security architeture & models

University of Indonesia

Magister of Information Technology

Information Systems Security

Arrianto Mukti Wibowo, M.Sc.,

Faculty of Computer Science


[email protected]



Security Architecture & Models

University of Indonesia – University of Budi Luhur


Tujuan

• Mempelajari berbagai konsep, prinsip

dan standar untuk merancang dan

mengimplementasikan aplikasi, sistem

operasi, dan sistem yang aman.



Topik

• Computer architecture security, security

models (state machine, Bell-LaPadula,

Biba, Clark-Wilson, etc.), systems

architecture, least privilege, domains,

security modes, Orange book, ITSEC,

FIPS, BS/ISO 17799 closed vs. open

systems, certification vs. accreditation,

threats to security models & architecture



Prinsip-prinsip keamanan

• Least previlage: artinya setiap orang hanya diberi hak

akses tidak lebih dari yang dibutuhkan untuk menjalankan

tugasnya.

• Defense in Depth: gunakan berbagai perangkat keamanan

untuk saling membackup. Misalnya dapat dipergunakan

multiple screening router, sehingga kalau satu dijebol,

maka yang satu lagi masih berfungsi.

• Choke point: semua keluar masuk lewat satu (atau

sedikit) gerbang. Syaratnya tidak ada cara lain keluar

masuk selain lewat gerbang.

• Weakest link: “a chain is only as strong as its weakest

link”. Oleh karena itu kita harus tahu persis dimana

weakest link dalam sistem sekuriti organisasi kita.



• Fail-Safe Stance: maksudnya kalau suatu perangkat keamanan

rusak, maka secara default perangkat tersebut settingnya akan ke

setting yang paling aman. Misalnya: kapal selam di Karibia kalau

rusak mengapung, kunci elektronik kalau tidak ada power akan

unlock, packet filtering kalau rusak akan mencegah semua paket

keluar-masuk.

• Universal participation: semua orang dalam organisasi harus

terlibat dalam proses sekuriti.

• Diversity of Defense: mempergunakan beberapa jenis sistem yang

berbeda untuk pertahanan. Maksudnya, kalau penyerang sudah

menyerang suatu jenis sistem pertahanan, maka dia tetap akan

perlu belajar sistem jenis lainnya.

• Simplicity: jangan terlalu kompleks, karena sulit sekali mengetahui

salahnya ada di mana kalau sistem terlalu kompleks untuk

dipahami.



Weakest Link

• “a chain is only as strong as its weakest link”

• “an attacker will attack the weakest security chain”

Facility

personnellPassword

Network

implemementation

Application

implementation

Security

protocol

Cryptographic

algorithm

bribe

Dictionary attack

Port attack

Lousy coding

Bad design

Weak key



System Architecture:

Dimana pengamanannya?

OS logon

screen

File system

level

DB table

access control

Operation &

physical

control

Application

logon

Network

acc. control



Proteksi low level

• Pengamanan yang lebih ke arah

hardware

• Sederhana

• Melebar

• Tidak fleksibel

• Misalnya: write-protect pada USB drive,

IP restriction



Proteksi lapis atas

• Lebih kompleks

• Bisa pada aplikasi atau sistem prosedur

• Lebih fleksibel dan lebih detail kendalinya

• Mengakibatkan menurunnya jaminan

mekanisme keamanan

• Karena butuh ekstra untuk install,

testing/pengujian dan pemeliharaan

• Misalnya: akses kontrol tabel database &

aplikasi



Tingkatan jaminan keamanan

Aplikasi

Services

O/S

Hardware

Fungsionalitas menurun

Kompleksitas sekuriti

menurun

Jaminan keamanan

meningkat

Fungsionalitas

bertambah

Kompleksitas sekuriti

meningkat

Jaminan keamanan

menurun



System Architecture Security

Contoh pada operating systems

Ring 2:

Applications:

web browser, word processor

Ring 1:

OS utilities, device drivers,

file systems,

Ring 0:

Kernel, time sharing, memory

management, etc.



Trusted Computing Base (TCB)

• Kombinasi keseluruhan dari mekanisme

pengamanan dalam sebuah sistem komputer

• Mencakup: hardware, software, dan firmware

• Komponen yang masuk TCB harus

teridentifikasi dan kemampuannya terdefinisi

dgn jelas.

• TCB mengikuti standar security rating tertentu

seperti Orange Book (akan dijelaskan)



Security Perimeter

• Semua komponen yang tidak masuk dalam

TCB.

• Harus ada standar komunikasi, yakni melalui

interface yang sudah defined.

• Contoh:

– Anda membuat program dengan bahasa Java, belum

tentu anda berhak mendapatkan hak akses untuk

manipulasi data pada memori secara langsung.

Pembuatan dan manipulasi data dilakukan melalui

objek-objek dan interface Java Virtual Machine.



Security Models

• Untuk memformalkan kebijakan keamanan organisasi

• Representasi simbolik dari kebijakan, yang harus

dilaksankan oleh sistem komputer

• Security policy sifatnya lebih abstrak dan lebar,

security model adalah apa yang boleh dan tidak secara

teknis

– Analogi: kalau dokter bilang kita harus hidup sehat, ini adalah

„policy‟. Tapi kalau dokter memberikan wejangan: makan

secukupnya, rajin olah raga, jangan suka marah, ini „teknisnya‟



Security Modes

• Dedicated: semua user akses seluruh

data dalam sistem

• Compartemented: semua user bisa

mengakses semua level sekuriti data, tapi

dibatasi pada bidang/area tertentu saja

(pembatasan akses horizontal)



Security Models

• Access Control Matrix Models

• Bell-LaPadula Model

• Biba

• Clark-Wilson Model

• Information Flow Model



Access Matrix Model

File:

Income

File:

Salaries

Process:

Deductions

Print Server

Joe R R/W X W

Jane R/W R - W

Checking

prog.

R R X -

Tax Prog. R/W R/W X W

Object

Subject



Take-Grant Model

• Menggunakan directed graph untuk

mentransfer hak ke subjek lain

• Misalnya A punyak hak S, termasuk

untuk hak mentransfer, pada objek B

Subjek A Objek BS



• Subjek A bisa memberikan haknya

kepada Subjek C, sehingga memiliki

hak atas objek B

Subjek A Objek BS

Subjek CGrant rights to B



Bell-LaPadua Model

• Dibuat tahun 1970-an, untuk militer Amerika Serikat,

untuk pengamanan kerahasiaan informasi

• Menggunakan lattice, tingkatan keamanan militer

yakni:

– Top Secret

– Secret

– Sensitive but unclassified

– Unclassified

• Fokus pada confidentiality



Bell-LaPadua

Unclassified

Top Secret

Secret

ConfidentialRead

OKNO

Write

NO

Read

Biar tidak ada

yang

membocorkan

rahasia

Biar tidak bisa

membaca

rahasia

Biar bisa baca

info umum



Biba Model

• Menjamin integritas data

• Dibuat tahun 1977

• Misalnya, akuntan lebih ingin agar data

keuangan akurat, dan tidak ingin data menjadi

corrupt gara-gara aplikasi/operator tidak

bekerja seperti semestinya (misalnya:

pembulatan, salah ketik, penambahan digit,

dsb.)



Biba Model

Public

Confidential

Sensitive

PrivateNO

Read

Biar tidak

tercampur adukkan

dengan data yang

‘tdk jelas’ asalnya

Biar tidak bisa

mengacaukan

data yg lebih

akurat

NO

Write

Read

OK

Bisa dapat data

yang sahih



Clark-Wilson Model

• User tidak bisa akses objek langsung, tapi

harus lewat suatu program

• File tidak bisa dibuka sembarangan program

(notepad.exe, misalnya), tapi harus lewat

aplikasi khusus

• Bisa menerapkan separation of duties, misalnya

orang yang melakukan entri data (Write) dan

yang membuat laporan (Read), orangnya

berbeda



Information Flow Model

• Tiap objek diberikan security class dan mungkin nilai.

• Informasi hanya bisa mengalir sesuai kebijakan yang

ditetapkan

• Contoh:

Unclassified

Confidential

Confidential

(project X)

Confidential

(project X, Task 1)Confidential

(project X, Task 2)



28

Orange Book

• DoD Trusted Computer System Evaluation

Criteria, DoD 5200.28-STD, 1983

• Provides the information needed to classify

systems (A,B,C,D), defining the degree of trust

that may be placed in them

• For stand-alone systems only

• Windows NT has a C2 utility, it does many

things, including disabling networking



29

Orange book levels

• D - Minimal security. Systems that have been

evaluated, but failed

– PalmOS, MS-DOS, OS/2

• C – Discretionary AC

– C1: user harus teridentifikasi

– C2: user harus pula ada logical access control

– DEC VMS, NT, NetWare, Trusted Solaris



• B – Mandatory AC

– B1: labeled protectioin untuk setiap data object &

tiap subjek harus punya clearence label

– B2: trusted path logon, user tahu dia login ke

mana…

– B3: program yang tidak dirancang untuk B3 tidak

bisa jalan.

– MVS w/ s, ACF2 or TopSecret, Trusted IRIX

• A - Verified protection

– A1: verified design dengan formal method

– Boeing SNS, Honeywell SCOMP



31

Problems with the Orange Book

• Based on an old model, Bell-LaPadula

• Stand alone, no way to network systems

• Systems take a long time (1-2 years) to certify

– Any changes (hot fixes, service packs, patches) break the

certification

• Has not adapted to changes in client-server and

corporate computing

• Certification is expensive

• For the most part, not used outside of the government

sector



32

Red Book

• Used to extend the Orange Book to

networks

• Actually two works:

– Trusted Network Interpretation of the

TCSEC (NCSC-TG-005)

– Trusted Network Interpretation

Environments Guideline: Guidance for

Applying the Trusted Network Interpretation

(NCSC-TG-011)



Certification vs Accreditation

• Certification

– Evaluasi menyeluruh terhadap fitur sekuriti sistem informasi

dalam rangka proses akreditasi bahwa desain dan

implementasi sistem informasi itu telah memenuhi

persyaratan tertentu

• Akreditasi

– Pernyataan formal dari Designated Approving Authority bahwa

sebuah sistem informasi disetujui untuk beroperasi pada:

• mode tertentu

• kontrol/pengamanan tertentu

• resiko tertentu

security architeture & models

Documents