Protokol Teks Biasa: Hal yang Dilihat Penyerang

HTTP mengirimkan semua data sebagai teks ASCII biasa tanpa enkripsi. Saat Anda mengirimkan formulir masuk melalui HTTP, peramban mengirim permintaan POST yang berisi nama pengguna dan kata sandi dalam teks biasa. Siapa pun di segmen jaringan yang sama atau router mana pun di antara Anda dan server dapat membaca seluruh permintaan, termasuk informasi autentikasi, kuki sesi, dan data formulir sensitif apa pun.

Telnet adalah protokol terminal jarak jauh standar sebelum SSH. Setiap penekanan tombol dalam sesi Telnet dikirim ke server sebagai satu paket TCP tanpa enkripsi. Penyerang yang menangkap lalu lintas jaringan dapat melihat bukan hanya nama pengguna dan kata sandi saat masuk, tetapi juga setiap perintah yang diketik dan setiap baris keluaran yang ditampilkan, sehingga memungkinkan pembajakan sesi secara menyeluruh tanpa perlindungan kriptografis.

FTP melakukan autentikasi menggunakan perintah USER yang diikuti perintah PASS, dan keduanya dikirim sebagai teks biasa melalui port TCP 21. Pengambilan paket saat masuk ke FTP menampilkan kredensial persisnya. Meskipun saluran transfer berkas dienkripsi dengan FTPS, pertukaran autentikasi awal tetap mengungkapkan kata sandi kepada siapa pun yang mengamati. Server FTP lama umum ditemukan di lingkungan perusahaan dan menjadi sasaran mudah untuk pencurian kredensial.

POP3 (port 110) dan IMAP (port 143) tanpa TLS mengirimkan kredensial surel dan seluruh isi pesan dalam teks biasa. Ketika pengguna membuka aplikasi surel di jaringan Wi-Fi kedai kopi dengan konfigurasi server surel yang tidak terenkripsi, setiap surel yang diunduh dapat dibaca oleh perangkat lain di jaringan. Menggunakan POP3S (port 995) dan IMAPS (port 993) berarti TLS digunakan sejak awal koneksi.

Server basis data seperti MySQL (port 3306) dan PostgreSQL (port 5432) secara bawaan mendukung koneksi tanpa enkripsi. Server aplikasi yang terhubung ke basis data tanpa mewajibkan SSL mengirimkan kueri dan hasilnya, termasuk data pribadi sensitif, sebagai teks biasa melalui jaringan. Jaringan internal sering dianggap tepercaya, tetapi penyerang yang memperoleh pijakan apa pun dapat segera mulai menyadap lalu lintas basis data.

LDAP (Protokol Akses Direktori Ringan) pada port 389 mengirimkan kueri direktori dan autentikasi dalam teks biasa. Lingkungan perusahaan yang menggunakan Active Directory untuk autentikasi mungkin memiliki operasi pengikatan LDAP yang mengekspos nama pengguna dan kata sandi di jaringan internal. LDAPS pada port 636 menggunakan TLS, dan STARTTLS pada port 389 dapat meningkatkan keamanan koneksi, tetapi keduanya tidak selalu diwajibkan.

Redis secara bawaan mendengarkan pada port 6379 tanpa autentikasi dan tanpa TLS. Instans Redis yang terekspos ke jaringan tanpa kata sandi memungkinkan klien mana pun membaca semua kunci yang tersimpan, menjalankan perintah sembarang, dan berpotensi menulis berkas konfigurasi. Sebelum Redis 6.0 (2020) menambahkan dukungan TLS, seluruh lalu lintas Redis, termasuk data tembolok dan token sesi, terekspos sepenuhnya di jaringan.

Memcached, lapisan tembolok yang banyak digunakan, tidak memiliki mekanisme autentikasi bawaan dan mengirimkan semua data sebagai teks ASCII biasa melalui port TCP 11211. Pengembang biasanya mengandalkan firewall jaringan untuk membatasi akses, tetapi instans Memcached yang salah konfigurasi dan terekspos ke internet telah digunakan dalam serangan DDoS amplifikasi dan pencurian data. Semua konten yang disimpan dalam tembolok, termasuk data sesi dan respons API, dapat dilihat oleh siapa pun yang dapat menjangkau port tersebut.

Syslog tradisional menggunakan port UDP 514 tanpa autentikasi dan tanpa enkripsi. Catatan sistem yang dikirim melalui jaringan dapat dibaca, diubah, atau dipalsukan oleh siapa pun di jalur komunikasi. Penyerang yang dapat mencegat lalu lintas syslog dapat membaca peristiwa keamanan secara waktu nyata atau menyisipkan entri catatan palsu untuk menutupi jejaknya. RFC 5425 mendefinisikan syslog melalui TLS, tetapi banyak sistem masih menggunakan protokol teks biasa lama.

Dari satu titik pengamatan jaringan, penyerang yang menangkap lalu lintas protokol teks biasa memperoleh gambaran menyeluruh tentang lingkungan tersebut. Mereka dapat melihat nama pengguna dan kata sandi untuk berbagai layanan, token sesi yang dapat diputar ulang tanpa kata sandi asli, data sensitif yang sedang dipindahkan, serta arsitektur internal jaringan. Informasi ini dapat dikumpulkan secara pasif tanpa berinteraksi dengan sistem target.

Meskipun risiko teks biasa telah diketahui selama puluhan tahun, protokol tanpa enkripsi tetap digunakan karena sistem lama yang tidak dapat diperbarui, kompleksitas konfigurasi di lingkungan besar, kekhawatiran kinerja pada jalur internal dengan volume lalu lintas tinggi, serta anggapan bahwa jaringan internal dapat dipercaya. Prinsip segmentasi jaringan dan arsitektur tanpa kepercayaan menentang anggapan ini dengan memperlakukan lalu lintas internal dengan pengawasan yang sama seperti lalu lintas eksternal.

Manakah kombinasi protokol dan port berikut yang secara bawaan mengirimkan kredensial autentikasi dalam teks biasa?

HTTP, Telnet, FTP, POP3, IMAP, koneksi basis data langsung, LDAP, Redis, Memcached, dan syslog secara bawaan mengirimkan data tanpa enkripsi. Pengamat mana pun di jalur jaringan dapat membaca kredensial, token sesi, dan data sensitif. Padanan yang diamankan dengan TLS tersedia untuk semua protokol ini. Asumsi bahwa jaringan internal dapat dipercaya berbahaya; prinsip tanpa kepercayaan menganggap semua lalu lintas berpotensi dapat diamati.