Biometrik dan Autentikasi Berbasis Token

Autentikasi biometrik memverifikasi identitas berdasarkan karakteristik fisik atau perilaku yang unik — "sesuatu yang merupakan diri Anda". Berbeda dari kata sandi, biometrik tidak dapat terlupakan, mudah dibagikan, atau hilang. Namun, biometrik juga tidak dapat diubah jika dibobol: Anda tidak dapat memperoleh sidik jari baru. Sistem biometrik mengukur dan membandingkan ciri biologis atau perilaku dengan templat terdaftar yang disimpan saat penyiapan. Kualitas sistem biometrik diukur berdasarkan tingkat kesalahannya dan keamanan penyimpanan templat. Biometrik paling efektif jika digabungkan dengan faktor lain (misalnya sidik jari + PIN).

Biometrik fisiologis didasarkan pada karakteristik fisik tubuh. Jenis utamanya mencakup: Sidik jari: paling banyak digunakan karena biayanya rendah dan mudah diterima; digunakan pada ponsel, pengendalian akses, dan Security perbatasan. Pemindaian retina: memindai pola pembuluh darah di bagian belakang mata — sangat akurat dan sulit dipalsukan, tetapi memerlukan kontak dekat dengan pembaca. Pemindaian iris: memindai pola pada bagian mata yang berwarna — dapat dilakukan dari jarak yang lebih jauh dan digunakan di bandara. Pengenalan wajah: menganalisis geometri wajah dari kamera; semakin akurat, tetapi dapat dipengaruhi pencahayaan, usia, dan penyamaran. Geometri tangan: mengukur bentuk tangan dan panjang jari.

Biometrik perilaku menganalisis pola cara seseorang melakukan sesuatu, bukan karakteristik fisiknya. Contohnya mencakup: Dinamika ketikan — mengukur ritme, kecepatan mengetik, dan durasi penekanan tombol (berapa lama setiap tombol ditekan). Dinamika tetikus — kecepatan, akselerasi, dan pola pergerakan saat menggunakan tetikus. Pengenalan suara — menganalisis pola bicara, tinggi nada, dan irama (berbeda dari perintah suara). Dinamika tanda tangan — tekanan, kecepatan, dan ritme tanda tangan tulisan tangan, bukan hanya bentuknya. Biometrik perilaku sangat berguna untuk autentikasi berkelanjutan — memverifikasi identitas sepanjang sesi, bukan hanya saat masuk.

Dua tingkat kesalahan digunakan untuk menggambarkan kinerja sistem biometrik. False Acceptance Rate (FAR): kemungkinan sistem keliru menerima penyusup sebagai pengguna sah — suatu risiko Security. False Rejection Rate (FRR): kemungkinan sistem keliru menolak pengguna sah — masalah ketersediaan dan kemudahan penggunaan. Kedua tingkat ini berhubungan terbalik: meningkatkan sensitivitas menurunkan FAR (lebih sedikit penyusup yang diterima), tetapi meningkatkan FRR (lebih banyak pengguna sah yang ditolak). Crossover Error Rate (CER) — saat FAR sama dengan FRR — adalah satu angka yang digunakan untuk membandingkan akurasi sistem biometrik. CER yang lebih rendah berarti sistem yang lebih akurat.

Sistem biometrik tidak kebal terhadap serangan. Serangan pemalsuan menyajikan biometrik palsu untuk mengelabui sensor: pemalsuan sidik jari menggunakan salinan sidik jari laten dari gelatin atau silikon; pengenalan wajah dapat dikelabui oleh topeng 3D berkualitas tinggi atau foto pada sistem dengan kualitas lebih rendah. Serangan basis data templat: jika templat biometrik yang tersimpan dicuri, templat tersebut tidak dapat dicabut seperti kata sandi. Sistem modern mengurangi risiko ini melalui perlindungan templat (menyimpan templat yang di-hash atau diubah, bukan data biometrik mentah) dan deteksi keaktifan (membuktikan bahwa biometrik berasal dari orang yang hidup, bukan salinan).

Kunci keamanan perangkat keras seperti YubiKey, Google Titan Key, dan SoloKey menerapkan standar FIDO2/WebAuthn untuk autentikasi yang tahan terhadap phishing. Kunci tersebut berisi kunci privat yang dilindungi perangkat keras dan melakukan operasi kriptografis tanpa pernah meninggalkan device. Saat melakukan autentikasi, tantangan dari situs web ditandatangani oleh kunci privat milik kunci perangkat keras tersebut — dan karena operasi ini terikat pada asal situs web tertentu, situs phishing MITM tidak dapat mencegat atau meneruskan autentikasi. Kunci perangkat keras juga dapat berfungsi sebagai kartu pintar PIV untuk lingkungan perusahaan yang memerlukan autentikasi berbasis Certificate.

Kartu pintar adalah device seukuran kartu kredit dengan microchip tertanam yang menyimpan kunci kriptografis dan Certificate. Kartu PIV (Personal Identity Verification) adalah standar kartu pintar yang diwajibkan bagi pegawai pemerintah federal US (FIPS 201). Kartu PIV berisi: Certificate X.509 milik pemegangnya, kunci privatnya (yang tidak pernah meninggalkan kartu), foto digital, dan data biometrik. Autentikasi memerlukan kartu fisik ('sesuatu yang Anda miliki') dan PIN ('sesuatu yang Anda ketahui'), sehingga menghasilkan autentikasi dua faktor. Kartu pintar dibaca oleh pembaca berkontak atau tanpa kontak (NFC).

Kata Sandi Sekali Pakai (OTP) adalah kode autentikasi yang hanya valid untuk satu kali penggunaan. Ada dua standar. HOTP (RFC 4226): OTP berbasis HMAC yang menaikkan penghitung setiap kali digunakan. Authenticator dan server harus tetap sinkron; jika kode dibuat tetapi tidak digunakan, keduanya dapat menjadi tidak sinkron sehingga perlu disinkronkan kembali. TOTP (RFC 6238): OTP berbasis waktu yang menggunakan waktu saat ini sebagai penghitung dan berubah setiap 30 detik. TOTP lebih populer karena menyinkronkan dirinya sendiri melalui waktu; authenticator dan server hanya perlu menyepakati waktu saat ini (NTP membantu). Kode TOTP yang tidak digunakan akan kedaluwarsa.

Autentikasi push (digunakan oleh Duo Security, Microsoft Authenticator, dan Okta Verify) mengirimkan notifikasi push ke ponsel cerdas pengguna ketika terdeteksi upaya masuk. Pengguna menyetujui atau menolak permintaan dengan satu ketukan — jauh lebih sederhana daripada memasukkan kode 6 digit. Beberapa implementasi menampilkan konteks masuk (alamat IP, lokasi, aplikasi) agar pengguna dapat mengambil keputusan berdasarkan informasi yang cukup. Kelemahan keamanannya adalah serangan kelelahan MFA — penyerang membanjiri pengguna dengan permintaan push secara cepat dengan harapan pengguna tidak sengaja menyetujui salah satunya, atau menyetujuinya hanya agar notifikasi berhenti. Penanggulangannya mencakup pencocokan angka (pengguna harus memasukkan kode yang ditampilkan pada halaman masuk) dan konteks tambahan dalam notifikasi push.

Autentikasi adaptif menyesuaikan tingkat kekuatan autentikasi yang diperlukan berdasarkan sinyal konteks. Jika pengguna masuk dari device biasanya, melalui jaringan perusahaan, dan pada jam kerja — risikonya rendah, sehingga kata sandi saja mungkin cukup. Jika pengguna yang sama masuk dari device baru di negara yang tidak dikenal pada pukul 03.00 — risikonya tinggi, sehingga autentikasi tambahan dipicu (memerlukan MFA atau persetujuan manajer). Sinyal konteks mencakup: sidik jari device (dikenal/tidak dikenal), geolokasi IP, waktu, perjalanan mustahil (masuk dari dua lokasi yang mustahil dicapai dalam waktu yang telah berlalu), dan pola perilaku. Pendekatan ini mengurangi gangguan MFA untuk proses masuk berisiko rendah, sekaligus menambah pengamanan di situasi yang paling membutuhkannya.

Autentikasi tanpa kata sandi menghilangkan kata sandi sepenuhnya dan menggunakan faktor yang tahan terhadap phishing. Pendekatan umum meliputi: FIDO2/WebAuthn dengan biometrik (Windows Hello, Touch ID) atau kunci perangkat keras; tautan ajaib (URL sekali pakai yang dikirim ke email atau ponsel pengguna, efektif jika akses email tepercaya); dan passkey (standar FIDO Alliance yang diadopsi oleh Apple, Google, dan Microsoft, dengan kunci privat disimpan di enclave aman device dan disinkronkan ke cloud melalui akun vendor). Passkey menggabungkan kemudahan dengan ketahanan terhadap phishing dan dengan cepat diadopsi sebagai penerus kata sandi.

Uji pemahaman Anda tentang konsep CompTIA Security+ (SY0-701) dari pelajaran ini.

Dalam pelajaran ini Anda mempelajari: autentikasi biometrik menggunakan karakteristik fisiologis (sidik jari, iris) atau perilaku (ketikan, suara); FAR dan FRR mengukur keakuratan sistem biometrik dengan CER sebagai titik keseimbangan; kunci keamanan perangkat keras (FIDO2/WebAuthn) menyediakan autentikasi berbasis token yang tahan terhadap phishing; dan autentikasi adaptif menyesuaikan tingkat gangguan berdasarkan risiko konteks. Selanjutnya kita akan membahas Model Otorisasi: RBAC, MAC, dan DAC.