Autentikasi Multifaktor
Pahami cara kerja autentikasi multifaktor, perbedaan metode yang tersedia, dan alasan sebagian metode lebih tahan terhadap phishing.
Tujuan Pembelajaran
- Menjelaskan tiga kategori faktor autentikasi
- Membandingkan SMS, aplikasi TOTP, push, dan kunci keamanan
- Memahami mengapa MFA mengurangi dampak kata sandi bocor
- Merencanakan penerapan MFA dan pemulihan akun yang aman
01Tiga kategori faktor
Autentikasi multifaktor (MFA) meminta bukti identitas dari lebih dari satu kategori faktor. Kombinasi dua kata sandi tetap hanya satu faktor, karena keduanya berasal dari kategori yang sama.
- Sesuatu yang Anda ketahui: kata sandi, PIN
- Sesuatu yang Anda miliki: ponsel, kunci keamanan, kartu pintar
- Sesuatu yang Anda adalah: sidik jari, pengenalan wajah
02Mengapa MFA efektif
Kata sandi dapat bocor lewat phishing, kebocoran data, atau penggunaan ulang. Dengan MFA, kata sandi saja tidak cukup untuk masuk, sehingga pelaku masih membutuhkan faktor kedua yang tidak mereka miliki.
MFA bukan jaminan mutlak, tetapi secara signifikan menaikkan biaya dan kesulitan pengambilalihan akun, terutama untuk serangan massal otomatis.
03Membandingkan metode
Tidak semua faktor kedua memiliki tingkat perlindungan yang sama.
- Kode SMS: mudah dipakai, tetapi rentan terhadap pengalihan nomor dan penyadapan
- Aplikasi TOTP: kode berubah tiap 30 detik di perangkat, lebih kuat dari SMS
- Notifikasi push: nyaman, namun perlu waspada terhadap persetujuan karena kelelahan notifikasi
- Kunci keamanan FIDO2/WebAuthn dan passkey: terikat pada domain asli sehingga tahan terhadap phishing
04Penerapan dan pemulihan
Prioritaskan MFA pada email, perbankan, akun admin, dan akses jarak jauh. Email sangat penting karena sering dipakai untuk mereset akun lain.
Siapkan jalur pemulihan sebelum dibutuhkan: simpan kode cadangan di tempat aman, daftarkan lebih dari satu perangkat atau kunci, dan pastikan proses reset tidak bisa dilewati dengan sekadar menelepon helpdesk tanpa verifikasi.
Contoh Praktis (Aman)
Alur login dengan TOTPRingkasan alur konseptual login dengan aplikasi TOTP. Rahasia bersama dibuat saat pendaftaran dan tidak dikirim ulang setelahnya.
Pendaftaran: 1. Server membuat rahasia acak untuk pengguna 2. Pengguna memindai kode QR ke aplikasi autentikator 3. Pengguna memasukkan kode pertama untuk konfirmasi 4. Server menampilkan kode cadangan sekali pakai Login: 1. Pengguna memasukkan kata sandi (faktor 1) 2. Pengguna memasukkan kode 6 digit dari aplikasi (faktor 2) 3. Server menghitung kode dari rahasia + waktu, lalu membandingkan 4. Kode yang sudah dipakai tidak diterima lagi
Rangkuman
- MFA menggabungkan faktor dari kategori berbeda: tahu, punya, dan adalah
- Kata sandi bocor tidak otomatis berarti akun jebol bila MFA aktif
- Kunci keamanan FIDO2 dan passkey paling tahan phishing, SMS paling lemah di antara pilihan umum
- Siapkan kode cadangan dan jalur pemulihan yang terverifikasi sebelum dibutuhkan
Mini Quiz
Pilih satu jawaban untuk setiap soal, lalu tekan "Periksa Jawaban".
Kombinasi mana yang merupakan MFA sejati?
Metode MFA mana yang paling tahan terhadap phishing?
Mengapa kode cadangan perlu disiapkan?