Public-key infrastructure (PKI), usually meaning digital certificates from a commercial or corporate certificate authority (CA), is touted as the current cure-all for security problems.

Certificates provide an attractive business model. They cost almost nothing to manufacture, and you can dream of selling one a year to everyone on the Internet. Given that much potential income for CAs, we now see many commercial CAs, producing literature, press briefings and lobbying. But, what good are certificates? In particular, are they any good for E-mail? What about free certificates, as with PGP?

For e-mail, you want to establish whether a given keyholder is the person you think or want it to be. When you verify signed e-mail, you hope to establish who sent the message. When you encrypt e-mail to a public key, you need to know who will be capable of reading it. This is the job certificates claim to do.

An ID certificate is a digitally signed message from the issuer (signer or CA) to the verifier (user) associating a name with a public key. But, using one involves risks.

The first risk is that the certificate signer might be compromised, through theft of signing key or corruption of personnel. Good commercial CAs address this risk with strong network, physical and personnel security. PGP addresses it with the “web of trust” – independent signatures on the same certificate.

The next risk is addressed unevenly. How did the signer know the information being certified? PGP key signers are instructed to know the person whose key is being signed, personally, but commercial CAs often operate on-line, without meeting the people whose keys they sign. One CA was started by a credit bureau, using their existing database for online authentication. Online authentication works if you have a shared secret, but there are no secrets in a credit bureau’s database because that data is for sale. Therefore, normal identity theft should be sufficient to get such a certificate. Worse, since credit bureaus are so good at collecting and selling data, any CA is hard pressed to find data for authentication that is not already available through some credit bureau.

The next risk is rarely addressed. ID certificates are good only in small communities. That’s because they use people’s names. For example, one company has employees named: john.wilson, john.a.wilson, john.t.wilson, john.h.wilson and jon.h.wilson. When you met Mr. Wilson, did you ask which one he was? Did you even know you needed to ask? That’s just one company, not the whole Internet. Name confusion in unsecured e-mail leads to funny stories and maybe embarrassment. Name confusion in certificates leads to faulty security decisions.

To a commercial CA, the more clients it has the better. But the more it succeeds, the less meaningful its certificates become. Addressing this problem requires work on your part. You need to keep your namespace under control. With PGP, you could mark keys “trusted” (acting as a CA) only if they certify a small community (e.g., project members), otherwise, you could sign keys personally, and only when the certified name is meaningful to you. With some S/MIME mailers, you could disable trust in any CA that has too many (over 500?) clients and personally mark individual keys trusted instead. Meanwhile, you can print your public key fingerprint (a hash value, sometimes called a thumbprint) on your business cards, so that others can certify/trust your key individually.

There are other risks, also.

Did the issuer verify that the keyholder controlled the associated private key? That’s what the certificate claims.

Does your mail agent check for key or certificate revocation? Few do.

Finally, how well are the computers at both ends protected? Are private keys protected by password, and if so, how strong? Are they used in tamper-resistant hardware or merely in software? Do you have to provide the password for each operation or is it cached? Is the encryption code itself protected from tampering? Are public (root) keys protected at all? Usually they aren’t but they need to be to prevent false signature verification or encryption to an eavesdropper’s key. Can a physical passer-by sign something with the signer’s key or tamper with the software or public key storage? Is your machine always locked?

Real security is hard work. There is no cure-all, especially not PKI.

For more details, see http://www.schneier.com/paper-pki.html.

Rasulullah saw. bersabda, “Siapa saja yang mati tanpa berjihad dan tidak terdorong hatinya (hasratnya) untuk berjihad (berjuang) maka dia mati dalam keadaan munafik. (HR Muslim, Abu Dawud, an-Nasai, dan Ahmad).

Rasulullah saw. bersabda, “Sedikit ilmu lebih baik daripada banyak beribadah. Cukup baik pengetahuan fiqih seseorang jika dia mampu beribadah kepada Allah dengan baik dan cukup bodoh bila seseorang merasa bangga (ujub) dengan pendapatnya sendiri”. (HR ath-Thabrani)

Rasulullah saw. bersabda, “Allah mencintai orang-orang bertakwa dan kecintaan-Nya terhadap pemuda yang bertakwa lebih besar lagi“. (AL-Hadist)

Dari Abi Ayyub bahwa Khalid bin Zaid r.a. berkata, “Aku mendengar Rasulullah saw. bersabda, “Seandainya kalian tidak berbuat dosa, niscaya Allah akan menciptakan makhluk yang berbuat dosa, sehingga mereka pun beristighfar, dan Allah swt pun memberikan mereka ampunan“. (HR Muslim)

Abu Yahya Shuhaib bin Sinan r.a. berkata, “Rasulullah saw. bersabda, “Menakjubkan sekali keadaan orang yang beriman itu, karena seluruh perkaranya baik dan hal itu hanya terjadi pada orang yang beriman. Jika ia tertimpa kenikmatan, ia pun bersyukur, maka hal itu menjadi kebaikan baginya, dan jika ia tertimpa kesulitan ia bersabar, maka hal itupun menjadi kebaikan baginya”.(HR Muslim)

Rasulullah saw. Bersabda,”Mimpi itu ada tiga macam: kabar gembira dari Allah, angan-angan dalam hati, dan sesuatu yang menakutkan dari setan“.(HR at-Tirmidzi)

Rasulullah saw. Bersabda, “Allah mencintai orang-orang yang dermawan dan kecintaan-Nya kepada orang miskin yang dermawan lebih besar lagi“. (Al-Hadist)

Rasulullah saw. Bersabda, “Diantara wahyu Allah kepada Nabi Dawud a.s. ialah,”Tiada seorang hamba yang taat kepada-Ku melainkan Aku memberinya sebelum dia meminta. Aku mengabulkan permohonannya sebelum dia berdoa, dan Aku mengampuni dosanya sebelum dia mohom pengampunan (istighfar)“. (HR ad-Dallami)

Rasulullah saw. bersabda, “Allah mencintai orang-orang yang rendah hati (tawadhu’) dan kecintaan-Nya kepada orang kaya yang rendah hati lebih besar”. (Al Hadist)

Demi yang jiwa Muhammad dalam genggaman-Nya, tidaklah seseorang tergores dahan kayu, tersandung akar pohon atau batu, dan kakinya jatuh terpleset kecuali akibat dosa yang diperbuatnya tetapi dosa-dosa yang Allah maafkan lebih banyak. (Al-Hadits dari Tafsir Ibnu Katsir)

Tambah Karyawan

Microsoft Fokus ke Kriptografi

Dewi Widya Ningrum – detikinet

Jakarta – Microsoft melalui lembaga penelitiannya di India berencana menggandakan jumlah karyawan inti yang ada saat ini. Penambahan ini akan dilakukan selama 18 bulan mendatang. Dengan begitu, akan ada 100 karyawan inti yang bekerja di Microsoft Research.

Para karyawan tersebut secara berangsur-angsur akan difokuskan untuk meneliti masalah yang berkaitan dengan keamanan dan kriptografi. Sebagai informasi, kriptografi adalah ilmu yang berkonsentrasi pada keamanan informasi dengan memakai teknik matematis dan linguistik.

Senior Wakil Presiden Microsoft Research, Rick Rashid, mengatakan kriptografi adalah salah satu bidang utama riset Microsoft saat ini.

“Kriptografi saat ini tengah populer karena sangat berpengaruh pada keamanan komputer, hak cipta media, dan manajemen,” ujar Rashid seperti dikutip detikinet dari Softpedia Senin (16/1/2006).

Sementara itu Direktur Manajemen Riset Microsoft di India, Padmanabhan Anandan, mengatakan Microsoft memutuskan untuk berkonsentrasi pada kriptografi di India, guna meningkatkan level keahlian matematis yang ada di negeri tari perut itu. Menurutnya, sangat penting untuk melakukan riset di bidang kriptografi.

Kabar dari markas Microsoft, Redmond, Amerika Serikat menyebutkan India akan difasilitasi untuk mengembangkan teknik kriptografi baru, seperti enkripsi, dekripsi, dan otentifikasi algoritma. India juga akan difokuskan untuk menganalisa dan merusak algoritma yang ada. Hal itu disampaikan Ramarathnam Venkatesan, Senior Peneliti Cryptography Microsoft Research di Redmond.

Venkatesa menambahkan para karyawan juga akan difokuskan pada kriptografi untuk perangkat yang lebih kecil, seperti ponsel dan perangkat radio frequency identification (RFID). Untuk memuluskan rencana ini, raksasa software itu rencananya akan menjalin kerjasama dengan lembaga pendidikan, dan mematenkan hasil penelitian.

Berbicara tentang kecanggihan perkembangan Teknologi Informasi dan Komunikasi ini maka tidak lepas dari teknologi komputer itu sendiri. Komputer terdiri dari suatu rangkaian peralatan elektronik yang bekerja secara bersama-sama, untuk dapat berfungsi menangani berbagai macam pekerjaan mulai dari yang sangat sederhana sampai pada tingkat pekerjaan yang sangat kompleks/rumit.

Komputer merupakan sebuah sistem yang terdiri dari tiga komponen utama yaitu Hardware (perangkat keras), Software (perangkat lunak) dan Brainware (perangkat manusia/user). Hubungan antara ketiga komponen tersebut tidak dapat dipisahkan, untuk dapat mencapai fungsi komputer sebagai produk berteknologi canggih dalam menangani berbagai macam pekerjaan. Hardware sebagai komponen fisik dari sistem komputer yang terdiri dari peralatan Input, Proses, Output dan Media penyimpan data merupakan satu kesatuan yang bekerja secara besama-sama, sehingga dapat difungsikan.

Ketiga komponen dalam sistem tersebut Hardware, Software dan Brainware akan melakukan proses meng-input data, memproses (proccesing) dan menghasilkan output yang berupa produk informasi yang dibutuhkan.

Teknik ini tidak dapat digunakan lagi pada zaman sekarang karena teknik ini terlalu sederhana. Secara gitu loh, teknologi sekarang kan sudah hebat and canggih… bisa di cryptanalysis hanya beberapa detik.. bukan sombong, tapi memang benar kenyataannya seperti itu.

Enkripsi pada teknik Caesar Cipher ini menggunakan teknik pergeseran alphabet 3 langkah kekiri dari abjad A sampai dengan Z. Jadi, setiap karakter alphabet digantikan dengan karakter alphabet yang lain. Yuks kita liat contoh penyandiannya:

Kunci A = D

Plainteks

N

O

P

Q

R

S

T

U

V

W

X

Y

Z

Cipherteks

Q

R

S

T

U

V

W

X

Y

Z

A

B

C

Misal:

Isi sebuah pesan (plainteks) adalah sebagai berikut:

“AKU CINTA KAMU”

Maka jika disandi dengan menggunakan teknik Caesar cipher akan menghasilkan cipherteks sebagai berikut:

“DNXFL QWDND PX”

Sekarang coba kamu pecahkan cipherteks dibawah ini dengan kunci A = F

“XJQFR FYDFM PFRZY JQFMG JWMFX NQRJR GZPFS DF”

Selamat Mencoba yah … J

Kriptografi berasal dari kata kriptos yang artinya rahasia dan graphein yang artinya menulis. Menurut Bruce Schneier, kriptografi adalah seni dan ilmu untuk menjaga pesan rahasia agar tetap aman. Kriptografi adalah salah satu cabang ilmu algoritma matematika. Orang yang mempelajari dan menggemari kriptografi disebut cryptographer, sedangkan orang yang berusaha untuk memecahkan sandi kriptografi tersebut disebut cryptanalyst.

Kriptografi merupakan teknik enkripsi atau teknik penyandian yang mengubah pesan, dari pesan yang bisa dibaca (plaintext) menjadi pesan yang acak dan sangat sulit diartikan (ciphertext). Untuk dapat membaca pesan yang sudah disandi (enkrip), diperlukan teknik kebalikannya yaitu dekripsi. Kriptografi beda loh dengan steganografi (apaan lagi tuh??). Emang sih tujuannya sama yaitu untuk mengamankan pesan/berita agar tidak diketahui oleh orang lain yang tidak berhak untuk mengetahuinya. Kriptografi berkembang dari tahun ke tahun dari abad sebelum masehi sampai sekarang, dari zaman Julius Caesar sampai zaman computer dan internet .

Jaman dulu, teknik sandi yang digunakan sangatlah sederhana tidak serumit saat ini. Misalnya dengan menggunakan Caesar Cipher (teknik ini dibuat sendiri oleh Julius Caesar loh… ). Kalo saat ini teknik kriptografi dibagi dua, yaitu: asimetrik dan simetrik. Teknik asimetrik contohnya adalah Kunci Publik (Public Key) sedangkan untuk simetrik dibagi lagi menjadi dua, yaitu block cipher dan stream cipher. Untuk pengetahuan lebih lanjtnya akan dibahas pada blog selanjutnya…. J