mDNS dan SSDP: Cara Kerja Discovery Perangkat dan Risikonya

Ketika ponsel menemukan televisi untuk casting, laptop melihat printer jaringan, atau aplikasi menampilkan speaker pintar yang tersedia, sering kali proses itu dibantu oleh protokol service discovery. Dua teknologi yang umum dijumpai di jaringan lokal adalah Multicast DNS (mDNS) dan Simple Service Discovery Protocol (SSDP). Keduanya membuat perangkat lebih mudah saling menemukan tanpa harus memasukkan alamat secara manual, tetapi juga dapat membocorkan informasi tentang perangkat dan layanan yang aktif.

Memahami perbedaan keduanya membantu pemilik jaringan mengatur perangkat rumah pintar, menjaga privasi, dan menghindari pembukaan layanan lokal ke jaringan yang tidak semestinya.

Apa Itu mDNS?

mDNS memungkinkan perangkat menyelesaikan nama host di jaringan lokal tanpa bergantung pada server DNS pusat. Contohnya, perangkat dapat mengiklankan nama seperti printer-rumah.local agar perangkat lain di segmen jaringan yang sama lebih mudah menemukannya. mDNS banyak dipakai oleh ekosistem perangkat dan layanan yang mengandalkan Bonjour atau mekanisme sejenis.

Secara umum, mDNS memakai UDP port 5353 dan alamat multicast khusus, yaitu 224.0.0.251 untuk IPv4 atau ff02::fb untuk IPv6. Multicast memungkinkan satu pesan diterima oleh sejumlah perangkat yang bergabung pada kelompok jaringan terkait, tanpa mengirim salinan terpisah ke setiap alamat. Karena dirancang untuk jaringan lokal, mDNS biasanya tidak dimaksudkan untuk dirutekan begitu saja melewati internet atau antarsegmen.

Apa Itu SSDP?

SSDP dipakai untuk menemukan perangkat dan layanan, terutama dalam ekosistem UPnP. Misalnya, aplikasi media dapat mencari televisi, pemutar media, atau perangkat jaringan yang mengumumkan layanan tertentu. Perangkat bisa mengirim pengumuman keberadaan melalui pesan NOTIFY, sedangkan klien dapat mengirim pencarian untuk menemukan layanan yang tersedia.

SSDP umumnya menggunakan UDP port 1900 dan multicast IPv4 239.255.255.250. Implementasi dan perilakunya dapat berbeda menurut perangkat. SSDP bukan mekanisme autentikasi: menerima pengumuman atau melihat sebuah layanan tidak membuktikan bahwa perangkat tersebut tepercaya.

Perbedaan mDNS dan SSDP

• Tujuan utama: mDNS membantu resolusi nama host lokal, sedangkan SSDP membantu menemukan perangkat atau layanan UPnP.
• Contoh pemakaian: mDNS dapat membantu menemukan host dengan nama lokal; SSDP dapat mengumumkan layanan media atau kemampuan perangkat.
• Port umum: mDNS menggunakan UDP 5353, sementara SSDP menggunakan UDP 1900.
• Batas keamanan: keduanya mempermudah penemuan, tetapi tidak boleh dianggap sebagai bukti identitas atau izin akses.

Keduanya juga dapat muncul bersamaan pada jaringan rumah. Karena itu, mematikan salah satunya belum tentu menghentikan semua mekanisme penemuan perangkat.

Risiko Keamanan dan Privasi

Informasi discovery dapat mengungkap nama perangkat, jenis layanan, nama host, atau detail lain yang membantu seseorang memetakan jaringan. Di jaringan yang dipakai bersama, informasi itu bisa terlihat oleh perangkat lain yang dapat menerima multicast terkait. Dampak sebenarnya bergantung pada konfigurasi jaringan dan isi pesan yang diumumkan.

Risiko lain muncul ketika layanan discovery atau UPnP terbuka ke antarmuka yang tidak seharusnya. Sejumlah perangkat lama atau salah konfigurasi pernah dapat dimanfaatkan dalam penyalahgunaan lalu lintas berbasis UDP, termasuk sebagai bagian dari serangan refleksi. Ini bukan berarti setiap penggunaan mDNS atau SSDP otomatis berbahaya; masalah utamanya adalah layanan yang tidak dibatasi, firmware usang, dan asumsi bahwa semua perangkat di jaringan lokal dapat dipercaya.

Discovery juga bisa membuat segmentasi jaringan kurang efektif jika konfigurasi router meneruskan multicast antar-VLAN tanpa aturan yang jelas. Perangkat IoT yang seharusnya terpisah mungkin menjadi terlihat dari jaringan utama. Perhatikan bahwa terlihatnya perangkat tidak selalu berarti penyerang dapat mengendalikannya, tetapi visibilitas yang tidak diperlukan tetap menambah informasi yang tersedia.

Cara Mengelolanya dengan Aman

1. Periksa layanan yang benar-benar dibutuhkan. Jika tidak menggunakan UPnP, casting, atau penemuan printer otomatis, tinjau apakah fitur terkait dapat dinonaktifkan. Uji terlebih dahulu karena sebagian perangkat rumah pintar bergantung pada discovery.
2. Jangan membuka port discovery ke internet. Periksa aturan port forwarding dan firewall router. UDP 5353 atau 1900 umumnya tidak perlu diteruskan dari internet ke perangkat rumah.
3. Perbarui firmware. Pembaruan dapat memperbaiki masalah keamanan dan perilaku jaringan. Jika perangkat sudah tidak didukung, pertimbangkan menggantinya, terutama bila menyediakan layanan administrasi atau mengelola data sensitif.
4. Pisahkan perangkat IoT. Gunakan jaringan tamu atau VLAN untuk perangkat yang tidak perlu mengakses laptop dan penyimpanan pribadi. Terapkan aturan firewall antar-segmen; VLAN saja tidak otomatis memblokir semua komunikasi.
5. Batasi multicast antarsegmen. Jangan menyalakan mDNS reflector atau penerusan multicast secara luas hanya agar perangkat mudah ditemukan. Jika lintas-VLAN memang diperlukan, izinkan layanan dan segmen tertentu saja, lalu uji bahwa perangkat tidak mendapat akses tambahan yang tidak dibutuhkan.
6. Audit perangkat yang terhubung. Cocokkan nama dan alamat perangkat dengan inventaris jaringan. Nama host dapat ditiru atau tidak akurat, jadi jangan menjadikannya satu-satunya dasar untuk menyimpulkan perangkat aman.

Untuk langkah dasar memperkuat jaringan, baca juga panduan mengamankan router Wi-Fi rumah. Jika ingin memahami bagaimana jaringan nirkabel berbeda dalam jangkauan dan kompatibilitas, lihat perbedaan Wi-Fi 2,4 GHz dan 5 GHz.

Checklist Singkat

• Hanya layanan discovery yang diperlukan yang diaktifkan.
• Port UDP 5353 dan 1900 tidak diteruskan ke internet tanpa kebutuhan yang sangat khusus.
• Perangkat IoT dipisahkan dari perangkat utama bila memungkinkan.
• Aturan firewall membatasi komunikasi antarsubnet dan penerusan multicast.
• Firmware diperbarui dan perangkat tak dikenal diperiksa sebelum diberi akses.

Kesimpulan

mDNS dan SSDP membuat perangkat lokal lebih mudah ditemukan, tetapi kemudahan itu perlu diseimbangkan dengan pembatasan akses. Kenali layanan yang digunakan, hindari mengekspos discovery ke internet, perbarui perangkat, dan pisahkan IoT dengan aturan firewall yang tepat. Tujuannya bukan mematikan semua fitur secara membabi buta, melainkan memastikan setiap layanan hanya tersedia bagi perangkat dan jaringan yang memang membutuhkannya.

Referensi

Untuk rincian teknis, baca RFC 6762 tentang Multicast DNS dan dokumentasi UPnP dari Open Connectivity Foundation.