IoT Security: Ancaman, Enkripsi, Authentication, dan Cara Mengamankan Perangkat

Pada level-level belajar IoT sebelumnya, kita telah membahas bagaimana sebuah sistem Internet of Things bekerja. Mulai dari sensor, mikrokontroler, network, gateway, protokol komunikasi, cloud, hingga database dan dashboard.

Sekarang kita sampai pada satu aspek yang tidak boleh diabaikan:

Bagaimana memastikan seluruh sistem IoT tersebut aman?

Bayangkan sebuah perusahaan memasang ratusan sensor untuk memonitor mesin produksi.

Sensor mengirimkan data melalui jaringan menuju server. Data kemudian disimpan di database dan ditampilkan pada dashboard.

Secara teknis, sistem tersebut mungkin sudah berjalan dengan baik.

Namun bagaimana jika seseorang yang tidak berwenang berhasil:

• mengakses perangkat;
• mencuri credential;
• membaca data;
• menyadap komunikasi;
• mengubah konfigurasi;
• mengirim data palsu;
• mengambil alih device;
• atau menjadikan perangkat sebagai bagian dari serangan terhadap sistem lain?

Di sinilah IoT Security menjadi sangat penting.

IoT Security bukan hanya tentang memberikan password pada perangkat.

Keamanan IoT mencakup seluruh ekosistem:

Device
   ↓
Authentication
   ↓
Network
   ↓
Communication
   ↓
Gateway
   ↓
Cloud
   ↓
Database
   ↓
Application

Setiap lapisan dapat menjadi titik serangan. Karena itu, keamanan harus dirancang sejak awal, bukan ditambahkan setelah sistem selesai dibuat.

Materi ini adalah Level 14 dari Kurikulum Internet of Things Raja Putra Media tentang ancaman keamanan perangkat IoT, authentication, enkripsi, network security, hingga cara mengamankan perangkat dan data IoT.

Apa Itu IoT Security?

IoT Security adalah serangkaian teknologi, metode, kebijakan, dan praktik yang digunakan untuk melindungi perangkat IoT, jaringan, data, aplikasi, serta komunikasi dari akses dan aktivitas yang tidak sah.

Secara sederhana:

IoT Security
│
├── Device Security
├── Authentication
├── Authorization
├── Encryption
├── Network Security
├── Application Security
├── Data Security
├── Monitoring
└── Incident Response

Tujuannya bukan hanya mencegah orang lain masuk ke sistem.

IoT Security juga bertujuan menjaga tiga aspek utama:

Confidentiality

Data hanya dapat diakses oleh pihak yang memiliki izin.

Integrity

Data tidak diubah secara tidak sah.

Availability

Perangkat dan layanan tetap tersedia ketika dibutuhkan.

Ketiganya sering disebut sebagai CIA Triad dalam keamanan informasi.

Mengapa Keamanan IoT Sangat Penting?

Perangkat IoT memiliki karakteristik yang berbeda dibandingkan komputer atau server biasa.

Sebuah sistem IoT dapat terdiri dari:

1.000 Sensor
      ↓
500 Microcontroller
      ↓
50 Gateway
      ↓
Cloud
      ↓
Database

Artinya terdapat banyak titik yang harus diamankan.

Semakin banyak perangkat:

More Devices
     ↓
More Connections
     ↓
More Attack Surface

Inilah salah satu tantangan terbesar IoT.

Apa Itu Attack Surface pada IoT?

Attack surface adalah keseluruhan titik yang berpotensi dimanfaatkan oleh pihak yang tidak berwenang untuk menyerang sistem.

Dalam sistem IoT, attack surface dapat mencakup:

• firmware;
• sensor;
• microcontroller;
• port jaringan;
• Wi-Fi;
• Bluetooth;
• MQTT;
• HTTP API;
• gateway;
• cloud;
• database;
• aplikasi mobile;
• dashboard;
• credential;
• dan API key.

Contoh:

             IoT System
                 │
    ┌────────────┼────────────┐
    ↓            ↓            ↓
 Device       Network       Cloud
    ↓            ↓            ↓
Firmware       MQTT       API
    ↓            ↓            ↓
Credential    Gateway     Database

Setiap komponen harus dipertimbangkan dalam desain keamanan.

Ancaman Keamanan pada IoT

Ada berbagai jenis ancaman yang dapat menyerang sistem IoT.

Berikut beberapa yang paling penting untuk dipahami.

1. Default Password

Ini merupakan salah satu masalah keamanan yang paling sederhana tetapi berbahaya.

Misalnya sebuah perangkat menggunakan:

Username: admin
Password: admin

Jika credential tersebut tidak pernah diganti, perangkat menjadi sangat mudah diserang.

Karena itu:

Jangan menggunakan credential default untuk perangkat yang digunakan dalam lingkungan nyata.

2. Weak Password

Password yang terlalu sederhana juga dapat menjadi masalah.

Contoh:

123456
password
admin123
iot123

Credential perangkat harus memiliki tingkat keamanan yang sesuai dengan risikonya.

Untuk sistem produksi, authentication sebaiknya tidak hanya mengandalkan password sederhana.

3. Credential Dicuri

Perangkat IoT sering membutuhkan credential untuk terhubung ke:

• Wi-Fi;
• MQTT broker;
• cloud;
• API;
• database;
• atau service lainnya.

Jika credential tersebut bocor, pihak yang tidak berwenang dapat mencoba mengakses sistem.

Karena itu credential perlu:

• disimpan dengan aman;
• dibatasi hak aksesnya;
• diganti secara berkala bila diperlukan;
• dan dicabut jika tidak lagi digunakan.

4. Unencrypted Communication

Bayangkan ESP32 mengirimkan data melalui jaringan tanpa perlindungan:

ESP32
  ↓
Plain Text
  ↓
Network
  ↓
Server

Jika komunikasi tersebut dapat disadap, isi data berpotensi terbaca.

Pendekatan yang lebih aman:

ESP32
  ↓
Encrypted Connection
  ↓
Network
  ↓
Server

Inilah alasan encryption sangat penting dalam IoT.

5. Man-in-the-Middle Attack

Pada Man-in-the-Middle (MITM), pihak penyerang mencoba berada di antara dua pihak yang berkomunikasi.

Secara sederhana:

Device
   ↓
Attacker
   ↓
Server

Tanpa perlindungan yang tepat, penyerang dapat mencoba mengamati atau memanipulasi komunikasi.

Penggunaan protokol aman dan validasi identitas endpoint merupakan bagian penting untuk mengurangi risiko tersebut.

6. Firmware yang Tidak Diperbarui

Perangkat IoT menggunakan firmware.

Seperti software lainnya, firmware dapat memiliki vulnerability.

Jika perangkat tidak mendapatkan update:

Vulnerable Firmware
       ↓
Known Vulnerability
       ↓
Potential Attack

Karena itu, firmware update merupakan bagian penting dari IoT Security.

7. Insecure API

Aplikasi IoT sering berkomunikasi dengan backend melalui API.

Contohnya:

Mobile App
    ↓
REST API
    ↓
IoT Backend

Jika API tidak diamankan dengan baik, penyerang dapat mencoba:

• mengakses data tanpa authorization;
• mengubah konfigurasi;
• mengambil data perangkat;
• atau melakukan request dalam jumlah berlebihan.

Karena itu API juga harus mendapatkan perlindungan keamanan yang sesuai.

8. Device Hijacking

Jika penyerang berhasil mengambil alih perangkat, perangkat dapat digunakan untuk melakukan tindakan yang tidak diinginkan.

Misalnya:

Compromised Device
       ↓
Unauthorized Commands
       ↓
System Behavior Changes

Pada lingkungan industri, konsekuensinya dapat jauh lebih serius daripada sekadar kehilangan data.

9. Botnet IoT

Perangkat IoT yang berhasil dikompromikan dapat dimanfaatkan sebagai bagian dari botnet.

Secara sederhana:

Device A ─┐
Device B ─┤
Device C ─┼──→ Botnet
Device D ─┤
Device E ─┘

Ratusan atau ribuan perangkat yang dikompromikan dapat digunakan untuk melakukan serangan terkoordinasi, termasuk DDoS.

Ini menunjukkan bahwa keamanan perangkat IoT bukan hanya melindungi pemilik perangkat, tetapi juga membantu mencegah perangkat menjadi sumber serangan terhadap pihak lain.

10. Data Leakage

Perangkat IoT dapat menghasilkan data yang sensitif atau bernilai.

Contohnya:

• lokasi;
• konsumsi energi;
• aktivitas pengguna;
• data operasional;
• kondisi mesin;
• informasi lingkungan;
• dan data produksi.

Jika data tersebut bocor, dampaknya dapat berupa kerugian finansial maupun operasional.

Authentication vs Authorization

Dua istilah ini sering dianggap sama.

Padahal berbeda.

Authentication

Authentication menjawab:

"Siapa kamu?"

Contohnya:

Device → Login
Server → Verify Identity

Authorization

Authorization menjawab:

"Apa yang boleh kamu lakukan?"

Misalnya:

Device A
✓ Send Temperature
✓ Read Configuration
✗ Delete Device
✗ Access Other Devices

Jadi:

Authentication
      ↓
Who are you?
      ↓
Authorization
      ↓
What can you do?

Keduanya penting dalam IoT Security.

Authentication pada Perangkat IoT

Ada beberapa pendekatan authentication yang dapat digunakan.

Username & Password

Sederhana, tetapi harus dikelola dengan benar.

API Key

Perangkat diberikan key untuk mengakses service tertentu.

Token

Perangkat menggunakan token untuk membuktikan akses.

Certificate

Perangkat dapat menggunakan digital certificate untuk membuktikan identitasnya.

Mutual TLS

Pada skenario tertentu, device dan server sama-sama melakukan verifikasi identitas melalui certificate.

Untuk sistem IoT berskala besar, certificate-based authentication dapat menjadi pendekatan yang sangat berguna.

Apa Itu Encryption?

Encryption adalah proses mengubah data menjadi bentuk yang tidak dapat dipahami secara langsung tanpa kunci atau mekanisme dekripsi yang sesuai.

Contoh sederhana:

Original Data "Temperature = 29.5°C"
        ↓
     Encryption
        ↓
Encrypted Data
        ↓
     Network
        ↓
     Decryption
        ↓
Original Data

Tujuannya adalah melindungi data selama penyimpanan atau pengiriman.

Encryption at Rest dan Encryption in Transit

Dua konsep ini penting.

Encryption in Transit

Melindungi data ketika sedang dikirim.

Device
   ↓
Encrypted Connection
   ↓
Server

Contohnya penggunaan TLS pada koneksi jaringan yang mendukungnya.

Encryption at Rest

Melindungi data ketika tersimpan.

Database
   ↓
Encrypted Storage

Jadi:

In Transit
= Data sedang berjalan

At Rest
= Data sedang disimpan

Sistem yang aman perlu mempertimbangkan keduanya.

TLS dalam IoT

TLS (Transport Layer Security) merupakan teknologi yang banyak digunakan untuk melindungi komunikasi jaringan.

Misalnya:

Device
   ↓
TLS
   ↓
Server

TLS dapat membantu memberikan:

• confidentiality;
• integrity;
• authentication terhadap endpoint dalam konfigurasi yang sesuai.

Dalam IoT, TLS dapat digunakan pada berbagai komunikasi berbasis TCP yang mendukungnya.

MQTT dan Security

Pada Level 9 kita telah membahas MQTT sebagai salah satu protokol komunikasi IoT.

MQTT sendiri bukan berarti otomatis aman.

Keamanannya bergantung pada bagaimana sistem dikonfigurasi.

Contoh pendekatan:

ESP32
  ↓
MQTT over TLS
  ↓
MQTT Broker

Authentication dapat ditambahkan:

Device
  ↓
Username / Credential
  ↓
Broker

Untuk sistem dengan kebutuhan keamanan lebih tinggi, certificate-based authentication juga dapat dipertimbangkan.

Topic Authorization pada MQTT

MQTT menggunakan konsep topic.

Misalnya:

factory/room1/temperature
factory/room2/temperature
factory/room3/temperature

Jangan memberikan seluruh device akses ke semua topic jika tidak diperlukan.

Contohnya:

Device A
✓ factory/room1/temperature
✗ factory/room2/temperature
✗ factory/admin/config

Prinsip ini disebut least privilege.

Apa Itu Principle of Least Privilege?

Least privilege berarti setiap user, device, aplikasi, atau service hanya diberikan hak akses minimum yang diperlukan untuk menjalankan tugasnya.

Contoh:

Sensor temperatur hanya perlu mengirim data temperatur.

Tidak seharusnya sensor tersebut memiliki kemampuan untuk:

✗ Delete Database
✗ Create User
✗ Modify Security Policy
✗ Access Other Devices

Pendekatan ini dapat membatasi dampak apabila credential perangkat berhasil dikompromikan.

Device Identity

Dalam sistem IoT berskala besar, setiap perangkat sebaiknya memiliki identitas yang dapat dibedakan.

Contohnya:

DEVICE-001
DEVICE-002
DEVICE-003

Kemudian sistem dapat mengetahui:

Device ID
Certificate
Owner
Location
Permission
Status

Dengan demikian, perangkat tidak diperlakukan sebagai satu entitas anonim.

Secure Device Provisioning

Sebelum perangkat digunakan, perangkat perlu melalui proses provisioning.

Secara sederhana:

New Device
    ↓
Register
    ↓
Assign Identity
    ↓
Install Credential
    ↓
Configure
    ↓
Activate

Proses ini harus dilakukan secara aman.

Jangan sampai semua perangkat menggunakan credential yang sama.

Misalnya:

100 Devices
      ↓
1 Shared Password

Jika satu password bocor, seluruh perangkat dapat terdampak.

Pendekatan yang lebih baik:

Device 001 → Credential 001
Device 002 → Credential 002
Device 003 → Credential 003

Secure Boot

Secure Boot merupakan mekanisme untuk memastikan perangkat hanya menjalankan software atau firmware yang dipercaya.

Secara sederhana:

Device Boot
    ↓
Verify Firmware
    ↓
Trusted?
 ┌──┴──┐
Yes    No
 ↓      ↓
Run    Reject

Ini membantu mencegah firmware yang telah dimodifikasi secara tidak sah dijalankan oleh perangkat.

Firmware Security

Firmware merupakan salah satu komponen penting dalam keamanan IoT.

Praktik yang perlu diperhatikan antara lain:

• gunakan firmware yang berasal dari sumber terpercaya;
• minimalkan service yang tidak diperlukan;
• hindari credential yang ditanam secara permanen;
• gunakan mekanisme update yang aman;
• validasi firmware sebelum instalasi;
• dan pantau vulnerability yang relevan.

Secure OTA Update

OTA (Over-the-Air) update memungkinkan firmware diperbarui melalui jaringan.

Alurnya:

New Firmware
     ↓
Verify Signature
     ↓
Device
     ↓
Install
     ↓
Reboot
     ↓
New Firmware

Update sebaiknya tidak hanya memeriksa apakah file berhasil diunduh.

Perangkat juga perlu memastikan firmware tersebut autentik dan belum dimodifikasi.

Mengapa OTA Sangat Penting?

Bayangkan perusahaan memiliki:

10.000 IoT Devices

Jika firmware harus diperbarui secara manual satu per satu, prosesnya sangat sulit.

Dengan OTA:

Secure Firmware
      ↓
Management Platform
      ↓
Device Group
      ↓
Automatic Update

Namun OTA juga harus dirancang dengan aman.

Sistem update yang buruk justru dapat menjadi jalur serangan.

Network Security untuk IoT

Keamanan perangkat tidak cukup.

Jaringan juga perlu diamankan.

Salah satu pendekatan adalah memisahkan jaringan IoT dari jaringan utama.

Contohnya:

Internet
   │
Firewall
   │
┌──┴─────────────┐
│ IoT Network    │
│                │
│ Sensors        │
│ Gateways       │
└────────────────┘

Corporate Network

Dengan network segmentation, perangkat IoT tidak otomatis mendapatkan akses penuh ke jaringan internal.

VLAN dan Network Segmentation

Dalam lingkungan tertentu, perangkat IoT dapat ditempatkan pada network segment khusus.

Misalnya:

VLAN 10 → Office
VLAN 20 → Server
VLAN 30 → IoT
VLAN 40 → Guest

Dengan aturan firewall yang sesuai, komunikasi antar-segment dapat dikontrol.

Tujuannya adalah:

Jika satu perangkat IoT berhasil dikompromikan, jangan biarkan penyerang dengan mudah bergerak ke seluruh jaringan.

Zero Trust dalam IoT

Konsep Zero Trust dapat diringkas dengan prinsip:

Jangan otomatis mempercayai perangkat hanya karena perangkat berada di jaringan internal.

Misalnya:

Device
 ↓
Verify Identity
 ↓
Check Permission
 ↓
Allow Access

Bukan:

Device berada di jaringan internal
        ↓
        TRUST

Pendekatan ini semakin relevan ketika sistem IoT terhubung dengan cloud, remote access, dan berbagai jaringan.

Secure API untuk IoT

API yang digunakan perangkat harus diamankan.

Contohnya:

Device
 ↓
HTTPS
 ↓
API Gateway
 ↓
Authentication
 ↓
Authorization
 ↓
Backend

API sebaiknya memiliki:

• authentication;
• authorization;
• input validation;
• rate limiting;
• logging;
• monitoring;
• dan error handling yang aman.

Rate Limiting

Bayangkan satu perangkat mengirim request secara tidak wajar:

Normal:
1 request / 10 seconds

Abnormal:
10.000 requests / second

Sistem dapat menggunakan rate limiting untuk membatasi jumlah request.

Contohnya:

Request
   ↓
Rate Limit
   ↓
Allowed?
 ┌──┴──┐
Yes    No
 ↓      ↓
Process Reject

Ini dapat membantu mengurangi abuse dan sebagian jenis traffic berlebihan.

Input Validation

Data dari perangkat tidak boleh selalu dipercaya begitu saja.

Misalnya sensor temperatur mengirim:

temperature = 29.5

Normal.

Tetapi bagaimana jika:

temperature = "hello"

atau:

temperature = 999999

Backend perlu melakukan validasi.

Receive Data
     ↓
Validate
     ↓
Valid?
 ┌───┴────┐
Yes       No
 ↓         ↓
Store     Reject

Ini penting untuk menjaga integrity data.

Logging dan Monitoring

Sistem keamanan yang baik tidak hanya mencegah serangan.

Sistem juga harus mampu mendeteksi aktivitas mencurigakan.

Contoh log:

Device: ESP32-019
Time: 10:25:31
Event: Failed Authentication

Jika terjadi:

1 failure

mungkin tidak terlalu mencurigakan.

Tetapi:

5.000 failed attempts dalam beberapa menit

jelas membutuhkan perhatian.

Security Monitoring

Kita dapat memonitor:

• failed login;
• unusual traffic;
• perubahan konfigurasi;
• firmware changes;
• device offline;
• unusual API requests;
• perubahan credential;
• dan aktivitas jaringan.

Contohnya:

Normal Behavior
       ↓
Baseline
       ↓
Detect Deviation
       ↓
Alert

Ini menjadi dasar menuju IoT security monitoring yang lebih advanced.

Vulnerability Management

Perangkat IoT dapat memiliki vulnerability.

Karena itu organisasi perlu mengetahui:

Device
 ↓
Firmware Version
 ↓
Software Version
 ↓
Known Vulnerability?

Jika terdapat vulnerability:

Vulnerability
 ↓
Risk Assessment
 ↓
Patch / Update
 ↓
Verification

Tanpa inventaris perangkat yang jelas, proses ini menjadi sulit.

Device Inventory

Sistem IoT yang baik sebaiknya memiliki daftar perangkat.

Misalnya:

Device ID	Type	Firmware	Location	Status
ESP32-001	Temperature	1.2.0	Room A	Online
ESP32-002	Humidity	1.2.0	Room B	Online
ESP32-003	Pressure	1.1.5	Room C	Offline

Dengan inventory, administrator dapat mengetahui:

• perangkat apa yang dimiliki;
• versi firmware;
• lokasi;
• status;
• dan kebutuhan update.

Secure Configuration

Tidak semua fitur perangkat harus diaktifkan.

Jika sebuah device hanya membutuhkan MQTT:

MQTT → Enabled

service lain yang tidak dibutuhkan sebaiknya tidak dibiarkan aktif tanpa alasan.

Prinsipnya:

Reduce the attack surface.

Semakin sedikit service yang terbuka, semakin sedikit pula titik yang harus diamankan.

Physical Security

IoT Security juga berkaitan dengan keamanan fisik.

Bayangkan seseorang dapat mengambil langsung perangkat:

Device
 ↓
Physical Access
 ↓
Firmware / Storage

Untuk lingkungan tertentu, physical security sangat penting.

Contohnya:

• enclosure;
• akses terbatas;
• tamper detection;
• secure storage;
• port protection;
• dan prosedur maintenance.

Cloud Security

Ketika perangkat terhubung ke cloud, keamanan cloud juga menjadi bagian dari IoT Security.

Arsitekturnya:

Device
 ↓
Internet
 ↓
Platform IoT dan Cloud
 ↓
Database
 ↓
Application

Setiap lapisan membutuhkan kontrol keamanan.

Kesalahan konfigurasi cloud dapat menyebabkan data atau service terekspos.

Database Security

Pada Level 13 kita membahas database IoT.

Sekarang kita perlu melihatnya dari sisi keamanan.

Database sebaiknya:

• tidak dibuka langsung ke internet tanpa alasan;
• menggunakan authentication;
• menerapkan authorization;
• menggunakan encryption sesuai kebutuhan;
• memiliki backup;
• memiliki logging;
• dan membatasi akses berdasarkan role.

Contoh:

IoT Backend
    ↓
Database

Bukan:

Internet
   ↓
Database

tanpa kontrol keamanan yang memadai.

Backup dan Recovery

Keamanan juga mencakup kemampuan untuk pulih ketika terjadi insiden.

Misalnya database rusak atau data terhapus.

Kita membutuhkan:

Backup
  ↓
Storage
  ↓
Recovery

Backup sebaiknya diuji secara berkala.

Karena:

Backup yang belum pernah diuji belum tentu dapat dipulihkan ketika benar-benar dibutuhkan.

Security by Design

Salah satu prinsip terpenting dalam IoT Security adalah security by design.

Artinya keamanan dipertimbangkan sejak tahap desain.

Bukan:

Build
 ↓
Deploy
 ↓
Security

Tetapi:

Design
 ↓
Security Requirements
 ↓
Build
 ↓
Test
 ↓
Deploy
 ↓
Monitor

Keamanan harus menjadi bagian dari lifecycle.

Secure IoT Lifecycle

Kita dapat menggambarkannya sebagai:

Design
  ↓
Develop
  ↓
Test
  ↓
Provision
  ↓
Deploy
  ↓
Monitor
  ↓
Update
  ↓
Retire

Setiap tahap memiliki kebutuhan keamanan.

Contoh IoT Security Architecture

Mari kita gabungkan konsep yang sudah dipelajari.

                    ┌───────────────┐
                    │   Dashboard   │
                    └───────┬───────┘
                            │
                       HTTPS / TLS
                            │
                    ┌───────▼───────┐
                    │ API / Backend │
                    └───────┬───────┘
                            │
                     Authentication
                     Authorization
                            │
                    ┌───────▼───────┐
                    │  IoT Platform │
                    └───────┬───────┘
                            │
                         MQTT/TLS
                            │
                    ┌───────▼───────┐
                    │ MQTT Broker   │
                    └───────┬───────┘
                            │
                     Device Identity
                            │
                    ┌───────▼───────┐
                    │ IoT Devices   │
                    │ Secure Boot   │
                    │ Secure OTA    │
                    └───────────────┘

Di sisi lain:

Database
   ↓
Encryption
   ↓
Access Control
   ↓
Backup
   ↓
Monitoring

Dengan pendekatan seperti ini, keamanan tidak hanya berada di satu titik.

Contoh Praktis: Mengamankan ESP32

Misalnya kita memiliki:

ESP32
 +
DHT22
 +
Wi-Fi
 +
MQTT

Sistem awal:

DHT22
 ↓
ESP32
 ↓
Wi-Fi
 ↓
MQTT
 ↓
Broker

Versi yang lebih aman:

DHT22
 ↓
ESP32
 ↓
Device Identity
 ↓
Wi-Fi Security
 ↓
MQTT over TLS
 ↓
Authentication
 ↓
Topic Authorization
 ↓
MQTT Broker

Kemudian:

Broker
 ↓
Backend
 ↓
Database
 ↓
Encrypted Storage
 ↓
Dashboard

Ini menunjukkan bahwa keamanan bukan sebuah fitur tunggal.

Checklist Keamanan IoT untuk Pemula

Jika Anda baru mulai membuat proyek IoT, setidaknya perhatikan checklist berikut.

Device

• Ganti credential default
• Gunakan firmware terpercaya
• Matikan service yang tidak dibutuhkan
• Lindungi perangkat secara fisik

Authentication

• Setiap device memiliki identity
• Jangan gunakan satu credential untuk semua device
• Batasi hak akses

Communication

• Gunakan koneksi terenkripsi
• Hindari mengirim credential dalam plaintext
• Validasi endpoint

Network

• Pisahkan jaringan IoT jika memungkinkan
• Gunakan firewall
• Batasi port dan service

Backend

• Gunakan authentication
• Gunakan authorization
• Validasi input
• Terapkan rate limiting

Firmware

• Sediakan mekanisme update
• Verifikasi firmware
• Pantau vulnerability

Database

• Batasi akses
• Gunakan encryption sesuai kebutuhan
• Lakukan backup
• Monitor aktivitas

Monitoring

• Simpan security log
• Monitor authentication failure
• Deteksi aktivitas abnormal
• Siapkan prosedur incident response

10 Prinsip Dasar IoT Security

Jika seluruh pembahasan di atas dirangkum, terdapat beberapa prinsip penting.

1. Jangan Percaya Default Setting

Default configuration bukan berarti aman untuk production.

2. Setiap Device Harus Memiliki Identity

Hindari penggunaan satu credential untuk semua perangkat.

3. Gunakan Least Privilege

Berikan hak akses seminimal mungkin.

4. Lindungi Data

Gunakan encryption ketika diperlukan.

5. Amankan Komunikasi

Gunakan protokol dan konfigurasi yang mendukung keamanan.

6. Update Firmware

Jangan biarkan perangkat menggunakan software rentan tanpa alasan.

7. Segmentasikan Network

Jangan biarkan perangkat IoT memiliki akses bebas ke seluruh jaringan.

8. Monitor Aktivitas

Keamanan membutuhkan visibility.

9. Siapkan Backup

Data dan konfigurasi penting harus dapat dipulihkan.

10. Rancang Security Sejak Awal

Security bukan patch tambahan di akhir proyek.

IoT Security dan Zero Trust

Ketika sistem semakin besar, pendekatan keamanan juga perlu berkembang.

Misalnya:

Device
 ↓
Identity Verification
 ↓
Authentication
 ↓
Authorization
 ↓
Encrypted Communication
 ↓
Monitoring

Setiap request diperiksa sesuai kebijakan.

Ini jauh lebih kuat daripada menganggap semua perangkat yang berada di jaringan sebagai perangkat terpercaya.

IoT Security dan AI

Di level yang lebih lanjut, AI juga dapat digunakan untuk membantu keamanan IoT.

Misalnya sistem mengumpulkan:

Network Traffic
Device Behavior
Login Pattern
Sensor Pattern

Kemudian model menganalisis:

Normal Behavior
       ↓
Baseline
       ↓
Anomaly Detection
       ↓
Security Alert

Contohnya, sebuah perangkat biasanya mengirim data setiap 10 detik.

Tiba-tiba perangkat tersebut:

mengirim ribuan request dalam waktu sangat singkat.

Sistem dapat menandainya sebagai aktivitas yang tidak biasa.

Namun AI bukan pengganti kontrol keamanan dasar. Authentication, authorization, encryption, patching, segmentation, dan monitoring tetap merupakan fondasi.

IoT Security pada Industri

Keamanan menjadi semakin penting ketika IoT digunakan dalam Industrial IoT (IIoT).

Contohnya:

Sensor
 ↓
PLC
 ↓
Gateway
 ↓
Industrial Network
 ↓
SCADA
 ↓
Cloud

Jika perangkat hanya digunakan untuk monitoring sederhana, risiko mungkin berbeda.

Tetapi dalam sistem industri, IoT dapat terhubung dengan proses fisik.

Karena itu, keamanan harus mempertimbangkan:

• availability;
• safety;
• operational continuity;
• access control;
• segmentation;
• monitoring;
• dan incident response.

Perbedaan IoT Security dan Cybersecurity Umum

IoT Security merupakan bagian dari cybersecurity, tetapi memiliki karakteristik tersendiri.

IoT memiliki:

Physical Device
+
Embedded Firmware
+
Sensors
+
Network
+
Cloud
+
Physical Environment

Artinya serangan terhadap IoT dapat memiliki hubungan antara dunia digital dan dunia fisik.

Misalnya:

Cyber Attack
     ↓
Compromised Device
     ↓
Unauthorized Command
     ↓
Physical Action

Inilah yang membuat keamanan IoT sangat penting.

Apa yang Harus Dipelajari Setelah IoT Security?

Setelah memahami keamanan IoT, kita sudah memiliki fondasi yang jauh lebih kuat.

Sebelumnya kita telah mempelajari:

Level 1 - Apa itu IoT
        ↓
Level 2 - Komponen IoT
        ↓
Level 3 - Cara Kerja IoT
        ↓
Level 4 - Jenis IoT
        ↓
Level 5 - Connectivity
        ↓
Level 6 - Microcontroller
        ↓
Level 7 - Sensor & Actuator
        ↓
Level 8 - Programming
        ↓
Level 9 - Communication Protocol
        ↓
Level 10 - Project IoT
        ↓
Level 11 - Architecture
        ↓
Level 12 - Platform & Cloud
        ↓
Level 13 - Database
        ↓
Level 14 - Security

Selanjutnya kita mulai memasuki pembahasan yang lebih dekat dengan sistem IoT skala besar dan pengolahan data cerdas.

Kesimpulan

IoT Security bukan sekadar memasang password pada perangkat. Keamanan IoT mencakup seluruh ekosistem:

Device
 ↓
Identity
 ↓
Authentication
 ↓
Authorization
 ↓
Encryption
 ↓
Network
 ↓
Gateway
 ↓
Cloud
 ↓
Database
 ↓
Application
 ↓
Monitoring

Ancaman dapat muncul dari berbagai arah, mulai dari:

• default credential;
• firmware rentan;
• komunikasi tanpa enkripsi;
• API yang tidak aman;
• credential yang bocor;
• network yang tidak tersegmentasi;
• hingga perangkat yang telah dikompromikan.

Karena itu, pendekatan keamanan yang baik harus mencakup security by design, authentication yang kuat, authorization berbasis kebutuhan, encryption, secure firmware, OTA update, network segmentation, monitoring, backup, dan lifecycle management.

Anda dapat melihat Kembali Level 13 — Database IoT: Cara Menyimpan, Mengolah, dan Memvisualisasikan Data Sensor. Mengenal lebih lanjut tentang time-series database, SQL, NoSQL, InfluxDB, dan arsitektur data IoT.

Ada hal terpenting yang perlu diingat adalah:

Semakin banyak perangkat yang terhubung, semakin besar pula tanggung jawab untuk mengamankannya.

IoT yang canggih tetapi tidak aman dapat menjadi risiko.

Sebaliknya, IoT yang dirancang dengan keamanan sejak awal dapat menjadi fondasi yang kuat untuk sistem monitoring, otomasi, smart home, smart city, maupun Industrial IoT.

Pada level berikutnya, kita akan bergerak dari keamanan menuju pertanyaan yang lebih besar:

Bagaimana jika terdapat 1.000 sensor yang harus mengirimkan data ke berbagai aplikasi dan setiap sensor harus mengetahui alamat dan koneksi?

Jawabannya adalah MQTT.

Dan akan kita bahas selengkapnya pada Level 15 — MQTT IoT: Panduan Lengkap MQTT, Broker, Publish/Subscribe, QoS, dan Cara Kerjanya.

Yang akan kita pelajari diantaranya:

• pengertian MQTT,
• MQTT broker,
• MQTT client,
• topic MQTT,
• MQTT publish/subscribe,
• MQTT QoS,
• MQTT retained message