Autentikasi dua faktor — sering disingkat 2FA — menambah lapisan verifikasi di luar kata sandi. Setelah memasukkan kata sandi, pengguna harus membuktikan kepemilikan sesuatu yang dimiliki — ponsel, aplikasi autentikator, atau kunci perangkat keras. Konsep ini sederhana: jika kata sandi bocor karena keylogger, phishing, atau pembobolan basis data, penyerang masih membutuhkan faktor kedua untuk masuk.

Kata sandi sendiri hanya mengandalkan “sesuatu yang Anda ketahui”. Begitu kata sandi terungkap, akun berisiko terbuka lebar. 2FA mengubah persamaan itu dengan menambahkan “sesuatu yang Anda miliki”. Akibatnya, serangan seperti credential stuffing — di mana kredensial curian dicoba berulang kali pada banyak layanan — menjadi jauh lebih sulit berhasil. Efektivitas 2FA bergantung pada metode yang dipilih; beberapa cara jauh lebih kuat dibanding yang lain.

Cara Kerja Autentikasi Dua Faktor

Proses 2FA dimulai saat server layanan menerima nama pengguna dan kata sandi yang benar. Server kemudian menantang pengguna untuk memberikan bukti kedua. Bukti itu bisa berupa kode satu kali, respons kriptografis dari perangkat, atau biometrik. Jika bukti kedua tidak valid, akses ditolak meskipun kata sandi cocok.

Kode satu kali dapat dibuat di server dan dikirim ke saluran pengguna — misalnya SMS — atau dibuat di aplikasi pengguna berdasarkan rahasia bersama yang dibagikan saat pendaftaran. Model kunci perangkat keras berbeda: perangkat menyimpan kunci privat dan menandatangani tantangan khusus yang hanya berlaku untuk situs tertentu. Karena setiap jenis mekanisme punya karakteristik risiko yang berbeda, pemilihan metode harus disesuaikan dengan ancaman yang dihadapi.

SMS — Kemudahan dengan Risiko Tinggi

Kode lewat SMS adalah metode 2FA yang paling mudah ditemui. Hampir semua ponsel mendukung pesan teks, sehingga pengguna tidak perlu menginstal aplikasi tambahan. Namun, kemudahan itu dibayar dengan permukaan serangan yang lebih luas.

Serangan SIM swapping adalah ancaman utama. Penyerang meyakinkan operator seluler untuk memindahkan nomor korban ke kartu SIM yang mereka kuasai. Begitu berhasil, semua kode SMS yang masuk berada di tangan penyerang. Ancaman lain mencakup kelemahan pada protokol SS7 yang menghubungkan operator seluler di seluruh dunia, serta malware di ponsel yang bisa membaca pesan masuk.

Phishing juga berhasil melawan SMS. Korban diminta memasukkan kode SMS ke situs palsu, dan penyerang langsung menggunakan kode tersebut untuk login sebelum kedaluwarsa. Meskipun demikian, SMS 2FA masih lebih baik daripada tidak menggunakan 2FA sama sekali. Jika tidak ada alternatif lain, aktifkan SMS 2FA; begitu tersedia pilihan lebih kuat, pindahlah.

Aplikasi TOTP — Pilihan Lebih Kuat

Aplikasi TOTP — Time-based One-Time Password — menghasilkan kode enam digit berdasarkan rahasia bersama dan waktu saat ini. Contoh aplikasi populer meliputi Google Authenticator, Microsoft Authenticator, dan Authy. Saat pendaftaran, layanan menampilkan kode QR yang berisi rahasia; aplikasi menyimpan rahasia itu dan menghasilkan kode baru setiap 30 detik.

Kode TOTP dari aplikasi umumnya lebih aman dibanding kode lewat SMS. Kode dibuat secara lokal di perangkat pengguna, sehingga tidak melalui jaringan operator seluler dan tidak rentan terhadap SIM swapping. Penyerang harus mencuri rahasia dari aplikasi atau perangkat pengguna untuk meniru kode.

Aplikasi TOTP tetap bukan solusi sempurna. Phishing real-time masih bisa memancing kode dari korban dan langsung menggunakannya. Selain itu, jika ponsel hilang dan tidak ada cadangan rahasia, pemulihan akun bisa sulit. Simpan kode cadangan yang diberikan layanan di tempat aman, dan pertimbangkan aplikasi yang mengenkripsi cadungan rahasia — seperti Authy dengan sinkronisasi terenkripsi.

Kunci Keamanan Perangkat Keras — Standar Tahan Phishing

Kunci perangkat keras — seperti YubiKey, Google Titan Security Key, atau SoloKeys — menggunakan standar FIDO2, U2F, atau WebAuthn. Perangkat ini menyimpan kunci kriptografis di dalam chip tahanan, dan hanya merespons tantangan dari domain yang telah didaftarkan.

Kunci keamanan perangkat keras tahan terhadap phishing karena terikat pada domain. Saat pengguna mencoba login ke situs palsu, perangkat memeriksa origin halaman tersebut. Jika domain tidak cocok dengan domain yang didaftarkan saat pendaftaran, perangkat tidak menandatangani tantangan. Akibatnya, meskipun korban memasukkan kata sandi di situs tiruan, kredensial phishing tidak memiliki tanda tangan kriptografis yang valid dari kunci asli.

Kekuatan ini membuat kunci perangkat keras menjadi pilihan terkuat untuk akun penting — email, bank daring, dan penyedia layanan cloud. Kelemahannya terletak pada harga dan kenyamanan: perangkat harus dibawa, bisa hilang, dan tidak semua layanan mendukungnya. Sebaiknya miliki dua kunci — satu kunci utama dan satu kunci cadangan — agar tidak terkunci dari akun saat kunci utama hilang.

Memilih Metode yang Sesuai

Pemilihan metode 2FA harus mengikuti model ancaman dan kebutuhan pengguna. Gunakan kunci perangkat keras untuk akun dengan dampak tinggi jika diretas. Gunakan aplikasi TOTP untuk akun sehari-hari yang belum mendukung kunci perangkat keras. Gunakan SMS hanya sebagai pilihan terakhir atau fallback sementara.

Kombinasi lebih dari satu metode sering direkomendasikan. Banyak layanan mengizinkan mendaftakan beberapa kunci perangkat keras atau TOTP cadangan. Aktifkan juga kode pemulihan dan simpan di tempat yang tidak tersambung ke internet, seperti brankas fisik atau dompet kata sandi terenkripsi yang di-backup secara lokal.

Pelajari metode ini melalui latihan etis dan legal. Pengujian keamanan hanya boleh dilakukan pada sistem milik sendiri atau sistem yang mendapat izin tertulis. Untuk referensi lanjutan, materi di kalilinux.net dan kalilinux.info dapat membantu memahami berbagai serangan terhadap mekanisme autentikasi — dari phishing SMS hingga pengujian WebAuthn — dalam kerangka pembelajaran yang bertanggung jawab.

Autentikasi dua faktor menambah lapisan verifikasi yang penting di luar kata sandi. Pilihlah metode terkuat yang didukung layanan: kunci perangkat keras di posisi teratas, aplikasi TOTP sebagai alternatif solid, dan SMS hanya sebagai jalan darurat. Kunci TOTP umumnya lebih aman dari SMS, sementara kunci perangkat keras menawarkan perlindungan paling tahan phishing karena terikat pada domain. Dengan konfigurasi yang tepat dan pemahaman risiko, perlindungan akun daring Anda akan jauh lebih kokoh.