Kebijakan Kata Sandi dan Autentikasi Multifaktor

Kata sandi tetap menjadi mekanisme autentikasi yang paling umum meskipun paling sering dibobol. Penyerang mencuri kata sandi melalui phishing, pengisian kredensial (menggunakan kembali kredensial yang telah bocor), serangan brute force, dan pencatat ketikan. Bahkan kata sandi yang "kuat" hanya memberikan perlindungan terbatas jika penyerang dapat menangkapnya secara diam-diam. Kebijakan kata sandi menetapkan persyaratan minimum untuk kompleksitas dan penggantian guna mengurangi risiko, tetapi peningkatan Security yang paling berdampak adalah menambahkan faktor kedua — karena mengetahui kata sandi saja tidak lagi cukup untuk memperoleh akses.

Kebijakan kompleksitas kata sandi yang efektif menetapkan standar minimum agar kata sandi lebih sulit diretas. Persyaratan tradisional mencakup: panjang minimum (minimal 12–16 karakter; panjang lebih penting daripada kompleksitas), jenis karakter yang diwajibkan (huruf besar, huruf kecil, angka, simbol), larangan menggunakan kata sandi umum (kamus kata sandi), serta larangan mencantumkan nama pengguna atau nama organisasi dalam kata sandi. Pedoman NIST SP 800-63B yang diperbarui pada 2017 merekomendasikan untuk memprioritaskan panjang daripada aturan kompleksitas yang sewenang-wenang dan memeriksa kata sandi terhadap basis data kredensial yang telah bocor, alih-alih mewajibkan penggantian secara berkala.

NIST SP 800-63B (Pedoman Identitas Digital) merevisi praktik terbaik kata sandi secara signifikan. Pembaruan utamanya: jangan mewajibkan penggantian berkala kecuali terdapat bukti pembobolan — penggantian paksa membuat pengguna melakukan perubahan yang mudah diprediksi (Password1! → Password2!); periksa kata sandi terhadap basis data kebocoran saat pembuatan dan izinkan pengguna melihat kata sandi saat mengetik; izinkan frasa sandi yang panjang hingga 64 karakter; hapus aturan kompleksitas yang sewenang-wenang yang menghasilkan pola mudah diprediksi; serta terapkan penguncian Account atau pembatasan laju untuk mencegah serangan brute force, bukan hanya mengandalkan kompleksitas.

Autentikasi mengandalkan satu atau lebih dari tiga jenis faktor. Sesuatu yang Anda ketahui (faktor pengetahuan): kata sandi, PIN, pertanyaan Security, dan frasa sandi. Sesuatu yang Anda miliki (faktor kepemilikan): token fisik, ponsel cerdas dengan aplikasi autentikator, kartu cerdas, atau kunci perangkat keras (YubiKey). Sesuatu yang merupakan diri Anda (faktor inheren): sidik jari, pemindaian retina, pengenalan wajah, pola suara, dan biometrik perilaku. Kategori keempat — tempat Anda berada (lokasi) — terkadang juga ditambahkan. Menggunakan faktor dari dua kategori atau lebih disebut autentikasi multi-faktor (MFA). Dua faktor dari kategori yang sama (seperti dua kata sandi) bukan MFA.

Autentikasi multi-faktor (MFA) merupakan salah satu pengendalian Security yang paling berdampak. Riset Microsoft menunjukkan bahwa MFA memblokir 99,9% serangan pembobolan Account. Alasannya: phishing atau pencurian kredensial memberi penyerang "sesuatu yang Anda ketahui" (kata sandi), tetapi biasanya mereka tidak dapat memperoleh faktor kedua (kode sekali pakai dari ponsel cerdas atau kunci perangkat keras). Bahkan jika kata sandi pengguna dipublikasikan dalam basis data kebocoran, Account tetap terlindungi jika MFA diaktifkan. Organisasi yang telah menerapkan MFA jarang muncul dalam laporan kebocoran yang melibatkan pengambilalihan Account berbasis kredensial.

Kata Sandi Sekali Pakai SMS (OTP) adalah metode MFA yang paling banyak diterapkan — kode 6 digit yang dikirim melalui pesan teks. Metode ini lebih baik daripada tidak menggunakan MFA, tetapi memiliki kelemahan yang telah terdokumentasi. Serangan pertukaran SIM: penyerang menyamar sebagai korban kepada operator seluler lalu memindahkan nomor telepon ke SIM mereka untuk mencegat kode OTP berikutnya. Kerentanan protokol SS7: protokol pensinyalan jaringan telepon memiliki kelemahan yang diketahui sehingga SMS dapat dicegat. Phishing waktu nyata: proksi phishing canggih meneruskan OTP secara waktu nyata untuk melewatinya. NIST SP 800-63B membatasi OTP SMS pada status "autentikator terbatas". Aplikasi autentikator atau token perangkat keras lebih disarankan.

TOTP (Kata Sandi Sekali Pakai Berbasis Waktu) — distandardisasi dalam RFC 6238 — menghasilkan kode 6 digit dari rahasia bersama dan waktu saat ini. Aplikasi seperti Google Authenticator, Authy, dan Microsoft Authenticator menerapkan TOTP. Kode berubah setiap 30 detik dan hanya valid untuk satu percobaan autentikasi. Berbeda dari OTP SMS, TOTP tidak melewati jaringan telepon, sehingga kebal terhadap pertukaran SIM dan serangan SS7. Rahasia bersama dipertukarkan satu kali (melalui kode QR saat penyiapan) dan disimpan dalam aplikasi autentikator — sehingga diperlukan akses fisik ke perangkat yang terdaftar untuk menghasilkan kode.

FIDO2 (Fast Identity Online 2) dan implementasi webnya, WebAuthn, merupakan standar autentikasi yang paling tahan terhadap phishing. FIDO2 menggunakan kriptografi kunci publik pada tingkat perangkat — autentikator (kunci perangkat keras seperti YubiKey atau biometrik perangkat seperti Windows Hello) menyimpan kunci privat yang tidak pernah meninggalkan perangkat. Autentikasi terikat secara kriptografis pada origin (situs web) tertentu, sehingga kebal terhadap phishing: bahkan jika pengguna tertipu untuk mengunjungi situs palsu, tantangan autentikasi akan gagal karena origin-nya tidak cocok. FIDO2 adalah standar emas untuk autentikasi dengan Security tinggi.

Token perangkat keras fisik menyediakan "sesuatu yang Anda miliki" secara terpisah dari ponsel cerdas. HOTP (OTP berbasis HMAC) — distandardisasi dalam RFC 4226 — menghasilkan kode dari penghitung dan rahasia bersama; penghitung bertambah setiap kali tombol ditekan. Berbeda dari TOTP, kode HOTP tidak kedaluwarsa berdasarkan waktu, tetapi harus digunakan secara berurutan. Kartu cerdas (seperti kartu PIV yang digunakan oleh pegawai pemerintah US) menyimpan kunci privat dalam perangkat keras tahan manipulasi dan memerlukan PIN untuk dibuka, sehingga menggabungkan "sesuatu yang Anda miliki" (kartu) dengan "sesuatu yang Anda ketahui" (PIN). Autentikasi kartu cerdas merupakan standar untuk akses istimewa di lingkungan dengan Security tinggi.

Pengelola kata sandi mengatasi kecenderungan manusia untuk menggunakan kembali kata sandi dengan membuat dan menyimpan kata sandi unik serta acak untuk setiap situs. Kata sandi utama membuka brankas terenkripsi yang berisi semua kredensial. Pengelola kata sandi untuk perusahaan (1Password Teams, Bitwarden Business, CyberArk) menambahkan fitur seperti penerapan Policy terpusat, log audit, berbagi secara aman, dan akses darurat. Tim Security harus secara aktif mendorong atau mewajibkan penggunaan pengelola kata sandi — ini adalah pengendalian Security yang jarang ditemui karena meningkatkan Security (kata sandi unik di setiap tempat) sekaligus kemudahan penggunaan (tidak perlu mengingat puluhan kata sandi). Jika digabungkan dengan MFA, pengelola kata sandi secara drastis mengurangi pembobolan Account berbasis kredensial.

Penguncian Account menonaktifkan Account setelah sejumlah upaya masuk yang gagal, sehingga mencegah serangan brute force. Policy umum mengunci Account setelah 3–10 upaya gagal, dengan durasi penguncian mulai dari jangka waktu tetap (30 menit) hingga memerlukan pembukaan oleh administrator. Pembatasan laju merupakan alternatif yang lebih lunak: alih-alih mengunci Account, sistem secara bertahap memperpanjang jeda antarupaya masuk, sehingga serangan brute force memerlukan waktu bertahun-tahun, bukan beberapa menit, tanpa dampak terhadap pengalaman pengguna seperti pada penguncian. Aplikasi web harus menerapkan keduanya — pembatasan laju pada tingkat API dan pembatasan pada tingkat Account — untuk mencegah serangan kredensial otomatis.

Uji pemahaman Anda tentang konsep CompTIA Security+ (SY0-701) dari pelajaran ini.

Dalam pelajaran ini, Anda telah mempelajari bahwa NIST SP 800-63B merekomendasikan frasa sandi yang panjang dan pemeriksaan kebocoran daripada Policy penggantian yang rumit; tiga faktor MFA adalah mengetahui, memiliki, dan menjadi; aplikasi TOTP lebih aman daripada OTP SMS; FIDO2/WebAuthn tahan terhadap phishing; dan penguncian Account mencegah serangan brute force. Selanjutnya, kita akan membahas Biometrik dan Autentikasi Berbasis Token.