Autentikasi Multifaktor

Autentikasi Multi-Faktor (MFA) mengharuskan pengguna membuktikan identitasnya dengan dua faktor independen atau lebih dari kategori yang berbeda. Bahkan jika salah satu faktor disusupi (misalnya, kata sandi dicuri), akun tetap terlindungi.

Faktor autentikasi:

• Sesuatu yang Anda ketahui—kata sandi, PIN, pertanyaan keamanan
• Sesuatu yang Anda miliki—telepon, token perangkat keras, kartu pintar
• Sesuatu yang merupakan diri Anda—sidik jari, wajah, suara (biometrik)

MFA yang sesungguhnya menggunakan setidaknya dua kategori yang berbeda—bukan dua kata sandi.

TOTP menghasilkan kode 6 digit yang berubah setiap 30 detik menggunakan rahasia bersama dan waktu saat ini (RFC 6238). Aplikasi yang dapat digunakan: Google Authenticator, Authy, Microsoft Authenticator.

TOTP aman terhadap serangan pemutaran ulang, tetapi rentan terhadap pengelabuan waktu nyata.

OTP berbasis SMS memang praktis, tetapi memiliki kelemahan yang signifikan:

• Pertukaran SIM—penyerang memanipulasi operator melalui rekayasa sosial agar nomor korban dialihkan
• Serangan SS7—penyadapan SMS oleh aktor negara pada tingkat telekomunikasi
• Pengelabuan waktu nyata—penyerang langsung meneruskan OTP dari korban ke situs tujuan

OTP melalui SMS lebih baik daripada tidak menggunakan MFA, tetapi merupakan bentuk yang paling lemah.

Kunci keamanan perangkat keras (YubiKey, Google Titan) menggunakan kriptografi kunci publik. Perangkat menandatangani tantangan yang terikat pada situs web tertentu, sehingga tahan terhadap pengelabuan—kunci tersebut tidak akan berfungsi di situs palsu.

Inilah standar terbaik untuk MFA.

Aplikasi autentikator mengirimkan notifikasi dorong: "Setujui masuk dari New York?" Pengguna mengetuk Setujui atau Tolak. Cara ini praktis, tetapi rentan terhadap serangan kelelahan MFA—penyerang mengirimkan permintaan persetujuan berulang kali sampai pengguna yang lelah tidak sengaja menyetujuinya.

Serangan ini juga disebut pemboman notifikasi: penyerang telah memiliki kata sandi lalu mengirimkan lusinan notifikasi dorong MFA dengan harapan pengguna menyetujui salah satunya karena frustrasi atau kebingungan. Penanggulangannya: wajibkan pencocokan angka dalam notifikasi dorong (pengguna harus memasukkan kode yang ditampilkan di layar masuk).

Kunci akses (FIDO2/WebAuthn) menggabungkan "sesuatu yang Anda miliki" (kunci perangkat) dengan "sesuatu yang merupakan diri Anda" (pembukaan kunci biometrik) menjadi satu kredensial yang tahan terhadap pengelabuan. Tidak diperlukan kata sandi. Didukung oleh platform-platform utama.

Platform identitas modern mendukung akses bersyarat: MFA hanya diwajibkan saat sinyal risiko menunjukkannya (lokasi yang tidak dikenal, perangkat baru, sumber daya sensitif). Autentikasi bertingkat meningkatkan pengalaman pengguna sekaligus mempertahankan keamanan.

Penyerang melewati MFA dengan cara berikut:

• Pengelabuan waktu nyata (AiTM)—proksi menangkap cookie sesi setelah MFA
• Pertukaran SIM—mencegat kode SMS
• Kelelahan MFA—mengirimkan notifikasi dorong secara berulang
• Rekayasa sosial terhadap meja bantuan—menonaktifkan MFA melalui tiket dukungan

Saat menerapkan MFA:

• Secara bawaan, wajibkan MFA untuk semua pengguna
• Tawarkan beberapa pilihan MFA, tetapi pastikan kunci perangkat keras dan TOTP tersedia
• Edukasi pengguna tentang kelelahan MFA—jika mereka tidak memulai proses masuk, tolak notifikasi dorong tersebut
• Pantau pola pelewatan MFA dalam catatan autentikasi

Metode MFA manakah yang tahan terhadap pengelabuan karena mengikat autentikasi secara kriptografis ke situs web tertentu?

MFA memerlukan dua faktor dari kategori yang berbeda (ketahui/miliki/merupakan diri Anda). Aplikasi TOTP bagus; kunci perangkat keras (FIDO2) adalah yang terbaik karena tahan terhadap pengelabuan. OTP melalui SMS adalah yang paling lemah—rentan terhadap pertukaran SIM. Serangan kelelahan MFA membanjiri pengguna dengan notifikasi dorong; pencocokan angka dapat menguranginya. Kunci akses menggabungkan perangkat keras dan biometrik menjadi satu kredensial yang praktis.