Kecoak Elektronik Indonesia

Information Systems Security has been an issue of paramount concern to many organisations particularly in this era where convergence between telecommunication and Information Technologies (IT) is prevalent. Telecommunication networks are currently offering services that were traditionally confined to conventional packet-switched networks. As a result of such developments these networks are now facing the same security challenges as those that have been confronting packet switched networks all along. The security risks are even higher when it comes to mobile telecommunication services, basically because of the mobility offered by such networks. The risks are also set to increase as the networks are gradually evolving to the next generation of only IP based networks. It is against this backdrop that the *tiiiit* Director of IT & Billing set up a task force responsible for developing a security framework that will guide testing of all systems sourced from third parties to ensure they adhere to security best practices and standards.

Sebelumnya pernah dibahas implementasi protokol IP pada bidang telekomunikasi dimana teknologi tersebut dibutuhkan salah satunya karena kebutuhan bandwidth yang semakin tinggi. Implementasi teknologi IP pada infrastruktur core telekomunikasi telah berkembang sangat pesat. Pemanfaatan teknologi seperti SCTP, SIGTRAN pada network protokol hingga pemanfaatan CORBA, XML, HttpServ, SPML, SOAP over HTTP, LDAP, dll pada sisi aplikasi merupakan peningkatan teknologi telekomunikasi saat ini, bisa dibilang dunia 3G dan selanjutnya merupakan hasil merger antara teknologi internet (IP based) dan teknologi telecom (SS7 based). Dan cukup banyak teknologi IP Based merupakan implementasi open protocol yang sifatnya open source.

Quote diatas merupakan salah satu bentuk request operator teknologi telekomunikasi untuk peningkatan security infrastruktur yang mereka miliki. Jika dahulu tidak banyak security profesional yang bisa menyentuh bidang telekomunikasi dikarenakan basic pengetahuan yang mereka miliki umumnya berdasarkan IP based technology (telekomunikasi merupakan industry oriented, sehingga hanya orang-orang yang berkecimpung didalamnya memiliki kesempatan mempelajari teknologi tersebut secara mendalam) maka saat ini security profesional sudah selayaknya memiliki basic pengetahuan di bidang teknologi telekomunikasi. At least, mengerti bagaimana mekanisme teknologi GSM/UMTS bekerja ;).

Perpindahan teknologi ke IP based menyebabkan mesin-mesin telekomunikasi semakin dapat dijangkau oleh teknologi security dan semakin besar kemungkinan untuk didapatkan security hole.

So, perkembangan teknologi telekomunikasi ini akan menambah luas jangkauan para security consultant / security profesional atau memperbanyak lahan jajahan para hacker?!atau keduanya?!

Have I mentioned we’ll use Linux for next generation telco?!

Akhirnya di rilis juga pada site Microsoft. Apa itu sebenarnya?!well…gampangnya, selama ini kita tahu bahwa produk-produk M$ sangat proprietary. Segala bentuk softwarenya didistribusikan dalam format binary yang langsung dieksekusi. Hal ini membuat banyak pihak membuat berbagai macam tools untuk reverse-engineering produk-produk M$, sebut saja IDA, Ollydbg, WinDBG, Immunity debugger, dsb. Aplikasi-aplikasi reverse-engineering tersebut digunakan untuk ‘menebak’ bagaimana proses kerja aplikasi-aplikasi M$. Dengan aplikasi-aplikasi reverse-engineering, kita dapt memahami proses/alur program M$ untuk kemudian dicari celah securitynya, dicari crack untuk bypass serial number, dll.

Apa yang terjadi sekarang?!M$ memberikan spesifikasi protocol aplikasi-aplikasi sistem operasi clientnya secara gratis. Dengan detail spesifikasi ini maka pintu masuk untuk mendapatkan API (Application Programmable Interface) terbuka sangat lebar, dan ini merupakan hadiah terbesar bagi banyak pihak diantaranya programmer, perusahaan baik vendor maupun operator, customer, dll. Tanpa perlu bersusah payah melakukan reverse-engineering kita dapat melihat secara langsung dan detail spesifikasi serta API untuk produk-produk client M$.

Terdengar seperti win-lose solution?!kenapa tiba-tiba M$ membuka spesifikasi protocol mereka?apa mungkin ada pihak yang melakukan cracking dan menyebarkan source code M$ di internet?!Jika kita melihat dari sudut pandang yang lebih luas lagi, maka ini adalah Win-Win solution. Dengan open protocol spesification maka pihak M$ juga akan sangat diuntungkan.

(more…)

Dunia telekomunikasi menggunakan TDM based sebagai mekanisme pembawa pesan, dan protokol yang umumnya terlibat adalah SS7 dan ATM. Seiring dengan perkembangan teknologi, tidak dapat dipungkiri bahwa internet dengan teknologi IP nya memegang peranan penting sebagai protokol paling dominan di dunia saat ini. Selain itu dengan beragamnya pihak yang memahami konsep TCP/IP membuat teknologi IP based berkembang sangat pesat, hal ini mirip dengan LINUX yang dikembangkan oleh seluruh orang di dunia. 2 kepala lebih baik daripada 1 kepala.

Perkembangan teknologi IP memaksa dunia telekomunikasi memusatkan perhatiannya untuk ikut menggunakan teknologi IP based dalam infrastruktur perangkat-perangkatnya. Salah satu alasan utamanya adalah masalah kapasitas. Seperti yang kita ketahui bahwa saat ini teknologi IP based sudah umum menggunakan kapasitas Gigabit, sedangkan teknologi telco masih menggunakan kapasitas E1 sebagai media pembawa paket-paket data. Perbandingannya sangat jauh, E1 yang berkapasitas 2 Mbps dengan Gigabit ethernet yang berkapasitas 1000 Mbps. Perkembangan teknologi aplikasi juga menuntut kemampuan carrier (pembawa paket) untuk mengantarkan paket-paket data aplikasi.

Proses migrasi dari SS7 based kedalam IP based terjadi melalui proses evolusi yang bertahap. Infrasturktur teknologi telco yang ada saat ini tidak mungkin bisa langsung diubah kedalam IP based. Untuk itu dikembangkan pula beberapa protocol yang merupakan jembatan bagi protocol SS7 ke IP based, salah satunya adalah SCTP yang merupakan pengembangan dari trasnport layer untuk dapat memberikan layanan yang lebih reliable.

Dalam dunia telekomunikasi dikenal istilah softswitch, yang merupakan perangkat jembatan antara teknologi SS7 dan teknologi IP based. Impelementasi softswitch sudah dilakukan oleh operator-operator telekomunikasi di dunia seperti BT (British Telecom), vodafone, china telecom, termasuk operator-operator di Indonesia Telkomsel, Indosat, XL, dsb. Perangkat yang masuk kategori softswitch memiliki kemampuan untuk berkomunikasi pada network yang menggunakan protocol SS7 maupun network yang menggunakan IP based. Dan terbukti dengan adanya teknologi softswitch ini implementasi telekomunikasi yang membutuhkan kapasitas besar dapat dilakukan, salah satu hasilnya adalah teknologi 3G dimana kita bisa melakukan komunikasi yang memanfaatkan sistem multimedia (video call).

IMS (IP Multimedia Subsystem) merupakan teknologi dimana dunia telekomunikasi sudah seluruhnya berbasis IP. Dan implementasi softswitch merupakan jembatan menuju IMS. Jika infrastruktur sudah mendukung komunikasi IP maka berbagai macam aplikasi saat ini dapat berjalan diatas perangkat-perangkat telco, seperti VoIP, CCTV, dan kemungkinan besar teknologi web 2.0 pun dapat berjalan di atas perangkat telco. Mungkin kita dapat membayangkan bahwa iklan-iklan yang diterima oleh handphone saat ini hanya berupa layanan teks, jika IMS sudah diimplementasikan maka kita dapat membayangkan teknologi internet saat ini pindah ke mobile device (handphone, gadget, dll). Aplikasi-aplikasi di handphone pun tidak lagi menggunakan java yang bersifat monoton dan statis, namun sudah dapat memanfaatkan teknologi web 2.0 seperti rails, ajax, dsb. Dan bukan hal yang aneh untuk dapat melakukan monitoring rumah kita yang menggunakan CCTV via handphone.

Untuk apa implementasi VoIP di perangkat telekomunikasi?!toh saat ini kita sudah bisa melakukan VoIP via  internet dan laptop

Mungkin itulah salah satu pertanyaan yang ada di benak masyarakat IT, namun kita harus sadar bahwa penggunaan VoIP saat ini sangat terbatas. Tidak mungkin kan membawa-bawa laptop sambil ber-VoIP ria didalam bus kota. Dan yang perlu disadari lagi adalah fasilitas internet tersebut tidak tersedia secara bebas dimanapun dan kapanpun. Walaupun saat ini jaringan wifi sudah tersebar luas, tapi paling hanya di kota-kota besar dan itupun terbatas di lingkungan-lingkungan komersial.

Bayangkan jika kita bisa menggunakan VoIP pada handphone ataupun gadget pribadi, maka semua orang dapat memanfaatkan fasilitas tersebut kapanpun dan dimanapun.

Bagaimana dengan WIMAX?!Jika implementasi wifi seperti hotspot terbatas pada suatu lingkungan tertentu, maka dengan teknologi Wimax satu kota dapat memanfaatkan jaringan wireless. Kita dapat menggunakan wimax untuk ber-internet ria, ber-voip ria kapanpun dan dimanapun dalam cakupan yang sangat luas. Apalagi saat ini gadget-gadget dan handphone sudah dapat di install aplikasi VoIP (skype?!), maka kita dapat menggunakan VoIP dalam bus kota, saat di WC, saat di mall dsb.

Oke, good. Itulah sebabnya pada suatu saat nanti, teknologi telekomunikasi dan teknologi IP akan bertemu disuatu titik. Implementasi IMS pada telco dan implementasi Wimax pada dunia IP saat ini sudah menunjukan bahwa suatu saat nanti kedua teknologi tersebut akan bertemu. Salah satu permasalah mendasar yang cukup pelik di dunia telco untuk implementasi IMS pun terletak pada radio service. Dengan meningkatnya kapasitas di bagian core network, maka di bagian radio pun harus memiliki kemampuan untuk membawa data berkapasitas besar. Dengan kata lain, antara perangkat mobile pengguna dengan media transmisi telekomunikasi harus sudah siap untuk pengiriman/penerimaan data IP yang berkapasitas besar. Dan lagi-lagi, hal ini sudah diimplementasikan secara bertahap melalui teknologi 3G. Seperti yang kita tahu bahwa tidak setiap handphone dapat menerima sinyal 3G, dan tidak semua daerah terdapat network 3G. BTS yang mampu melakukan transmisi dengan kapasitas 3G berbeda dengan BTS pada transmisi GSM sebelumnya (2G). Sehingga untuk dapat melakukan komunikasi dengan kapasitas besar harus terdapat dukungan dikedua pihak, baik handphone maupun media transmisi nya harus mendukung kapasitas besar.

Penggunaan IP based pada dunia telekomunikasi dapat menjadi topik tersendiri bagi para pecinta security. Dunia telco saat ini masih sangat jarang disentuh salah satunya adalah karena protokol yang digunakan berbeda dari protokol internet. Seperti yang pernah saya tulis sebelumnya, dunia telekomunikasi sangat terbatas pada lingkungan industri. Vulnerability yang saat ini ditemukan umumnya berjalan diatas teknologi IP. Resource untuk teknologi IP dapat dengan mudah ditemukan di Internet, dan kita dapat membuat beragam code-code program untuk berkomunikasi dengan perangkat yang menggunakan protocol TCP/IP. Library-library pendukung untuk komunikasi dengan TCP/IP banyak ditemukan pada bahasa-bahasa pemrograman seperti C, perl, python, ruby, dsb. Namun library-library pendukung untuk berkomunikasi dengan protokol SS7 sangat sangat jarang ditemukan, itu pun sangat tergantung dari kernel sistem operasi yang kita gunakan untuk dapat berkomunikasi dengan network SS7. Umumnya vulnerability research untuk dunia telco dilakukan secara legal atas nama perusahaan.

Namun bisa kita bayangkan apabila perangkat-perangkat telekomunikasi sudah menggunakan IP based, maka dengan modal Handphone pun kita dapat berkomunikasi dengan perangkat-perangkat telekomunikasi tersebut. Dan bukan tidak mungkin pula virus-virus dan worm akan semakin mudah menyentuh dunia telekomunikasi hingga ke end-user.

Yang pasti perkembangan teknologi IP di dunia telekomunikasi akan berdampak sangat besar bagi peradaban manusia, dengan adanya teknologi tersebut maka akan membuat jarak tidak ada artinya lagi. Dan setiap pihak pun sudah bersiap-siap untuk memanfaatkan peradaban baru tersebut, termasuk para hacker dan juga pihak-pihak yang ingin memanfaatkan information warfare.

Tepat seperti yang dikatakan schneier, riset ini sangat cerdas. Memanfaatkan jaringan cellular untuk mendeteksi keberadaan sinyal radioaktif dari bom. Saat ini pengguna cellphone semakin membludak, di Indonesia sendiri hampir setiap lapisan masyarakat memiliki telpon selular. Mulai dari kalangan atas hingga para penjual makanan pinggir jalan sudah menggunakan telepon selular. Saat ini kita juga bisa melihat munculnya berbagai macam pengembangan mobile phone yang semula hanya digunakan untuk komunikasi voice, diantaranya untuk teknologi internet (IP), teknologi GPS (Global Positioning System) yang digunakan untuk memetakan suatu lokasi receiver, dan bahkan penambahan chip pada mobile phone agar dapat menerima sinyal televisi dan radio.

Jika kita berbicara mengenai tracking system mungkin dapat membayangkan seperti dalam film Enemy of the states, kemanapun orang tersebut pergi dapat dilacak keberadaannya. Dalam film tersebut tracking system menggunakan beberapa perangkat, diantaranya alat pelacak dedicated yang ditempel pada target, camera system, public telephone hingga pada teknologi satelite. Tracking system tersebut dapat dilakukan hanya terbatas pada lokasi tertentu yang mendukung adanya perangkat-perangkat tersebut, bagaimana jika tracking system hendak dilakukan di-negara lain?dimana ketersediaan perangkat-perangkat pendukung tidak memadai?misalnya: iran, pakistan, indonesia (WTF?!).

Tentu saja membangun infrastruktur seperti itu akan sangat mahal dan merepotkan. Walaupun saat ini di hampir setiap negara sudah diberlakukan berbagai macam policy yang ujungnya adalah untuk kebutuhan tracking system. Internet sudah banyak dikuasai oleh pemerintah yang bercokol melalui aturan-aturan ketat pada ISP, PSTN serta operator-operator selular juga sudah dipaksa memberlakukan system tracking melalui aktivasi perangkat untuk menyadap komunikasi, komunikasi VOIP sudah disadap, dll. Namun semuanya masih dapat dilewati jika sang target tidak menggunakan teknologi tersebut. Dibutuhkan suatu mekanisme dimana tracking system memanfaatkan elemen yang tersebar diseluruh penjuru dunia untuk melacak sesuatu.

Jika kita bertanya, perangkat digital apa yang tersebar luas dimasyarakat dan terkoneksi satu sama lain?!tentu saja jawabannya adalah telepon sellular. Tracking system memanfaatkan telepon selular secara aktif sudah dilakukan, pelacakan posisi seseorang berdasarkan mobile station yang dibawanya dapat dengan mudah dilakukan. Namun tracking system yang lebih canggih dapat memanfaatkan telepon selular secara pasif, tepat seperti yang dilakukan group research dari purdue tersebut untuk mendeteksi kebaradaan teroris pembawa bom (sinyal radioaktif). Teknologi ini memanfaatkan manusia untuk melacak keberadaan sinyal radioaktif, bahkan jika si pembawa bom sedang minum teh disuatu desa dan kebetulan si penjual teh memiliki telepon selular keberadaan si pembawa bom dapat dilacak dengan tepat.

Saya rasa penemuan ini merupakan titik awal inovasi lain pada tracking system, saat ini hanya sinyal radioaktif yang dapat di-tracking. Pada pengembangan selanjutnya tentu saja dapat dimanfaatkan untuk hal yang lain dan mungkin saja dengan cara pemasangan suatu backdoor pada telepon selular (oleh vendor atas desakan pemerintah) atau aplikasi telpon selular tersebut,  misalnya: untuk setiap hasil photo suatu telepon selular secara diam-diam dikirimkan gambarnya ke pusat monitoring, pada keypad telepon selular disertai chip untuk mendeteksi sidik jari yang secara diam-diam juga dikirimkan ke pusat monitoring (iPhone guys?!), dsb.

Intinya, pemanfaatan perangkat telepon selular yang sudah menyebar luas diseluruh lapisan masyarakat sebagai infrastruktur untuk tracking system (layaknya kamera pengawas yang tersebar di berbagai penjuru) merupakan solusi yang sangat cerdas dan efisien. Dan sebagai informasi, saat ini negara-negara belum berkembang dan negara-negara berkembang sangat tinggi pertumbuhan penggunaan telepon selularnya. Termasuk negara-negara seperti pakistan, iran, vietnam dan negara-negara kawasan afrika seperti aljazair, tunisia, dsb.

Ironis ya, sementara negara-negara maju sudah memikirkan konsep tracking system seperti ini, negara-negara berkembang dan negara-negara tertinggal lainnya masih menikmati telp murah tiap malam, sms-an gaul dan yang lebih parah lagi…menggunakan pulsa telp selular untuk mengadu nasib dan keberuntungan melalui REG-spasi-XXX (indo style?)

Semakin jelas bahwa telekomunikasi dapat digunakan untuk menguasai informasi. Dan barangsiapa yang menguasai informasi, akan menguasai dunia.

Pwned the world?!