Dengan artikel singkat ini saya akan mencoba menjawab pertanyaan yang saya ajukan beberapa hari yang lalu: "Seberapa amankah VPN?" Pada kesempatan ini saya juga akan membahas dua topik pendahuluan, tanpa sepengetahuan yang tidak mungkin untuk memahami apa yang sedang kita bicarakan: apa artinya VPN e bagaimana cara kerjanya. Jawabannya seharusnya relatif sederhana tetapi kami tidak menerima begitu saja dan mencoba memahami, seperti biasa, apa yang sedang kami bicarakan.
Untuk memastikan kami tidak salah, kami diberitahu oleh salah satu penyedia layanan jaringan terbesar di dunia, CISCO: "Jaringan pribadi virtual, atau VPN, adalah koneksi terenkripsi melalui Internet dari perangkat ke jaringan. Koneksi terenkripsi membantu memastikan bahwa data sensitif ditransmisikan dengan aman. Ini mencegah orang yang tidak berwenang menguping lalu lintas dan memungkinkan pengguna untuk melakukan bekerja dari jarak jauh. Teknologi VPN banyak digunakan di lingkungan perusahaan.”
Kami telah menemukan bahwa akronim VPN mengacu pada satu "Jaringan Pribadi Virtual" sebagai koneksi terenkripsi antara perangkat (PC, tablet, smartphone ...) dan jaringan (umumnya jaringan perusahaan), semuanya berbasis Internet. Koneksi terenkripsi membantu memastikan bahwa data ditransmisikan dengan aman.
VPN mencegah intersepsi lalu lintas data oleh orang yang tidak berwenang dan memungkinkan penggunanya bekerja dari jarak jauh.
Yang saya soroti adalah fitur utama VPN. Sebelum melanjutkan mari kita buat contoh VPN pra-internet. Kita semua ingat bahwa sebagai anak-anak di sekolah sering terjadi bahwa kita harus mengomunikasikan sesuatu kepada teman sekelas yang berada dua baris di depan. Setelah mencoba berkomunikasi, mungkin memanggilnya dengan suara rendah, sehingga menarik perhatian guru dan karena itu difilmkan, metode yang tidak terlalu berisik ditemukan.
Cara pertama yang saya gunakan sendiri adalah dengan menulis pesan di dalam secarik kertas, lipat menjadi empat dan tulis nama penerima pesan di kertas yang terlipat, lalu sentuh bahu pasangan pertama yang berada di arah. penerima dan meminta dengan anggukan untuk meneruskan pesan.
Saya ingin menunjukkan bahwa dalam contoh ini kelas bertindak sebagai jaringan Internet, setiap teman sekelas sebenarnya adalah simpul di jaringan. Selebaran itu pendukung data penting (sepulang sekolah kita mandi di sungai?). Melipat lembaran menjadi empat menjamin keamanan minimum (saya akui sangat sedikit!). Nama penerima yang tertulis di atas merupakan informasi yang dibutuhkan untuk mengantarkan pesan ke tujuannya.
Sistem bekerja dengan asumsi, semua kawan berteman satu sama lain dan tidak ada yang penasaran.
Seperti yang saya bayangkan Anda juga pernah mengalami pada kesempatan yang sama, berpikir bahwa setiap orang adalah teman dan tidak ada yang penasaran adalah indah dari sudut pandang manusia tetapi sama sekali tidak nyata.
Apa yang sering terjadi di Internet primordial ini adalah bahwa salah satu node (pendamping yang ingin tahu) alih-alih mengirimkan pesan ke rekan berikutnya, membuka dan membacanya, dan hanya kemudian, paling-paling, menutupnya dan meneruskannya ke penerima yang sebenarnya. .
Solusi yang saya ambil, dan saya membayangkan banyak dari Anda yang membaca ini, sederhana saja, itu adalah VPN. Tentu, analog, tapi tetap saja VPN. VPN bekerja seperti ini.
Karena penerima pesan saya adalah mitra saya yang bermain sepak bola dengan kami setiap hari, kami setuju untuk menggunakan pesan terenkripsi. Sandi kami cukup sederhana, itu hanya masalah mengganti satu huruf dengan yang lain sesuai dengan pola yang telah kami sepakati.
Hari ini saya tahu itu adalah sandi Caesar tapi itu tidak masalah, yang penting berhasil. Dan itu berhasil... selalu ada orang yang membuka selebaran itu karena penasaran tetapi umumnya tidak dapat memahami apa yang tertulis di dalamnya. Dalam praktiknya, dengan tambahan enkripsi, kami telah membuat VPN nyata, tanpa menyadarinya!
Saat ini, VPN digunakan untuk menghubungkan PC yang terhubung melalui internet ke jaringan perusahaan dengan aman. PC di luar jaringan, terhubung ke internet, membuat koneksi aman dengan server layanan VPN menggunakan protokol aman (biasanya digunakan TLS).
Sekarang, pertanyaan yang ingin kami jawab adalah sebagai berikut: seberapa amankah VPN?
Setelah memahami apa itu dan bagaimana cara kerjanya, mari kita pahami sedikit lebih dalam tentang keamanan VPN.
Sangat mudah untuk memahami bahwa ada banyak faktor yang berperan dalam mengevaluasi tingkat keamanan VPN. Mari kita coba bersama untuk memahami titik lemahnya.
Enkripsi
Salah satu faktor penting adalah jenis enkripsi yang Anda gunakan. Seperti yang saya sebutkan sebelumnya, saya menggunakan sandi Caesar, algoritma kriptografi di antara yang paling sederhana, yang terdiri dari penggantian huruf dengan huruf lain dari alfabet yang sama, seperti yang Anda lihat dari gambar.
Segalanya berjalan cukup baik tetapi tidak sulit untuk memahami bagaimana menguraikan pesan dan selalu ada kemungkinan bahwa beberapa teman yang sangat nakal akan mengambil selembar kertas dan menyimpannya untuk diri mereka sendiri.
Demikian pula, salah satu karakteristik VPN adalah algoritma enkripsi yang digunakan untuk mengenkripsi data dan menetapkan jalur terbaik untuk mencapai penerima. Karena algoritme yang digunakan oleh VPN berbeda, jelas bahwa keamanan VPN juga berbeda.
Secara umum, kita dapat mengatakan bahwa VPN memerlukan penggunaan a algoritma enkripsi (untuk mengenkripsi dan mendekripsi data) dan a protokol aman untuk membangun dan memelihara saluran komunikasi (handshake encription protocol).
Salah satu algoritma enkripsi yang paling banyak digunakan dalam sejarah VPN untuk membuat saluran terenkripsi disebut RSA-1024 (Rivest-Shamir-Adleman). Masih ada VPN yang menggunakannya meskipun faktanya sejak 2014 algoritme telah dibobol oleh NSA Amerika (atau begitulah kata mereka). Saat ini banyak algoritma menggunakan RSA-2048, di mana angka tersebut menunjukkan panjang dalam bit kunci enkripsi. Secara teoritis, enkripsi yang disediakan oleh RSA-2048 tahan terhadap serangan "Brute Force" karena akan memakan waktu terlalu lama untuk dieksekusi, tetapi saya juga ingat bahwa jenis serangan ini bukan satu-satunya yang mungkin, kelahiran dan penyebaran yang lebih konstan. itu komputer kuantum mempertanyakan validitas aktual dari algoritma enkripsi berdasarkan pertukaran kunci.
Dalam beberapa tahun terakhir telah terjadi terburu-buru untuk mempelajari apa yang disebut algoritma "pasca kuantum", yaitu, yang dapat menahan serangan brute force yang dilakukan oleh komputer kuantum. Jika kita mengambil OpenSSH misalnya, diputuskan untuk memperkenalkan versi 9 berdasarkan algoritma pasca kuantum.
Sedikit di atas saya mengatakan bahwa RSA-1024 mungkin telah di-crack, saya mengambil konsep hanya sesaat karena memperkenalkan klarifikasi yang diperlukan: ketika kita berbicara tentang seberapa aman VPN, tidak ada jawaban tunggal karena itu tergantung pada siapa yang mengajukan pertanyaan. Sebagai premis dari jawaban semi-serius atas pertanyaan tersebut, kita harus mengingat perlunya a Penilaian Risiko yaitu, penilaian risiko yang terkait dengan perusahaan yang sedang kita bicarakan.
Saya tidak ingin masuk ke teknis tetapi saya akan memberikan contoh yang adil untuk memahami tentang apa itu. Jika perusahaan kami bergerak dalam produksi suku cadang mesin industri untuk wilayah tertentu di dunia, misalkan untuk Italia, dan perlu menggunakan VPN untuk komunikasinya, itu akan menjadi hal yang baik. hindari menggunakan VPN perusahaan dengan cara apa pun yang terkait dengan pesaing langsungnya di pasar. Sayangnya, tidak selalu mudah untuk memahami siapa yang bisa Anda percayai dan siapa yang tidak. Aturan saya adalah itu Saya tidak percaya siapa pun, tapi itu lain cerita.
Untuk kembali ke VPN, salah satu protokol standar yang paling banyak digunakan saat ini adalah OpenVPN. Ini adalah protokol open source yang karenanya dapat dipelajari dan dianalisis secara publik oleh siapa saja yang memiliki keterampilan, minat, dan keinginan untuk melakukannya.
Seperti biasa, faktor tambahan yang terkait dengan dunia digital harus diperhitungkan. Semua sistem, perangkat lunak, perangkat keras atau campuran keduanya yang dapat dipahami, tunduk pada:
- kerentanan karena produksi yang buruk;
- kesalahan manusia, pengguna atau teknisi, dalam konfigurasi dan penggunaan (ini adalah kasus yang paling umum karena penggunaan VPN tidak menghilangkan risiko pencurian kredensial, sebaliknya, mungkin meningkatkannya dengan membuat satu pengguna harapan keamanan palsu).
Jika Anda ingin mendapatkan gambaran tentang kerentanan OpenVPN, hanya sebagai contoh, Anda dapat berkonsultasi dengan daftar ini: Openvpn - Kerentanan keamanan (cvedetails.com).
Sebagai kesimpulan, setelah mencoba menjelaskan dengan cara yang paling sederhana apa itu VPN dan menyebutkan beberapa pertanyaan dasar, saya akan mencoba menjawab pertanyaan yang kita mulai dari: seberapa amankah VPN?
Jawaban paling sederhana adalah: lebih baik dari plaintext.
Jawaban yang lebih serius adalah: itu tergantung konteksnya.
Jawaban yang lebih lengkap adalah: untuk dapat mengatakan sesuatu yang berarti, kita perlu melakukan penilaian risiko dan kemudian kita dapat memilih VPN yang cocok untuk konteks strategis, teknologi, dan organisasi tempat kita berada!
VPN meningkatkan keamanan, tetapi juga meningkatkan batas keamanan dan karenanya meningkatkan risiko. Kita tidak boleh melupakan itu keamanan tergantung pada mata rantai terlemah dalam rantai dan biasanya ini adalah orangnya!
Seperti biasa, saya berterima kasih kepada teman-teman SICYNT atas bantuan dan sarannya. Dalam presentasi saya, saya telah memilih untuk menyederhanakan jadi saya sengaja berhenti berbicara tentang otentikasi dan integritas, konsep penting tetapi yang akan membuat artikel menjadi kurang jelas. Kami akan memiliki kesempatan lain untuk melakukannya.
Untuk memperdalam:
