Memilih metode autentikasi dua faktor
Semua faktor kedua lebih baik daripada tidak sama sekali, tetapi jaraknya jauh. Ini perbandingan yang jujur antar-metode.
Ringkasan
- Faktor kedua melindungi akun Anda meski kata sandi sudah bocor.
- Kunci keamanan fisik dan kunci sandi adalah dua metode yang tahan terhadap phishing.
- Kode lewat SMS paling lemah karena nomor telepon bisa diambil alih, tetapi tetap jauh lebih baik daripada tidak ada.
- Aplikasi penghasil kode adalah titik seimbang terbaik bagi kebanyakan orang.
- Simpan kode cadangan di tempat luring — kehilangan akses ke faktor kedua bisa mengunci Anda sendiri.
Apa yang sebenarnya dilindungi faktor kedua
Kata sandi memiliki kelemahan mendasar: ia adalah satu rahasia yang, bila diketahui orang lain, langsung memberi akses penuh. Rahasia itu bisa bocor lewat banyak jalur — kebocoran data pada layanan lain, halaman palsu yang meniru tampilan asli, atau sekadar dipakai ulang di tempat yang kurang aman.
Faktor kedua menambahkan syarat yang tidak ikut bocor bersama kata sandi. Penyerang yang memiliki kata sandi Anda tetap tertahan karena tidak memegang perangkat atau kunci yang menghasilkan faktor kedua. Inilah alasan mengaktifkan faktor kedua pada surel utama memberi perlindungan yang jauh lebih besar dibanding sekadar memperpanjang kata sandi.
Namun tidak semua metode memberi perlindungan setara. Perbedaannya terletak pada apakah metode itu bisa ditipu untuk menyerahkan kodenya ke halaman palsu — dan di titik inilah jarak antar-metode menjadi sangat lebar.
Metode faktor kedua, dari terlemah ke terkuat
Semua metode di tabel ini lebih baik daripada tidak memakai faktor kedua sama sekali.
| Metode | Kelemahan utama | Cocok untuk |
|---|---|---|
| Kode lewat SMS | Nomor bisa diambil alih; kode bisa diserahkan ke situs palsu. | Akun berisiko rendah, atau ketika tidak ada pilihan lain. |
| Kode surel | Ikut jatuh bila surel itu sendiri yang dibobol. | Pilihan terakhir; hindari untuk akun surel utama. |
| Aplikasi penghasil kode | Masih bisa diserahkan ke halaman palsu bila pengguna tertipu. | Kebanyakan akun penting — titik seimbang terbaik. |
| Notifikasi dorong | Rentan disetujui karena kelelahan bila permintaan datang bertubi. | Akun kerja dengan pemantauan lokasi permintaan. |
| Kunci keamanan fisik | Perlu dibeli; harus dibawa dan dicadangkan. | Surel utama, akun keuangan, akun administrator. |
| Kunci sandi bawaan perangkat | Pemulihan bergantung pada ekosistem perangkat. | Pengguna yang konsisten memakai satu ekosistem. |
Memilih yang sesuai kebutuhan Anda
Tidak semua akun memerlukan perlindungan setara. Pendekatan yang masuk akal adalah menyesuaikan kekuatan metode dengan besarnya kerugian bila akun itu jatuh.
Surel utama, akun keuangan, dan akun administrator layak memakai metode terkuat yang tersedia. Bila layanannya mendukung kunci keamanan fisik, gunakan itu. Ketiga jenis akun ini adalah pintu menuju hampir semua hal lain.
Akun sehari-hari seperti media sosial, belanja, dan layanan berlangganan cukup dilindungi aplikasi penghasil kode. Metode ini gratis, bekerja tanpa sinyal seluler, dan tidak terpengaruh pengambilalihan nomor telepon.
Akun berisiko rendah yang tidak menyimpan data pribadi atau pembayaran boleh memakai SMS bila itu satu-satunya pilihan. Yang penting, jangan biarkan SMS menjadi faktor kedua bagi surel utama Anda.
Satu prinsip yang berlaku untuk semua metode: kode dan permintaan persetujuan tidak pernah diminta oleh petugas mana pun. Tidak ada layanan sah yang menelepon dan meminta Anda menyebutkan kode verifikasi.
Kode cadangan dan rencana kehilangan perangkat
Risiko terbesar memakai faktor kedua bukan penyerang, melainkan mengunci diri sendiri. Ponsel hilang, rusak, atau berganti tanpa memindahkan aplikasi penghasil kode adalah penyebab paling umum orang kehilangan akses ke akunnya sendiri.
Karena itu, saat mengaktifkan faktor kedua, hampir semua layanan menawarkan kode cadangan sekali pakai. Simpan kode itu sekarang, bukan nanti. Simpan di tempat luring — dicetak dan disimpan bersama dokumen penting, atau di dalam pengelola kata sandi yang berbeda dari perangkat penghasil kode.
Bila memakai kunci keamanan fisik, sediakan dua unit dan daftarkan keduanya: satu dibawa, satu disimpan di tempat aman. Bila memakai aplikasi penghasil kode, pastikan Anda memahami cara memindahkannya ke perangkat baru sebelum perangkat lama dilepas.
Langkah ini terasa berlebihan sampai perangkat Anda benar-benar hilang. Setelah itu, ia terasa seperti keputusan paling masuk akal yang pernah Anda ambil.
Kenapa kode lewat SMS paling lemah
SMS adalah metode faktor kedua yang paling banyak dipakai, sekaligus yang paling mudah dijebol. Alasannya bukan pada kodenya, melainkan pada nomor teleponnya.
Nomor bisa diambil alih. Pelaku mengumpulkan data pribadi korban, lalu meminta penggantian kartu SIM kepada operator. Begitu berhasil, seluruh kode sekali pakai mengalir ke perangkat mereka.
Kode bisa diserahkan tanpa sadar. Halaman palsu meminta Anda memasukkan kode, lalu memakainya seketika di halaman aslinya. Kode itu sah, hanya saja dipakai orang lain.
Pengiriman bergantung jaringan. Kode yang terlambat membuat orang terbiasa meminta kiriman ulang, dan kebiasaan itu melemahkan kewaspadaan.
Meski begitu, SMS tetap jauh lebih baik daripada tidak memakai faktor kedua sama sekali. Yang perlu dihindari adalah menjadikannya satu-satunya pelindung surel utama Anda.
Beralih tanpa mengunci diri sendiri
Kesalahan paling umum saat menaikkan keamanan bukan memilih metode yang salah, melainkan berpindah tanpa jalan mundur.
Urutan yang aman
Aktifkan metode baru lebih dulu, dan pastikan ia benar-benar bekerja. Baru setelah itu matikan metode lama.
Simpan kode cadangan sebelum mematikan apa pun. Simpan di tempat luring, bukan di perangkat yang sama dengan aplikasi penghasil kodenya.
Yang layak dipertimbangkan berikutnya
Sebagian layanan kini menawarkan kunci sandi sebagai pengganti kata sandi sekaligus faktor kedua. Bentuk ini menutup jalur phising karena tidak ada yang bisa Anda ketikkan ke halaman palsu.
Peralihannya tidak perlu sekaligus. Dahulukan surel utama, lalu akun keuangan, dan biarkan akun sehari-hari menyusul.
Panduan lain di IDN96
Mengaudit langganan software
Menemukan kursi tak terpakai dan berhenti berlangganan tanpa kehilangan data.
Mengapa 5G terasa lambat
Pita frekuensi, kepadatan menara, dan cara membaca peta cakupan.
WiFi lemot dan cara mengatasinya
Urutan mencari penyebab WiFi lemot, dari yang paling menentukan.
Tentang tulisan ini
- Ditulis oleh
- Beni Nur Halim, penulis keamanan siber, kanal Keamanan Siber. Bidang yang ia kuasai dan susunan penanggung jawab ada di halaman Redaksi.
- Jenis tulisan
- Penjelas evergreen. Menjelaskan cara kerja dan cara menilai, bukan melaporkan peristiwa bertanggal.
- Cara kami menyusun
- Setiap klaim ditelusuri ke sumber primer dan disunting oleh editor yang tidak menulis artikel ini. Alur lengkapnya dijelaskan di pedoman redaksi.
- Menemukan kekeliruan?
- Kirim ke [email protected] dengan menyertakan tautan halaman ini. Ditanggapi dalam satu hari kerja lewat prosedur koreksi.
- Kepentingan komersial
- Tulisan ini bukan konten bersponsor dan tidak dibayar pihak mana pun.
Rujukan
- Bantuan Akun Google — panduan resmi berbahasa Indonesia untuk mengaktifkan Verifikasi 2 Langkah: support.google.com.
- FIDO Alliance — standar teknis di balik kunci keamanan fisik dan kunci sandi: fidoalliance.org.