Dokumen ini memberikan panduan untuk mengamankan instalasi Open Journal Systems (OJS) dengan cara memindahkan folder upload ke luar document root, menonaktifkan fitur autoindex pada web server Apache, menghapus akun yang mencurigakan, dan melakukan pembaharuan berkala instalasi OJS.

1. Mengamankan Instalasi
OJS
Benediktus Anindito
benediktus@anindito.my.id

2. Prakata
• OJS adalah salah satu di antara banyak aplikasi web, yang
dibuat dengan bahasa pemrograman populer PHP, yang sering
dijadikan ajang latihan untuk mendalami ilmu hitam
• Parahnya, banyak di antara kita yang melakukan instalasi OJS
dengan perangkat lunak pendukung yang sangat umum dipakai
(contoh: sistem operasi Linux Ubuntu/Debian, web server
Apache, atau sistem operasi Windows menggunakan XAMPP
atau sejenisnya), dengan konfigurasi bawaan saat instalasi,
asal running dan tidak ada error.
• Hal ini merupakan celah keamanan yang dapat dieksploitasi
peretas untuk melancarkan aksinya

3. Perbaikan-perbaikan yang Diperlukan
●
Memindahkan folder upload ke luar document root
●
Mematikan fitur autoindex apabila menggunakan web server
Apache
●
Menghapus akun-akun yang dicurigai adalah dibuat oleh
peretas
●
Pembaharuan berkala instalasi OJS

4. Memindahkan Folder Upload
●
Cek parameter files_dir pada file config.inc.php pada
instalasi OJS anda
– Konfigurasi default-nya adalah files
– Konfigurasi default ini maknanya adalah folder upload ada di dalam sub-folder files
dalam folder document root instalasi OJS
●
Jika masih default, maka harus diganti
●
Setelah diganti, pindahkan folder upload ke luar folder
document root instalasi OJS anda
– Konsultasikan ke sysadmin/pengelola infrastruktur di institusi masing-masing

5. Menonaktifkan Fitur autoindex
●
Pada web server Apache, secara default fitur autoindex aktif
●
Untuk menonaktifkan fitur ini, bisa lewat file .htaccess atau
mengubah konfigurasi pada folder /etc/apache2
– Konsultasikan ke sysadmin/pengelola infrastruktur di institusi masing-masing

6. Menghapus akun-akun yang dicurigai
●
Ciri-ciri akun yang dicurigai:
– First name dan Last name yang aneh, hanya 1 huruf, atau kata-kata yang tidak lazim
– Alamat email pribadi yang aneh
– Tidak memiliki role apapun di jurnal yang bersangkutan
●
Saya tidak dapat menyertakan screenshot contoh akun yang
dicurigai karena beberapa waktu lalu sudah saya hapus
●
Penghapusan ini harus dilakukan secara berkala, karena di
OJS tidak ada mekanisme validasi registrasi (kecuali jika ada
yang mengembangkan plugin khusus untuk ini)

7. Pembaharuan Berkala
●
Saat ini, langkah-langkah pembaharuan OJS menurut
dokumentasi resmi masih belum user-friendly, baru sebatas
sysadmin-friendly, terutama apabila hosting OJS ada di
lingkungan persewaan hosting, yang tidak memungkinkan
untuk me-remote langsung melalui antar muka command-line.