Membandingkan Metode Autentikasi Dua Faktor: Keamanan dan Kepraktisan

Autentikasi dua faktor (2FA) menambahkan lapisan keamanan ekstra pada akun online dengan meminta bukti identitas lebih dari satu cara. Tanpa 2FA, seorang penyerang yang mencuri kata sandi Anda bisa langsung masuk. Dengan 2FA, mereka harus juga memiliki akses ke telepon, email, atau perangkat kedua Anda. Berbagai metode 2FA ada di pasaran, masing-masing dengan tingkat keamanan dan kemudahan penggunaan yang berbeda.

Pesan SMS dan Email

Metode tertua adalah kode satu kali yang dikirim melalui SMS atau email. Ketika Anda masuk, layanan mengirimkan enam digit ke nomor telepon atau kotak masuk Anda. Anda memasukkan kode dalam beberapa menit sebelum kadaluarsa.

SMS menarik karena hampir semua orang memiliki ponsel. Email juga tersedia di hampir semua negara tanpa biaya tambahan. Banyak layanan, dari perbankan hingga media sosial, menawarkan SMS sebagai pilihan 2FA standar. Namun SMS memiliki kelemahan serius. Penyerang dapat menjalankan serangan SIM swap, di mana mereka mengelabui penyedia layanan untuk mentransfer nomor telepon Anda ke kartu SIM mereka. Dalam kasus terkenal, anggota komunitas kripto kehilangan jutaan dolar setelah penyerang mengambil akun mereka melalui SIM swap.

Email lebih sulit untuk diretas melalui cara yang sama, tetapi tetap rentan jika email Anda sendiri tidak diamankan dengan baik. Seseorang yang menguasai email Anda dapat menerima kode verifikasi dan masuk ke akun lain yang terikat pada alamat tersebut. Waktu tunggu untuk menerima pesan juga bisa lama di area dengan koneksi internet lambat.

Aplikasi Autentikator

Aplikasi autentikator seperti Google Authenticator, Microsoft Authenticator, dan Authy menghasilkan kode enam digit yang berubah setiap 30 detik. Kode ini berdasarkan algoritma TOTP (Time-based One-Time Password), yang tidak memerlukan koneksi internet untuk bekerja.

Bagaimana cara kerjanya

Saat Anda mengatur 2FA di situs web, situs menampilkan kode QR. Anda memindai kode dengan aplikasi autentikator, dan aplikasi menyimpan kunci rahasia. Setiap 30 detik, aplikasi menggunakan jam internal Anda dan kunci tersebut untuk membuat kode baru yang cocok dengan kode yang dihasilkan server.

Keuntungan dan batasan

Aplikasi autentikator jauh lebih aman dari SMS karena kode tidak dikirim melalui jaringan nirkabel yang dapat disadap. Mereka juga lebih cepat karena Anda tidak menunggu pesan masuk. Harga juga gratis untuk aplikasi resmi. Google Authenticator dan Microsoft Authenticator tidak mengenakan biaya, begitu juga Authy di tingkat dasar.

Kelemahannya adalah kesederhanaan, bukan keamanan. Jika Anda mengganti ponsel dan tidak menyimpan kode cadangan (disebut backup codes), Anda akan terkunci dari akun. Beberapa aplikasi seperti Authy memungkinkan sinkronisasi cloud untuk memulihkan kode, tetapi Google Authenticator tidak. Selain itu, jika perangkat Anda dicuri atau diretas, penyerang dapat membaca kode dari aplikasi jika ponsel tidak terkunci.

Kunci Keamanan Fisik

Kunci keamanan adalah perangkat keras kecil yang menggunakan standar FIDO2 dan WebAuthn. Mereka terlihat seperti USB drive berukuran kecil atau kartu kredit logam. Perangkat populer termasuk YubiKey dari Yubico, Titan Security Key dari Google (dijual di bawah merek Google), dan Nitrokey dari perusahaan yang sama.

Cara kerja dan keamanan

Saat Anda masuk, situs meminta Anda untuk menyentuh atau menghubungkan kunci. Kunci menggunakan kriptografi kurva eliptik untuk membuktikan identitas Anda tanpa mengirimkan rahasia melalui jaringan. Proses ini tahan terhadap phishing karena kunci hanya merespons server yang sebenarnya, bukan situs palsu.

Keamanan FIDO2 diakui oleh industri. Organisasi seperti FIDO Alliance (yang mencakup Amazon, Apple, Google, Microsoft, dan perusahaan teknologi besar lainnya) telah mendorong standar ini selama bertahun-tahun. Menurut laporan keamanan dari Microsoft, akun yang dilindungi dengan kunci keamanan fisik hampir tidak pernah diretas dibandingkan dengan SMS atau aplikasi autentikator.

Biaya dan kenyamanan

Kunci keamanan berharga antara 25 hingga 100 dolar AS per unit. YubiKey 5 Series dijual sekitar 45 hingga 55 dolar AS. Nitrokey Pro 3 berkisar antara 59 hingga 79 dolar AS. Tidak ada langganan bulanan, tetapi Anda memerlukan minimal dua kunci untuk keamanan maksimal, karena satu kunci yang hilang atau rusak akan mengunci Anda dari akun. Google menjual pasangan Titan Security Key dengan harga sekitar 50 dolar AS, jadi biaya total bisa mencapai 100 dolar AS atau lebih untuk perlindungan penuh.

Kunci fisik bekerja dengan platform besar seperti Google, Microsoft, Amazon, dan GitHub. Namun tidak semua layanan mendukungnya. Banyak situs lokal, terutama platform Indonesia, belum mengimplementasikan FIDO2. Selain itu, kunci fisik memerlukan USB, NFC, atau Bluetooth, jadi tidak semua perangkat mobile lama dapat mendukungnya tanpa adapter.

Autentikasi Biometrik

Biometrik, seperti sidik jari atau pengenalan wajah, semakin banyak digunakan sebagai faktor 2FA kedua. Smartphone modern, dari iPhone hingga ponsel Android flagship, memiliki sensor yang dapat mengenkripsi dan menyimpan data biometrik secara lokal.

Keuntungan biometrik adalah tidak dapat dicuri atau lupa seperti kata sandi. Sensor mencocokkan pola unik Anda dan jarang memberikan false positive. Namun biometrik tidak tersedia di semua perangkat atau sistem operasi. Anda membutuhkan ponsel atau laptop dengan sensor sidik jari atau kamera pengenalan wajah. Selain itu, saat ini biometrik tidak sepenuhnya sebanding dengan kunci fisik FIDO2 dalam hal ketahanan phishing, karena implementasinya bervariasi di antara manufaktur.

Pemberitahuan Push dan Aplikasi Messenger

Beberapa layanan mengirimkan pemberitahuan push ke aplikasi seluler yang sudah Anda buka, meminta Anda untuk menyetujui masuk dengan mengetuk tombol “Setujui” atau “Tolak”. Microsoft, Apple, dan Google menawarkan pendekatan ini. Cara ini menghindari keharusan mengetik kode dan lebih sulit untuk diretas dari jarak jauh.

Kelemahannya adalah Anda harus memiliki akses ke aplikasi mobile yang terdaftar. Jika perangkat Anda hilang atau Anda tidak memiliki konektivitas internet, Anda tidak dapat menyelesaikan masuk. Selain itu, penyerang yang telah menguasai perangkat Anda dapat menyetujui permintaan masuk sendiri, jadi keamanan bergantung pada apakah ponsel Anda aman.

Perbandingan dan Rekomendasi Praktis

Untuk pengguna dengan persyaratan keamanan tinggi, seperti mereka yang mengelola bisnis atau menyimpan aset digital berharga, kunci keamanan fisik FIDO2 adalah pilihan terbaik. Biaya 50 hingga 100 dolar AS adalah investasi kecil dibandingkan dengan risiko kehilangan akun atau dana.

Untuk sebagian besar pengguna, aplikasi autentikator seperti Google Authenticator atau Authy menawarkan keseimbangan baik antara keamanan dan kemudahan. Mereka gratis, tidak memerlukan perangkat tambahan, dan jauh lebih aman dari SMS. Pastikan Anda menyimpan kode cadangan saat Anda mengaturnya.

SMS harus dihindari jika ada pilihan lain, terutama untuk akun penting seperti email atau perbankan. Jika Anda hanya memiliki SMS sebagai pilihan di situs, pertahankan nomor telepon Anda dengan aman dan aktifkan perlindungan SIM swap dengan operator Anda jika memungkinkan. Banyak operator lokal Indonesia sekarang menawarkan fitur ini.

Biometrik dan pemberitahuan push adalah tambahan yang nyaman, tetapi idealnya Anda harus menggunakannya bersama metode lain, bukan sebagai pengganti satu-satunya faktor kedua.