(0275) 2974 127
Kejahatan siber semakin menjadi hal yang ditakuti oleh para user karena dapat memberikan kerugian yang sangat besar. Hal tersebut terjadi dengan adanya data-data privasi yang dicuri dan disalahgunakan oleh penyerang. Dalam perkembangannya, ada banyak sekali bentuk serangan siber sehingga untuk melakukan mitigasi, maka sangat perlu untuk memahaminya.
Adapun salah satu kejahatan siber yang sedang marak terjadi adalah session hijacking yang merupakan jenis kejahatan pengambilalihan kendali session milik user lain.
Session hijacking adalah jenis penyerangan siber yang dilakukan oleh penyerang siber jahat dengan menempatkan dirinya di antara komputer dengan website server yang sedang ditelusuri dengan harapan untuk melakukan pencurian data-data personal.
Penyerang melakukan pembajakan melalui session pengguna atau juga dikenal dengan pembajakan cookie. Adapun session adalah mekanisme untuk mempertahankan informasi pada semua halaman web yang berbeda untuk mengidentifikasi pengguna pada saat mereka menelusuri situs atau aplikasi. Suatu session dimulai ketika seorang pengguna login pada suatu servis dan berakhir ketika pengguna tersebut logout. Dengan demikian, penyerangan ini bergantung pada pengetahuan penyerang terhadap session cookie pengguna.
Adapun contoh session hijacking misalnya mendapatkan suatu e-mail mengenai penjualan dari toko retail favorit kemudian mengakses link pada email dan mulai berbelanja. Pada dasarnya email tersebut dikirim oleh penyerang yang menyertakan kunci sesinya sendiri sehingga penyerang pun dapat menyerang keseluruhan sesi dan melakukan belanja dengan kartu kredit. Berdasarkan contoh tersebut, dapat dilihat pengguna menggunakan session cookie untuk melakukan pencurian siber.
Pada dasarnya, session hijacking dapat dibedakan sebagai berikut :
Pada session hijacking aktif, penyerang akan mengambil alih kontrol terhadap koneksi jaringan aktif pengguna. Hal tersebut memungkinkan pengguna untuk mengetahui aliran pertukaran informasi antara server dan klien dengan beberapa metode. Dengan demikian, penyusup biasanya mengirim sejumlah trafik yang masif untuk mengganggu session yang valid dengan berpotensi memicu serangan denial of service (DoS).
Pada session hijacking pasif, penyerang akan melakukan pengamatan terhadap pertukaran informasi yang terjadi di antara server dan klien namun tidak melakukan pengambilalihan kontrol terhadap koneksi jaringan aktif pengguna. Adapun tujuan utamanya adalah untuk mengetahui informasi personal untuk tujuan jahat.
Pada session hijacking hybrid, penyerang akan melakukan monitor terhadap trafik jaringan sampai mereka menemukan suatu permasalahan kemudian mengambil alih session dan memulai imitasi pengguna yang sah. Dengan demikian, teknik ini menggunakan kombinasi antara teknik aktif dan pasif.
Untuk mengetahui cara penyerang mengambil alih session dalam internet, maka perlu mengetahui metode session hijacking yang digunakan oleh penyerang, yakni sebagai berikut :
Adapun pada jenis penyerangan ini, penyerang akan menangkap lalu lintas jaringan yang berisi Session ID antara sebuah website dan klien menggunakan software seperti Wireshark atau Proxy. Dengan demikian, ketika penyerang mampu menangkap hal tersebut maka dia bisa menggunakan token yang valid ini untuk mendapatkan akses yang tidak sah.
Pada jenis session hijacking ini, penyerang akan mengambil keuntungan dengan adanya keamanan web service yang lemah dan memasukkan skrip halaman web. Misalnya ketika penyerang mengirimkan tautan khusus kepada korban yang berisi kode-kode JavaScript yang jahat.
Ketika korban melakukan klik pada tautan tersebut, maka JavaScript akan menjalankan atau mengikuti instruksi penyerang tersebut. Dengan demikian, penyerang mampu mengakses kunci session sehingga bisa melakukan pengambilalihan dan mendapatkan informasi personal.
Penyerangan session hijacking jenis ini memungkinkan penyerang untuk menebak session ID sampai dia berhasil. Ketika dia berhasil, maka penyerang akan melakukan pembajakan session. Serangan ini umumnya hanya berfungsi jika keamanan situs web yang lemah dan memiliki kunci session yang pendek dan cepat ditebak.
Pada dasarnya, penyerang bisa menjebak pengguna dengan melakukan klik link yang dapat menyebarkan malware terhadap device. Ketika malware mampu melakukan pelacakkan maka memungkinkan pencurian session cookie dan mentransmisikannya kepada penyerang. Dari data tersebut, penyerang bisa mendapatkan session ID dan membajak session.
Session fixation merupakan jenis session hijacking yang memungkinkan penyerang untuk membuat session ID dan menipu pengguna untuk menggunakannya. Salah satu metode yang sering digunakan adalah dengan mengirimkan email kepada pengguna yang menyertakan tautan login screen untuk web yang ingin diakses oleh penyerang.
Melalui metode ini, penyerang akan melakukan install Trojan horse pada komputer pengguna yang memungkinkan untuk mengubah transaksi web pengguna. Pada dasarnya, metode ini akan membuat website mengalami kesulitan untuk mengidentifikasi hal yang palsu.
Salah satu cara untuk melakukan upaya preventif terhadap serangan session hijacking adalah dengan mengetahui cara kerja session hijacking yakni sebagai berikut :
Adapun cara kerja diawali dengan login akun oleh pengguna seperti pada akun bank, online store, atau aplikasi lainnya. Situs atau aplikasi tersebut akan menginstall session cookie sementara pada browser pengguna. Pada cookie tersebut berisi informasi yang mengenai pengguna sehingga membuat penyerang mencoba masuk dan melacak aktivitas pengguna saat session tersebut. Adapun session cookie akan selalu berada pada browser sampai pengguna tersebut melakukan logout.
Penyerang siber memiliki berbagai cara untuk melakukan pencurian session seperti mengambil session cookie pengguna, mencari tahu session ID di dalam cookie, dan menggunakan informasi tersebut untuk mengambil alih session. Dengan demikian, ketika penyerang mendapatkan session ID maka mereka bisa mengambil alih session tanpa terdeteksi.
Ketika pengguna asli dapat dibajak dan dilacak oleh penyerang, maka akan memungkinkan penyerang untuk dapat menggunakan sesi yang sedang berlangsung untuk melakukan serangkaian tindakan jahat seperti membeli suatu barang, menarik uang, dan sebagainya.
Setelah mengetahui metode-metode yang digunakan oleh penyerang untuk melakukan session hijacking, maka perhatikanlah langkah-langkah preventif yang bisa digunakan dalam menghindari serangan session hijacking berikut ini :
Ketika menggunakan wifi publik maka session id akan disertakan ketika membagikan link atau mengakses suatu website. Dengan demikian, pastikan ketika menghindari wifi publik ketika melakukan transaksi penting seperti melakukan pembayaran, transfer, belanja online, dan sebagainya.
Ketika mengakses wifi publik maka bisa menggunakan Virtual Private Network (VPN) yang akan membantu untuk lebih aman. Adanya VPN akan menutupi alamat IP dan membuat aktivitas online lebih terprivasi dengan membuat “private tunnel” sehingga VPN mengenkripsikan data yang dikirim dan diterima.
Pastikan melakukan install software pengaman terhadap device dan pastikan untuk selalu melakukan update sehingga dapat mengakses fitur-fitur yang lebih baik. Pada dasarnya, software pengaman dapat membantu dalam mendeteksi virus dan melindungi malware.
Mengakses halaman website HTTPS akan membuat data yang dikirimkan dienkripsikan. Hal ini akan membantu mencegat penyerang yang ingin mencuri session ID.
Hindari melakukan klik pada link suatu email kecuali mengetahui bahwa pengirim email tersebut dari orang yang dipercaya atau institusi resmi. Jika melakukan klik pada link email sembarangan, maka bisa saja link tersebut mengandung malware yang bisa dimanfaatkan oleh penyerang.
Ketika keluar dari akun, maka session pun akan berakhir dan secara tidak langsung akan membuat penyerang juga logout dari akun tersebut. Dengan demikian, pastikan untuk selalu melakukan logout.
Keberadaan framework PHP dilatarbelakangi oleh data dari W3Tech yang menunjukkan bahwa lebih dari 80% website…
Hallo Sobat! Saat ini perkembangan website semakin hari semakin meningkat. Mulai dari kebutuhan bisnis, akademik,…
Industri digital saat ini semakin berkembang dari waktu ke waktu, baik itu digital audio maupun…
Sebelum membeli sebuah website, sebaiknya cek dulu umur domainnya. Itu karena usia domain ternyata bisa…
Setelah kamu membuat website, pastinya kamu juga harus mengelolanya. Pengelolaan ini dilakukan untuk mencegah terjadinya…
Ingin membuat blog dengan cepat dan mudah? Blogspot menjadi platform pilihan. Dicap sebagai Blogger, layanan…