Tulisan ini merupakan bagian dari keamanan informasi atau keamanan data, pada tulisan ini berturut-turut akan dibahas mengenai AAA, RADIUS dan di bagian akhir akan dibahas secara singkat mengenai Steel-Belted RADIUS sebagai salah satu contoh praktisnya. Tulisan ini ditujukan bagi pemula di dunia keamanan informasi atau kemanan data, namun demikian untuk mengetahui lebih dalam tulisan ini, diharapkan pembaca sudah mengetahui secara umum mengenai jaringan komputer. Selamat membaca!
Authentication, Authorization, dan Accounting (AAA)
AAA adalah sebuah model akses jaringan yang memisahkan tiga macam fungsi kontrol, yaitu Authentication, Authorization, dan Accounting, untuk diproses secara independen. Model jaringan yang menggunakan konsep AAA diilustrasikan pada gambar 1.
Gambar 1 Model AAA
Pada gambar 1 terlihat komponen-komponen yang terlibat dalam model AAA. Pada dasarnya terdapat tiga komponen yang membentuk model ini yaitu Remote User, Network Access Server (NAS), dan AAA server. Proses yang terjadi dalam sistem ini ialah user meminta hak akses ke suatu jaringan (internet, atau wireless LAN misalnya) kepada Network Access Server. Network Access Server kemudian mengidentifikasi user tersebut melalui AAA server. Jika server AAA mengenali user tersebut, maka server AAA akan memberikan informasi kepada NAS bahwa user tersebut berhak menggunakan jaringan, dan layanan apa saja yang dapat diakses olehnya. Selanjutnya, dilakukan pencatatan atas beberapa informasi penting mengenai aktivitas user tersebut, seperti layanan apa saja yang digunakan, berapa besar data (dalam ukuran bytes) yang diakses oleh user, berapa lama user menggunakan jaringan, dan sebagainya.
Authentication adalah suatu proses dimana user diidentifikasi oleh server AAA sebelum user menggunakan jaringan. Pada proses ini, user meminta hak akses kepada NAS untuk menggunakan suatu jaringan. NAS kemudian menanyakan kepada server AAA apakah user yang bersangkutan berhak untuk menggunakan jaringan atau tidak. Yang dimaksud dengan Authorization adalah pengalokasian layanan apa saja yang berhak diakses oleh user pada jaringan. Authorization dilakukan ketika user telah dinyatakan berhak untuk menggunakan jaringan. Accounting merupakan proses yang dilakukan oleh NAS dan AAA server yang mencatat semua aktivitas user dalam jaringan, seperti kapan user mulai menggunakan jaringan, kapan user mengakhiri koneksinya dengan jaringan, berapa lama user menggunakan jaringan, berapa banyak data yang diakses user dari jaringan, dan lain sebagainya. Informasi yang diperoleh dari proses accounting disimpan pada AAA server, dan dapat digunakan untuk berbagai keperluan seperti billing, auditing, atau manajemen jaringan.
Koneksi antara user dengan NAS dapat melalui jaringan telepon (PSTN / PABX), wireless LAN, VPN, ISDN, PDSN, VoIP, GPRS, dan lain-lain. Koneksi tersebut, seperti telah disebutkan di atas, menggunakan bermacam-macam jaringan akses dengan protokol komunikasi yang berbeda-beda, tergantung device yang digunakan oleh user dan NAS. Koneksi antara NAS dengan server AAA menggunakan beberapa macam protokol yang terstandarisasi seperti RADIUS, TACACS+, dan Kerberos.
Remote Authentication Dial-In User Service (RADIUS)
RADIUS (Remote Authentication Dial-In User Service), adalah suatu metode standar (protokol) yang mengatur komunikasi antara NAS dengan AAA server. Dalam hal ini server AAA yang digunakan dapat juga disebut sebagai server RADIUS, dan paket-paket data yang terlibat dalam komunikasi antara keduanya disebut sebagai paket RADIUS.
Ketika NAS menerima permintaan koneksi dari user, NAS akan mengirimkan informasi yang diperolehnya dari user ke server RADIUS. Berdasarkan informasi tersebut, server RADIUS akan mencari dan mencocokkan informasi mengenai user tersebut pada databasenya, baik internal, eksternal, maupun server RADIUS lain. Jika terdapat informasi yang cocok, server RADIUS akan mengizinkan user tersebut untuk menggunakan jaringan. Jika tidak, maka user tersebut akan ditolak. Berdasarkan informasi ini, NAS memutuskan apakah melanjutkan atau memutuskan koneksi dengan user. Selanjutnya, NAS mengirimkan data ke server RADIUS untuk mencatat semua kegiatan yang dilakukan user dalam jaringan.
Server RADIUS dan NAS berkomunikasi melalui paket-paket RADIUS. Paket-paket RADIUS ini memiliki format sesuai dengan yang ditentukan oleh IETF melalui dokumen RFC 2865 mengenai RADIUS, dan RFC 2866 mengenai RADIUS accounting. Paket-paket RADIUS dikirimkan oleh NAS dan server RADIUS berdasarkan pola request/response : NAS mengirimkan request dan menerima response dari server RADIUS. Jika NAS tidak menerima response dari server atas suatu request, NAS dapat mengirimkan kembali paket request secara periodik sampai dicapai suatu masa timeout tertentu, dimana NAS tidak lagi mengirimkan request kepada server, dan menyatakan bahwa server sedang down/tidak aktif. Setiap paket memiliki fungsi tersendiri, apakah untuk authentication atau untuk accounting. Setiap paket RADIUS dapat menyertakan nilai-nilai tertentu yang disebut atribut (attributes). Atribut-atribut ini bergantung pada jenis paket (authentication atau accounting), dan jenis NAS yang digunakan. Informasi detail mengenai format paket dan nilai-nilai dari masing-masing field dalam paket RADIUS dapat dilihat pada RFC 2865 dan RFC 2866.
Fungsi authentication dilakukan melalui field-field pada paket access-request. Fungsi authorization dilakukan melalui atribut-atribut pada paket access-accept. Fungsi accounting dilakukan melalui atribut-atribut pada paket-paket accounting (paket start, stop, on, off, dll).
Keamanan pada komunikasi antara NAS dengan server RADIUS dijamin dengan digunakannya konsep shared secret. Shared secret merupakan rangkaian karakter alfanumerik unik yang hanya diketahui oleh server RADIUS dan NAS, dan tidak pernah dikirimkan ke jaringan. Shared secret ini digunakan untuk mengenkripsi informasi-informasi kritis seperti user password. Enkripsi dilakukan dengan cara melewatkan shared secret yang diikuti dengan request authenticator (field pada paket access request dari NAS yang menandakan bahwa paket tersebut merupakan paket access request) pada algoritma MD5 satu arah, untuk membuat rangkaian karakter sepanjang 16 oktet, yang kemudian di-XOR-kan dengan password yang dimasukkan oleh user. Hasil dari operasi ini ditempatkan pada atribut User-Password pada paket access request. Karena shared secret ini hanya diketahui oleh NAS dan server RADIUS, dan tidak pernah dikirimkan ke jaringan, maka akan sangat sulit untuk mengambil informasi user-password dari paket access request tersebut.
NAS dan server RADIUS terhubung melalui jaringan TCP/IP. Protokol yang digunakan adalah UDP (User Datagram Protocol), dan menggunakan port 1812 untuk authentication, dan port 1813 untuk accounting.
Steel-Belted RADIUS
Steel-Belted RADIUS merupakan implementasi dari server RADIUS, yang dibuat oleh Funk Software (http://www.funk.com). Sebenarnya terdapat banyak implementasi server RADIUS lainnya seperti Cisco CNS Access Registrar (CAR), Freeradius, dan Windows Internet Authentication Service (IAS). Pemilihan software Steel-Belted RADIUS adalah karena software ini banyak digunakan pada jaringan wireless seperti PDSN atau wireless LAN, di samping platform-nya yaitu Windows atau UNIX, sehingga konfigurasi dan maintenance-nya cukup mudah dan intuitif.
Software ini memiliki beberapa feature yaitu :
a. Mendukung EAP-PEAP, protokol yang sering digunakan pada jaringan wireless Microsoft.
b. Mendukung perubahan password pada EAP-TTLS dan EAP-PEAP, sehingga user dapat mengganti password yang expired ketika proses otentikasi.
c. Menangani atribut RADIUS dengan adanya filter pada EAP-TTLS plug-in.
d. Mendukung Novell NDS dalam LDAP authentication plug-in.
e. Proses start-up yang lebih cepat.
f. Kontrol yang lebih baik dalam menangani EAP fragment length.
g. Dll.
Sebagai contoh, software Steel-Belted RADIUS Global Enterprise Edition v4.04. Software ini merupakan shareware sehingga penggunaannya dibatasi selama 30 hari.
Fungsi authentication pada server ini dilakukan melalui berbagai metode otentikasi seperti Native user authentication, Pass through authentication, Proxy RADIUS authentication, External authentication, Directed authentication, dan Authenticate-only authentication. Fungsi authorization pada server ini dilakukan melalui atribut Service Type pada paket Access-accept dari server. Proses accounting dilakukan dengan menciptakan sebuah file log yang berisi berbagai informasi accounting, dan disimpan pada folder Service pada folder instalasi RADIUS (misal C:\\Program Files\\Radius\\Service).
Pada platform Windows, administrasi Steel-Belted RADIUS dilakukan melalui program Administrator (radadnt.exe). User interface dari program ini dapat dilihat pada gambar 2.
Dalam program ini terdapat berbagai radio button, yang jika diaktifkan akan membuka dialog untuk melakukan berbagai pilihan konfigurasi seperti konfigurasi client RADIUS, konfigurasi user dan profile, pool alamat IP, dan lain sebagainya.
Selain konfigurasi melalui program administrator, software ini juga dapat dikonfigurasi melalui file-file konfigurasi yang diletakkan pada folder Service pada folder instalasi RADIUS (misal C:\\Program Files\\Radius\\Service). File-file ini umumnya memiliki extension .ini, .dct, .dci, .aut, dan .acc.
Seluruh aktivitas server dicatat dalam bentuk file-file log. File-file ini disimpan pada folder Service pada folder instalasi RADIUS (misal C:\\Program Files\\Radius\\Service). Terdapat dua macam file log, yaitu file log untuk proses authentication, dan file log untuk proses accounting. Kedua file ini menggunakan format nama yang sama, yaitu yyyymmdd, dengan ekstensi yang berbeda, yaitu .log untuk file log authentication, dan .act untuk file log accounting. File log untuk proses accounting merupakan file yang setiap entry-nya dipisahkan oleh koma (“,”), sehingga disebut sebagai “comma delimited file”. File dengan format seperti ini dapat dengan mudah di-export ke program spreadsheet seperti Microsoft Excel, atau program database seperti Microsoft Access.
Gambar 2 User interface dari program Administrator
Kesimpulan
Steel-Belted RADIUS merupakan implementasi dari server RADIUS, yang dibuat oleh Funk Software (http://www.funk.com). Pemilihan software Steel-Belted RADIUS adalah karena software ini banyak digunakan pada jaringan wireless seperti PDSN atau wireless LAN, di samping platform-nya yaitu Windows atau UNIX, sehingga konfigurasi dan maintenance-nya cukup mudah dan intuitif.
RADIUS (Remote Authentication Dial-In User Service), adalah suatu metode standar (protokol) yang mengatur komunikasi antara NAS (Network Access Server) dengan AAA (Authentication, Authorization, Accounting) server. AAA adalah sebuah model akses jaringan yang memisahkan tiga macam fungsi kontrol, yaitu Authentication, Authorization, dan Accounting, untuk diproses secara independen.
Arief Hamdani Gunawan, Penulis merupakan seorang engineer di Solusi Teknologi Informasi TELKOMRisTI.
DAFTAR PUSTAKA
1. http://www.cdg.org/technology/cdma_technology/white_papers/cdma_1x_security_overview.pdf
2. http://www.freeradius.org/rfc/draft-peirce-radius-challenge-00.txt
3. Steel belted demo : http://www.funk.com/RegFiles/spe30conf.asp
4. 3Gpp Overview : www.itu.int/itudoc/itu-t/workshop/ security/present/s6p2_pp7.ppt
5. www.faqs.org/rfcs
6. http://www.cas.mcmaster.ca/~wmfarmer/SE-4C03-02/projects/student_work/mirandn.html
7. www.comsoc.org/pci/private/2000/aug/mccann.html
8. www-sop.inria.fr/planete/hkim/downloads/ improving_mobile_auth_icc03.pdf
9. www.funk.com/radius/Solns/3g_wp.asp
10. www.ietf.cnri.reston.va.us/proceedings/ 99jul/slides/mobileip-aaa-99jul.pdf
11. www.cse.fau.edu/~skoganti/AdhocNetworks/ LocationManagement.ppt
12. www.ipv6.or.kr/wg/mobile/Interim/6-002.ppt
Disclaimer: Isi diluar tanggung jawab Redaksi
sumber : http://www.ristinet.com
