ACCES CONTROL

 

ACCESS CONTROL

Defenisi Acces Control

Access control didefinisikan / diimplementasikan sebagai pemberi ijin terhadap sebuah ojek tertentu secara spesifik. Akases control sendiri membatasi orang orang yang akan mengakses objek tersebut. Tanpa adanya akses control, kemungkinan sesuatu (termasuk data) dapat di curi lebih meningkat. Jadi kata lainnya acces control merupakan kumpulan dari metode dan komponen yang dipergunakan untuk melindungi asset informasi. Acces control memberikan kemapuan untuk melindungi atau mendikte mana informasi yang bisa dilihat atau dimodifikasi oleh user.

Elemen penting dari access control adalah access nya itu sendiri. Dalam hal ini, access adalah aliran informasi antara subjek dan objek. Sebuah subjek merupakan entitas aktif yang meminta akses ke suatu objek atau data dalam objek tersebut. Sebuah subjek dapat berupa user, program, atau proses yang mengakses informasi untuk menyelesaikan suatu tugas tertentu. Ketika sebuah program mengakses sebuah file, program menjadi subjek dan file menjadi objek. Objek adalah entitas pasif yang mengandung informasi. Objek bisa sebuah komputer, database, file, program komputer, direktori, atau field pada tabel yang berada di dalam database.

Prinsip-prinsip dalam Access Control

• Principle of Least Privilege : Jika tidak ada sesuatu yang sudah di konfigurasi secara spesifik untuk individu atau kelompok, dimana ia berada, user harusnya tidak bisa mengakses sumber tersebut.
• Separation of Duties : Memisahkan area yang bertentangan dari tugas yang bertujuan untuk mengurangi modifikasi data yang tidak sah dalam aset atau informasi dari suatu organisasi.
• Need to Know : Prinsip ini bedasarkan konsep atas individu harus diberikan akses hanya untuk informasi yang mereka butuhkan untuk menjalankan tugas mereka.

Akses Control Model 

Teknik yang dipilih harus cocok terhadap organisasi agar bisa memberikan tingkat keamanan yang paling maksimum.

Access Control Models :

Mondatory Access Control (MAC) : Model ini merupakan model yang sangat terstruktur dan ketat. User diberi izin akses dengan mengklasifikasi subjek (secret, top secret, confidential dll) dan klasifikasi ini juga berlaku untuk objek. Beberapa klasifikasi dari mandatory access control berdasarkan military data classification bisa dilihat pada tabel berikut.

Directional Access Control : Merupakan model akses control yang diatur sesuai keinginan pemiliknya yang ditempatkan pada sebuah ACL (access control list). Menggunakan model ini merupakan konfigurasi pemberian akses berdasarkan kebutuhan user tersebut. 

Control mempergunakan identitas dari subyek untuk menentukan apakah permintaan akses tersebut akan dipenuhi atau di tolak.  Merupakan desain yang paling umum dipergunakan pada berbagai sistem operasi : memberikan hak akses read, write and execute permisions. Setiap obyek memiliki permissions, yang menentukan user atau group yang bisa melakukan akses terhadap obyek. Directional access control termasuk Identity-based access control dan access control list.

• Identity-based access control merupakan suatu keputusan akses terhadap objek berdasarkan pengguna atau user ataupun id dari keanggotaan group dari user yang bersangkutan. user ini juga dapat ditentukan oleh pemilik dari objek tersebut.
• Access Control List merupakan tugas yang berfungsi untuk memudahkan proses administrator acces control list dan mengijinkan group dari objek untuk di kontrol bersama-sama.

Non-discretionary Access Control : Non-discretionary access control disebut juga roled-based acces control atau task base access control. Menggunakan role dari subyek atau kegiatan yang di assigned kepada sebuah subyek, untuk menerima atau menolak akses Cocok dipakai pada kasus high turnover atau reassginments

Lattice-Based Access Controll merupakan Model kontrol akses berbasis kisi dikembangkan pada awal 1970-an untuk menangani kerahasiaan informasi militer. Pada akhir 1970-an dan awal 1980-an, para peneliti menerapkan model-model ini pada masalah integritas tertentu. Kemudian, penerapan model kebijakan Tembok Cina, kebijakan kerahasiaan yang unik untuk sektor komersial, ditunjukkan. Perspektif yang seimbang pada model kontrol akses berbasis kisi disediakan. Kebijakan arus informasi, kisi militer, model kontrol akses, model Bell-LaPadula, model dan dualitas Biba, dan kisi Tembok Cina ditinjau. Keterbatasan model diidentifikasi.

Intent-based Access Control (IBAC) : Sebuah sistem access control yang mendeteksi tujuan user meminta akses dengan menjawab pertanyaan mengapa user meminta akses tersebut dan siapa yang meminta akses tersebut. IBAC didesain untuk mencegah ancaman dari dalam dan luar. Merupakan sebuah risk-based access control yang menilai resiko dari akses yang bedasarkan dari maksud yang terdeteksi dan level motivasi terhadap pengeksekusian maksud tersebut.

Emotion-based Access Control (EBAC) : Sebuah sistem access control yang mendeteksi emosi user saat meminta akses dengan tujuan untuk menentukan keputusan akses. EBAC menambahkan aspek sensitivitas untuk menganalisis lebih jauh mengenai resiko dari memberikan akses kepada user. Menggunakan teknologi untuk mendeteksi emosi dengan tujuan untuk melengkapi sistem access control dan menggunakan hasil deteksi tersebut untuk menambahkan faktor autentikasi bersamaan dengan identitas user.

Attribute-based Access Control (ABAC) : Dalam ABAC, akses diberikan tidak bedasarkan dari hak subjek terkait dengan user setelah proses autentikasi, melainkan bedasarkan dari atribut user. User harus membuktikan so-called claims tentang atribut untuk mengakses control engine. Kebijakan ABAC menetapkan bahwa klaim harus terpenuhi agar user bisa mengakses objek. User bisa menjadi anonimus ketika proses autentikasi dan identifikasi tidak terlalu diperlukan.

Sumber : tekan ini materi 1, 2