Autentikasi dua faktor (2FA) dijelaskan: apa itu dan mengapa satu kata sandi saja tidak cukup

Kata sandi adalah rahasia yang tersimpan di lebih banyak tempat daripada yang disadari kebanyakan orang. Kata sandi diketik di situs web, digunakan kembali di berbagai akun, dan terkadang terekspos dalam kebocoran data milik pihak lain. Karena itu, kata sandi saja merupakan cara yang rentan untuk melindungi sesuatu yang berharga.

Autentikasi dua faktor menambahkan bukti kedua dengan jenis yang berbeda, sehingga kata sandi yang dicuri tidak cukup untuk masuk. Berikut penjelasan tentang apa itu autentikasi dua faktor, jenis faktor kedua yang umum, manfaatnya, dan hal-hal yang tidak dapat dilindunginya.

Apa itu autentikasi dua faktor

Autentikasi dua faktor, yang biasanya disingkat menjadi 2FA, berarti membuktikan identitas Anda dengan dua jenis bukti yang berbeda. Pedoman identitas digital NIST menjelaskan tiga jenis faktor autentikasi: sesuatu yang Anda ketahui, seperti kata sandi; sesuatu yang Anda miliki, seperti ponsel atau kunci keamanan; dan sesuatu yang melekat pada diri Anda, seperti sidik jari.

Kedua faktor tersebut harus berasal dari jenis yang berbeda. NIST menjelaskan bahwa kata sandi dan PIN tidak dianggap sebagai dua faktor, karena keduanya merupakan sesuatu yang Anda ketahui. Anda mungkin juga melihat istilah autentikasi multifaktor, MFA, atau verifikasi dua langkah. CISA menganggap istilah-istilah ini memiliki arti yang sama dalam penggunaan sehari-hari, yaitu langkah tambahan untuk memastikan bahwa Anda benar-benar orang yang Anda akui.

Jenis faktor kedua yang umum

Faktor kedua yang paling dikenal adalah kode sekali pakai, baik yang dikirim melalui pesan teks maupun dibuat oleh aplikasi autentikator di ponsel Anda. Pilihan lainnya adalah kunci keamanan fisik atau passkey, yang menggunakan kriptografi bawaan perangkat. Sidik jari atau pemindaian wajah juga dapat berperan. NIST menyatakan bahwa biometrik hanya dihitung sebagai bagian dari autentikasi multifaktor jika digunakan bersama perangkat fisik.

Metode-metode ini tidak sama kuatnya. Menurut CISA, autentikasi yang didasarkan pada standar FIDO, seperti kunci keamanan dan passkey, merupakan bentuk terkuat dan tahan terhadap phishing. Kode dari aplikasi autentikator lebih baik daripada pesan teks, tetapi masih bisa menjadi sasaran phishing. Pesan teks merupakan pilihan yang paling lemah di antara metode umum. Perbandingan terperinci tentang jenis-jenis ini merupakan topik tersendiri.

Mengapa satu kata sandi saja tidak cukup

CISA menjelaskan bahwa kata sandi, yaitu sesuatu yang Anda ketahui, dapat digunakan kembali, lebih mudah dibobol, atau dicuri. Jika kata sandi yang sama digunakan untuk beberapa akun, satu kebocoran dapat membuka akses ke semuanya. Dengan faktor kedua, penyerang yang memiliki kata sandi tersebut masih memerlukan bagian lainnya. Menurut CISA, hal ini secara signifikan mengurangi kemungkinan akun Anda diretas.

CISA menyarankan untuk mengaktifkan autentikasi multifaktor di semua layanan yang menawarkannya, dimulai dari akun yang paling penting: pertama email, lalu layanan keuangan, kemudian media sosial dan toko online. CISA juga merekomendasikan penggunaan kata sandi yang kuat dan unik serta pengelola kata sandi, karena kedua perlindungan tersebut saling melengkapi.

Hal-hal yang tidak dapat dilakukan autentikasi dua faktor

Faktor kedua membuat akun lebih sulit diambil alih, tetapi tidak menjadikannya mustahil untuk dibobol. Halaman login palsu yang meyakinkan dapat mencuri kode dan langsung menggunakannya. Pesan teks juga dapat disadap atau dialihkan, misalnya melalui pengambilalihan SIM. Karena itu, metode yang Anda pilih penting, begitu pula memastikan bahwa Anda berada di situs yang asli sebelum memasukkan kode apa pun.

Autentikasi dua faktor juga tidak melindungi semuanya. 2FA melindungi akun yang digunakan untuk login ke suatu layanan, tetapi tidak dapat melindungi private key atau frasa seed dompet kripto, karena keduanya bukan akun. 2FA juga tidak menggantikan kata sandi yang kuat dan unik atau cara yang aman untuk memulihkan akses jika Anda kehilangan ponsel.

Pengingat WEEX: aktifkan 2FA dan jaga kode Anda

WEEX mengingatkan pengguna untuk mengaktifkan autentikasi dua faktor di semua layanan yang menawarkannya, dimulai dari akun email dan keuangan. Simpan kode cadangan atau pemulihan di tempat yang aman dan luring, serta periksa alamat situs sebelum memasukkan kode. Jangan pernah membagikan kode sekali pakai atau frasa seed kepada siapa pun, termasuk orang yang mengaku sebagai petugas dukungan, karena layanan yang asli tidak akan pernah memerlukan keduanya.

Kesimpulan

Autentikasi dua faktor meminta dua jenis bukti yang berbeda, sehingga kata sandi yang dicuri tidak cukup untuk masuk. Tingkat keamanan faktor kedua berbeda-beda: kunci keamanan dan passkey berada di posisi teratas, sedangkan pesan teks berada di posisi terbawah. Tidak satu pun dari metode ini menggantikan kata sandi yang baik, kebiasaan yang cermat, atau perlindungan terhadap private key dompet. Mengaktifkan 2FA adalah salah satu cara paling sederhana untuk membuat akun lebih sulit diambil alih.

FAQ

1. Apa itu autentikasi dua faktor?
Ini adalah cara untuk login yang memerlukan dua jenis bukti berbeda, seperti kata sandi ditambah kode dari ponsel Anda, bukan hanya kata sandi.

2. Apakah 2FA sama dengan MFA dan verifikasi dua langkah?
Dalam penggunaan sehari-hari, istilah-istilah tersebut kurang lebih memiliki arti yang sama. Secara teknis, MFA berarti menggunakan lebih dari satu jenis faktor yang berbeda, sedangkan 2FA berarti menggunakan tepat dua faktor.

3. Apakah autentikasi dua faktor membuat akun mustahil diretas?
Tidak. Autentikasi ini mempersulit pengambilalihan akun, tetapi halaman login palsu dapat mencuri kode dan pesan teks dapat disadap. Karena itu, metode yang digunakan dan kebiasaan Anda sama-sama penting.

4. Apakah kata sandi ditambah PIN termasuk autentikasi dua faktor?
Tidak. Keduanya merupakan sesuatu yang Anda ketahui, sehingga menurut pedoman NIST, keduanya dihitung sebagai satu faktor.

5. Akun mana yang sebaiknya lebih dulu menggunakan autentikasi dua faktor?
CISA menyarankan untuk memulai dari email, lalu layanan keuangan, kemudian media sosial dan toko online. Email menjadi prioritas pertama karena sering digunakan untuk mengatur ulang akses ke akun lain.