Modul 12 : Web Server Security

  • 0

Modul 12 : Web Server Security

Category : Uncategorized

TUJUAN PEMBELAJARAN:
1. Mengenalkan pada mahasiswa tentang konsep Web Security di linux
2. Mahasiswa memahami berbagai konsep SSL yang ada di linux
3. Mahasiswa mampu melakukan analisa terhadap koneksi berbasis http dan https

DASAR TEORI
Saat ini web merupakan salah satu layanan informasi yang banyak diakses oleh pengguna internet di dunia. Sebagai salah satu layanan informasi maka perlu dibangun web yang mampu menangani permintaan (request) dari banyak pengguna dengan baik (reliable) tanpa meninggalkan aspek keamanannya. Masalah keamanan merupakan salah satu aspek yang penting dalam pembangunan web karena kelalaian dalam menangani keamanan web server dapat berakibat fatal. Apache merupakan salah satu distribusi web server yang populer dengan dukungan feature yang
sangat banyak. Perhitungan statistik yang ada saat ini menunjukkan bahwa Apache menjadi web server yang paling banyak digunakan dalam dunia internet, yaitu mencapai nilai 60 % dari seluruh web server yang ada. Keberhasilan Apache mencapai kepopuleran saat ini selain dikarenakan memiliki banyak feature yang sering tidak dijumpai pada web server yang lain, juga dikarenakan Apache merupakan aplikasi gratis yang berjalan dalam berbagai sistem operasi. Ada beberapa aspek yang perlu diterapkan dalam mengamankan web server, antara lain:
1. Layanan web server dengan low previllages
2. Pengaturan akses terhadap web server
3. Meminimalkan layanan publik pada mesin yang menjalankan web server
4. Menyediakan filesystem khusus untuk layanan web server
Layanan web server dengan low previllages
Pada sistem operasi berbasis UNIX semacam Linux, FreeBSD, OpenBSD setiap proses memiliki berbagai properti seperti nomor proses, pemilik proses, dan alokasi memori yang digunakan. Apache web server merupakan layanan publik, sehingga sangat dianjurkan proses-proses yang dijalankan oleh Apache dimiliki oleh user dengan hak akses terhadap sistem yang ada serendah mungkin (low previllages). Idealnya perlu dibuat user yang khusus menjalankan web server, misal user dengan nama www.  Dari perintah Linux di atas tampak bahwa home direktori dari user www adalah ‘/’ yang secara default tidak dimiliki oleh user www melainkan dimiliki oleh root sehingga user www tidak memiliki akses tulis terhadap home direktorinya sendiri dan shell yang dimiliki oleh user www adalah ‘/bin/true‘ sehingga secara otomatis user www tidak dapat menggunakan fasilitas-fasilitas semacam telnet, rlogin,
rsh.
Langkah selanjutnya adalah melakukan setting pada Apache web server sehingga web server akan dijalankan oleh user www yang baru saja dibuat. File konfigurasi utama yang digunakan Apache adalah file httpd.conf. Pada file tersebut ditambahkan line semacam ini :

Pengaturan akses terhadap web server
Pengaturan akses pada Apache web server dapat dibedakan menjadi 2 macam :
• Pengaturan akses berdasarkan alamat IP dari client
• Pengaturan akses dengan proses autentikasi pengguna
Pengaturan akses berdasarkan IP Address client
Model pengaturan akses web server yang diterapkan disini didasarkan pada informasi IP address dari pengguna. Aturan dapat dibuat sehingga untuk file atau direktori tertentu akses dari IP address pengguna diterima atau ditolak. Untuk menerapkan aturan ini perlu dilakukan perubahan pada file konfigurasi Apache yaitu httpd.conf. Ada 3 kata kunci yang berkaitan dengan pengaturan ini yaitu Order, Deny, dan Allow. Kata kunci Order dapat diikuti oleh deny, allow atau allow, deny yang menunjukkan urutan evaluasi pengaturan berdasarkan aturan Deny dan aturan Allow. Kata kunci Allow maupun Deny diikuti oleh kata kunci from dan :
• all : menunjukkan akses untuk semua host diperbolehkan (Allow) atau ditolak (Deny)
IP address : yaitu alamat IP yang diperbolehkan atau ditolak semisal :
• 167.205.25.6
• 167.205.25. (berarti berlaku untuk alamat IP 167.205.25.0 –167.205.25.255) atau 167.205. atau 167.
• 167.205.25.0/27 (berlaku untuk 167.205.25.0-167.205.25.31)
• 167.205.0.0/255.255.0.0 (berlaku untuk 167.205.0.0-167.205.255.255)
Pengaturan akses Apache dapat dilakukan pula dengan membuat aturan-aturan pada file .htaccess pada direktori yang bersangkutan baik untuk mengatur akses terhadap file maupun akses terhadap direktori dimana file ini berada.

Pengaturan akses dengan proses autentikasi pengguna
Model pengaturan akses dengan proses autentikasi pengguna lebih fleksibel dibandingkan dengan pengaturan akses berdasarkan IP address pengguna. Ketika anda mencoba untuk mengakses suatu resources yang dilindungi oleh model autentikasi user semacam ini maka anda harus memasukan informasi login dan password yang sesuai dalam suatu form semacam ini. Untuk mengimplementasikan mekanisme autentikasi ini perlu dilakukan perubahan-perubahan pada file httpd.conf ataupun pada file .htaccess yang diletakkan pada direktori yang bersangkutan Informasi data login dibuat dengan menggunakan program htpasswd.

Facebook Comments

-- Download Modul 12 : Web Server Security as PDF --



Leave a Reply

Archives