Tag: IT Security

Vulnerability pada OWA (Microsoft Security Advisory 2401593)

Posted on by Raymond

Pada 14 September 2010 lalu, Microsoft merilis sebuah saran keamanan yang terkait adanya vulnerability pada Outlook Web Access (OWA). Hal ini dirilis pada Microsoft Security Advisory (2401593), dimana pada vulnerability ini, jika penyerang berhasil melakukan exploit, maka penyerang dapat membajak sesi authentikasi pada OWA. Yang membahayakan adalah ketika penyerang berhasil mengambil alih maka penyerang bisa melakukan aksi atas nama user name kita tanpa sepengetahuan kita.

Versi Exchange Server yang terkena impact dari vulnerability ini adalah:

– Microsoft Exchange Server 2003 Service Pack 2

– Microsoft Exchange Server 2007 Service Pack 1

– Microsoft Exchange Server 2007 Service Pack 2

 

Sementara versi Exchange Server yang tidak terkena impact dari vulnerability ini adalah:

– Microsoft Exchange Server 2000 Service Pack 3

– Microsoft Exchange Server 2007 Service Pack 3

– Microsoft Exchange Server 2010

– Microsoft Exchange Server 2010 Service Pack 1

 

Untuk pengguna versi Exchange yang terkena impact disarankan untuk melakukan upgrade ke versi Exchange yang tidak terkena impact. Selain itu beberapa saran yang bisa diikuti untuk melimitasi vulnerability yang ada:

– Disable Rules by using Segmentation

Untuk Exchange 2007: How to Manage Segmentation in Outlook Web Access.

Untuk Exchange 2003: Microsoft Knowledge Base Article 833340.

– Disable the Options panel by using UrlScan

How To: Microsoft Knowledge Base Article 2299129.

 

Referensi lengkap mengenai Vulnerability ini:

Microsoft Security Advisory (2401593), Vulnerability in Outlook Web Access Could Allow Elevation of Privilege: http://www.microsoft.com/technet/security/advisory/2401593.mspx.

CVE-2010-3213: http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-3213.

 

Salam,

Raymond Engelbert

Password lama masih bisa digunakan ketika password sudah diganti pada Outlook Web Access (OWA) Exchange Server

Posted on by Raymond

Seperti yang kita ketahui bersama bahwa Outlook Web Access sebagai fasilitas Webmail dari Exchange Server mempunyai salah satu fitur yaitu Change Password. Kita bisa mengganti password yang sehari-hari kita gunakan untuk mengakses email kita melalui Outlook Web Access (OWA).

image

 

Nah, sesudah kita mengganti password dari OWA tersebut, ada suatu periode dimana dalam 15 menit kita bisa mengakses OWA dengan menggunakan password lama dan password baru kita? Mengapa bisa begitu?

Salah satu alasan yang paling tepat adalah, OWA ada pada web services (IIS) dan secara desain hal itu dipengaruhi faktor latency pada IIS itu sendiri yang dikontrol oleh Registry.

Jadi, apakah aman? Dari sisi keamanan, dengan berpedoman pada setiap password user hanya user tersebut yang mengetahuinya maka hal ini tidak ada hubungannya dengan keamanan. Namun, bila ada yang paranoid dan menganggap hal ini tidak bisa ditolerir, maka dengan mengacu pada knowledge base berikut:

http://support.microsoft.com/kb/267568

Maka kita bisa melakukan perubahan pada registry agar ketika password diganti, password lama sudah tidak bisa digunakan pada OWA.

Caranya adalah dengan menambahkan registry DWORD UserTokenTTL pada HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\InetInfo\Parameters. Nilai yang bisa diberikan pada registry tersebut berkisar dari 0 – 0x7fffffff (dalam satuan detik).

image

 

Setelah registry ditambahkan, lakukan iisreset dari command prompt. Kemudian coba lakukan penggantian password lagi melalui OWA dan anda akan mendapatkan bahwa password lama tidak bisa dipakai kembali (sudah di flush) sesuai rentang waktu yang telah anda definisikan sebelumnya.

Sebagai catatan, hal ini dilakukan pada Front End Server di Exchange Server 2000 dan Exchange Server 2003 dan pada Client Access Server di Exchange 2007 dan Exchange 2010.

Akhir kata, selamat mencoba.

Referensi tambahan: http://support.microsoft.com/default.aspx?scid=kb;en-us;152526.

 

Salam,

Raymond Engelbert

Tentang Berita Bohong dan Kejahatan Informasi (Ruang Lingkup IT)

Posted on by Raymond

Kebohongan. Tentu saya yakin anda semua tidak suka dengan hal ini atau bahkan sangat membencinya. Begitu pula dalam ruang lingkup informasi, apabila informasi yang awalnya anda harap benar dan membuat anda seperti mendapat durian runtuh ternyata BOHONG!!!…

Saya yakin, mayoritas orang pernah menerima pesan singkat (SMS), e-mail, ataupun bahkan pos tertulis bahwa anda memenangkan undian tertentu dengan hadiah yang wow jumlahnya. Pada awal modus ini ada, banyak kejadian dimana orang tertipu, namun saat ini sepertinya sudah bisa diminimalisir karena sebagian besar sudah mengetahui modus seperti itu. Tetapiiiiiiiiii, masih saja ada kejadian. Tentunya saya menulis mengenai hal ini agar bisa menjadi edukasi bagi kita semua dan agar lebih berhati-hati di kemudian hari.

OK, kita mulai dengan beberapa contoh dan pembahasan.

Pertama, penipuan mengenai undian yang mengatasnamakan pihak tertentu. Modusnya bisa banyak, melalui teks ataupun secara suara. Teks berarti dikirim dalam bentuk sebuah pesan tertulis seperti SMS, e-mail, ataupun kiriman langsung berupa surat. Suara berarti memanfaatkan media seperti telepon atau telepon bergerak. Modus pesan tertulis sudah sangat umum, dengan menuliskan alamat konfirmasi hadiah secara palsu dengan tujuan sang korban dapat mengirim sejumlah uang yang diyakini sebagai sebuah syarat untuk mendapatkan hadiah (bisa juga alasan berupa pajak hadiah). Modus suara, pelaku akan menelepon langsung sang korban dan memberitahu bahwa korban menang undian sebesar (jumlah bervariatif) dan menanyakan rekening korban. Sebelum saya masuk lebih dalam, berikut ada 2 contoh tentang modus ini:

Contoh pertama, pesan SMS yang sering anda terima mungkin berbunyi seperti ini (saya capture dari apa yang pernah saya terima):

XL (123)

PROMO HADIAH

“XL Rp.100jt”

U/pemilik No.

08188899xxx

Resmi menang

15 jt. di undi

smlm di ANTV

U/info hub kntr

XL CENTER jkrt:

021 37489139

021 37489149

Contoh kedua, saya pernah ditelpon langsung oleh pelaku, dengan modus yang sama, kira-kira begini percakapannya:

Pelaku: Halo, selamat pagi dengan nomor 081xxxxxxx (pelaku menyebut nomor kita dengan benar)…

Saya: Iya benar, darimana ini?

Pelaku: Saya dari PT. xxx (menyebut nama salah satu provider) ingin mengabarkan bahwa bapak telah menang undian yang kami laksanakan. Boleh saya tahu nama bapak?

Saya: (Sudah curiga bahwa ini penipuan dan sebut nama)

Pelaku: Boleh saya tahu rekening tabungan bapak?

Saya: Tunggu sebentar ya pak, saya sedang ditengah-tengah meeting.

Pelaku: (mendadak langsung menutup telepon)

Saya: (tertawa dalam hati sambil memaki-maki pelaku dalam hati) 😀

Terlihat, modus yang serupa apabila kita menelepon nomor yang tertera pada sms. Secara sepintas seperti asli, namun kalau dibaca lebih detail, tulisannya asal. Dalam hal ini, yang perlu diperhatikan adalah jangan mudah percaya. Jika anda merasa tidak yakin, anda bisa menghubungi contact center resmi, jangan menghubungi nomor yang tertera ataupun yang diarahkan oleh pelaku.

Tips dari saya: semua orang pasti mengharapkan menang undian besar, tapi sebaiknya jangan tanamkan pikiran seperti itu. Modus yang ada selalu memanfaatkan kelemahan psikologis seseorang. Kalau saya pribadi, saya selalu menganggap bahwa uang tidak jatuh dari langit begitu saja, tetapi kita harus mendapatkannya dengan bersusah payah. Jadi, untuk hal-hal seperti itu, saya sudah pasti anggap angin lalu atau hal yang hanya buang-buang waktu saja. Dan juga ingat satu hal, jika undian tersebut resmi, media penyampaiannya selalu diumumkan terbuka kepada publik, baru ada fase bagaimana cara menghubungi ataupun dihubungi.

Kasus berikut, walaupun bisa dibilang tidak terlalu berbahaya langsung, namun bisa membahayakan. Dalam ruang lingkup teknologi informasi, sering kita menyebut HOAX (http://en.wikipedia.org/wiki/Hoax). Ya, HOAX bersifat mendompleng nama suatu organisasi ataupun seseorang lalu membuat berita bohong tentang hal yang didompleng agar orang yang membaca berita itu percaya. Hal ini bisa menjadi berbahaya apabila langsung dipercaya dan tidak ada klarifikasi. Contoh paling mudah adalah pemberitaan tentang public figure yang mengalami suatu kasus tertentu (seperti meninggal atau kecelakaan) padahal public figure tersebut sedang sehat-sehat saja. Contoh kedua, dengan memanfaatkan nama perusahaan tertentu, mengirim pesan secara massal sehingga orang percaya bahwa hal tersebut benar (karena ditulis dengan bahasa yang rapih dan meyakinkan). Kedua contoh tersebut mempunyai motif yang berbeda-beda. Ada yang sifatnya iseng, namun ada yang sifatnya serius seperti ingin mencuri account seseorang ataupun membebani lalu lintas data sang korban. Lagi-lagi yang dimanfaatkan adalah sisi psikologis seseorang.

Berikut adalah contoh nyata yang sempat menjadi ramai, yaitu HOAX tentang akan dimatikannya service BlackBerry Messenger jika kita tidak meneruskan pesan tersebut:

Hello, greetings from RIM (Research In Motion) proprietors of BlackBerry. This message is to inform all of our users, that our servers have recently been really full, so we are asking for your help to fix this problem. We need our active users to re-send this message to everyone on your contact list inorder to confirm our active users that use BlackBerry Messenger, if you do not send this message to all your BlackBerry Messenger contacts then your account will remain inactive with the consequence of losing all your contacts.

We apologize for the inconvenience but this is the only way possible to resolve this problem. Sincerely Research in Motion. For more information visit:

www.blackberry.com/inactiveuser

Kasus serupa seperti contoh adalah dengan mendompleng nama perusahaan seperti Yahoo, Microsoft ataupun yang terkenal lainnya. Motifnya, bisa hanya untuk membebani lalu lintas data ataupun pada tingkat lanjut bisa untuk pencurian account. Setiap kali saya mendapat pesan seperti itu, saya selalu mengirim pesan balik kepada pengirim bahwa pesan tersebut bohong. Ada yang percaya, namun ada juga yang sinis dan menganggap saya sok tahu. It’s OK, ya resiko bukan ditanggung saya kok, saya hanya sekedar mengingatkan :).

Contoh lainnya adalah, berupa Phishing (http://en.wikipedia.org/wiki/Phishing), dengan memanfaatkan lagi-lagi sisi psikologis seseorang, namun kali ini bertujuan lebih untuk pencurian data sensitif seseorang dengan menjebak korban ke halam web palsu dimana korban mengisi data-data pribadi atau rahasia yang tujuannya untuk dicuri pelaku. Contoh email seperti ini:

I am oman bozize, the Director in charge of Auditing section a banker in Islamic Development Bank (IsDB)need your urgent assistance in transferring the sum of $10.5million U.S dollar, immediatelya to your account.I will send you full details on how the business will be executed and also note that you will have 40% of
the above mentioned amount if you agree to help me execute this transaction is 100% free risk.Your Name.Your Country.Your Occupation.Your Age.Your Marital Status.Your Personal Fax N°.Your Personal Mobile/Telephone N°.Your Gender.

atau

Good day, dear
I sit down and think all day and night, of the chats that we’ve shared.
The night you will say hello, and we just will click and connect from the start. Here’s to our perfect future, of happiness and love. The way
we will feel for each other, is so perfect and so true. So babes hold
me close, and never let me go. I really think your special, and I know I can’t ask for more to share our love is just something I want from you.
Feel as we are one and ment to be. The next time we meet will be the day, I’ll get on one knee and say that you are the one for me and I love you so much and how I love to be hugged by you because I love your touch.
Find me here  myfeelingforyou.com/harmony/
Looking forward to hear from you
Anna

Tips: sama seperti kasus pertama, jangan mudah percaya.

Ketiga, spam. Tujuannya bisa bersifat iseng, bisa juga menjadi kejahatan seperti pencurian account ataupun penyebaran virus atau malware. Kalau ini sudah jadi hal umum, namun untuk yang belum tahu, waspadalah dan sekali lagi jangan mudah percaya.

Terakhir, kalau kita lihat modus yang digunakan memanfaatkan kelemahan sisi psikologis seseorang, kadang juga disebut sebagai Social Engineering (http://en.wikipedia.org/wiki/Social_engineering_(security)). Yang harus kita lakukan adalah tetap waspada, jangan mudah percaya dan kuat iman. Sekali lagi, tidak ada hal yang bisa dicapai dengan mudah kecuali anda beruntung. Jika dari anda ada yang mempunyai anak, bisa juga melakukan edukasi hal ini ke anak anda supaya di kemudian hari tidak terjebak dengan hal ini. Kita semua tahu bahwa modus kejahatan belakangan ini banyak memanfaatkan ketidaktahuan dari sebuah informasi, sehingga dimanfaatkan menjadi hal yang negatif. Semoga anda bisa terhindar dari hal semacam ini.

Disclaimer: Nama perusahaan yang dimunculkan diatas bukan dimaksudkan untuk menyudutkan pihak tertentu, namun sebagai contoh nyata. Penulis tidak bertanggung jawab atas perbuatan oknum yang menggunakan sumber ini untuk menyudutkan pihak tertentu di kemudian hari.

Salam,

Raymond Engelbert

Black Screen of Death bukan karena Patch

Posted on by Raymond

Mungkin masih ingat dengan berita:

http://www.detikinet.com/read/2009/12/02/071530/1252295/317/kasus-layar-hitam-kematian-microsoft

Tentunya menimbulkan ketakutan kembali kepada pengguna Windows, mengingat pernah terjadi fenomena “Blue Screen of Death” pada jaman Windows terdahulu yang menjadi cobaan besar bagi Microsoft ketika Windows tengah naik daun.

Kalau kita lihat pada berita tersebut, laporan tersebut muncul dari salah satu biro sekuriti Inggris, Prevx yang menyatakan gejala tersebut timbul akibat patch dan security update bulan November.

Selain menggemparkan dunia, saya sendiri pun ikut gempar dan sedikit tidak percaya akan isu ini. Pertama, saya selalu melakukan patching dan update terhadap laptop maupun server yang menjadi tanggung jawab saya. Dan prosedur ini, tidak hanya sekedar patching, namun ada fase testing setelah patching yang saya jalankan dan ternyata tidak ada masalah yang seperti disebutkan dalam berita. Tidak terbukti, karena sampai detik ini laptop saya bekerja dengan baik dan server pun bekerja sebagaimana mestinya.

Pada tanggal 1 Desember 2009, Prevx menyampaikan permintaan maaf serta klarifikasi mengenai kasus tersebut. Rilis tersebut bisa dibaca dengan lengkap pada website berikut:

http://www.prevx.com/blog/141/Windows-Black-Screen-Root-Cause.html

Berikut petikan dari baris terakhir pernyataan tersebut:

“We apologize to Microsoft for any inconvenience our blog may have caused. This has been a challenging issue to identify. Users who have the black screen issue referred to can still safely use our free fix tool to restore their desktop icons and task bar.”

Lalu, pertanyaan berikutnya adalah, apa penyebabnya dan mengapa bisa ada kejadian yang sempat menggemparkan tersebut?

Berikut adalah rilis resmi dari Microsoft Security Response Center:

http://blogs.technet.com/msrc/archive/2009/12/01/reports-of-issues-with-november-security-updates.aspx

Sedikit petikan dari link tersebut:

“We’ve also checked with our worldwide Customer Service and Support organization, and they’ve told us they’re not seeing “black screen” behavior as a broad customer issue. Because these reports were not brought to us directly, it’s impossible to know conclusively what might be causing a “black screen” in those limited instances where customers have seen it. However, we do know that “black screen” behavior is associated with some malware families such as Daonol.”

Dan terakhir, ada statement dari Microsoft yang juga saya dapatkan melalui email dan makin memperkuat dugaan bahwa informasi awal mengenai penyebab Black Screen adalah SALAH BESAR:

“The reports on the so called “Black Screens” was investigated by Microsoft and found to be inaccurate. The company which issued the report has apologized and made a full retraction. Windows 7 security updates was not the cause of the black screens. There is no fix or update necessary for this, but customers should keep their anti-virus software up-to-date as a preventative measure. So far, Microsoft is not seeing an occurrence of this particular issue in our support channels locally.”

Semoga para pengguna Windows bisa tenang kembali :).

Salam,

Raymond Engelbert