = off
Konfigurasi diatas berarti modem di sambungkan melalui com1 (ttyS0) dengan baud rate serial 115200. Jika modem disambungkan dengan com2, maka device yang digunakan adalah ttyS1.
Perhatikan pada entry [Dialer warnet]. Contoh di atas adalah jika anda menggunakan telkomnet instan. Untuk ISP lain anda dapat ganti username, password, dan nomor telepon yang berbeda. Auto reconnect dapat anda on / off sesuai dengan kebutuhan. Informasi lebih lanjut tentang wvdial dapat di baca pada manual page wvdial dengan mengetikkan perintah man wvdial
Buat direktory bin pada /root jika belum ada. Buat file dengan nama ppp-off pada direktory /root/bin. Isi dari ppp-off adalah sbb:
#!/bin/sh
######################################################################
#
# Determine the device to be terminated.
#
if [ "$1" = "" ]; then
DEVICE=ppp0
else
DEVICE=$1
fi
######################################################################
#
# If the ppp0 pid file is present then the program is running. Stop it.
if [ -r /var/run/$DEVICE.pid ]; then
kill -INT `cat /var/run/$DEVICE.pid`
#
# If the kill did not work then there is no process running for this
# pid. It may also mean that the lock file will be left. You may wish
# to delete the lock file at the same time.
if [ ! "$?" = "0" ]; then
rm -f /var/run/$DEVICE.pid
echo "ERROR: Removed stale pid file"
exit 1
fi
#
# Success. Let pppd clean up its own junk.
echo "PPP link to $DEVICE terminated."
exit 0
fi
#
# The ppp process is not running for ppp0
echo "ERROR: PPP link is not active on $DEVICE"
exit 1
ubah mode akses dari ppp-off menjadi executable dengan menjalankan perintah
chmod u+x /root/bin/ppp-off
Jalankan perintah berikut ;
wvdial warnet &
Perintah ini akan memicu proses dial ke isp. Modem berbunyi dan pada monitor muncul tampilan sbb:
[root@server init.d]# wvdial warnet &
[1] 947
[root]# -- WvDial: Internet dialer version 1.41
-- Initializing modem.
-- Sending: ATZ
ATZ
OK
-- Sending: ATQ0 V1 E1 S0=0 &C1 &D2 S11=55 +FCLASS=0
ATQ0 V1 E1 S0=0 &C1 &D2 S11=55 +FCLASS=0
OK
-- Modem initialized.
-- Sending: ATDT 080989999
-- Waiting for carrier.
ATDT 080989999
CONNECT 115200
-- Carrier detected. Waiting for prompt.
User Access Verification
Username:
-- Looks like a login prompt.
-- Sending: telkomnet@instan
telkomnet@instan
Password:
-- Looks like a password prompt.
-- Sending: (password)
Entering PPP mode.
Dialer interface address is unnumbered (FastEthernet0)
Your IP address is 202.148.8.106. MTU is 1500 bytes
-- Looks like a welcome message.
-- Starting pppd at Mon Jul 24 15:10:37 2000
Tekan enter jika tidak muncul prompt, kemudian ketikan perintah :
ifconfig
maka pada monitor akan muncul tampilan seperti sebagai berikut :
[root]# ifconfig
eth0 Link encap:Ethernet HWaddr 00:E0:4C:AB:78:67
inet addr:192.168.1.1 Bcast:192.168.1.255 Mask:255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:285 errors:0 dropped:0 overruns:0 frame:0
TX packets:121 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:100
Interrupt:10 Base address:0xd000
lo Link encap:Local Loopback
inet addr:127.0.0.1 Mask:255.0.0.0
UP LOOPBACK RUNNING MTU:3924 Metric:1
RX packets:18 errors:0 dropped:0 overruns:0 frame:0
TX packets:18 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0
ppp0 Link encap:Point-to-Point Protocol
inet addr:202.148.8.106 P-t-P:202.148.8.2 Mask:255.255.255.255
UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1500 Metric:1
RX packets:9 errors:0 dropped:0 overruns:0 frame:0
TX packets:9 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:10
Perhatikan bahwa entry ppp0 harus muncul. Pada entry ppp0, inet addr adalah IP addr disisi server, sedangkan P-t-P adalah IP address di seberang telepon (ISP).
Jika semuanya sudah ok, berarti server telah terkoneksi dengan isp.
Untuk mematikan koneksi ke isp, ketikkan perintah :
/root/bin/ppp-off
Instalasi named
Keterangan lebih lanjut dapat dibaca di DNS Howto
Terlebih dahulu beberapa file harus dibuat, yaitu :
/etc/hosts
/etc/resolv.conf
/etc/named.conf
/var/named/named.ca
/var/named/named.local
/etc/hosts berisi :
127.0.0.1 localhost.localdomain localhost server
192.168.1.1 localhost.localdomain
Isi /etc/hosts ini bersesuai dengan penamaan server saat instalasi network. Dalam hal ini server diberi nama localhost.localdomain dengan alias localhost atau server. 127.0.0.1 Menyatakan alamat loopback. Jadi baik localhost.localdomain, localhost, maupun server adalah domain name dari 192.168.1.1
/etc/resolv.conf berisi :
search localdomain server
nameserver 127.0.0.1
/etc/named.conf berisi :
options {
directory "/var/named";
};
zone "." {
type hint;
file "named.ca";
};
zone "0.0.127.in-addr.arpa"{
type master;
file "named.local";
};
/var/named/named.ca berisi
; This file holds the information on root name servers needed to
; initialize cache of Internet domain name servers
; (e.g. reference this file in the "cache . "
; configuration file of BIND domain name servers).
;
; This file is made available by InterNIC registration services
; under anonymous FTP as
; file /domain/named.root
; on server FTP.RS.INTERNIC.NET
; -OR- under Gopher at RS.INTERNIC.NET
; under menu InterNIC Registration Services (NSI)
; submenu InterNIC Registration Archives
; file named.root
;
; last update: Aug 22, 1997
; related version of root zone: 1997082200
;
;
; formerly NS.INTERNIC.NET
;
. 3600000 IN NS A.ROOT-SERVERS.NET.
A.ROOT-SERVERS.NET. 3600000 A 198.41.0.4
;
; formerly NS1.ISI.EDU
;
. 3600000 NS B.ROOT-SERVERS.NET.
B.ROOT-SERVERS.NET. 3600000 A 128.9.0.107
;
; formerly C.PSI.NET
;
. 3600000 NS C.ROOT-SERVERS.NET.
C.ROOT-SERVERS.NET. 3600000 A 192.33.4.12
;
; formerly TERP.UMD.EDU
;
. 3600000 NS D.ROOT-SERVERS.NET.
D.ROOT-SERVERS.NET. 3600000 A 128.8.10.90
;
; formerly NS.NASA.GOV
;
. 3600000 NS E.ROOT-SERVERS.NET.
E.ROOT-SERVERS.NET. 3600000 A 192.203.230.10
;
; formerly NS.ISC.ORG
;
. 3600000 NS F.ROOT-SERVERS.NET.
F.ROOT-SERVERS.NET. 3600000 A 192.5.5.241
;
; formerly NS.NIC.DDN.MIL
;
. 3600000 NS G.ROOT-SERVERS.NET.
G.ROOT-SERVERS.NET. 3600000 A 192.112.36.4
;
; formerly AOS.ARL.ARMY.MIL
;
. 3600000 NS H.ROOT-SERVERS.NET.
H.ROOT-SERVERS.NET. 3600000 A 128.63.2.53
;
; formerly NIC.NORDU.NET
;
. 3600000 NS I.ROOT-SERVERS.NET.
I.ROOT-SERVERS.NET. 3600000 A 192.36.148.17
;
; temporarily housed at NSI (InterNIC)
;
. 3600000 NS J.ROOT-SERVERS.NET.
J.ROOT-SERVERS.NET. 3600000 A 198.41.0.10
;
; housed in LINX, operated by RIPE NCC
;
. 3600000 NS K.ROOT-SERVERS.NET.
K.ROOT-SERVERS.NET. 3600000 A 193.0.14.129
;
; temporarily housed at ISI (IANA)
;
. 3600000 NS L.ROOT-SERVERS.NET.
L.ROOT-SERVERS.NET. 3600000 A 198.32.64.12
;
; housed in Japan, operated by WIDE
;
. 3600000 NS M.ROOT-SERVERS.NET.
M.ROOT-SERVERS.NET. 3600000 A 202.12.27.33
; End of File
Perlu diketahui bahwa named.ca ini perlu diperbarui secara berkala, dengan mengambilnya melalui ftp seperti yang dijelaskan pada header file.
/var/named/named.local berisi :
@ IN SOA localhost. root.localhost. (
1997022700 ; serial
28800 ; refresh
14400 ; retry
3600000 ; expire
86400 ; default_ttl
)
@ IN NS localhost.
1 IN PTR localhost.
Periksalah apakah named sudah aktif dengan menjalan perintah
ps -e | grep named
jika tidak muncul apa-apa, berarti named belum aktif, jalankan named dengan perintah
/etc/rc.d/init.d/named start
Kemudian dilakukan pengetesan dengan menggunakan nslookup. Aktifkan koneksi ke ISP dengan menjalankan perintah :
wvdial warnet &
tekan enter jika prompt tidak muncul, jalankan nslookup dengan mengetikan :
nslookup
akan muncul prompt sbb :
[root]# nslookup
Default Server: localhost
Address: 127.0.0.1
Kemudian isikan sembarang url, kira-kira seperti ini ;
www.telkom.net
Server: localhost
Address: 127.0.0.1
Name: intern.telkom.net
Address: 203.130.252.36
Aliases: www.telkom.net
www.yahoo.com
Server: localhost
Address: 127.0.0.1
Non-authoritative answer:
Name: www.yahoo.akadns.net
Addresses: 216.32.74.52, 216.32.74.53, 216.32.74.55, 216.32.74.50
216.32.74.51
Aliases: www.yahoo.com
exit
[root]#
Jika ini berjalan seperti di atas, maka sistem berjalan dengan baik. Matikan koneksi ke isp dengan perintah /root/bin/ppp-off.
Instalasi ip chains
IP chains berguna menghubungkan node-node dalam jaringan dengan internet melalui ppp.
Ketikan perintah :
echo 1 /proc/sys/net/ipv4/ip_forward
ipchains -P forward DENY
ipchains -A forward -s 192.168.1.0/24 -j MASQ
Perintah di atas berarti bahwa seluruh node yang terhubung dengan jaringan 192.168.1.0 akan di forward dengan menggunakan masquerade. Jika jaringan anda bukan 192.168.1.0, maka secara umum perintah nya adalah sbb :
ipchains -A forward -s xxx.xxx.xxx.xxx/y -j MASQ
xxx.xxx.xxx.xxx adalah network address, sedangkan y nilainya bergantung pada kelas subnet yang digunakan :
Netmask y Subnet
255.0.0.0
255.255.0.0
255.255.255.0
255.255.255.255
8
16
24
32
Kelas A
Kelas B
Kelas C
Point to point
Keterangan lebih lanjut di LDP Howto-mini IPMASQUERADE-MINI.
Periksa koneksi ipchain dengan perintah
ipchain -L
Hasilnya seharusnya mirip seperti sbb :
[root@server /root]# ipchains -L
Chain input (policy ACCEPT):
Chain forward (policy DENY):
Chain output (policy ACCEPT):
target prot opt source destination ports
MASQ all ------ 192.168.1.0/24 anywhere n/a
Jika semua berjalan dengan baik, maka server siap digunakan.
Prosedure pengaktifan server
Setiap kali server baru di nyalakan, ada 2 prosedure yang harus diaktifkan yaitu named dan ipchains. Langkah-langkah yang harus di jalankan :
/etc/rc.d/init.d/named start
echo 1 /proc/sys/net/ipv4/ip_forward
ipchains -P forward DENY
ipchains -A forward -s 192.168.1.0/24 -j MASQ
Saat akan menghubungkan server ke internet (ISP) jalankan wvdial dengan mengetikan perintah :
wvdial warnet &
dan
/root/bin/ppp-off
untuk memutuskan hubungan dengan internet (ISP);
INSTALASI CLIENT-CLIENT (TERMINAL-TERMINAL).
Client (terminal) dapat menggunakan sembarang OS, tapi disini akan dijelaskan instlasi network pada Microsoft windows 95,98,2000.
Masuk control panel.
Pilih network
Pilih tcp/ip (jika tidak ada tambahkan).
Isi kan ip address sesuai dengan ketentuan RFC 1597 seperti yang telah dijelaskan diatas, dalam hal ini karena server adalah 192.168.1.1, maka client-client adalah 192.168.1.2 s/d 192.167.1.254.
Tambahkan gateway 192.168.1.1 (ip server)
Pada DNS tab, enablekan DNS. Host dan domain diisi sembarang.Tambahkan pada dns search order 192.168.1.1 (ip server).
Restart komputer.
Dalam keadaan server menyala, ping ke server (dari dos prompt ketik ping 192.168.1.1). Hasilnya kira-kira seperti berikut :
D:ping 192.168.1.1
Pinging 192.168.1.1 with 32 bytes of data:
Reply from 192.168.1.1: bytes=32 time=1ms TTL=128
Reply from 192.168.1.1: bytes=32 time
Sambungkan server ke internet (ISP). Kemudian dari client lakukan ping ke sembarang URL. Misalnya ping www. yahoo.com. Jika tersebut mengeluarkan sebuah ip address, maka sistem berjalan dengan baik. Jangan kuatir jika hasil replynya tidak didapat, karena memang agak lama untuk menerima packet kembaliannya.
Jalankan internet explorer atau netscape atau mirc atau icq. Mestinya sih sudah ok.
Senin, 15 Februari 2010
Panduan Security untuk Newbie
Menjadi Newbie bukanlah alasan untuk mengecilkan arti sekuriti dalam Linux, justru masalah sekuriti ini harus mulai dari awal kamu ketahui. Tulisan ini akan membahas apa saja yang perlu kamu ketahui dan lakukan untuk memiliki Linux yang secure.
Alkisah, seorang jagoan Linux membuat sayembara barang siapa bisa membobol mesin Linuxnya akan mendapatkan hadiah $ 1000. Peminat pun datang dari segala penjuru negeri. Mesin Linuxnya ini terhubung ke internet dan diletakkan di dalam ruangan tertutup. Selama berhari-hari, para cracker yang berusaha membobol lewat internet tidak berhasil. Namun ada seorang cracker muda yang mempunyai ide lain. Ia berhasil membujuk petugas pembersih tempat mesin Linux tersebut ditempatkan dengan bayaran $500 untuk membawanya masuk ke dalam ruangan tersebut. Dan setelah berhasil masuk ke dalam ruangan, ia segera menekan tombol reset mesin Linux tersebut, dan memboot masuk ke dalam mode Linux Single! Dengan masuk ke mode Linux Single ini, ia dengan bebas mengubah password root dan dengan demikian, bobol-lah mesin Linux tersebut. Dan ia pun masih mendapat untung $500. Sang jagoan Linux tidak menyangka bahwa akan ada orang yang berusaha membobol Linuxnya dengan cara "fisik".
Cerita tersebut memang merupakan rekaan saja. Namun dari cerita tersebut bisa kita dapatkan gambaran bahwa masalah sekuriti Linux (dan server lainnya pada umumnya), tidak sebatas pada sekuriti dari sisi software saja, tapi juga dari sisi fisik (hardware). Marilah kita bahas masalah sekuriti ini dengan lebih dalam.
Pendahuluan : Root (Super User) dan Normal User
Sebagai sistem operasi yang di desain dengan konsep yang secure, di dalam Linux, dikenal 2 golongan user, yaitu: Super User atau sering disebut juga dengan Root, dan Normal User atau User Biasa. Apa beda antara kedua golongan user ini? Perbedaan mendasar di antara keduanya adalah bahwa Super User / Root memiliki hak dan kemampuan untuk melakukan APAPUN terhadap sistem Linux itu sendiri. Jadi, dengan menggunakan account root, kamu bisa mengubah konfigurasi Linux, menambah/menghapus user, dan bahkan memformat harddisk. Sedangkan User Biasa secara default tidak mempunyai hak dan kemampuan untuk mengubah konfigurasi-konfigurasi penting dari Linux, ataupun hal lain yang berbahaya bagi sistem seperti menghapus file-file sistem atau memformat harddisk. Jadi sebagai contoh, user biasa secara default tidak bisa mengubah tanggal dan waktu dari sistem Linux tempatnya berada. Mungkin ada di antara kamu yang berpikir mengapa untuk mengubah tanggal dan waktu saja harus memakai account Root? Repot amat! Hal ini harus dimaklumi bahwa konsep penggunaan Linux dari awalnya adalah sebagai server yang secure, dan bagi server, tanggal dan waktu ini merupakan komponen yang sangat vital, terutama server-server yang memiliki proses rutin harian seperti proses end of day, dll. Jadi dapat dibayangkan betapa kacaunya kalau user biasa bisa mengubah tanggal / jam di server. Namun jangan khawatir, nanti kita akan pelajari bagaimana memberikan hak-hak "khusus" kepada user sehingga tidak memerlukan account root lagi untuk melakukannya.
Prinsip Dasar Sekuriti : Principle of least Priviledge dan Principle of Minimum Access.
Nah, lho! Apaan tuh! Tenang, kamu akan segera memahaminya. Di dalam sekuriti Linux, terdapat 2 prinsip atau panduan yang harus kita pahami, yaitu Principle of least Priviledge dan Principle of Minimum Access.
Principle of least Priviledge terjemahan bebasnya kira-kira adalah: Prinsip Hak Paling Sedikit. Disini maksudnya adalah, kita harus memberikan sesedikit mungkin hak pada user, program-program, dan bahkan system Linux itu sendiri di dalam menjalankan fungsinya. Pemakaian prinsip ini berguna untuk mencegah bobolnya sistem Linux kita secara tidak sengaja. Jadi misalnya User A hanya akan memakai Linux untuk browsing internet dan chatting, maka jangan berikan hak lainnya yang tidak perlu, misalnya hak untuk mendownload file dari internet, ataupun menjalankan program file manager.
Principle of Minimum Access, seperti yang telah dapat kamu duga, memiliki terjemahan kira-kira sebagai berikut: Prinsip Akses Minimum. Agak sulit menjelaskan hal ini. Tapi secara sederhana maksudnya adalah seperti ini: "Kecuali diizinkan secara spesifik, maka secara default semua hal akan ditolak." Masih bingung? Coba bayangkan Linux kamu pada awalnya adalah tertutup 100% bagi user biasa. User biasa tidak mempunyai akses sama sekali pada Linux tersebut. Bila ia mencoba login, maka ia akan ditolak. Lho, lalu bagaimana caranya ia memakai Linux tersebut? Caranya adalah dengan menentukan SATU per SATU hal apa saja yang bisa ia lakukan. Jadi pada prinsip akses minimum ini, kita menentukan secara sistematis hak apa saja yang ingin kamu berikan pada user yang pada awalnya diset tidak memiliki hak apapun. Jadi mulai dari nol.
Catatan: pengertian "user" di atas, tidak hanya terbatas pada user "orang", tapi juga pada program-program, dan sistem Linux itu sendiri. Untuk mudahnya, kita bisa mengganti kata "user" dengan "program", "browser", dll.
Berdasarkan kedua prinsip di atas, ada beberapa hal yang harus mendapatkan perhatian di dalam sekuriti Linux:
1. Mengamankan Akses User (User Access)
Jika kamu ingin benar-benar membuat sebuah komputer aman, kamu dapat menaruh komputer tersebut sedemikian rupa sehingga tidak ada seorang pun bisa menjangkaunya. Namun tentu saja hal ini akan juga membuat komputer tersebut tidak berguna bagi orang lain. Jadi, yang dapat kamu lakukan adalah membatasi Akses User sehingga system Linux kamu aman, sambil tetap dapat menjalankan fungsinya. Berkaitan dengan mengamankan Akses User ini, terdapat 4 hal yang harus kamu lakukan:
2. Mengamankan Proses Otorisasi User. Secara tradisional semua sistem yang berbasis UNIX menyimpan info user di dalam file /etc/passwd. File ini berisi username, password yang terenkripsi, user ID, group ID dari user tersebut, dan default shell. Nah, file /etc/passwd ini disetel agar bisa dibaca oleh semua program (world readable) yang membutuhkan proses otorisasi. Hal ini mengakibatkan seoarang cracker yang handal bisa mengelabui program-program yang dibuat secara kurang baik, untuk mengirimkan file tersebut ke email sang cracker! Setelah dia berhasil mendapatkan file tersebut, dia bisa menggunakan program pembobol password untuk mengetahui password-password yang ada dalam file tersebut. Bayangkan apa saja yang bisa dilakukan olehnya setelah dia berhasil mengetahui password user ataupun root.
Lalu apa yang bisa kita lakukan untuk mengatasi kelemahan ini? Kita bisa menggunakan yang namanya Shadow password. Dengan program ini, kita bisa "memindahkan" password-password yang tersimpan di dalam file /etc/passwd ke dalam file /etc/shadow. File shadow ini hanya bisa dibaca oleh root atau program yang dijalankan dengan ID root. Dengan demikian bila seorang cracker tetap berhasil memperoleh file /etc/passwd kita, dia tidak akan mendapatkan password apapun di dalamnya sebab semua password telah dipindahkan ke dalam file /etc/shadow.
Masih belum yakin akan keamanan proses otorisasi Linuxmu? Atau kamu ingin mengatur bahwa user A hanya bisa login pada jam 10-12 hari Senin, dan Rabu saja, dsbnya. Untuk melakukan hal ini, kamu bisa menggunakan program bernama PAM (Pluggable Authentication Method). Dengan menggunakan program ini maka tanggung jawab proses otorisasi diserahkan dari program yang bersangkutan (misalnya program login) ke program PAM. Keunggulan dari PAM ini adalah, tersedia banyak modul-modul tambahan yang memberikan tambahan fungsi di dalam proses otorisasi login, seperti mengatur waktu kapan user boleh login (jam, tanggal, hari), servis-servis apa saja yang diminta oleh user, dari terminal mana ia login, dll.
3. Mengamankan Servis (Service) yang berjalan. Sering kali cracker berhasil masuk ke dalam system Linux kita karena kita lalai mematikan servis-servis yang sebenarnya tidak kita perlukan. Lalu bagaimanakah cara kita mengamankan Linux kita dari sisi servis? Kita harus melakukan langkah pengamanan ini mulai dari proses installasi. Jika kita menginstall Linux hanya untuk dijadikan web server, maka otomatis kita tidak memerlukan servis lainnya seperti mail server, news server, dll. Berkaintan dengan hal ini, alangkah baiknya jika kamu berniat memakai Linuxmu sebagai server, kamu TIDAK menginstall program-program berikut ini:
Referensi:
http://linux.about.com/library/bl/open/newbie/blnewbie_toc.htm
http://www.linuxquestions.org/questions/showthread.php?s=&postid=1198783#post1198783
http://www.linuxlinks.com/Beginners/
http://www.faqs.org/docs/lnag/lnag_commands.html
BAntu Share aja heheh
Alkisah, seorang jagoan Linux membuat sayembara barang siapa bisa membobol mesin Linuxnya akan mendapatkan hadiah $ 1000. Peminat pun datang dari segala penjuru negeri. Mesin Linuxnya ini terhubung ke internet dan diletakkan di dalam ruangan tertutup. Selama berhari-hari, para cracker yang berusaha membobol lewat internet tidak berhasil. Namun ada seorang cracker muda yang mempunyai ide lain. Ia berhasil membujuk petugas pembersih tempat mesin Linux tersebut ditempatkan dengan bayaran $500 untuk membawanya masuk ke dalam ruangan tersebut. Dan setelah berhasil masuk ke dalam ruangan, ia segera menekan tombol reset mesin Linux tersebut, dan memboot masuk ke dalam mode Linux Single! Dengan masuk ke mode Linux Single ini, ia dengan bebas mengubah password root dan dengan demikian, bobol-lah mesin Linux tersebut. Dan ia pun masih mendapat untung $500. Sang jagoan Linux tidak menyangka bahwa akan ada orang yang berusaha membobol Linuxnya dengan cara "fisik".
Cerita tersebut memang merupakan rekaan saja. Namun dari cerita tersebut bisa kita dapatkan gambaran bahwa masalah sekuriti Linux (dan server lainnya pada umumnya), tidak sebatas pada sekuriti dari sisi software saja, tapi juga dari sisi fisik (hardware). Marilah kita bahas masalah sekuriti ini dengan lebih dalam.
Pendahuluan : Root (Super User) dan Normal User
Sebagai sistem operasi yang di desain dengan konsep yang secure, di dalam Linux, dikenal 2 golongan user, yaitu: Super User atau sering disebut juga dengan Root, dan Normal User atau User Biasa. Apa beda antara kedua golongan user ini? Perbedaan mendasar di antara keduanya adalah bahwa Super User / Root memiliki hak dan kemampuan untuk melakukan APAPUN terhadap sistem Linux itu sendiri. Jadi, dengan menggunakan account root, kamu bisa mengubah konfigurasi Linux, menambah/menghapus user, dan bahkan memformat harddisk. Sedangkan User Biasa secara default tidak mempunyai hak dan kemampuan untuk mengubah konfigurasi-konfigurasi penting dari Linux, ataupun hal lain yang berbahaya bagi sistem seperti menghapus file-file sistem atau memformat harddisk. Jadi sebagai contoh, user biasa secara default tidak bisa mengubah tanggal dan waktu dari sistem Linux tempatnya berada. Mungkin ada di antara kamu yang berpikir mengapa untuk mengubah tanggal dan waktu saja harus memakai account Root? Repot amat! Hal ini harus dimaklumi bahwa konsep penggunaan Linux dari awalnya adalah sebagai server yang secure, dan bagi server, tanggal dan waktu ini merupakan komponen yang sangat vital, terutama server-server yang memiliki proses rutin harian seperti proses end of day, dll. Jadi dapat dibayangkan betapa kacaunya kalau user biasa bisa mengubah tanggal / jam di server. Namun jangan khawatir, nanti kita akan pelajari bagaimana memberikan hak-hak "khusus" kepada user sehingga tidak memerlukan account root lagi untuk melakukannya.
Prinsip Dasar Sekuriti : Principle of least Priviledge dan Principle of Minimum Access.
Nah, lho! Apaan tuh! Tenang, kamu akan segera memahaminya. Di dalam sekuriti Linux, terdapat 2 prinsip atau panduan yang harus kita pahami, yaitu Principle of least Priviledge dan Principle of Minimum Access.
Principle of least Priviledge terjemahan bebasnya kira-kira adalah: Prinsip Hak Paling Sedikit. Disini maksudnya adalah, kita harus memberikan sesedikit mungkin hak pada user, program-program, dan bahkan system Linux itu sendiri di dalam menjalankan fungsinya. Pemakaian prinsip ini berguna untuk mencegah bobolnya sistem Linux kita secara tidak sengaja. Jadi misalnya User A hanya akan memakai Linux untuk browsing internet dan chatting, maka jangan berikan hak lainnya yang tidak perlu, misalnya hak untuk mendownload file dari internet, ataupun menjalankan program file manager.
Principle of Minimum Access, seperti yang telah dapat kamu duga, memiliki terjemahan kira-kira sebagai berikut: Prinsip Akses Minimum. Agak sulit menjelaskan hal ini. Tapi secara sederhana maksudnya adalah seperti ini: "Kecuali diizinkan secara spesifik, maka secara default semua hal akan ditolak." Masih bingung? Coba bayangkan Linux kamu pada awalnya adalah tertutup 100% bagi user biasa. User biasa tidak mempunyai akses sama sekali pada Linux tersebut. Bila ia mencoba login, maka ia akan ditolak. Lho, lalu bagaimana caranya ia memakai Linux tersebut? Caranya adalah dengan menentukan SATU per SATU hal apa saja yang bisa ia lakukan. Jadi pada prinsip akses minimum ini, kita menentukan secara sistematis hak apa saja yang ingin kamu berikan pada user yang pada awalnya diset tidak memiliki hak apapun. Jadi mulai dari nol.
Catatan: pengertian "user" di atas, tidak hanya terbatas pada user "orang", tapi juga pada program-program, dan sistem Linux itu sendiri. Untuk mudahnya, kita bisa mengganti kata "user" dengan "program", "browser", dll.
Berdasarkan kedua prinsip di atas, ada beberapa hal yang harus mendapatkan perhatian di dalam sekuriti Linux:
1. Mengamankan Akses User (User Access)
Jika kamu ingin benar-benar membuat sebuah komputer aman, kamu dapat menaruh komputer tersebut sedemikian rupa sehingga tidak ada seorang pun bisa menjangkaunya. Namun tentu saja hal ini akan juga membuat komputer tersebut tidak berguna bagi orang lain. Jadi, yang dapat kamu lakukan adalah membatasi Akses User sehingga system Linux kamu aman, sambil tetap dapat menjalankan fungsinya. Berkaitan dengan mengamankan Akses User ini, terdapat 4 hal yang harus kamu lakukan:
- Batasi Akses Fisik ke komputer tersebut. Seperti ilustrasi di atas, walaupun dari sisi software aman, tapi secara fisik komputer tersebut dapat dibobol. Oleh karena itu lakukanlah hal berikut ini untuk mengamankan komputer kamu secara fisik:
- Hidupkanlah Password BIOS. Hal ini untuk mencegah orang iseng masuk ke BIOS dan mengunci komputer kamu.
- Matikan option untuk boot dari floppy disk dan juga CDROM. Hal ini untuk mencegah orang menggunakan disket atau CDROM untuk memboot komputer kamu.
- Edit atau buatlah file /etc/shutdown.allow (jika belum ada) yang berisi nama-nama user siapa saja yang berhak mengshutdown komputer kamu. Jika kamu menginginkan hanya Root yang bisa mengshutdown, buatlah file tersebut kosong. Jadi ketika seseorang yang tidak berhak mencoba menekan tombol Ctrl+Alt+Del untuk merestart, Linux akan menolaknya. Tentu saja orang tersebut masih bisa menggunakan cara lain yaitu dengan cara menekan tombol reset ataupun mencabut kabel power komputer kamu, jadi pastikan bahwa kedua hal ini pun kamu amankan.
- Taruhlah komputer kamu terkunci pada sebuah perabotan yang besar, sehingga jika ada orang yang berusaha mengambilnya akan mengalami kesulitan. Hal ini sama seperti jika kita ingin mengamankan sepeda kita dengan jalan menguncinya pada tiang listrik.
- Membatasi Akses User Biasa. Berdasarkan kedua prinsip sekuriti di atas, kamu harus membatasi hak seorang user biasa sampai seminimum mungkin sambil memperhatikan bahwa ia masih tetap bisa melakukan tugasnya. Jadi misalnya ada seorang user biasa yang hanya membutuhkan fasilitas email dan browsing internet, janganlah kamu berikan hak Telnet (mengkonek Linux dari jauh/ remote).
- Membatasi Akses Super User (root). Karena sifatnya yang sangat powerful, account super user ini harus kamu gunakan jika HANYA perlu saja, misalnya ketika ingin menginstall software tertentu, atau tugas administrasi lainnya. Jangan gunakan account ini untuk melakukan tugas non-administratif seperti browsing internet, chatting IRC, dll, sebab ada kemungkinan seorang cracker berhasil mencuri password super usermu.
- Membatasi semua akses pada saat terjadi keadaan darurat / serangan. Jika suatu ketika kamu menyadari bahwa Linuxmu telah berhasil dibobol orang, hal pertama yang harus kamu lakukan adalah menghentikan semua akses (login) terlebih dahulu, sampai kamu mengetahui apa saja yang telah dibobol dan kamu telah berhasil mengatasinya. Cara menghentikan semua login adalah dengan membuat sebuah sebuah file bernama /etc/nologin. Di dalam file ini kamu bisa masukan pesan bahwa untuk sementara Linux tidak bisa diakses, dan juga waktu perkiraan kapan bisa diakses kembali. Pembuatan file ini mengakibatkan semua user biasa tidak dapat login, dan juga super user hanya bisa login melalui console fisik (keyboard).
2. Mengamankan Proses Otorisasi User. Secara tradisional semua sistem yang berbasis UNIX menyimpan info user di dalam file /etc/passwd. File ini berisi username, password yang terenkripsi, user ID, group ID dari user tersebut, dan default shell. Nah, file /etc/passwd ini disetel agar bisa dibaca oleh semua program (world readable) yang membutuhkan proses otorisasi. Hal ini mengakibatkan seoarang cracker yang handal bisa mengelabui program-program yang dibuat secara kurang baik, untuk mengirimkan file tersebut ke email sang cracker! Setelah dia berhasil mendapatkan file tersebut, dia bisa menggunakan program pembobol password untuk mengetahui password-password yang ada dalam file tersebut. Bayangkan apa saja yang bisa dilakukan olehnya setelah dia berhasil mengetahui password user ataupun root.
Lalu apa yang bisa kita lakukan untuk mengatasi kelemahan ini? Kita bisa menggunakan yang namanya Shadow password. Dengan program ini, kita bisa "memindahkan" password-password yang tersimpan di dalam file /etc/passwd ke dalam file /etc/shadow. File shadow ini hanya bisa dibaca oleh root atau program yang dijalankan dengan ID root. Dengan demikian bila seorang cracker tetap berhasil memperoleh file /etc/passwd kita, dia tidak akan mendapatkan password apapun di dalamnya sebab semua password telah dipindahkan ke dalam file /etc/shadow.
Masih belum yakin akan keamanan proses otorisasi Linuxmu? Atau kamu ingin mengatur bahwa user A hanya bisa login pada jam 10-12 hari Senin, dan Rabu saja, dsbnya. Untuk melakukan hal ini, kamu bisa menggunakan program bernama PAM (Pluggable Authentication Method). Dengan menggunakan program ini maka tanggung jawab proses otorisasi diserahkan dari program yang bersangkutan (misalnya program login) ke program PAM. Keunggulan dari PAM ini adalah, tersedia banyak modul-modul tambahan yang memberikan tambahan fungsi di dalam proses otorisasi login, seperti mengatur waktu kapan user boleh login (jam, tanggal, hari), servis-servis apa saja yang diminta oleh user, dari terminal mana ia login, dll.
3. Mengamankan Servis (Service) yang berjalan. Sering kali cracker berhasil masuk ke dalam system Linux kita karena kita lalai mematikan servis-servis yang sebenarnya tidak kita perlukan. Lalu bagaimanakah cara kita mengamankan Linux kita dari sisi servis? Kita harus melakukan langkah pengamanan ini mulai dari proses installasi. Jika kita menginstall Linux hanya untuk dijadikan web server, maka otomatis kita tidak memerlukan servis lainnya seperti mail server, news server, dll. Berkaintan dengan hal ini, alangkah baiknya jika kamu berniat memakai Linuxmu sebagai server, kamu TIDAK menginstall program-program berikut ini:
- Semua yang berkaitan dengan XWindows, dan XWindows itu sendiri.
- Semua program yang berkaitan dengan multimedia.
- Semua interpreter (program bantu penterjemah proses), kecuali jika benar-benar dibutuhkan. Misalnya jika web servermu hanya melayani Perl, maka jangan install yang lainnya.
- Semua server lainnya yang tidak kamu perlukan, misalnya kamu ingin memakai web server saja, maka jangan install server lain seperti mail server, NIS (Network Information System), Samba, dll.
- Semua file editor lainnya yang tidak kamu pakai.
- Semua program client seperti email client yang tidak akan kamu pakai.
Referensi:
http://linux.about.com/library/bl/open/newbie/blnewbie_toc.htm
http://www.linuxquestions.org/questions/showthread.php?s=&postid=1198783#post1198783
http://www.linuxlinks.com/Beginners/
http://www.faqs.org/docs/lnag/lnag_commands.html
BAntu Share aja heheh
Membuat Gmail Menjadi "Wah"
Rasanya kini banyak dari kita yang menggunakan Gmail untuk sarana free email kita. Bukan saja Gmail merupakan pelopor di dalam memberikan quota mailbox yang gila2an gedenya, tapi juga ia merupakan pelopor di dalam penggunaan Ajax dalam webbased email. Nah, kini dengan Firefox, kita dapat mengubah tampilan Gmail menjadi jauh lebih menarik.
Ini tampilan Gmail standard:
Tampilan wah seperti apa sih? Seperti screenshot berikut ini. Keren kan :)
Bagaimana caranya? Mudah sekali, yaitu dengan menginstall Add-on yang bernama "Better Gmail 2". Bukalah menu Tools > Add-ons. Dan search addon yang bernama Better Gmail 2. Install. Reload Firefox.
Buka kembali menu Tools > Add-ons. Klik 'Preferences' di Better Gmail 2. Pilih Skins: Gmail Redesigned. Ok. Refresh/Reload Gmail. Jadilah Gmail menjadi lebih keren :)
Semoga bermanfaat :D
Langganan:
Postingan (Atom)