Chetan Jaiswal dari Quinnipiac University menjelaskan apa itu serangan saluran samping dan bagaimana dampaknya terhadap keamanan siber modern.
Versi artikel ini awalnya diterbitkan oleh The Conversation (CC BY-ND 4.0)
Ketika orang mendengar kata serangan siber, mereka biasanya membayangkan seseorang menebak kata sandi, menanam malware, mencuri komputer, meretas jaringan organisasi, atau mengeksploitasi kelemahan perangkat lunak. Serangan saluran samping bekerja secara berbeda. Ia mencari petunjuk yang diberikan komputer saat melakukan pekerjaan biasa.
Analogi sederhananya adalah brankas yang terkunci. Pencuri mungkin tidak mengetahui kombinasinya dan mungkin tidak dapat membuka kuncinya. Namun jika pencuri dapat mendengarkan dengan cermat saat tombol diputar, klik kecil, gerakan berputar, atau jeda mungkin akan mengungkap sesuatu tentang apa yang terjadi di dalam. Brankas tidak dimaksudkan untuk membagikan informasi tersebut, namun perilaku fisiknya masih memberikan petunjuk.
Komputer modern memiliki versinya sendiri untuk petunjuk tersebut. Misalnya, setiap komputer mungkin memerlukan jumlah waktu yang berbeda untuk menyelesaikan tugas yang berbeda atau mungkin menggunakan jumlah listrik yang berbeda. Perangkat keras – prosesor, memori, kartu grafis, dan drive penyimpanan – mungkin meninggalkan pola kecil saat berfungsi.
saya seorang ilmuwan komputer yang mempelajari keamanan dan privasi. Saya mendefinisikan serangan saluran samping sebagai upaya untuk mengamati petunjuk tidak langsung ini dan menggunakannya untuk menyimpulkan sesuatu yang bersifat pribadi.
Inilah yang membuat serangan saluran samping ini menjadi tidak biasa. Kelemahannya berasal dari cara mesin melakukan pekerjaannya. Penyerang tidak mencuri kata sandi secara langsung atau membobol komputer, melainkan mempelajari jejak yang ditinggalkan mesin saat sedang beroperasi.
Sejarah bocor
Idenya bukanlah hal baru. Pada tahun 1985, peneliti Belanda Wim van Eck menunjukkan sinyal elektromagnetik dari unit tampilan video dapat ditangkap dan diterjemahkanmeningkatkan kemungkinan menguping apa yang ditampilkan layar. Layar itu tidak sengaja menayangkan isinya. Itu adalah kebocoran sinyal sebagai efek samping pengoperasian.
Pada tahun 1990an, serangan saluran samping menjadi sangat penting dalam kriptografi, ilmu melindungi informasi. Pada tahun 1996, peneliti kriptografi Paul Kocher menunjukkan bahwa dengan cermat mengukur berapa lama waktu yang dibutuhkan untuk operasi tertentu dapat mengungkapkan informasi pribadi dari sistem yang menggunakan metode kriptografi umum. Beberapa tahun kemudian, Kocher dan rekan kriptografer Joshua Jaffe dan Benjamin Jun menunjukkan bahwa mengukur konsumsi daya dapat dilakukan membantu memulihkan kunci rahasia dari perangkat yang tahan terhadap kerusakan seperti kartu pintar.
Penemuan ini mengubah cara berpikir para insinyur tentang keamanan. Tidaklah cukup hanya menanyakan apakah algoritma enkripsi aman secara matematis. Yang lebih penting lagi adalah menanyakan apakah perangkat yang menjalankan algoritme membocorkan petunjuk melalui waktu, daya, suara, atau perilaku fisik lainnya.
Ada beberapa jenis saluran samping yang umum:
- Serangan waktu mencari perbedaan kecil dalam berapa lama waktu yang dibutuhkan untuk operasi.
- Serangan kekuatan mempelajari penggunaan listrik.
- Serangan elektromagnetik memeriksa sinyal yang tidak diinginkan.
- Serangan akustik menggunakan suara.
Dalam satu contoh yang mencolok, para peneliti menunjukkan bahwa suara samar yang dihasilkan oleh laptop selama operasi kriptografi tertentu dapat digunakan, dalam kondisi eksperimental, untuk mengekstrak kunci kriptografi rahasia 4.096-bit.
Contoh yang membawa serangan saluran sampingan ke dalam diskusi publik yang lebih luas adalah serangan prosesor. Prosesor komputer modern seperti CPU sangat cepat karena dapat memprediksi apa yang akan dilakukan suatu program selanjutnya. Teknik ini, yang dikenal sebagai eksekusi spekulatif, membantu komputer berjalan lebih efisien. Namun pada tahun 2018, peneliti keamanan siber menemukan dua kerentanan, yang disebut sebagai Kehancuran dan Spectredalam tekniknya. Mereka menunjukkan bahwa prediksi tersebut dapat meninggalkan jejak yang terukur. Program jahat dapat menggunakan jejak tersebut untuk mempelajari informasi yang seharusnya dilindungi darinya.
Meltdown dan Spectre penting karena menantang salah satu premis dasar komputasi modern: bahwa program berbeda yang berjalan pada mesin yang sama harus disimpan secara terpisah. Mereka juga menunjukkan bahwa fitur kinerja yang dibangun jauh ke dalam chip komputer dapat menimbulkan konsekuensi keamanan.
Teknologi baru, saluran sampingan baru
Sejak itu, para peneliti terus menemukan serangan saluran samping baru pada perangkat keras modern. Salah satu serangan saluran samping yang terungkap pada tahun 2022, disebut Berdarah Hertzmenunjukkan bahwa perubahan frekuensi prosesor – yang biasanya digunakan untuk menghemat daya dan mengelola kinerja – dapat menjadi sinyal waktu yang, dalam beberapa kasus, dapat mengungkap rahasia kriptografi server jarak jauh.
Serangan saluran samping lainnya, dijuluki Kejatuhan dan terungkap pada tahun 2023, memengaruhi prosesor Intel tertentu. Ini menunjukkan bagaimana fitur yang disebut Gather dapat membocorkan data lama yang tersisa di dalam prosesor setelah pekerjaan sebelumnya. Zenbleedjuga terungkap pada tahun 2023, memengaruhi prosesor AMD Zen 2 dan memungkinkan informasi sensitif dari proses lain muncul di tempat yang tidak seharusnya.
Penelitian saluran samping juga telah melampaui CPU. GPU.zip menunjukkan bahwa prosesor grafis, atau GPU, terkadang dapat membocorkan petunjuk visual melalui cara mereka menangani data gambar di belakang layar, termasuk piksel dari laman web lain di browser Google Chrome. Ambil Ambilyang diterbitkan pada tahun 2024, menunjukkan bahwa fitur perangkat keras di banyak prosesor Apple yang dirancang untuk memprediksi kebutuhan memori di masa depan dapat melemahkan perlindungan dalam perangkat lunak kriptografi dan membantu mengekstrak kunci rahasia.
Serangan terbaru, disebut EMBUN BEKUsingkatan dari ‘fingerprinting remotely using OPFS-based SSD timing’, melibatkan solid-state drive, atau SSD. Drive ini adalah bentuk penyimpanan cepat yang sangat umum di hampir semua komputer modern. FROST menunjukkan bahwa situs web jahat dapat menggunakan fitur penyimpanan browser yang disebut sistem file pribadi asal untuk membuat dan mengakses file di dalam area terlindung, yang disebut kotak pasir, yang disisihkan browser untuk situs web tersebut, lalu mengukur penundaan kecil dalam aktivitas SSD.
Intuisinya sederhana. Jika beberapa program menggunakan perangkat penyimpanan yang sama, program tersebut dapat sedikit memperlambat program lainnya, seperti mobil yang berbagi jalan yang sama. Dengan mengukur penundaan tersebut di browser, para peneliti FROST menunjukkan bahwa sebuah situs web, dalam kondisi tertentu, dapat menyimpulkan informasi tentang aktivitas lain di komputer yang sama, seperti situs web yang dikunjungi atau aplikasi yang digunakan.
Pelajaran lebih dari sekedar kerugian
Jadi, seberapa sering serangan saluran samping digunakan? Jawaban jujurnya adalah meskipun serangan ini dapat menimbulkan dampak buruk, serangan ini bukanlah serangan siber yang biasa dialami kebanyakan orang. Sebagian besar kejahatan dunia maya di dunia nyata masih mengandalkan metode yang lebih mudah dan murah, seperti mengeksploitasi kerentanan perangkat lunak, mencuri kredensial, phishing, malware, dan ransomware. Laporan Investigasi Pelanggaran Data Verizon tahun 2026, misalnya, menyoroti hal ini kerentanan perangkat lunak dan ransomware sebagai sumber utama pelanggaran, bukan serangan saluran sampingan sebagai titik masuk rutin.
Hal ini tidak membuat serangan saluran samping menjadi tidak penting. Banyak yang ditemukan oleh para peneliti sebelum digunakan secara kriminal secara luas. Namun hal ini penting karena mengungkap kelemahan asumsi di balik komputasi modern. Mereka memengaruhi desain chip, keamanan browser, komputasi awan, perpustakaan kriptografi, dan cara para insinyur berpikir tentang privasi.
Serangan saluran samping adalah pengingat bahwa komputer tidak harus dengan sengaja mengungkapkan rahasia untuk membocorkannya. Terkadang petunjuk terkecil yang tertinggal saat berfungsi bisa mengungkapkan lebih dari yang diperkirakan siapa pun.
Oleh Chetan Jaiswal
Chetan Jaiswal adalah profesor ilmu komputer di Quinnipiac University, Connecticut. Minat penelitiannya terletak pada database, keamanan dan privasi, komputasi awan, visi komputer, kecerdasan buatan, dan pembelajaran mesin. Dia telah mempersiapkan dan mengajar beberapa program sarjana dan pascasarjana tentang keamanan siber, basis data, sistem operasi, kriptografi, keamanan informasi, jaringan komputer dan bahasa seperti Python, Scala, C, C++ dan Java.