Autentikasi dan Otorisasi
Bedakan autentikasi dan otorisasi, kenali faktor autentikasi, MFA, serta model kontrol akses yang umum dipakai.
Tujuan Pembelajaran
- Membedakan identifikasi, autentikasi, dan otorisasi
- Menjelaskan faktor autentikasi dan manfaat MFA
- Mengenal model kontrol akses seperti RBAC
- Menerapkan praktik kata sandi dan manajemen sesi yang aman
01Tiga konsep yang sering tertukar
Identifikasi adalah menyatakan siapa Anda, misalnya dengan nama pengguna. Autentikasi adalah membuktikan klaim itu, misalnya dengan kata sandi. Otorisasi adalah menentukan apa yang boleh Anda lakukan setelah terbukti.
Kesalahan umum adalah menganggap pengguna yang sudah login pasti berhak mengakses semua data. Otorisasi harus diperiksa pada setiap tindakan, bukan hanya saat login.
02Faktor autentikasi dan MFA
Faktor autentikasi dikelompokkan menjadi sesuatu yang Anda ketahui, miliki, dan adalah. Multi-factor authentication (MFA) menggabungkan minimal dua kategori berbeda sehingga kata sandi yang bocor saja tidak cukup untuk mengambil alih akun.
- Yang diketahui: kata sandi, PIN
- Yang dimiliki: aplikasi authenticator, kunci keamanan, kartu
- Yang dimiliki secara biologis: sidik jari, wajah
- Kunci keamanan FIDO2 tahan terhadap phishing, sedangkan kode SMS lebih lemah
03Model kontrol akses
RBAC (Role-Based Access Control) memberi hak berdasarkan peran, misalnya admin, editor, atau pembaca, sehingga pengelolaan lebih mudah dan konsisten. ABAC memakai atribut seperti departemen atau lokasi, dan DAC membiarkan pemilik data menentukan akses.
Apa pun modelnya, terapkan least privilege dan tinjau hak akses secara berkala, terutama saat pegawai pindah tugas atau keluar dari organisasi.
04Kata sandi dan manajemen sesi
Kata sandi yang kuat panjang dan unik untuk tiap layanan. Pengelola kata sandi membantu membuat dan menyimpannya, sedangkan panjang lebih penting daripada kerumitan. Server harus menyimpan hash kata sandi dengan algoritma yang tepat dan membatasi percobaan login berulang.
Setelah login, sesi dipertahankan lewat token atau cookie. Token sebaiknya acak, berumur terbatas, dibatalkan saat logout, dan dikirim hanya lewat HTTPS. OAuth 2.0 dan OpenID Connect memungkinkan login lewat penyedia identitas tepercaya tanpa membagikan kata sandi ke setiap aplikasi.
Contoh Praktis (Aman)
Contoh matriks peran sederhana (RBAC)Berikut rancangan hak akses untuk aplikasi nilai sekolah. Setiap peran hanya diberi hak minimum yang dibutuhkan.
Peran | Lihat nilai | Ubah nilai | Kelola pengguna ----------|----------------|------------|----------------- Siswa | hanya miliknya | tidak | tidak Guru | kelasnya | kelasnya | tidak Admin | semua | tidak | ya Catatan: admin tidak dapat mengubah nilai, sehingga tugas dipisahkan (separation of duties).
Rangkuman
- Identifikasi menyatakan siapa, autentikasi membuktikan, otorisasi menentukan hak
- MFA menggabungkan minimal dua faktor berbeda dan sangat mengurangi risiko pengambilalihan akun
- RBAC mempermudah pengelolaan hak; tinjau akses secara berkala
- Gunakan kata sandi panjang dan unik, simpan hash di server, dan kelola sesi dengan aman
Mini Quiz
Pilih satu jawaban untuk setiap soal, lalu tekan "Periksa Jawaban".
Proses menentukan apa yang boleh dilakukan pengguna setelah terbukti identitasnya disebut...
Kombinasi mana yang merupakan MFA sejati?
Keuntungan utama RBAC adalah...