Autentikasi Tanpa Kata Sandi: WebAuthn dan FIDO2

FIDO2 adalah istilah umum untuk spesifikasi Autentikasi Web W3C (WebAuthn) yang dipadukan dengan Protokol Klien-ke-Autentikator 2 dari Aliansi FIDO (CTAP2). Bersama-sama, keduanya mendefinisikan sistem autentikasi tanpa kata sandi yang lengkap menggunakan kriptografi kunci publik yang terikat pada asal pihak yang mengandalkan.

FIDO2 mendukung dua kategori autentikator. Autentikator platform terintegrasi di dalam perangkat: Touch ID dan Face ID pada perangkat Apple, serta Windows Hello pada Windows. Autentikator jelajah adalah token perangkat keras eksternal: YubiKey, Google Titan Key, dan kunci Feitian. Semuanya menggunakan kriptografi kunci publik dan menghasilkan pernyataan pengesahan.

Selama pendaftaran WebAuthn, autentikator membuat pasangan kunci asimetris baru untuk pihak yang mengandalkan. Kunci publik dikirim ke server dan disimpan. Kunci pribadi tidak pernah meninggalkan autentikator. Pernyataan pengesahan membuktikan jenis autentikator dan bahwa kunci tersebut dibuat di dalam perangkat keras autentikator.

Selama autentikasi WebAuthn, server mengirimkan tantangan kepada klien. Autentikator menandatangani tantangan tersebut bersama ID pihak yang mengandalkan dan data klien menggunakan kunci pribadi yang tersimpan. Server memverifikasi tanda tangan menggunakan kunci publik yang tersimpan. Tidak ada rahasia bersama yang dikirimkan pada tahap apa pun.

ID pihak yang mengandalkan dalam pernyataan WebAuthn terikat secara kriptografis pada asal (domain) halaman yang meminta. Autentikator akan menolak menandatangani pernyataan untuk asal yang berbeda dari asal saat autentikator tersebut didaftarkan. Hal ini membuat WebAuthn tahan terhadap pengelabuan secara bawaan: situs pengelabuan palsu tidak dapat menyelesaikan autentikasi.

Kredensial yang dapat ditemukan (sebelumnya disebut kunci residen) disimpan di autentikator itu sendiri dan diindeks berdasarkan ID pihak yang mengandalkan. Hal ini memungkinkan alur yang benar-benar tanpa kata sandi: pengguna menunjukkan autentikatornya, memilih akunnya dari kredensial yang tersimpan di perangkat, lalu melakukan autentikasi tanpa memasukkan nama pengguna atau kata sandi.

WebAuthn membedakan antara verifikasi pengguna (UV) dan kehadiran pengguna (UP). Kehadiran pengguna hanya mengharuskan pengguna menyentuh atau mengetuk autentikator. Verifikasi pengguna juga mengharuskan pemeriksaan PIN atau biometrik, sehingga membuktikan bahwa orang tertentu benar-benar hadir. Aplikasi dengan keamanan tinggi sebaiknya mengharuskan UV untuk autentikasi.

CTAP2 mendefinisikan protokol antara klien (peramban atau OS) dan autentikator jelajah eksternal melalui USB, NFC, atau BLE. Protokol ini menentukan perintah untuk pembuatan kredensial, pembuatan pernyataan, dan pengelolaan autentikator. CTAP2.1 menambahkan fitur seperti pengelolaan kredensial dan kebijakan UV selalu aktif.

Kunci sandi adalah kredensial WebAuthn yang dapat ditemukan dan disinkronkan di berbagai perangkat pengguna melalui awan terenkripsi milik vendor platform (iCloud Keychain untuk Apple, Google Password Manager, dan Windows Hello for Business). Kunci sandi menyediakan autentikasi tanpa kata sandi dengan ketersediaan lintas perangkat, memadukan keamanan dengan kemudahan yang diharapkan pengguna dari kata sandi.

Alur autentikasi kunci sandi yang umum: pengguna mengunjungi situs web dan mengeklik "Masuk dengan kunci sandi". Peramban menampilkan kunci sandi yang tersedia untuk situs tersebut. Pengguna melakukan autentikasi dengan biometrik (Face ID, Touch ID, atau Windows Hello). Peramban menandatangani tantangan dan mengirimkan pernyataan. Seluruh alur ini berlangsung dalam hitungan detik tanpa memasukkan kata sandi.

Kata sandi tradisional: mudah menjadi sasaran pengelabuan, dapat digunakan kembali, dan dapat dibobol dari kebocoran basis data. Kode OTP (TOTP): dapat dicuri melalui pengelabuan secara waktu nyata. Kode SMS: dapat dialihkan melalui pertukaran SIM dan dapat dicuri melalui pengelabuan. WebAuthn/kunci sandi: tahan terhadap pengelabuan melalui pengikatan asal, tidak memiliki rahasia sisi server yang dapat dicuri, unik untuk setiap situs, serta menggunakan kunci pribadi yang dilindungi perangkat keras. WebAuthn adalah mekanisme autentikasi terkuat yang digunakan secara luas dan tersedia saat ini.

Sifat WebAuthn manakah yang membuatnya secara mendasar tahan terhadap serangan pengelabuan, tidak seperti kata sandi atau kode TOTP?

FIDO2 memadukan WebAuthn (W3C) dan CTAP2 (Aliansi FIDO) untuk menyediakan autentikasi tanpa kata sandi yang tahan terhadap pengelabuan. Autentikator platform (Touch ID, Face ID) dan autentikator jelajah (YubiKey) menggunakan kriptografi kunci publik yang terikat pada asal pihak yang mengandalkan. Kunci sandi memperluas kemampuan ini dengan sinkronisasi lintas perangkat. WebAuthn menyediakan keamanan autentikasi terkuat yang tersedia secara luas saat ini.