Mengganti Protokol Tidak Aman: Telnet vs SSH, FTP vs SFTP

Banyak protokol internet dasar dirancang pada tahun 1970-an dan 1980-an, ketika keamanan belum menjadi perhatian utama. Protokol teks jelas mengirimkan semua data—termasuk nama pengguna, kata sandi, dan informasi sensitif—dalam bentuk teks biasa melalui jaringan. Perangkat apa pun pada segmen jaringan yang sama, atau sistem mana pun yang dilewati paket, dapat menangkap dan membaca lalu lintas ini menggunakan alat yang tersedia secara bebas seperti Wireshark. Di lingkungan yang menggunakan switch jaringan (yang biasanya mengisolasi lalu lintas antarpangkat), pemalsuan ARP dapat mengalihkan lalu lintas ke sistem penyerang, sehingga protokol teks jelas tetap berbahaya bahkan di jaringan “internal”.

Telnet (port TCP 23) menyediakan akses baris perintah jarak jauh ke sistem, tetapi mengirimkan semuanya dalam bentuk teks biasa. Telnet tidak memiliki autentikasi bawaan selain nama pengguna/kata sandi, yang dikirim tanpa enkripsi. SSH (Secure Shell) (port TCP 22) menggantikan Telnet dengan saluran terenkripsi dan terautentikasi. SSH menggunakan pertukaran kunci asimetris untuk membuat kunci sesi, lalu mengenkripsi semua komunikasi berikutnya dengan enkripsi simetris. SSH juga mengautentikasi server (mencegah penyamaran server) dan mendukung autentikasi kunci publik (tanpa kata sandi, tetapi lebih aman daripada kata sandi) selain autentikasi kata sandi.

Keamanan SSH bergantung pada proses pertukaran kunci yang kuat. Saat terhubung, klien memverifikasi kunci host server terhadap salinan yang disimpan secara lokal—hal ini mencegah penyamaran server. Jika kunci host berubah secara tidak terduga, SSH memperingatkan pengguna (tanda umum serangan man-in-the-middle). Setelah server diverifikasi, autentikasi klien dapat menggunakan: kata sandi (dienkripsi saat transit, tetapi rentan terhadap brute force), kunci publik (klien membuktikan kepemilikan kunci privat; jauh lebih kuat), atau keyboard-interactive (mendukung MFA). Organisasi sebaiknya mewajibkan autentikasi berbasis kunci dan menonaktifkan autentikasi kata sandi pada layanan SSH yang menghadap internet.

FTP (File Transfer Protocol) (port TCP 20/21) mentransfer file dalam bentuk teks biasa—kredensial, perintah, dan data file semuanya terekspos. FTP juga menggunakan saluran data terpisah (mode pasif atau aktif) yang memperumit aturan firewall. SFTP (SSH File Transfer Protocol) menyalurkan transfer file melalui SSH pada port 22—protokol ini sama sekali berbeda dari FTP dan hanya memiliki nama yang mirip. FTPS (FTP Secure) menambahkan enkripsi TLS ke protokol FTP asli. SFTP umumnya lebih disukai karena menggunakan satu port serta mewarisi autentikasi dan enkripsi SSH. FTP harus dinonaktifkan pada semua sistem produksi.

HTTP (port TCP 80) mengirimkan konten web, termasuk data formulir, cookie sesi, dan token autentikasi, dalam bentuk teks biasa. HTTPS (port TCP 443) membungkus HTTP dengan TLS sehingga menyediakan enkripsi, autentikasi server, dan integritas data. Organisasi sebaiknya memberlakukan HTTPS di semua tempat: alihkan semua lalu lintas HTTP ke HTTPS (pengalihan 301), terapkan HSTS untuk mencegah browser terhubung melalui HTTP, dan konfigurasikan tanda cookie secure dan HttpOnly untuk mencegah token sesi dicuri melalui HTTP atau JavaScript. Browser modern menandai situs HTTP sebagai “Tidak Aman”—HTTPS kini menjadi standar dasar yang diharapkan untuk semua layanan web.

SNMP (Simple Network Management Protocol) mengelola perangkat dan server jaringan. SNMPv1 dan v2c menggunakan string komunitas (pada dasarnya kata sandi bersama) yang dikirim dalam teks jelas—string komunitas seperti “public” (baca) dan “private” (tulis) merupakan nilai bawaan yang diketahui penyerang. Penyerang yang menangkap lalu lintas SNMP dapat mengetahui string komunitas dan membaca konfigurasi perangkat atau mengubah pengaturan perangkat. SNMPv3 menambahkan autentikasi (HMAC-MD5 atau HMAC-SHA) dan enkripsi (AES) dengan kredensial per pengguna, sehingga menjadi satu-satunya versi yang sesuai untuk lingkungan produksi. SNMPv1/v2c harus dinonaktifkan.

LDAP (Lightweight Directory Access Protocol) (port TCP 389) mengautentikasi dan mengueri layanan direktori (Active Directory, OpenLDAP) secara default dalam teks jelas, sehingga mengekspos kredensial dan data direktori. LDAPS (LDAP melalui SSL/TLS, port TCP 636) mengenkripsi koneksi menggunakan sertifikat. StartTLS adalah alternatif yang meningkatkan koneksi LDAP yang sudah ada menjadi TLS menggunakan port 389 yang sama. LDAPS dan StartTLS sama-sama menyediakan enkripsi, tetapi LDAPS umumnya lebih sederhana dan andal. Organisasi sebaiknya mengonfigurasi semua aplikasi yang menggunakan LDAP agar memakai LDAPS dan memblokir LDAP teks jelas pada port 389 di firewall.

Klien email lama mengambil email menggunakan POP3 (port 110) dan IMAP (port 143) dalam teks jelas. Alternatif terenkripsi adalah: POP3S (port 995, TLS) dan IMAPS (port 993, TLS). Platform email modern (Exchange Online, Google Workspace) memberlakukan TLS untuk semua koneksi klien dan mendukung autentikasi berbasis token OAuth 2.0, bukan kata sandi. Organisasi sebaiknya menonaktifkan autentikasi dasar pada protokol email—mewajibkan autentikasi modern (OAuth 2.0 + MFA) mencegah serangan pengisian kredensial yang mengeksploitasi mekanisme autentikasi teks jelas pada protokol email lama.

Mengganti protokol tidak aman memerlukan lebih dari sekadar mengaktifkan versi yang aman—versi tidak aman harus dinonaktifkan secara aktif. Langkah-langkahnya: audit penggunaan protokol yang ada (pemindaian Nmap, log firewall), migrasikan aplikasi dan konfigurasi ke protokol aman, uji secara menyeluruh (aplikasi bisnis dapat mengalami gangguan), lalu blokir protokol tidak aman di firewall dan host. Kendala umum: printer lama dan perangkat tertanam sering kali hanya mendukung FTP atau SNMPv2; sistem industri lama mungkin bergantung pada Telnet. Perangkat tersebut memerlukan isolasi jaringan atau penggantian oleh vendor, bukan sekadar peningkatan protokol.

RDP (Remote Desktop Protocol) (port 3389) banyak digunakan untuk administrasi Windows jarak jauh dan menjadi target serangan utama. Konfigurasi RDP yang tidak aman meliputi: mengekspos port 3389 ke internet, menggunakan autentikasi hanya dengan kata sandi, dan menonaktifkan NLA. Memperkuat RDP: aktifkan Network Level Authentication (NLA) yang melakukan autentikasi sebelum sesi penuh dibuka (memblokir koneksi tanpa autentikasi); wajibkan TLS 1.2+ untuk semua sesi RDP; tempatkan RDP di balik VPN atau gateway RDP, bukan mengeksposnya ke internet; dan terapkan penguncian akun untuk mencegah brute force. Banyak kampanye ransomware memperoleh akses awal melalui RDP yang terekspos dan tidak diamankan dengan baik.

Migrasi dari protokol tidak aman di lingkungan produksi memerlukan perencanaan yang cermat untuk menghindari gangguan bisnis. Pendekatan bertahap: Phase 1 — Temukan: jalankan pemindaian Nmap dan audit log firewall untuk mengidentifikasi semua penggunaan protokol teks jelas. Phase 2 — Aktifkan alternatif aman: konfigurasikan SSH, SFTP, HTTPS berdampingan dengan layanan tidak aman yang sudah ada. Phase 3 — Migrasikan pengguna: perbarui skrip, aplikasi, alat pemantauan, dan alur kerja pengguna agar menggunakan protokol aman. Phase 4 — Nonaktifkan dan blokir: nonaktifkan layanan tidak aman pada setiap host dan blokir port tersebut di firewall. Pengujian pada setiap tahap mencegah gangguan layanan produksi.

Test pemahaman Anda tentang konsep CompTIA Security+ (SY0-701) dari pelajaran ini.

Dalam pelajaran ini, Anda mempelajari: protokol teks biasa (Telnet, FTP, HTTP, SNMPv1/v2c, LDAP) mengekspos kredensial dan data terhadap penyadapan jaringan sehingga harus diganti, pengganti yang aman (SSH, SFTP, HTTPS, SNMPv3, LDAPS) menggunakan enkripsi TLS atau SSH untuk melindungi fungsi yang sama, dan penggantian protokol mengharuskan versi yang tidak aman dinonaktifkan pada tingkat firewall dan host setelah melakukan audit terhadap ketergantungan lama. Selanjutnya, kita akan membahas versi TLS, rangkaian cipher, dan kerahasiaan penerusan sempurna.