MANFAAT E-BANKING

Manfaat E-BANKING

Manfaat E-Banking

Electronic Banking (e-banking) merupakan suatu aktifitas layanan perbankan yang menggabungkan antara sistem informasi dan teknologi, e-banking meliputi phone banking, mobile banking, dan internet banking. Fungsi penggunaannya mirip dengan mesin ATM dimana sarananya saja yang berbeda, seorang nasabah dapat melakukan aktifitas pengecekan saldo rekening, transfer dana antar rekening atau antar bank, hingga pembayaran tagihan-tagihan rutin bulanan seperti: listrik, telepon, kartu kredit, dll. Dengan memanfaatkan e-banking banyak keuntungan yang akan diperoleh nasabah terutama apabila dilihat dari banyaknya waktu dan tenaga yang dapat dihemat karena e-banking jelas bebas antrian dan dapat dilakukan dari mana saja sepanjang nasabah memiliki sarana pendukung untuk melakukan layanan e-banking tersebut.

Seorang nasabah akan dibekali dengan login dan kode akses ke situs web dimana terdapat fasilitas e-banking milik bank bersangkutan. Selanjutnya, nasabah dapat melakukan login dan melakukan aktifitas perbankan melalui situs web bank bersangkutan. Sebenarnya e-banking bukan barang baru di internet, tapi di Indonesia sendiri baru beberapa tahun belakangan ini marak diaplikasikan oleh beberapa bank papan atas. Konon ini berkaitan dengan keamanan nasabah yang tentunya menjadi perhatian utama dari para pengelola bank disamping masalah infrastruktur bank bersangkutan.

Keamanan memang merupakan isu utama dalam e-banking karena sebagaimana kegiatan lainnya di internet, transaksi perbankan di internet juga rawan terhadap pengintaian dan penyalahgunaan oleh tangan-tangan yang tidak bertanggung jawab.

Sebuah situs e-banking diwajibkan untuk menggunakan standar keamanan yang sangat ketat untuk menjamin bahwa setiap layanan yang mereka sediakan hanya dimanfaatkan oleh mereka yang memang betul-betul berhak. Salah satu teknik pengamanan yang sering dugunakan dalam e-banking adalah melalui SSL (Secure Socket Layer) maupun lewat protokol HTTPS (Secure HTTP).

BCA salah satu bank pelopor e-banking di Indonesia contohnya. BCA menawarkan produk perbankan elektronik berupa KlikBCA, yang memberikan kemudahan untuk melakukan transaksi perbankan melalui komputer dan jaringan internet. KlikBCA dilengkapi dengan security untuk menjamin keamanan dan kerahasiaan data dan transaksi yang dilakukan oleh nasabah. Untuk menambah keamanan pihak bank melengkapi juga dengan KeyBCA, yaitu alat pengaman tambahan untuk lebih mengamankan transaksi finansial di KlikBCA. Alat ini berfungsi untuk mengeluarkan password yang selalu berganti setiap kali melakukan transaksi finansial. Dengan demikian, keamanan nasabah bertransaksi akan makin terjaga.

Dengan hadirnya e-banking tidak hanya nasabah saja yang mendapatkan manfaat melainkan juga menciptakan efek manfaat yang lain bagi bank, yakni meningkatkan pendapatan berbasis komisi atau biaya (fee based income). Sebagian besar fee berasal dari layanan transaksi yang ditawarkan e-banking, misalnya untuk pembayaran tagihan listrik dikenai biaya Rp 2.500 per transaksi. Semakin sering nasabah bertransaksi lewat e-banking, semakin banyak pula fee yang diperoleh bank. Belakangan ini jenis pendapatan nonbunga tumbuh lebih cepat ketimbang pendapatan bunga. Selain itu biaya operasional juga menjadi sangat murah dibandingkan dengan biaya transaksi melalui kantor cabang, biaya di cabang relatif lebih besar karena untuk membayar karyawan, pengamanan, listrik, dan biaya sewa gedung. Dengan segala manfaat yang bisa didapat melalui e-banking beberapa bank rela menanamkan investasi yang mahal untuk mengembangkan e-banking. Akan tetapi tidak banyak bank yang bisa mengembangkannya karena terbenturnya masalah biaya.

Keamanan Dalam Menggunakan Fasilitas E-Banking

Bagaimana Virus dan Phising digunakan untuk mengalahkan pengamanan Token. Bagaimana caranya mengirimkan dokumen digital rahasia dengan cepat, aman dan praktis ke alamat email rekan atau kolega bisnis, yang mungkin sedang berada di Yogya dan tidak memiliki komputer dan terkoneksi ke internet hanya dari warnet ? Kalau filenya di kompres (zip) dan diberi password atau dokumen MS office di beri password dan relatif mudah dibuka oleh orang yang tidak berhak dengan tools pembuka password (password cracker) yang banyak tersedia di internet (underground seperti www.astalavista.com). Dengan menggunakan dictionary attack atau brute force hanya masalah waktu saja password tersebut akan dapat ditemukan. Password Recovery Tools yang sering disalahgunakan untuk membuka file orang lain yang dipassword

Salah satu cara yang lebih aman adalah mengenkrip file yang dikirim dan lebih afdol lagi jika file tersebut diberikan time limit, sehingga seperti film Mission Impossible, selewat dari waktu yang anda tentukan file tersebut akan rusak (self destruct). Tetapi, diluar itu ada satu hal krusial yang harus anda perhatikan dan jalankan dengan baik jika ingin mendapatkan perlindungan sekuriti yang baik, karena meskipun enkripsi sudah dilakukan, tetapi password ekripsi juga dikirimkan ke alamat email yang sama. Ibarat kata Gito Rollies itu namanya “Sama Juga Bohong”. Karena siapapun yang memiliki akses untuk mendapatkan file yang anda kirim melalui email di tengah jalan sudah pasti memiliki akses untuk mendapatkan email berikutnya yang berisi password. Lalu bagaimana cara menghadapi masalah ini ?

Jawabannya “Two Factor Authentication” / T-FA. Seperti kita ketahui, ada tiga faktor universal (“sesuatu”) yang digunakan untuk autentifikasi individu. Pertama adalah “Sesuatu yang kamu tahu” seperti password, PIN atau identitas yang ada didompet anda seperti nomor KTP, SIM dan Kartu Mahasiswa. Kedua adalah “Sesuatu yang kamu miliki” seperti Handphone, kartu kredit atau security token. Ketiga “Sesuatu yang ada di diri kamu” seperti sidik jari, sidik retina atau biometrik lain.

Lalu bagaimana jawaban dari masalah di atas ? Mudah, setelah anda melakukan “pekerjaan rumah” mengenkripsi file dengan baik dan aman (gunakan Norman Privacy untuk mengenkripsi file dan membuat self extracting exe dan memberi password pada dokumen yang ingin anda enkripsi), kirimkan password dekripsi melalui media lain, seperti telepon, SMS atau alamat website rahasia berisi password yang hanya anda ketahui berdua.

Jika anda melakukan praktek ini, tingkat keamanan data anda menjadi selevel dengan pengamanan yang dilakukan oleh Bank dalam melindungi nasabahnya yang melakukan Internet Banking. Bahkan dibandingkan beberapa bank di Indonesia yang hanya mengandalkan password dan tidak mengandalkan Two Factor Authentication (T-FA), dokumen anda terlindung jauh lebih aman.

Seberapa mampu teknologi mengamankan transaksi internet Banking anda ? Bagaimana para kriminal mengeksploitasi hal ini ? Lalu bagaimana sebaiknya anda bersikap ?

Seperti kita ketahui, sekuriti dengan kenyamanan berbanding terbalik. Makin aman suatu transaksi, makin sulit di implementasikan. Makin nyaman suatu transaksi, makin mudah ditembus. Walaupun dalam beberapa kasus, analisa dan kreativitas dari penyedia layanan internet banking dapat memberikan keamanan dan kenyamanan pada tingkat yang dapat diserap dengan baik oleh segala lapisan masyarakat sehingga dapat di implementasikan dengan cepat dan baik. Tetapi ada satu “ground rule” yang harus disadari oleh penyedia jasa internet banking, “Teknologi selalu berkembang dan tidak ada satupun pengamanan yang kekal”. Dengan kata lain, kriminal akan selalu mencari cara (dan berhasil) menembus teknik pengamanan transaksi yang ada dan para penyedia jasa layanan keamanan harus “selalu” mengikuti perkembangan dan melakukan teknik baru dalam pengamanan transaksi.

Tools yang paling sering digunakan untuk menembus perlindungan internet banking adalah malware. Seperti kita ketahui, ada program berbahaya yang untuk merekam semua ketukan keyboard komputer yang anda (nasabah internet banking) lakukan pada keyboard, yaitu key logger. Dengan key logger, semua ketukan keyboard yang anda lakukan akan direkam dan biasanya dimasukkan pada trojan horse yang menumpang pada game, virus atau program gratisan yang anda download dari internet. Harga yang anda bayar untuk program gratisan jika mengandung Trojan Horse yang berhasil mengeksploitasi data rahasia anda bisa jauh lebih mahal daripada anda membeli program original.

Lalu ada beberapa bank yang menggunakan papan keyboard virtual yang muncul di layar komputer dengan susunan huruf dan angka yang berubah-ubah setiap kali tampil dan nasabah memasukkan data / pin dengan mengklik huruf atau angka yang terpampang di keyboard virtual menggunakan mouse. Dengan trojan horse yang sama, kriminal dengan mudah melakukan screen capture (Print Screen) sehingga dapat mengetahui susunan keyboard virtual yang muncul setiap kali dan dengan menganalisa waktu dan koordinat-koordinat dimana mouse di klik oleh user… voila …..apapun di klik nasabah dengan mouse pada keyboard virtual akan dapat diketahui.

Karena itu, salah satu perlengkapan yang harus dimiliki oleh nasabah internet banking (must have) adalah program antivirus dan antispyware yang handal yang mampu mendeteksi keylogger dan trojan horse yang berbahaya.

Lalu, bagaimana kriminal menghadapi pengamanan Two Factor Authentication seperti token pin yang mulai populer digunakan oleh bank ? Apakah sudah aman dan tidak mungkin ditembus ?

Apakah internet banking anda dengan Token benar-benar aman ?

Pick enemy your own size, carilah musuh yang sepadan dengan anda. Kalau Chris John yang masih juara dunia tinju sekalipun di “adu” dengan Mike Tyson yang notabene bukan juara dunia tinju lagi. Tentunya Chris John akan pikir-pikir melawan Mike Tyson. Mengapa ? Karena kelasnya berbeda. Kalau Chris John juara dunia kelas bulu, sedangkan Mike merupakan eks juara dunia kelas berat. Hal tersebut mirip jika kriminal berhadapan head to head dengan server internet banking. Server tersebut dijaga dengan berbagai pertahanan, firewall, team pemantau aktivitas etc. Namun, tergantung tujuannya, apakah ingin membobol server internet banking atau “mendapatkan uang” dari nasabah internet banking. Kalau tujuannya membobol server internet banking, hal tersebut tidak dibahas disini karena hanya komunitas hacker tertentu dengan skill yang diatas rata-rata yang memiliki kemampuan dan jaringan untuk melakukan hal tersebut.

Namun jika tujuannya adalah mendapatkan uang dari rekening internet banking, maka pameo “pick enemy your own size” berlaku. Jadi, kriminal akan memilih lawan dengan pertahanan yang lebih lemah dari server internet banking di bank. Siapa itu ? Tidak lain dan tidak bukan adalah pengguna internet banking.

Seperti kita ketahui, dalam penerapan sekuriti, salah satu hal kunci dalam keberhasilan penerapan sekuriti adalah partisipasi “user”. Sebagai gambaran, sekalipun sudah menggunakan program antivirus terkenal, suatu jaringan komputer dengan mudah akan terinfeksi virus jika usernya sering mengunjungi website porno atau crack. Sebaliknya, user yang menggunakan antivirus gratisan sekalipun akan lebih jarang terinfeksi virus jika menerapkan kebiasaan sekuriti yang baik seperti tidak sembarangan melakukan full sharing, berhati-hati dalam melakukan browsing dst.

Sebenarnya hal ini disadari sekali praktisi sekuriti oleh bank penyelenggara internet bankingpun sudah melakukan pengamanan yang memadai, salah satunya adalah dengan mengimplementasikan token (T-FA two factor authentication). Tetapi tetap saja user merupakan titik terlemah dalam sekuriti karena sudah menjadi hukumnya bahwa manusia itu unik dengan 1001 kebiasaan dan latar belakang yang berbeda. Selain itu, sesuai hukum piramida, persentase user internet banking yang tidak paham / perduli sekuriti jauh lebih besar dari jumlah user yang paham / perduli sekuriti.

DNS cache poisoning dan website forging (Phising)

Salah satu teknik yang patut diwaspadai dalam berpotensi menembus pertahanan internet banking dengan pengamanan Token adalah DNS cache poisoning dan website forging. Website forging adalah pemalsuan website yang dibuat sedemikian rupa sehingga pengakses percaya bahwa website palsu yang diaksesnya adalah benar website bank yang bersangkutan dan aman untuk melakukan transaksi.

DNS cache poisoning (DNS poisoning) adalah teknik “meracuni” DNS Server untuk mengelabui pengguna internet untuk percaya bahwa website “palsu” yang diaksesnya (yang dibuat benar-benar menyerupai website asli) adalah website asli. Tetapi tentunya anda akan langsung bertanya, lho bukankah DNS tersebut dimaintain oleh ISP dan tentunya dalam waktu singkat aksi DNS poisoning ini terdeteksi dan dimentahkan.

Memang betul dan yang dimaksudkan disini bukan DNS poisoning pada DNS server, tetapi DNS poisoning pada sasaran yang lebih kecil lagi, tetapi tidak kalah berbahaya ….. DNS pada komputer user. Seperti kita ketahui, OS komputer (baik XP maupun Vista) memiliki file “Host” yang berfungsi sebagai “DNS server” bagi komputer yang bersangkutan. Jika file host tersebut berhasil dimanipulasi, maka dengan mudah setiap akses ke website internet banking akan diarahkan ke website palsu yang sudah di program sedemikian rupa sehingga dapat mengelabui pengguna internet banking ketika melakukan transaksi internet banking.

Tetapi tentunya anda bertanya, bagaimana dengan pengamanan ganda pada internet banking yang menggunakan Token ? Bukankah angka PIN (Personal Identification Number) tersebut merupakan one time PIN dan berubah-ubah setiap kali pengguna komputer melakukan transaksi ?

Jika kita melihat sekilas kelihatannya pengamanan Token ini sangat aman dan PIN internet banking yang berbeda untuk setiap pengguna, berubah setiap kali (one time Password) sehingga sangat sulit diketahui kecuali mendapatkan rumusannya dan memang hanya pemilik Token dan server internet banking yang mengetahui PIN sehingga “hampir” tidak mungkin untuk mengetahui PIN tersebut. Jangankan orang lain, pemilik Token saja kalau lupa PIN Tokennya, sudah tidak ada harapan untuk berinternet banking lagi .

Tetapi dengan DNS poisoning dan website forging / phising ini, kriminal tidak perlu mengetahui PIN dan pengguna internet banking yang akan memasukkan semua data, baik username, password, account confirmation PIN dan one time PIN.

Ambil contoh korban DNS poisoning ini melakukan logon ke rekening internetnya. Karena sudah dialihkan, maka ia akan mengakses situs palsu internet banking yang dibuat sedemikian rupa agar sama dengan situs internet banking. Lalu si korban memasukkan Username dan Password yang secara otomatis akan digunakan oleh server untuk login ke website internet banking yang sebenarnya. Disini Tahap Pertama pengaksesan rekening sudah berhasil dijalankan.

Lalu bagaimana caranya mendapatkan uang dari korban internet banking ini ? Mudah saja, walaupun PIN tersebut merupakan one time PIN, tetapi PIN tersebut tidak unik untuk setiap transaksi dan berlaku universal untuk semua transaksi internet banking, baik pembayaran rekening telepon, pembayaran asuransi, internet, listrik sampai dengan pengisian pulsa isi ulang.

Ketika user melakukan transaksi, website palsu akan meminta one time PIN yang harus dimasukkan dan one time PIN yang dimasukkan itu sekarang dapat dipergunakan untuk kriminal untuk melakukan transaksi non transfer (EG. pembelian pulsa isi ulang) karena transaksi transfer akan meminta account confirmation PIN.

Bagaimana memanipulasi Host file ?

Pertanyaan lain yang tentunya timbul adalah, bagaimana caranya memanipulasi host file dan seberapa besar kemungkinan terjadinya manipulasi Host file tersebut ?

Secara teknis, manipulasi Host file Windows sangat mudah dan banyak dilakukan oleh virus-virus lokal yang beredar di Indonesia. Ambil contoh virus Wayang memanipulasi host file komputer korbannya dan mengarahkannya setiap akses ke situs sekuriti seperti www.vaksin.com, www.ansav.com, www.jasakom.com, www.vbbego.com ke localhost (127.0.0.1) sehingga website-website sekuriti tersebut praktis tidak bisa diakses komputer korban virus Wayang (lihat gambar). Bahayanya, kalau website sekuriti ini dirubah menjadi website internet banking dan diarahkan bukan ke localhost, tetapi IP website palsu (forging) di internet yang telah dipersiapkan sebelumnya, tentunya akan banyak sekali korban internet banking yang tidak menyadari kalau website internet bankingnya sudah diarahkan ke alamat lain dan menjadi korban.