SSL, Aman kah ??

Kita tahu bahwa protokol ssl /tls digunakan untuk mengamankan transmisi data kita via jaringan internet. Ssl / tls digunakan khususnya pada saat melakukan transaksi online... misalnya internet banking, paypal, atau pada saat login ke google. Perhatikan ada kata https:// dan bukan http:// biasa. Ada tambahan "s" nya... berarti menggunakan protokol SSL.

SSL / TLS merupakan communication protokol dan diamankan dengan menggunakan eknripsi.
Artinya data yang di-transmisikan akan ter-enkripsi dan harapannya sampai ke tempat tujuan dalam keadaan aman dan utuh seperti sedia kala.

Apakah SSL / TLS aman ? Jika anda berpikiran IYA... Maka anda sama dengan saya sebelumnya....
Namun saat saya menulis artikel ini, saya sadar bahwa SAYA SALAH.
Memang protokol SSL sendiri sudah mengalami perbaikan dari versi awal versi 1.0 sampai dengan versi 3.0. yang kemudian juga dilanjutkan oleh saudaranya TLS versi 1.0.
Sejak versi 3.0, saya pribadi yakin bahwa protokol ini sudah 'aman' untuk sementara.

Ternyata protokol ini dapat diserang dengan menggunakan MiTM _ MAn In The Middle Attack.
Bagaimana cara detailnya ? Saya akan tulis lagi di lain kesempatan.

Saat ini, hati hati dalam melakukan transaksi online maupun akses internet banking. Jangan lakukan di komputer yang sharing seperti warnet. Lakukan dari rumah atau dari notebook / PC anda sendiri.

Thank You for Visiting

Dah cukup lama saya tidak update blog ini. Ternyata masih banyak yang visit ke blog ini dan memberikan komentar maupun sending private email ke saya.
Thank's friend.
Tidak ada yang secure di dunia ini. Ini sering kali saya sampaikan di tiap kesempatan di seputar topik security. Jika situs anda sampai saat ini masih secure alias tidak pernah di hack atau di deface orang. Anda cuma beruntung.
Atau mungkin anda tidak tahu sama sekali bahwa situs anda di hack orang ?

Beberapa waktu lalu forum jasakom juga dihack orang. Ini pembuktian bahwa memang tidak ada yang secure di dunia ini. Situs terkenal seperti Microsoft, Yahoo, AOL dan lainnya juga tidak luput dari serangan. Dengan perkembangan teknologi dengan pondasi Internet ini membuat dunia kecil. Itu kenapa kita pernah dengar kalimat ini "The World is Flat" yang dipopulerkan oleh Thomas Friedman dalam bukunya. Dan kalau kita lihat saat ini sangatlah benar.
Informasi bisa kita dapatkan dengan sangat cepat.

Saya sendiri yakin dan sangat yakin, akan ada teknologi lain yang super canggih yang membuat dunia ini bertambah kecil. Apakah perpindahan manusia dari satu tempat ke tempat lain dalam hitungan detik ala Startrek ? I dun have the answer but I believe it is possible.
Happy reading !

Dosen Tamu di Program S2 Binus

Minggu lalu saya diundang sebagai dosen tamu di program pasca sarjana Binus Master of Information Technology untuk mata kuliah IT Services.
Selama 3 jam kuliah dengan break sekitar 15 menit.

Yang menarik dari sesi ini adalah mahasiswa S2 jauh lebih kritis dibandingkan dengan mahasiswa S1. Yang biasanya malu dan segan untuk bertanya.
Bagi saya sendiri, ini juga pengalaman yang menarik karena untuk pertama kalinya secara formal menjadi dosen :-) walaupun hanya dosen tamu hehe.

Security Risk On Handheld Devices

Baru baru ini para analis security salah satunya Gartner, mengeluarkan analisa mereka bahwa resiko security akan meningkat pada perangkat - perangkat mobile seperti PDA, smart phone dsbnya.

Menurut saya, hal ini sangat wajar dan akan menjadi trend ke depan. Kenapa ?
Alasannya sederhana... semakin canggih satu mobile device seperti smart phone, exposure dan vulnerabilitynya juga akan meningkat.
Semakin satu mobile device perkembangan teknologinya menyamai PC, vulnerabilitynya akan sama dengan yang ada di PC. Masuk akal kan ?

Jadi ke depannya, pemakaiaan transaksi mobile akan semakin marak seperti mobile banking.
Namun security risk juga akan meningkat seiring perkembang teknologi dan jumlah pengguna.

Lalu apa risknya ? Apa ancamannya terhadap mobile device tersebut ?
Ancaman-ancaman tersebut antara lain:
- Malware seperti virus, dan code berbahaya lainnya
- Spam meningkat
- Phishing yang memicu pencurian identitas

XSS In Action - Univ Binus 30 Mei 2008

Begitulah tema seminar di Binus minggu lalu tanggal 30 Mei.
Untuk kesekian kalinya saya hadir kembali atas undangan HIMTI. Seminarnya dibagi atas 3 bagian, yaitu introduction, proof of concept dan prevention. Sebenarnya bicara mengenai XSS tidak butuh waktu yang banyak. Tapi kenyataannya ternyata saya butuh waktu sekitar 2 jam lebih untuk menyampaikan materi mengenai XSS (Cross Site Scripting).

Dengan peserta mencapai sekitar 60-80 orang, dan dari sisi antusiasme mereka. Session ini menjadi cukup menarik. Awalnya saya cuma ingin show ‘video demo XSS’. Dan saya mengurungkan niat untuk show ‘live’ XSS ini. Tapi karena permintaan para peserta, akhirnya saya menunjukkan XSS vulnerability pada salah satu bank lokal.
Yang secara kebetulan (atau sengaja ?) saya temukan pada malam sebelum seminar ini diadakan.

XSS sebenarnya bukanlah sesuatu yang baru. Vulnerability yang sudah lama ini ternyata sampai saat ini masih tetap ‘exist’ dan memegang peranan.
Dan berdasarkan data dari OWASP, XSS menempati urutan pertama pada tahun 2007 lalu.

Belajar Dari Kasus Phishing Bank Niaga

Kasus phishing di Indonesia mulai marak. Beberapa tahun yang lalu saya mengambil contoh-contoh phishing yang terjadi di luar negeri. Phishing tersebut umumnya menjadikan perbankan sebagai target mereka. Contoh-contoh bank tersebut saya publikasikan di buku Hack Attack.

Sesuai dengan prediksi saya, bahwa kasus tersebut juga suatu saat akan terjadi di Indonesia. Yang sering saya sampaikan juga sewaktu memberikan seminar seputar IT security.

Dan ternyata benar !. Tahun lalu sudah ada kasus yang menjadikan target Bank BNI. Dan di awal tahun 2008, Bank Niaga dan Bank Bukopin menjadi target phishing.

Dan saya percaya, bank-bank lainnya suatu saat juga akan menjadi target phishing ini.

Namun kasus phishing di Indonesia masih termasuk ’culun’. Karena masih menjiplak kasus phishing yang terjadi di luar negeri dengan teknik yang sederhana. Yaitu membuat halaman web yang sama dengan bank incaran mereka. Kemudian mengirimkan email dengan teknik spamming dengan harapan ada masuk perangkap mereka.

Teknik pada saat ini yang digunakan juga gampang dikenali bahwa itu adalah situs ’palsu’. Adapun ciri-cirinya adalah:

- Menggunakan nama domain yang tidak sesuai dengan yang asli. Dalam kasus bank niaga ini menggunakan .com.cn (dot com dot cn) padahal situs asli bank Niaga menggunakan .com (dot com)

- URL tidak menggunakan enkripsi SSL yaitu https:\\ seperti situs asli. Saat ini bisa dikatakan tidak mungkin ada lagi online banking atau situs untuk transaksi finansial sama sekali ’plain’ dan tidak menggunakan enkripsi.

Tapi point ini jangan dijadikan patokan, karena mengaktifkan SSL di situs bukanlah hal yang sulit dilakukan.

- Perhatikan email yang dikirim dan juga kata-katanya. Perbankan tidak akan dengan mudahnya meminta password anda ataupun informasi penting lainnya, apalagi dilakukan via email. Biasanya selalu diikuti dengan proses verifikasi terlebih dahulu. Contohnya misal kita melakukan phone-banking ataupun untuk pengecekan berkaitan kartu kredit, sebelumnya ditindak-lanjuti, petugas bersangkutan akan melakukan verifikasi terlebih dahulu.

Saya percaya suatu saat teknik phishing yang terjadi di Indonesia akan berkembang lebih canggih. Dan bisa memakan korban yang banyak. Untuk itu kita semua perlu bersiap. Edukasi para user kita maupun para nasabah bank. Ingat kasus ’pemenang undian berhadiah yang dikirim via SMS”. Kasus SMS ini banyak sekali memakan korban dan sering muncul dalam berita di koran-koran. Teknik seperti ini suatu saat akan dikombinasikan dengan phishing.

Misalnya di email dicantumkan untuk menghubungi nomor toll-free untuk melakukan konfirmasi dan verifikasi. Via telpon jauh bisa lebih men-yakinkan orang daripada via email.

Untuk itu jangan tertipu oleh phishing ! lakukan verifikasi dengan menghubungi call center bank tersebut atau menghubungi cabang bank terdekat! Tapi tidak dengan menghubungi nomor yang ada di EMAIL !

Semoga berguna !. Apabila ada pembaca yang menerima email phishing khususnya phishing di Indonesia, jangan ragu untuk forward ke email saya di harry2009@gmail.com

Seminar di UNDIP - Semarang 11 November 2007

Minggu lalu saya diundang oleh Fakultas Teknik Undip untuk memberikan seminar mengenai 'Ethical Hacker' dengan topik utama sebenarnya mengenai 'Cybercrime'.
Sayangnya Pak Menteri kominfo kita Pak Nuh berhalangan, sehingga digantikan oleh Pak Iwan Setiawan yang juga team dari kominfo.

Namun kehadiran beliau (Pak Iwan) lewat sharingnya banyak memberikan masukan dan inputan ke saya khususnya yang "awam" hukum. Thank's Pak Iwan.


Antusiasme peserta lumayan terbukti dari kehadiran peserta yang tak kurang dari 150 orang. Padahal acaranya di hari Minggu. Namun tidak semudah itu bagi saya untuk menghadiri acara ini karena adanya beberapa halangan antara lain salah satunya - ketinggalan pesawat !.

Oleh karena adanya kecelakaan di tol dalam kota dan macet di tol bandara yang makin hari makin parah. Mungkin suatu saat, untuk naik pesawat mesti berangkat 5 jam sebelumnya !!!! hiks hiks


Setelah menunggu flight jam 7 malam, akhirnya dapat kabar bisa berangkat jam 18.30. Dan ternyata pesawat yang sama yang seharusnya saya naikin itu DELAY !!! Mungkin seat saya sudah dijual sebelumnya :-(


Anyway, sesudah di ruang tunggu sambil menunggu keberangkatan..... saya duduk di counter check in di samping kiri kanan pintu masuk (gate ruang tunggu).

Dan di depan mata ada komputer, timbul iseng saya... saya cek komputer tersebut...
Yang ternyata bisa akses ke source program tersebut.


seperti di gambar ini...


terlihat akses sudah dibatasi, sehingga kita akan hanya bisa menjalakan program yang ada dan tidak bisa kemana2... Biasalah... admin akan mencoba membatasi semampu mereka


Sorry gambarnya mungkin buram karena saya ambil dari HP saya.

Dan sesudah saya utak atik sebentar, ternyata shortcut ke menu 'Run' tidak diproteksi.
saya mendapatkan link share ke servernya hmmm....


lihat gambar ini........so saya berhasil mendapatkan IP server dari aplikasi tersebut berikut dengan source programnya. Dan sebelum naik pesawat saya berhasil mendapatkan password dan username untuk login ke aplikasi check-in tersebut. Caranya ? hmmm
ok. sekian dulu ya.... see you next time

Hack Attack Tools - Upload

Wuiiihhh akhirnya selesai juga... maklum link untuk upload saya lagi lambat.....:-(
enjoy the tools
----------------------------------------------------------------------------------
Thank's untuk teman yang sudah kasih tahu... saya akan pindahkan ke rapidshare.
Mudah2an minggu depan sudah bisa diakses lagi
-------------------------------------------------------------------------------
Akhirnya ingat juga :-( Maklum sudah tua hehehe.... saya upload tools di buku Hack Attack ke link di gudangupload. Feel free untuk di download bila diperlukan.
Untuk beberapa tools yang komersial, anda harus usaha dikit untuk nyari full version nya ya.... Saya percaya anda tahu gimana caranya..... Mangdu ?? hehe

File GFI Languard - size ~ 9MB
http://rapidshare.com/files/65955137/GFI_Languard_5.rar.html

File httrack - size ~ 3 MB
http://rapidshare.com/files/65956431/httrack_Website_Copier.rar.html

File Local Port Scanner size ~ 562 kb
http://rapidshare.com/files/65957063/Local_Port_Scanner.zip.html

File Neo Trace Pro size ~ 1.5 MB
http://rapidshare.com/files/65957403/NeoTracePro.rar.html

File Nmap Windows size ~ 476KB
http://rapidshare.com/files/65957544/nmap-3.75-win32.zip.html

File Phonesweep size ~ 4 MB
http://rapidshare.com/files/65959240/PhoneSweep_War_Dialer.rar.html

File Sam Spade size ~ 1,7 MB
http://rapidshare.com/files/65962527/Sam_Spade.rar.html


File Solarwinds Network Tools size ~ 73 MB
http://rapidshare.com/files/66172673/SolarWinds_Network_Tools.rar.html

File Visual Route size ~ 1,5 MB
http://rapidshare.com/files/66183462/Visual_Route.rar.html

Apabila ada masalah dengan download atau lainnya. feel free untuk email saya ya....

Tools di Hack Attack

Ada beberapa pembaca yang menanyakan langsung ke saya mengenai tools yang digunakan di Hack Attack.
Sebenarnya dalam mencoba atau mempraktekkan apa yang tertulis di Hack Attack. Tidak perlu untuk menggunakan tools yang sama persis. Anda bisa menggunakan tools apapun selama tujuan dan objective yang ingin dicapai sama.
Karena bagi saya sendiri, tools is a tools, yang terpenting adalah mengerti konsepnya.

Anyway, apabila anda kesulitan mendapatkan tool yang di-inginkan. Silahkan email ke saya, tool tersebut. Nanti akan saya provide link untuk mendapatkan tool tersebut.
Apabila tidak ada, akan saya upload ke Internet. :-)

Di buku selanjutnya apabila terdapat tools yang digunakan, saya akan sertakan dalam bentuk CD-ROM. Mudah2an ingat hehehe.
Masalahnya saya belum bisa kasih tahu finalnya kapan buku selanjutnya akan dirilis.
Yang jelas dalam tahap proses pembuatan yang banyak menyita waktu. Doain ya supaya bisa selesai secepatnya. Ada kendala akses Internet, saya menggunakan XL 3G ternyata lambatnya minta ampun. Jadi masih mencari alternatif. Tanpa Internet sulit untuk mempraktekkan apa yang ditulis di dalam buku dan memberikan gambaran yang detail mengenai konsep dan penulisan.

Komputer Anggota Parlemen UK di-Hack Anak 6 Tahun

Kejadian ini terjadi pada akhir bulan Maret 2007 lalu. Di mana seorang gadis cilik berumur meng-hack komputer seorang anggota Parlemen Inggris.

Gadis tersebut hanya butuh waktu 15 detik untuk nge-hack ke komputer anggota MP (member of parliament) tersebut. Ia menggunakan device yang kita kenal dengan sebutan keylogger yang dapat dibeli bebas di Internet dan toko komputer. Informasi yang berhasil didapatkan dari pembobolan ini berupa password, file yang sifatnya top secret dan beberapa data personal dari korbannya tersebut.

Gedung di mana korban dan komputernya dihack tersebut dijaga dengan sangat ketat. Setiap pengunjung harus melewati para penjaga dan sistem scanning berbasis x-ray.

Hal ini patut menjadi perhatian semua orang termasuk kita, bahwa Hacking bukan lagi milik orang IT dan orang yang tahu komputer. Bahkan anak kecil pun berumur 6 tahun pun bisa melakukannya !! Gila !

Botnet - Ancaman Selanjutnya

Botnet sebenarnya bukanlah hal yang baru. Botnet terkenal sejalan dengan perkembangan IRC (Internet Relay Chat). Apa itu botnet sebenarnya ?
Botnet merupakan software atau program semacam 'robot' yang berjalan dengan sendirinya. Kenapa disebut software robot ? Karena dapat diprogram untuk menjalankan dan melakukan seperti yang di-inginkan oleh sang pembuat.

Misalnya bagi komputer yang sudah terpasang botnet, komputer tersebut tersebut bisa diambil alih oleh 'master' nya botnet. Komputer tersebut bisa digunakan untuk melakukan aktifitas dengan DDoS (Distributed Denial of Service). Dan memang uniknya adalah bisa dikontrol dari pusat (masternya). Mirip dengan cara kerja rootkit atau trojan.

Program bot biasanya running secara tersembunyi, seperti halnya rootkit atau spyware. Sehingga user bisa tidak mengetahui keberadaan mereka.
Yang menjadi perhatian, ternyata botnet ini seperti halnya virus, juga mengalami evolusi.
Program botnet saat ini dapat melakukan scanning dan menyebarkan diri mereka sendiri dengan memanfaatkan lubang security dan kelemahan dari password. Mirip dengan cara kerja worm ? Benar ! Tapi yang membedakan adalah worm tidak dapat dikontrol oleh sang pembuatnya.
Botnet ini bisa dikontrol dari pusat. Mirip program remote control, pernah coba pcanywhere (program jebot jaman dulu), remote desktopnya microsoft ?. Program remote control tersebut masih menggunakan resource yang tinggi dari komputer. Namun botnet menggunakan resource yang sedikit, oleh sebab itu user umumnya tidak menyadari keberadaan mereka.

Various Update

Sudah cukup lama saya tidak melakukan update blog ini karena alasan klasik. Namun saya mencoba merangkum atas beberapa hal yang saya dapatkan beberapa pekan ini.
Akhir Januari sampai awal Februari ini saya menghadiri Jasakom Gathering dan juga mengikuti conference di negeri tetangga.

Berawal dari pemberitahuan dari S'to (moderator dan pendiri Jasakom) bahwa mereka mengadakan gathering. (meskipun saya juga ada di milis jasakom namun tidak aktif alias cuma sekedar pengamat saja). Saya diajak dan tertarik untuk ikut serta. Dan boleh dibilang, overall, gathering nya berlangsung dengan baik meskipun sebagain besar dari peserta masih 'malu-malu' untuk mengungkapkan atau ikut aktif dalam sharing seputar pembahasan security.

S'to membahas mengenai ARP poisoning, sniffing dan berbagai teknik hacking lainnya yang terdapat dalam bukunya STH-2. Xnuver (Dani) juga ikut, namun karena satu dan lain hal, kami terpaksa tidak bisa ikut sampai selesai. Detailnya mengenai gathering ini bisa dilihat lebih lanjut di blog nya kilurah :-)

Untuk hasil dari conference yang saya ikutin. IT semakin tidak bisa dipisahkan lagi dari dunia bisnis. Perusahaan-perusahaan yang maju (dalam sharing mereka), bahwa penerapan IT sangat membantu kemajuan dan menunjang bisnis mereka. Ke depan, kita akan mendengar, on-demand IT, SOA (Service Oriented Architecture) yang menurut saya sebagai pengembangan dari konsep ITIL. Meskipun tidak secara eksplisit dikatakan bahwa itu ada kaitannya dengan ITIL itu sendiri.

Kita juga akan melihat sistem dan aplikasi yang dirilis oleh vendor akan menawarkan fungsi yang ter-integrasi (integrated secara fungsional) satu sama lain. Intinya sebagai user kita akan semakin dimanjakan namun di sisi lain, kita harus lebih berhati-hati dalam menggunakan berbagai tools dan system tersebut. Again, faktor security harus selalu dipertimbangkan. Sekian intermezzo dari saya.

Gmail Di-Hack

Awal tahun ini, terdapat berita hangat mengenai Google. Ternyata Google mendapat hadiah Happy New Year dari penggunanya berupa cacat yang ditemukan pada aplikasi mereka yaitu gmail.
Celah security ini memicu kekhawatiran besar bagi pengguna email berbasis web (web based email) seperti gmail.

Problem ini bersumber pada mekanisme yang digunakan oleh Google dalam menyimpan informasi dalam bentuk file Javascript di server mereka. Sebelum google merilis patch atau perbaikan, attacker dapat melakukan ‘overwrite’ terhadap JSON – Javascript Object Notation. JSON ini digunakan oleh Google untuk mengirimkan informasi dari server mereka ke pengguna (user) dan dapat mengakses ke seluruh address book yang disimpan di gmail account user, selama user tersebut melakukan login ke aplikasi goole manapun misalnya blogger.com ataupun lainnya. Cara atau teknik serangan ini sebenarnya bukanlah ‘barang baru’. Teknik serangan ini disebut dengan Cross Site Request Forgery.

JSON ini juga bukanlah barang baru. Salah satu penerapannya, sangat sering kita temui sewaktu kita akses ke situs-situs di Internet. Salah satu fungsi JSON ini memungkinkan aplikasi web mail untuk mengisikan alamat email lengkap dari user yang ada di address book kita, padahal kita hanya mengetikkan beberapa karakter saja. Misalnya pada baris To di email, pada saya ketik har – di baris tersebut sudah akan keluar alamat email dengan awalan har misalnya harry2009@gmail.com

Problemnya menjadi besar karena user bisa visit ke situs manapun yang mereka inginkan. Dan apabila situs yang dikunjungi ternyata sudah terdapat Javascript code “tersebut’, maka list dari contact tersebut akan dapat dibaca dan dicopy. Jadi intinya, user harus login ke gmail terlebih dahulu, kemudian akses ke website yang mengandung kode Javascript tersebut. Namun teorinya, attacker bisa akses ke semua situs dimana user sudah melakukan login, dan tidak terbatas hanya pada web based email saja, tetapi bisa mencakup sampai ke Internet banking dsbnya.

Kredit ini diberikan ke googlified, karena mereka yang pertama kali menemukan flaw ini di google. Saya sempat mencoba code ini, dan memang ternyata sudah di fix oleh Google. Sehingga hasilnya hanya menampilkan satu pop-up windows yang blank.

Ketakutan terbesar dari penemuan ‘cacat’ ini yaitu karena semakin populernya SOA dan Web 2.0. SOA atau Service Oriented Architecture (di lain kesempatan saya akan ceritakan mengenai konsep SOA ini) dan Web 2.0 ini, menggunakan Javascript dan fungsi client-side secara intensif.

Happy New Year 2007

Selamat Tahun Baru 2007. Semoga memberikan semangat yang baru dan kesehatan di tahun 2007 dan seterusnya pada kita semua. Amin!
Banyak yang email ke saya, menanyakan beberapa hal ini:
- di mana bisa mendapatkan hack attack
- blog nya kok jarang di update
- kapan buku ke-2 di rilis

Saya sangat senang menerima email2 ini, karena menunjukan tulisan di hack attack maupun di blog banyak memberikan manfaat. Karena memang ini yang menjadi objective saya dalam menulis. Buku kedua memang sedang dalam proses penulisan. Meskipun saya bukanlah seorang yang perfeksionis, namun saya ingin tulisan saya tersebut menjadi tulisan yang bagus, mudah dimengerti dan enak untuk di-ikuti. Oleh sebab itu, harap bersabar ya. :-)

Untuk blog, saya akan coba untuk lakukan update sesering mungkin.
Salam - HR

Zero day Attack - Unknown Monster

Saya yakin anda yang bergelut di dunia security (saya sering disamakan dengan satpam hehe). Pasti tahu atau minimal pernah mendengar istilah zero day attack. Di Hack Attack juga pernah saya bahas sekilas. Seperti halnya sekilas info di TV.

Dulunya zero day attack ini masih merupakan satu term yang sulit untuk dibuktikan keberadaanya. Artinya orang sering menyebutkan istilah ini, namun dalam prakteknya dikatakan hampir tidak pernah ditemukan ‘zero day’ ini. Menurut saya, bukan tidak ditemukan sebenarnya, tetapi sulit untuk dibuktikan bahwa itu adalah zero day attack. Kasus attack yang melanda beberapa situs besar seperti Microsoft, yahoo, ebay dsbnya beberapa tahun lalu, saya cukup yakin juga melibatkan zero day exploit.

Apa itu sebenarnya zero day ? zero day merupakan satu serangan yang sangat ditakuti saat ini. Karena belum ada ‘obatnya’. Zero day merupakan term yang digunakan untuk refer ke ‘bug’ yang terdapat di software, namun belum pernah dipublikasikan ke umum. Bahkan vendor software tersebut juga tidak sadar bahwa software mereka memiliki bug ini.

Contoh kasus bisa dilihat dari penyebaran worm yang memanfaatkan celah atau lubang security di software untuk di-exploit. Pada kasus worm blaster, blaster membutuhkan waktu sekitar 22 hari setelah pacth dirilis. Namun worm zotox (mudah2an ngak salah tulis) membutuhkan waktu kurang dari 5 hari untuk muncul di permukaan. Hal ini memicu perdebatan bahwa sebenarnya lubang security tersebut sudah ditemukan sebelumnya – yaitu sebelum diketahui oleh vendor pembuat software.

Kasus lainnya, beberapa waktu lalu, sebelum Microsoft mengeluarkan patch untuk IE mereka. Satu kelompok security telah merilis fix untuk menutup lubang security di IE. Dan itu terjadi untuk ke-3 kalinya. (Microsoft kecolongan ?)

Zero day ini membawa satu kekhawatiran di dunia IT akan efek dan bahayanya. Di satu sisi, menambah kerjaan bagi para ahli security, mudah2an ikut memberikan tambahan income hehe.

Knowledge is Free - HR

Skimming - ATM Fraud

Sebenarnya fraud jenis ini bukanlah hal yang baru. Skimming telah terjadi puluhan tahun yang lalu sejak era berkembangnya ATM (Automated Teller Machine) bukan ATM-nya koneksi WAN.

Apa itu Skimming ?
Skimming adalah proses pencurian informasi yang ada di Kartu Kredit maupun kartu debit. Intinya adalah semua kartu magnetic. Cara Skimming adalah melakukan copy data atau informasi yang ada di kartu magnetic tersebut pada saat kartu tersebut di-gesekkan ke mesin transaksi.

Di Indonesiapun, sebenarnya kejahatan model skimming ini, saya yakin sudah lama terjadi. Namun tidak pernah tertangkap basah pelakunya (sejauh yang saya tahu). Ada kejadian pada teman saya, di mana sesudah makan di restoran tertentu, selanjutnya kartu kreditnya di-fraud dengan terjadinya transaksi di kota lain. Meskipun kita tidak bisa bilang bahwa skimming terjadi di resto tersebut, namun ternyata ada kejadian yang mirip.

Ada 2 skenario terjadinya skimmer.
Pertama, pada saat misalnya kita menggunakan kartu kredit misalnya di resto, kartu kita akan dibawa oleh waiternya untuk digesek. Pada saat itu, kartu kredit kita sebenarnya digesek ke mesin dari Bank yang asli DAN ke mesin skimmer. Mesin skimmer dapat menyimpan puluhan sampai ratusan data kartu magnetic. Mesin skimmer bisa diperoleh dengan harga jutaan rupiah (Berkisar 3- juta). Sedangkan mesin pengganda kartu magnetic berkisar 50 - 100 juta rupiah.

Skenario kedua, mesin skimmer yang berukuran kecil ditempelkan ke mesin gesek dari Bank. Pada saat kartu magnetic digesekkan, mesin skimmer juga merekam data kartu tersebut.

Skenario kedua ini kabarnya digunakan pada satu kasus di Surabaya. Yang mana orang ini merupakan pemilik salah satu butik. Caranya, dia memasang skimmer pada mesin gesek kartu debit dan melihat calon korbannya memasukkan pinnya. Cara lainnya, biasanya orang akan menggunakan kamera extra untuk memonitor pemasukan pin ini.

Oleh sebab itu berhati-hatilan menggunakan kartu kredit maupun kartu debit pada saat transaksi. Ataupun pada saat penarikan uang.
Lama-lama orang bisa jadi paranoid terhadap teknologi, yang ternyata banyak disalah gunakan.

Password Breach

Survey yang dilakukan oleh Nucleus Research and Knowledge Storm dan dipublikasi baru-baru ini (Oktober 2006), membuat kalangan para ahli security terkejut.
Ternyata sepertiga atau 1 orang dari 3 karyawan akan menuliskan password mereka di memo, buku catatan ataupun media lainnya.
Hal ini mematahkan password security policy ataupun saran para ahli security, yang mana selalu menekankan penerapan ‘strong password’ dengan kombinasi antara angka, abjad dan karakter unik.

Ternyata saran seperti itu malah membuat user (pengguna) malah merasa password mereka jadi sulit untuk diingat. Sehingga akibatnya, mereka akan menuliskan password tersebut untuk jaga-jaga kalau lupa password tersebut.
Survei tersebut melibatkan sekitar 325 perusahaan yang berada di US. Hal ini memang bukanlah hal baru bagi penulis. Karena penulis selama ber-gerilya di dunia IT, sangat sering menemukan hal seperti ini.

Sekarang hal ini jelas terjadi di US yang merupakan champion untuk perkembangan teknologi IT. Dan jelas juga bahwa user di sana jauh lebih ‘Techie’ dibandingkan dengan di Indo.

Hasil ini jelas menjadi ‘warning’ bagi kita semua yang bergerak di dunia IT khususnya dunia security (satpam) .

Teknik Pump and Dump

Dalam majalah InfoSecurity terbaru, dalam satu artikel disebutkan bahwa 'stock scam' email telah menyebar dengan cepat. Meskipun bukan hal yang baru. Namun ternyata masih banyak investor kecil atau retail yang tertipu.

Dalam seminar saya di Shangrila maupun di Binus, saya juga menyampaikan teknik 'pump and dump' ini. Yang kalau dikombinasikan dengan teknik XSS (CSS) - cross site scripting. Menjadikan teknik yang sangat ampuh untuk mengelabui para calon investor.

Penyebaran email scam ini meningkat sebesar 15% di London dalam beberapa bulan ini.
Dulunya teknik yang digunakan sederhana, artinya hanya menggunakan teknik spam biasa dengan melampirkan data yang meyakinkan. Sama halnya dengan teknik phishing yang lama yang mana penyebaran juga melalui email dan di-lead ke situs yang palsu. Namun sesudah dikombinasikan dengan teknik XSS dan vulnerability di situs analysts maupun situs dari stock exchange. Informasi di dalam email menyangkut informasi saham tertentu yang ingin 'digoreng', menjadikan seakan2 informasi tersebut adalah benar. Karena link yang diprovide dengan informasi palsu tersebu, ditampilkan di situs-situs asli dan legal. Contoh di situs NYSE, situs Nasdaq atau situs para analis.

Contoh gambarannya seperti berikut ini:
Situs NYSE pernah ditemukan vulnerability yang bisa diexploit dengan teknik XSS untuk menampilkan informasi palsu yang dibuat oleh attacker.
Attacker kemudian mengirimkan link tersebut dengan informasi palsu yang meyakinkan.Misalnya saham ABC harga saat ini US$2.30. Karena informasi yang ditampilkan sangat menyakinkan akhirnya membuat calon investor menjadi yakin, dan membeli saham tersebut. Hal ini membuat demand naik... sehingga otomatis harga saham juga akan naik. Misalnay menjadi US & 3.10 berarti kenaikan sudah mencapai lebih dari 30%. Pada saat itu, attacker yang sudah mengumpulkan saham ABC tersebut, menjual di posisi tertinggi yaitu sekitar US $3.10, dan biasanya diikuti oleh investor lain sehingga saham bisa turun kembali ke angka semula di bawah harga US$2.30. Yang berarti attacker sudah mengantongi keuntungan 30% tersebut dalam waktu hanya beberapa hari.

Hal ini memang lumrah dan sering terjadi secara tradisional di Indonesia, di mana sering terjadi saham2 digoreng oleh bandar. Namun di sini teknik di atas masih belum pernah saya temukan di sini. Mungkin karena jumlah investor personal atau retail di luar lebih banyak. Dan investasi di dunia saham, sudah menjadi barang umum di luar.

Cyber Security di Binus

Minggu lalu tepatnya tgl 23 Sep, saya kembali di undang untuk hadir di Binus. Topik yang saya bawakan saat itu, tidak jauh berbeda dengan topik sewaktu di Shangrilla beberapa waktu sebelumnya. Yang berbeda adalah saya memberikan video hasil capture salah satu situs yang memiliki vulnerability CSS.

Seperti biasanya, saking semangatnya sewaktu berbicara, waktu yang diperuntukkan buat saya yaitu 45 menit akhirnya molor menjadi 1 jam lewat 10 menit.

Seminar Web Application Security - Hotel Shangrila

Minggu lalu saya berbicara mengenai web application security di hotel Shangrila.
Ruangan berkapasitas ~ 100 kursi ternyata penuh dan bahkan sebagian harus berdiri. Sebelumnya saya sudah meminta kepada panitia untuk menyediakan kursi tambahan, namun ternyata tidak ada. Untuk itu saya minta maaf kepada yang sudah berdiri karena harus berdiri selama kurang lebih 50 menit. Yang memang ternyata 45 menit tersebut tidak cukup waktu juga, sehingga session Q&A terpaksa ditiadakan.

Seperti biasa, target saya dalam satu forum adalah bahwa para peserta akan mendapatkan tambahan pengetahuan yang baru atau mendapatkan sesuatu yang baru.
Sebelumnya saya melakukan riset terlebih dahulu dan menyita waktu saya cukup banyak. Sama halnya pada saat saya menulis ‘Hack Attack’, yang memakan waktu 1 tahun lebih untuk menghasilkan buku tersebut. Banyak permintaan dan pertanyaan, kapan buku kedua akan di-rilis. Namun sama seperti buku pertama, saya banyak melakukan riset, sehingga untuk buku kedua, para pembaca setia Hack Attack terpaksa harus sedikit bersabar. Karena saya mementingkan kualitas daripada kuantitas. Topik ini juga akan saya masukkan dalam buku Hack Attack selanjutnya.

Latar belakang kenapa saya memilih web application security sebagai topik. Karena ternyata di dunia IT security, bagian ini yang ‘selalu’ terlupakan, seperti lagunya Iwan Fals ‘Yang Terlupakan’ :-). Orang lebih mementingkan network security dibandingkan dengan lainnya. Perlu diingat bahwa security itu ibaratnya bawang. Kalau anda pernah mengupas bawang, terdapat lapisan demi lapisan sampai lapisan terakhir. Demikian halnya dengan security. Security juga terdiri dari beberapa lapisan. Mulai dari lapisan paling luar yaitu perimeter. Lapisan ini yang mem-benteng-i dan memproteksi jaringan internal dari dunia luar. Dilanjutkan dengan lapisan network.

Pada kedua layer ini, security system yang banyak dijumpai adalah firewall, IDS dan IPS. Jadi kalau kita sudah menggunakan teknologi-teknologi di atas ini, apakah kita sudah aman ? Kalau anda merasa “YA”, seperti halnya persepsi ini yang sering terjadi di masyarakat kita. Maka anda salah besar !. Jaringan anda belum aman! Kenapa ? Simak berikut ini.

Dalam 2 bulan terakhir, banyak situs-situs ternama seperti paypal, jpmorgan, ebay, american stock exchange, NYSE diexploit hacker karena terdapat ‘flaw’ atau cacat di aplikasi mereka. Exploit yang digunakan merupakan exploit yang sudah lama ditemukan. Yaitu XSS – Cross Site Scripting.

XSS sendiri awalnya ditemukan sekitar tahun 1985. Yang kemudian banyak sekali digunakan untuk melakukan serang terhadap situs-situs ternama salah satunya adalah hotmail di awal tahun 2000-an.

Yang ternyata sampai saat ini, exploit ini masih sangat umum ditemukan.
Kendala utamanya adalah bahwa dengan perpaduan teknik XSS ini digabungkan dengan teknik Phishing – menjadikan serangan yang menakutkan. (Penjelasan detil Teknik Phishing bisa dilihat di ‘Hack Attack’). Karena serangan tersebut memanfaatkan situs-situs asli dari korban. Sehingga user-user biasa tidak akan tahu atau sadar bahwa mereka menjadi korban phishing. Hal ini dikarenakan akses yang mereka lakukan langsung di situs asli tersebut.

Sebagai contohnya – situs ABC banking mengandung ‘flaw’ XSS bisa dimanfaatkan oleh phisher untuk mengelabui calon korban mereka. Pada saat korban akses yang link yang disediakan oleh hacker (phisher) – biasanya dikirim melalui email-, user akan akses ke situs ABC banking asli. Dan dari link tersebut akan di-route atau dilarikan ke web servernya phisher. Selanjutnya anda sudah tahu apa yang terjadi. Data-data user akan ter-record di situs yang palsu.

Begitulah serangan baru atau teknik phishing terbaru yang juga saya sampaikan dalam seminar ini. Pada teknik phishing yang lama, phisher mengirimkan link ke calon korban mereka. Link tersebut akan menggiring calon korban ke situs langsung – situs palsu dari si phisher.

Yang mana kalau dikombinasikan antara XSS + Phishing = Scary Movie 4.

Selamat siang dan selamat bekerja. Seperti biasanya, saya menunggu input dan komentar pembaca. Bisa dalam bentuk komen langsung di artikel ini atau via email.

Watch Out ! Lubang Security Berbahaya !

Mirosoft telah mengeluarkan patch untuk menutup lubang security yang critical – MS04-060. Patch tersebut bisa didapatkan di link berikut: http://www.microsoft.com/technet/security/bulletin/MS06-040.mspx

Lubang security ini bisa dimanfaatkan oleh worm atau program bot. Sehingga begitu terinfeksi oleh program berbahaya tersebut, komputer bisa digunakan sebagai agent dari DdoS (Distributed Denial of Service) terhadap komputer lain. Sebagai tambahan lain, lubang security ini bisa digunakan sebagai pintu masuk untuk menjalank program-program lain, update dan mematikan windows firewall yang ada di Windows XP SP2 serta mematikan program anti-vrius yang sedang running.

Meskipun saat ini sudah ditemukan 2 varian malware yang meng-eksploitasi lubang security ini yaitu w32.wargbot. Namun sampai hari ini belum ditemukan tanda-tanda serangan yang memanfaatkan lubang security ini lebih jauh. Namun saya sangat menyarankan untuk meng-patch mesin anda sesegera mungkin.

Diperkirakan dalam waktu dekat akan muncul worm yang memanfaatkan lubang security ini.

IP Spoofing

Cukup lama juga saya absen dalam menulis artikel baru. Saya sebenarnya tidak tahu berapa banyak orang yang akses ke web blog saya, karena tidak ada fasilitas tracking di blogspot – kecuali kalau ada yang kasih comment. Namun, seperti biasanya, mudah-mudahan artikel ini bisa berguna.

Bagi orang IT yang sehari-harinya bergelut di dunia security (satpamnya IT), pasti sering sekali mendengar istilah IP Spoofing. Namun bagi orang awam, meskipun ‘pernah’ mendengarnya. Tapi mungkin belum tahu detil cara kerja dan konsepnya.

IP spoofing adalah salah satu teknik yang digunakan untuk mendapatkan akses secara ilegal (unauthorized) ke komputer lain. Hacker mengirimkan data ke komputer lain dengan alamat IP yang seakan-akan berasal dari komputer yang dikenal (trusted).
Agar bisa melakukan IP spoofing, hacker terlebih dulu harus mencari sasaran yang akan dijadikan korban sebagai sumber spoofing, kemudian merubah / intercept paket header data dan dikirimkan ke komputer yang menjadi target.

Jadi jelas bisa kita katakan bahwa tujuan menggunakan spoofing adalah untuk menyembunyikan identitas asli mereka. IP spoofing merupakan salah satu teknik yang populer digunakan. IP spoofing berawal di sekitar tahun 80-an dengan ditemukannya kelemahan pada protokol TCP yang dikenal dengan prediksi urutan atau rangkaian paket TCP (sequence prediction). Hal ini memancing para ahli lain untuk ikut membahas kelemahan ini pada protokol TCP/IP. Kevin Mitnick juga menggunakan teknik untuk meng-hack mesin Profesor Tsutomu Shimomura.

IP (Internet Protocol)

IP merupakan network protokol yang beroperasi pada layer ke 3 dari OSI (Baca artikel OSI layer). IP merupakan protokol yang termasuk ’connectionless’. Artinya tidak ada mekanisme yang dibutuhkan untuk memastikan informasi atau data yang dikirimkan sampai ke tempat tujuan (konfirmasi). Kalau kita membaca atau melihat IP header, dapat terlihat bahwa 12 bytes pertama berisikan informasi mengenai paket data tersebut. Sedangkan 8 bytes berikutnya berisikan alamat sumber dan tujuan. Dengan menggunakan tools tertentu, hacker dapat melakukan modifikasi alamat-alamat tersebut pada IP header – terutama alamat sumber untuk tujuan aktivitas IP spoofing. Karena sifatnya yang ’connectionless’ seperti penjelasan di atas, maka setiap paket data dikirimkan sendiri-sendiri tanpa ada ikatan antara paket satu dengan lainnya.

TCP – Transmission Control Protocol

Lain halnya dengan IP, TCP merupakan protokol yang connection oriented artinya ada langkah (step) konfirmasi yang dibutuhkan dalam komunikasi atau pada saat pengiriman data. Ingat 3-way handshake yang saya bahas di buku ’Hack Attack’ ? OK. Bagi yang belum baca, saya akan bahas sekilas. Pada saat satu host akan mengirimkan data dengan protokol TCP ke host lain, maka host sumber akan mengirimkan kode SYN ke host satunya. Host target kalau sedang idle atau bisa menerima kiriman data, akan reply dengan kode SYN-ACK. Yang kemudian host sumber akan me-reply lagi dengan kode ACK. Kalau di kehidupan sehari-hari, bisa digambarkan sebagai berikut, misalnya saya ingin ke rumah teman saya. Saya akan telpon dulu, ‘Hey, kamu ada di rumah ngak saat ini ?’. Kalau teman saya ngak ada, berarti telpon saya tidak akan direspon (tidak diangkat). Kalau ada, dia bilang, oh bisa, saya lagi ngak ada kerjaan. Berarti teman saya memberikan respon SYN-ACK. Selanjutnya saya akan memberikan konfirmasi ACK, OK, saya akan ke tempatmu sekarang. Jelas ?

Sama halnya dengan IP, TCP juga mempunyai header dalam setiap datagram. 12 bytes pertama dalam TCP header berisikan informasi seperti port dan informasi lain seperti sequence number yang dibutuhkan untuk menyusun kembali urutan data yang dikirimkan atau untuk menentukan paket data perlu di-kirim lagi atau tidak.

Setelah melihat penjelasan di atas dapat kita simpulkan bahwa TCP/IP design mempunyai konsekuensi terhadap berbagai serangan yang menggunakan teknik manipulasi header atau menebak nomor sequence sehingga dapat memicu session hijacking.

Pencegahan IP Spoofing

Lalu bagaimana pencegahan terhadap IP spoofing ?

o Filtering di sisi router.

Implementasi kan ACL (access control list) yang melakukan block terhadap alamat IP private (192.x.x.x atau 10.x.x.x) di sisi interface downstream (dari luar ke jaringan internal). Juga lakukan blok alamat IP di luar alamat valid internal di sisi upstream interface (dari internal ke luar), hal ini untuk mencegah adanya usaha melakukan spoofing dari internal ke luar. Namun cara ini mempunyai kelemahan, yaitu tidak bisa mengontrol jika serangan dilakukan dari dalam (internal attack) terhadap korban di dalam satu jaringan yang sama.

o Menerapkan enkripsi.

Hal ini untuk mencegah packet data di-hijack orang di tengah jalan. Karena data di transmisikan dari sumber ke tujuan dalam bentuk di-enkrip.

Stok Hack Attack Mulai Kosong

Ternyata sambutan terhadap buku saya Hack Attack masih bagus. Terlihat di beberapa toko buku Gramedia, sudah tidak tersedia. Begitu pula stok di jasakom juga sudah habis. Bagi yang kesulitan mendapatkannya, kami bisa bantu untuk beli di toko buku terdekat dengan area kami di Jakarta.

Tidak tertutup kemungkinan juga, dalam waktu dekat, Hack Attack akan memasuki cetakan ke -3 dalam waktu kurang dari setahun.

Surat dari Redaksi Komputek

Sebelumnya, perkenalkan nama saya Rizky Budianto.
Saat ini saya bekerja sebagai seorang Journalist di tabloid Komputek - Jawa Pos Group. Pada tabloid Komputek, saya mengasuh halaman Underground yang mengupas tentang seputar dunia hacking beserta komunitasnya.

Gimana kabar pak harry ??
By the way, saya tertarik dengan gelar CEH dan MCSE anda.
Langsung saja, email yang saya kirimkan ini terkait dengan karya anda yang tertuang dalam buku -- "Hack Attack - Konsep, Penerapan dan Pencegahan."
Meski mungkin sedikit terlambat untuk memiliki buku ini, tapi saya salut dengan tulisan anda. Buku anda benar-benar menarik.

Saya sangat tertarik dengan buku anda. Ketika saya melihat buku tersebut, saya tidak ragu untuk membeli, membaca dan mengkaji-nya berulang-ulang kali. Dan sekali lagi karya anda betul-betul mempesona. Apa yang anda tuliskan seolah mengubah apa yang sulit menjadi hal yang sangatlah mudah.
Saya yakin buku ini adalah best seller dan bacaan wajib disamping terbitan Jasakom yang lain.

Jika saya diijinkan, saya berkeinginan untuk me-reinformasikan keberadaan buku ini lewat tulisan saya di halaman Komputek.
Setelah saya pikirkan, saya punya rencana pada satu halaman di edisi Komputek, saya ingin mengupas buku ini secara menyeluruh (global), dimulai dari topik bahasan sampai dengan proses penulisan beserta profile penulisnya. Saya pikir hal ini menarik dimana pembaca kita diakui atau tidak masih banyak yang men-judge book dari cover-nya.

Jika pak Harry tidak merasa keberatan dengan apa yang saya rencanakan, ada baiknya jika kita bisa segera memulainya.

Disini yang saya butuhkan adalah profile tentang anda, afliasi pendidikan anda, road to hacking sehingga menjadi buku, reason pemilihan topik, ataupun hal-hal lain yang anda rasa menarik.

Saya pikir ini dulu apa yang saya sampaikan. Saya tunggu respon dari pak Harry atas apa yang saya rencanakan ini. Terima kasih atas waktunya disela-sela kesibukan anda. Dan maaf jika ada salah kata pada saya.

Sekali lagi, apa yang saya maksudkan pada email ini tidak lebih dari ketertarikan saya akan buku anda. Saya hanya ingin menginformasikan lebih tentang keberadaan buku anda ini. Karena akan sangat disayangkan jika buku ini terlewatkan begitu saja oleh siapapun yang ingin terarah ke securitas dunia IT.

Sukses bagi anda, serta salam buat rekan-rekan di Jasakom dari seluruh staff Redaksi Komputek.

Thank You,

Rizky Budianto
Redaksi tabloid Komputek - Jawa Pos Group

ITIL Certification

Minggu lalu saya pergi bertapa untuk mendapatkan tambahan embel-embel di belakang nama saya sesudah MCSE, CEH dan sekarang tambah ITIL, meskipun masih level foundation.

Kalimat di atas bukanlah kata porno tapi merupakan istilah satu standard atau Best Practice di dunia IT. ITIL atau Information Technology Infrastructure Library merupakan best practice yang ada saat ini dan sudah banyak digunakan oleh perusahaan berskala internasional.

Apa itu ITIL ? Apa yang dicover di dalamnya ? ITIL pada dasarnya membahas mengenai IT Service Management. Dalam ITIL sendiri dibedakan antara incident dan problem, antara problem, error dan known error. Yang memang kalau ditelusuri lebih lanjut, memang jelas perbedaannya. Istilah-istilah tersebut kadang kita persepsikan sama dalam istilah sehari-hari.

Ada banyak komponen proses di dalam IT Service Management ini dan dibagi atas service support dan service delivery.
Service support sendiri menjelaskan proses dan komponen dalam operasional IT sehari hari seperti Incident Management, Problem Management, Change Management, Configuration Management dan Release Management. Dari proses-proses ini jelas perbedaan antara incident dan problem. Intinya service support menjelaskan proses support dari IT untuk operasional sehari-hari, bagaimana menghandle satu incident sebelum akhirnya masuk ke problem management. Role dari service desk sebagai single point of contact. Peran Release Management dalam melakukan testing suatu teknologi baru sebelum diimplementasi. Dan build knowledge based untuk membantu mempercepat penyelesaian suatu incident.

Bagian lainnya dari IT Service Management ini adalah Service Delivery. Komponen atau proses dari Service Delivery ini adalah Financial Management for IT Services, Availability Management, Capacitiy Management, IT Service Continuity Management, Service Level Management. Pada dasarnya Service Delivery ini merupakan tactical proses artinya untuk mendukung bisnis dari sisi IT Service Management dalam jangka waktu yang lebih lama bukan untuk operasional sehari hari. Contohnya dalam bagian IT Service Continuity Management, kita dalam melakukan Risk Management untuk tahu dan identifikasi risk, menentukan risk level di environment kita, asset mana saja yang punya risk tersebut, service level agreement (SLA) dsbnya.

ITIL (hati-hati bacanya hehe) sangat menarik untuk dipelajari, karena memberikan dasar dan konsep IT sebagai bagian dari service ke customer atau user kita. Bagaimana proses yang baik antara satu entity dengan entity lainnya. ITIL certification sendiri dibagi ke dalam beberapa level yaitu level foundation, practioner dan service manager. Sementara, saya sudah certified untuk level foundation :-)

Respon Pembaca

Respon dari pembaca Hack Attack terus bertambah. Berikut ini ada beberapa respon tambahan
----------------------------------------------------------------------------------

Salam kenal Hr, terima kasih untuk buku Hack Attack yg mengupas pemahaman tentang Hacking secara konseptual dan terstruktur. saya mendapa banyak masukan dari buku tersebut.
Ada yang mau sy tanyakan kepada HR, mengenai OS mana yang baik antara Linux dan Windows?
TQ - Jimmy_edliem@summarecon.com

HR Response : Thank's. Saya senang kalau tulisan saya berguna dan pembaca mendapatkan sesuatu yang baru dari sana. Sehingga tidak sia-sia saya dalam menulis buku tersebut yang memakan waktu saya lebih dari 1 tahun. Meskipun saya bukan penulis yang produktif, tapi saya berkomitmen untuk menghasilkan yang berkualitas. Selamat membaca !:-)

----------------------------------------------------------------------------------

hallo mas harry ..salam kenal yach...namaku yudha yogasara, sekarang Aku masih kuliah diUniversitas gunadarma, semester 2. Dan aku juga sama ikut training CEHdi informatics.Dan syukur akhirnya lulus Juga :)mmm...Aku baru beli bukunya mas harry,,,bagus banged mas...Hacking adslrouter..Aku inget banged seperti yg diajarkan oleh trainer teruscovering tracks...dllhampir semuanya sama dengan yang saya terima sewaktu training CEH...Mungkin ada beberapa materi yang bagus seperti Google Hack....Dansebenarnya saya ingin protes dengan materi yang satu ini...karena sayamenemukan artikel google hack yang hampir sama dengan yang dibuat olehmas harry..Sebelumnya saya minta maaf sekali.... saya tidak ada maksud apapun.Hanya saja saya ingin memastikannya, Apakah benar mas harry mengambilreferensi utk masalah google hack dari artikel yang saya kirim ini...????thanxz a lot..
Yudha - psychozetic@telkom.net

HR Response : sebenarnya agak kebetulan juga hampir sama dengan CEH. Karena bukunya mulai saya tulis sebelum saya tahu mengenai CEH itu sendiri. Referensi saya dalam buku itu bermacam2, dari pengalaman, dari yang saya baca dan saya berbagai sumber. Artikel demystifying google hack, itu juga pernah saya baca. Namun di situ pembahasannya masih sedikit. Google hack mengandalkan kreativitas juga. Anyway, thank's sudah membaca buku saya, Yudha.

Hacking Hotmail, Bisa ???

Pertanyaan seperti ini saya lemparkan ke adik2 dan teman2 di Bina Nusantara selama seminar berlangsung. Awalnya pada diam semua, dan saya yakin di benak mereka, pasti jawabannya adalah 'Tidak Mungkin'. Tapi oleh karena saya push terus dengan pertanyaan yang sama. Akhirnya mulai ada suara - 'Bisa'.

Lalu saya susul dengan tambahan (challenge), kalau bisa, gimana caranya ??? :-)
Dan responnya seketika adalah diam sementara, kemudian ada yang mulai memberikan tanggapan, bisa dengan social engineering (bisa ditebak, karena topik saya bawakan hari itu adalah social engineering). Kemudian saya tanya lagi, metode apa dari social engineering ?
Ada yang menjawab 'shoulder sniffing'. Yang saya benarkan karena itu sangat memungkinkan untuk dilakukan. Ada juga yang memberikan respon, Pakai Keylogger, install agent-agent di setiap PC di warnet.

Ya, itu bisa dilakukan !!
Tapi apakah itu berlaku untuk orang lain di luar sana ?? yang tidak pernah ke warnet ?? Yang bukan merupakan teman kita sendiri, teman kantor atau teman di lab ? Bagaimana caranya untuk mendapatkan account dan password mereka di hotmail ??

Triknya adalah menggunakan social engineering yang memanfaatkan sifat keingin-tahuan manusia. Ingin tahu caranya ? Adik2 dan teman di Binus sudah saya kasih lihat videonya, yaitu capture screen cara2nya.

OK.
Pertama - buat satu account yang terlihat 'valid' misalnya forgot-password@hotmail.com
Kedua - buat satu artikel yang "menyakinkan" bahwa bukan tipu atau boong - yang memuat trik bagaimana untuk melihat password orang lain dengan menyertakan informasi berupa user yang valid berikut dengan password
Ketiga - sesudah selesai, artikel tersebut bisa di-publish atau di email ke calon korban.
Keempat - anda tinggal rutin cek email tersebut dan melihat apakah sudah mendapatkan korban baru......

Artikel ini ditujukan murni untuk edukasi - segala akibat yang ditimbulkan menjadi tanggung jawab masing-masing pembaca.

Hack Attack Cetakan ke-2

Awalnya terlihat buku Hack Attack cukup sukses di pasaran, dan memasuki bulan ke-4, pergerakan penjualan seperti yang saya pantau di toko2 buku mulai melambat. Namun ternyata pergerakannya menggunakan metode 'slow but sure' yang akhirnya bulan lalu sudah memasuki cetakan ke-2, karena masih tingginya permintaan buku tersebut di toko2 buku.
Harapan saya, semoga buku tersebut dapat memberikan tambahan pengetahuan dan senjata dalam menghadapi 'theat' seperti worm, spyware, ataupun penipuan menggunakan metode social engineering. Cheers :-)

Komentar Pembaca (Lagi)

Dear Mas Harry,Saya ucapkan banyak terima kasih terhadap Mas Harry. Dengan terbitnya buku Mas, wawasan dan pandangan saya terhadap dunia security computer semakin banyak bertambah. Tidak hanya itu, sekarang saya mulai bisa sedikit demi sedikit mencoba membenahi kecerobohan dalam mengkonfigurasi PC saya sendiri, yang apabila salah setting sedikit saja, dampaknya akan sangat fatal. Di weblog Mas Harry, ada rencana dalam pembuatan buku kedua yang sedang digarap, saya sangat menyambut dengan antusias! Tapi Mas Harry disitu mengantakan, proses pembuatan buku kedua ini akan lama, dikarenakan untuk meningkatkan mutu, dan kualitas. Terus terang saya sudah tidak sabar menunggu tulisan-tulisan/peluncuran buku kedua. Maka dari itu, bagaimana apabila disamping mengerjakan buku tersebut, Mas Harry juga up to date dalam hal share knowledge di weblog. Saya ucapkan banyak terima kasih sebelumnya. Selamat mengerjakan buku kedua Mas, semoga tambah sukses.

Best Regards

Social Engineering Seminar di Bina Nusantara

Hari Senin kemarin, tgl 5 Juni 2006, komunitas HIMTI dan Statistik mengadakan seminar Social Engineering dan mengundang saya sebagai pembicara. Pada awal, pertama kali saya dikirim undangan sebagai pembicara, saya sempat 'terkejut' :-) karena topik ini ternyata ada peminatnya juga. Dan terus terang, topik ini 'gampang-gampang susah' untuk dipraktekkan maupun dijelaskan secara konseptual. Dan oleh karena approach saya yang selalu berdasarkan konsep dan logic, saya merasa nantinya seminarnya akan menjadi 'dry' dan 'boring'.

Yang memang awal seminar berjalan dengan cukup 'dry' namun, akhirnya dengan beberapa trik, saya berhasil memancing audience untuk ikut aktif melemparkan pertanyaan bahkan bertambah 'hot' dengan pertanyaan2 yang melenceng seputar hacking.
Overall, bagi saya, seminar ini menarik dan semoga memberikan masukan dan tambahan pengetahuan bagi peserta terutama true case and story yang saya bawakan seputar social engineering. Cheers :-)

Who Owns The Net, Rules The World

Saya menuliskan kalimat di atas dalam 'Hack Attack', mungkin anda pernah membacanya. Kalimat ini bukan tanpa alasan atau alias asal, atau akal-akalan. Saya bukan bagian dari kalangan 'hitam' yang mengaku 'putih' dan suka bersandiwara di depan rakyat sendiri.
Sadar atau tidak, saat ini dari sisi teknologi sudah 'dikuasai' oleh dunia Barat. Mereka jauh lebih advance di banding kita. Bahkan secara teknologi kita tertinggal beberapa tahun dari mereka.
Ingat ! di Internet tidak ada yang rahasia. Masih ingat project carnivore ? bahwa teknologi itu dibuat untuk melakukan pengintaian terhadap lalu lintas di Internet ?
Sadarkah bahwa email kita sudah dimonitor juga ?
Apalagi setelah kejadian 911, baik secara terang-terangan ataupun kucing-kucingan, intelijen mereka akan terus melakukan monitor lalu lintas data di Net. Believe me, nothing is confidential on the Net. It is being monitored.
Bagaimana kalau data saya di-encrypt dengan encryption paling canggih !!!

OK. Siapa yang menemukan encryption tersebut ? Apakah mereka tidak akan bisa meng-decrypt ?
Lalu bagaimana data rahasia atau data intelijen dikirimkan ? Saya yakin, masing-masing negara maju mempunyai sistem enkripsi untuk mengirim data rahasia dengan teknik enkripsi yang bukan 'publik' artinya tidak pernah disampaikan ke publik. Dan mereka punya metode dan cara yang juga tidak pernah dibuka ke 'umum', namanya juga rahasia, kalau dibuka ke umum berarti bukan rahasia lagi toh ?

Bedah "Hack Attack' di Universitas Brawijaya Malang

Hari Minggu kemarin tgl 23 April 2006, saya diundang oleh Himpunan Mahasiswa Unbraw jurusan I lmu Komputer untuk membawakan materi "Bedah Buku Hack Attack'. Ruangan yang disediakan ternyata penuh oleh mahasiswa unbraw sendiri, maupun dari kalangan umum. Overall, seminar kali ini merupakan seminar terpanjang yang pernah saya berikan yaitu bicara non-stop selama 3 jam. Disebabkan antusiasme hadirin yang mudah2an bukan karena 'hadiah' dari panitia hehehe.