Macam-Macam Cara Pengamanan Password di Situs Internet
Tentunya saat ini kita memiliki akun di situs/website yang membutuhkan login pengguna untuk mengaksesnya seperti Facebook, Yahoo, Google dan lain-lain. Akun tersebut hanya bisa kita buka setelah kita mengisi user name atau email dan password yang kita miliki dengan benar. Dan jika data user name dan password kita jatuh di tangan pihak yang tidak bertanggung jawab tentunya dapat menimbulkan masalah dan kerugian bagi kita karena mereka bisa mengakses data-data pribadi kita. Para peretas (hacker) dapat melakukan berbagai cara untuk mengambil data user name dan password. Untuk itulah keamanan data login pengguna merupakan hal yang sangat penting.
Ada beberapa cara bagi sebuah situs untuk menyimpan data password penggunanya di database mereka. Berikut ini adalah contoh beberapa metode yang biasanya digunakan :
1. Plain Text
Cara ini adalah cara yang paling sederhana, yaitu pemilik situs langsung menyimpan password kita di database mereka tanpa diolah terlebih dahulu. Jadi apapun yang kita isi di kotak password saat mendaftarkan akun kita di sebuah situs, itulah yang terbaca di database. Misalnya kita mengisi password "abcd1234" maka di kolom password yang ada di database mereka juga "abcd1234". Dengan alasan keamanan, metode ini merupakan yang paling buruk untuk penyimpanan password.
2. Basic Encryption
Untuk meningkatkan perlindungan terhadap password maka dibutuhkan enkripsi sebelum data tersebut disimpan di database. Enkripsi adalah pengacakan karakter yang dilakukan secara otomatis oleh sistem sehingga menghasilkan sebuah data yang berbeda dari data aslinya. Pengacakan ini membutuhkan sebuah "kunci" yang berupa sebuah karakter atau lebih. Dengan menggunakan metode enkripsi dasar ini, maka apabila ada orang yang melihat password kita di database, yang dilihatnya itu merupakan karakter acak yang tidak dapat digunakan langsung untuk login akun kita kecuali dilakukan dekripsi terlebih dahulu. Dekripsi adalah kebalikan dari enkripsi yaitu untuk mengembalikan karakter acak ke data aslinya, dan hanya bisa dilakukan dengan menggunakan "kunci" yang sama dengan saat melakukan enkripsi.
Masalahnya adalah "kunci" tersebut biasanya disimpan di server yang sama dengan tempat penyimpanan data password, sehingga apabila server tersebut di-hack maka password-password yang sudah di-enkrip tersebut dapat dengan mudah diketahui bentuk aslinya.
3. Hashed Password
Metode ini juga merubah password asli menjadi long string berisi karakter acak seperti halnya metode sebelumnya. Hanya saja hashed merupakan jalan satu arah, jadi password yang sudah di-hash tidak dapat dikembalikan lagi ke bentuk asalnya. Jadi metode ini lebih aman daripada enkripsi dasar yang memiliki bentuk dua arah.
4. Slow Hash
Hash lambat adalah algoritma hash yang memakan waktu lebih lama bagi komputer untuk mengacak password aslinya sehingga hasilnya menjadi lebih rumit. Contoh algoritma yang biasa digunakan untuk slow hash ini adalah bcrypt algorithm, sedangkan yang biasanya digunakan untuk hash cepat antara lain MD5, SHA-1, dan SHA-256. Yang membuat hash lambat menjadi lebih aman adalah jika hacker menggunakan brute force attack maka waktu yang dibutuhkan untuk mengetahui password asli menjadi sangat lama dan jauh lebih lama daripada password yang menggunakan hash cepat.
5. Hashed Password Dengan Penambahan "Salt"
Penambahan salt pada password maksudnya adalah menambahkan string acak di bagian depan atau belakang password asli sebelum di-hash. Salt di setiap password pengguna pastilah berbeda dan biasanya terdiri dari kombinasi karakter yang panjang, rumit, dan unik sehingga metode ini membuat password kita yang tersimpan di database menjadi lebih aman.
Ada beberapa cara bagi sebuah situs untuk menyimpan data password penggunanya di database mereka. Berikut ini adalah contoh beberapa metode yang biasanya digunakan :
1. Plain Text
Cara ini adalah cara yang paling sederhana, yaitu pemilik situs langsung menyimpan password kita di database mereka tanpa diolah terlebih dahulu. Jadi apapun yang kita isi di kotak password saat mendaftarkan akun kita di sebuah situs, itulah yang terbaca di database. Misalnya kita mengisi password "abcd1234" maka di kolom password yang ada di database mereka juga "abcd1234". Dengan alasan keamanan, metode ini merupakan yang paling buruk untuk penyimpanan password.
2. Basic Encryption
Untuk meningkatkan perlindungan terhadap password maka dibutuhkan enkripsi sebelum data tersebut disimpan di database. Enkripsi adalah pengacakan karakter yang dilakukan secara otomatis oleh sistem sehingga menghasilkan sebuah data yang berbeda dari data aslinya. Pengacakan ini membutuhkan sebuah "kunci" yang berupa sebuah karakter atau lebih. Dengan menggunakan metode enkripsi dasar ini, maka apabila ada orang yang melihat password kita di database, yang dilihatnya itu merupakan karakter acak yang tidak dapat digunakan langsung untuk login akun kita kecuali dilakukan dekripsi terlebih dahulu. Dekripsi adalah kebalikan dari enkripsi yaitu untuk mengembalikan karakter acak ke data aslinya, dan hanya bisa dilakukan dengan menggunakan "kunci" yang sama dengan saat melakukan enkripsi.
Masalahnya adalah "kunci" tersebut biasanya disimpan di server yang sama dengan tempat penyimpanan data password, sehingga apabila server tersebut di-hack maka password-password yang sudah di-enkrip tersebut dapat dengan mudah diketahui bentuk aslinya.
3. Hashed Password
Metode ini juga merubah password asli menjadi long string berisi karakter acak seperti halnya metode sebelumnya. Hanya saja hashed merupakan jalan satu arah, jadi password yang sudah di-hash tidak dapat dikembalikan lagi ke bentuk asalnya. Jadi metode ini lebih aman daripada enkripsi dasar yang memiliki bentuk dua arah.
4. Slow Hash
Hash lambat adalah algoritma hash yang memakan waktu lebih lama bagi komputer untuk mengacak password aslinya sehingga hasilnya menjadi lebih rumit. Contoh algoritma yang biasa digunakan untuk slow hash ini adalah bcrypt algorithm, sedangkan yang biasanya digunakan untuk hash cepat antara lain MD5, SHA-1, dan SHA-256. Yang membuat hash lambat menjadi lebih aman adalah jika hacker menggunakan brute force attack maka waktu yang dibutuhkan untuk mengetahui password asli menjadi sangat lama dan jauh lebih lama daripada password yang menggunakan hash cepat.
5. Hashed Password Dengan Penambahan "Salt"
Penambahan salt pada password maksudnya adalah menambahkan string acak di bagian depan atau belakang password asli sebelum di-hash. Salt di setiap password pengguna pastilah berbeda dan biasanya terdiri dari kombinasi karakter yang panjang, rumit, dan unik sehingga metode ini membuat password kita yang tersimpan di database menjadi lebih aman.
Komentar
Posting Komentar