Beberapa waktu yang lalu saya menghubungi support dari penyedia domain saya untuk meminta bantuan lewat chat. Sebagai autentikasinya, operator meminta saya menuliskan 3 huruf terakhir dari password saya. Hal ini sangat mengejutkan saya karena artinya website tersebut menyimpan password saya apa adanya (plain text) dan juga operator dari chat tersebut bisa membacanya! Yang lebih mengejutkan lagi, operator chat tersebut ternyata adalah karyawan outsource! Ini sangat berbahaya sekali dalam berbagai tingkatan, karena:

1. Jika website tersebut dihack, maka si hacker bisa mendapatkan semua password dari member di website tersebut. Dan user umumnya (termasuk saya) menggunakan password yang sama untuk beberapa akun. Sehingga sang hacker bisa masuk tidak hanya di website tersebut, tetapi website lainnya juga menggunakan akun saya. Dan ini sudah berkali-kali terjadi seperti di sini dan di sini.
2. Jika staff untuk support saja bisa membaca password dari member, bagaimana dengan programmer, manager dan karyawan lainnya. Apakah anda yakin tidak ada satu pun orang yang akan menyalahgunakan 'kekuatan' tersebut? Terlebih lagi jika ternyata ada staff outsource yang tidak terikat secara langsung pun bisa membacanya. Bukannya su'udzon, tetapi sistem yang buruk cenderung menghasilkan manusia yang korup.
3. Menyimpan password secara plain text adalah salah satu indikator bahwa tim engineering dari perusahaan tersebut tidaklah kuat. Jika hal sesederhana seperti mengamankan password saja tidak dilakukan, apalagi hal rumit lainnya yang menyangkut keamanan. Mungkin data anda lainnya di perusahaan tersebut pun ada dalam bahaya.

"Power tends to corrupt.." - John Dalberg-Acton

Sekarang Internet sudah dewasa dan semakin canggih, jika aplikasi anda masih menyimpan password secara plain text sebaiknya anda segera buka code aplikasi anda dan amankan segera password member di database anda. Untuk mengamankannya, kita menggunakan hash.

Fungsi Hash

Fungsi ini berguna untuk memetakan suatu masukan (input) sepanjang apapun menjadi keluaran (output) dengan panjang yang tetap. Setelah mendapatkan output dari fungsi hash maka tidak akan ada cara untuk mendapatkan inputnya! Sehingga jika anda menyimpan password member anda dalam bentuk hash, maka siapapun yang akan mendapatkan akses ke database anda akan mengalami kesulitan untuk mendapatkan password aslinya. Untuk melakukan hash, anda bisa melakukannya seperti ini di PHP:

$cost = 10;
$hash = password_hash("password_member", PASSWORD_BCRYPT, ["cost" => $cost]);

password_hash() adalah fungsi hash di PHP yang akan memproses input, dalam hal ini "password_member", menjadi keluaran dalam bentuk hash ($hash). Nantinya $hash ini disimpan di dalam database dan digunakan untuk autentifikasi user. Untuk amannya, di database pastikan kolom dari hash bisa menyimpan 255 karakter. Jika anda menggunakan PostgreSQL script sederhananya seperti ini:

CREATE TABLE anggota (
    username bigserial primary key,
    password varchar(255) NOT NULL
);

PASSWORD_BCRYPT merujuk ke algoritma yang digunakan dalam hash ini, yang mana adalah algoritma bcrypt. Algoritma ini sangat disarankan untuk digunakan. Algoritma lain yang dapat anda gunakan adalah varian dari SHA2.

Disebutkan sebelumnya bahwa fungsi hash hanya berjalan satu arah karena dengan memiliki input kita bisa mendapatkan output, tetapi dari output kita tidak akan bisa mendapatkan inputnya. Walaupun demikian tetap saja ada cara untuk mendapatkan inputnya, yaitu dengan brute force. Brute force adalah teknik untuk mencoba input satu persatu hingga didapatkan output yang sama. Dengan cara ini input atau password yang asli akan dengan mudah didapatkan. Untuk mempersulit brute force, kita lakukan hashing berkali-kali. Sehingga waktu untuk melakukan brute force akan terlalu lama sehingga si hacker akan menyerah dan berpindah ke target yang lebih mudah.

$cost adalah parameter yang digunakan untuk menentukan seberapa banyak hash dilakukan. Untuk bcrypt, jika nilainya adalah 10 maka hashing akan dilakukan sebanyak 2^10 atau 1024 kali. Ini cukup aman karena dengan komputer biasa dalam satu detik kurang dari 7 password yang bisa dicoba. Jika password asli user adalah 8 karakter alpha numeric yang acak, maka akan dibutuhkan waktu sekitar 12 ribu tahun untuk membongkarnya! Jika anda menggunakan shared hosting (untuk tidak menganggu pengguna yang lain), maka $cost sebesar 8 atau 9 sudah cukup.

Autentifikasi dengan hash

Untuk mengautentifkasi member kita bisa melakukannya seperti berikut di PHP:

// Nilai $hash diambil dari database
// Nilai $password diambil dari form yang dikirimkan oleh user

if (password_verify($password, $hash)) {
    echo 'Password benar!';
} else {
    echo 'Password salah!';

}

Kerugian dari hashing di aplikasi anda adalah proses autentifikasi akan berjalan sedikit lebih lambat. Seberapa lambat? Umumnya sebanyak 10 milisecond hingga 150 milisecond bergantung kepada kecepatan dari server dan seberapa banyak $cost yang digunakan. Untuk pengguna, saya yakin mereka tidak keberatan jika itu artinya password mereka akan lebih aman.

Umumnya tutorial tentang hash akan membawa kita untuk berbicara tentang salt, tetapi tak perlu khawatir, dengan password_hash() itu semua sudah dilakukan secara otomatis. Untuk yang belum tahu, salt adalah suatu cara untuk membuat output anda seunik mungkin dengan menambahkan text random dan unik untuk setiap passwordnya. Anda pun tidak perlu mengabungkan algoritma-algoritma karena percuma saja, jika hacker sudah mendapatkan akses ke database, kemungkinan besar dia sudah mendapatkan akses ke code anda.

Jangan gunakan enkripsi

Yang sering dibicarakan di forum-forum adalah menggunakan enkripsi (misalnya AES, RSA, Blowfish, dll) untuk menyimpan password. Ide yang buruk, jangan lakukan itu. Sangat mudah sekali mendapatkan password yang asli karena enkripsi ini berjalan dua arah. Jika anda sudah memiliki outputnya (yang disimpan di database) maka dengan mudah kita mendapatkan inputnya (password asli user).

Penyimpanan password di CodeSaya

CodeSaya sangat memahami betapa pentingnya keamanan password member kami. CodeSaya menggunakan Django sebagai backend dan manajemen password django secara default menggunakan algoritma SHA256 dan hashing dilakukan sebanyak 10.000 kali. Nilai 10.000 kali diperlukan karena SHA256 itu lebih cepat dibandingkan bcrypt. Sehingga penyimpanan password di CodeSaya sudah cukup aman. Codesaya tidak tahu sama sekali password yang anda gunakan di sini!

Kesimpulan

Seperti yang sudah anda lihat bahwa sangat mudah sekali untuk mengamankan password dari user anda dan juga kerugiannya hampir tidak ada. Bahkan sudah ada website yang mengumpulkan 'penjahat-penjahat' yang menyimpan password user secara plain text. Jangan sampai perusahaan anda ada di situ. Jadi tunggu apalagi segera buka laptop anda (kecuali kalo sudah dibuka) dan segera coding! Tunjukkan bahwa anda menghargai member anda!

Halo codesaya. well, kenalkan saya cuma orang kebetulan lewat website ini dan kebetulan juga sangat mencintai dan sangat tertarik dengan open source. saya suka menyebarkan "virus2" untuk memulai menggunakan open ...

Cukup banyak pertanyaan tentang apa teknologi di balik CodeSaya. Bahkan ada yang berspekulasi bahwa CodeSaya dibuat dengan wordpress. Seriously, wordpress? Untuk menghindari pencemaran nama baik berbagi dengan teman-teman developer yang ...