Panduan Otentikasi Dua Faktor (2FA) – Cara Mengamankan Akun Online Anda
Rekening bank Anda terkuras dalam semalam. Kata sandinya unik, panjangnya enam belas karakter, dan Anda tidak pernah membagikannya kepada siapa pun. Jadi, bagaimana itu bisa terjadi? Kemungkinan besar, kata sandi itu bocor dalam pelanggaran data beberapa bulan lalu, dan seseorang di belahan dunia lain cukup memasukkannya ke halaman login Anda. Jika Anda mengaktifkan autentikasi dua faktor, kata sandi yang dicuri itu tidak akan berguna dengan sendirinya.
Ini bukan cerita horor yang langka. Ini terjadi setiap hari. Kata sandi, betapapun rumitnya, adalah titik kegagalan tunggal. Autentikasi dua faktor menutup celah itu dengan meminta bukti identitas kedua sebelum mengizinkan siapa pun masuk ke akun Anda. Mari kita bahas apa artinya, cara mengaturnya tanpa membuat Anda frustrasi, dan metode mana yang cocok dengan kehidupan Anda.
Apa Sebenarnya Autentikasi Dua Faktor Itu?
Pada intinya, autentikasi dua faktor persis seperti namanya: dua lapis verifikasi, bukan satu. Lapisan pertama adalah sesuatu yang Anda ketahui, biasanya kata sandi Anda. Lapisan kedua adalah sesuatu yang Anda miliki, seperti ponsel, atau sesuatu yang merupakan diri Anda, seperti sidik jari. Ketika kedua faktor diperlukan, kata sandi yang dicuri berubah menjadi batu bata. Penyerang tidak bisa melanjutkan tanpa benda kedua itu.
Sebagian besar layanan daring menyajikan ini sebagai pemeriksaan keamanan yang muncul setelah Anda memasukkan kata sandi. Anda mungkin menerima SMS, menyetujui permintaan di ponsel, atau mencolokkan perangkat USB kecil. Langkah tambahan itu memakan waktu sekitar lima detik dan bisa menjadi pembeda antara akun yang aman dan yang dibajak.
Mengapa Satu Kata Sandi Bukan Lagi Tembok Pertahanan
Kita telah dilatih untuk berpikir bahwa kata sandi yang kuat adalah garis akhir. Bukan. Itu hanyalah balok awal. Penyerang sekarang menggunakan alat pengisian kredensial otomatis yang menguji jutaan kombinasi nama pengguna dan kata sandi yang bocor di ribuan situs web. Jika Anda menggunakan kembali kata sandi di mana pun, mereka akan menemukannya. Bahkan kata sandi unik pun bisa dipancing melalui halaman login palsu yang meyakinkan dan terlihat identik dengan bank atau penyedia email Anda.
Ambil skenario klasik: Anda menerima email mendesak yang mengklaim pembayaran Netflix Anda gagal. Anda mengeklik tautannya, memasukkan kredensial Anda, dan sekarang orang asing di negara lain melakukan streaming dengan biaya Anda sambil mengunci Anda keluar. Autentikasi dua faktor menghentikan ini dengan dingin karena penyerang tidak memiliki ponsel atau aplikasi autentikator Anda untuk menyelesaikan login. Jika Anda tidak yakin seberapa kuat kata sandi Anda saat ini, adwatak.cloud menawarkan sumber daya untuk mengevaluasi postur keamanan Anda.
Mengatur Autentikasi Dua Faktor Berbasis SMS
SMS adalah bentuk autentikasi dua faktor tertua dan paling banyak tersedia. Hampir setiap layanan besar mendukungnya, dan tidak memerlukan instalasi aplikasi. Berikut cara mengaktifkannya di sebagian besar platform.
Buka pengaturan akun Anda dan cari Keamanan, Privasi, atau Autentikasi Dua Faktor. Pilih opsi untuk menambahkan nomor telepon. Masukkan nomor ponsel Anda dan tunggu pesan teks berisi kode numerik pendek, biasanya enam digit. Ketik kode itu ke dalam bidang verifikasi di situs web. Setelah dikonfirmasi, layanan akan mengirimkan kode baru melalui teks setiap kali seseorang mencoba masuk dari perangkat yang tidak dikenal.
Kekurangannya nyata. Kode SMS dapat dicegat melalui penukaran SIM, di mana penipu meyakinkan operator Anda untuk memindahkan nomor Anda ke perangkat mereka. Kode juga bisa rentan terhadap serangan SS7, yang mengeksploitasi kelemahan di jaringan seluler itu sendiri. Karena itu, para profesional keamanan umumnya merekomendasikan SMS hanya jika tidak ada opsi lain. Namun, autentikasi dua faktor SMS jauh lebih baik daripada tidak sama sekali.
Cara Mengatur Google Authenticator
Google Authenticator menghasilkan kode berbasis waktu yang diperbarui setiap tiga puluh detik. Ini bekerja secara offline, yang berarti Anda tidak memerlukan sinyal untuk masuk. Pengaturannya mudah setelah Anda tahu ritmenya.
Pertama, instal Google Authenticator dari toko aplikasi ponsel Anda. Di komputer, masuk ke layanan yang ingin Anda lindungi dan arahkan ke pengaturan autentikasi dua faktornya. Pilih aplikasi autentikator sebagai metode Anda. Situs akan menampilkan kode QR. Buka Google Authenticator di ponsel Anda, ketuk ikon plus, dan pilih Pindai kode QR. Arahkan kamera Anda ke kode di layar. Aplikasi akan segera membuat entri dan mulai menghasilkan kode enam digit. Masukkan kode saat ini ke situs web untuk mengonfirmasi bahwa tautan berfungsi.
Sebelum Anda menutup jendela, tuliskan kode cadangan apa pun yang ditawarkan layanan. Simpan di tempat yang aman, seperti laci terkunci atau pengelola kata sandi. Jika ponsel Anda rusak atau hilang, kode-kode itu adalah satu-satunya cara Anda untuk masuk kembali. Google Authenticator tidak secara otomatis mencadangkan akun Anda ke cloud, jadi kehilangan ponsel tanpa kode cadangan benar-benar merepotkan.
Memulai dengan Authy
Authy berfungsi mirip dengan Google Authenticator tetapi menambahkan cadangan cloud dan dukungan multi-perangkat. Jika Anda mengelola beberapa ponsel atau tablet, Authy sering kali menjadi pilihan yang lebih lancar.
Unduh Authy dan daftar dengan nomor telepon Anda. Aplikasi akan mengirimkan PIN melalui SMS atau panggilan untuk memverifikasi kepemilikan. Setelah masuk, tambahkan akun dengan mengetuk ikon plus dan memindai kode QR dari layanan yang Anda amankan, sama seperti Google Authenticator. Perbedaan utamanya muncul selanjutnya. Buka pengaturan Authy dan aktifkan Cadangan Authenticator. Anda akan membuat kata sandi cadangan terpisah yang mengenkripsi token Anda sebelum meninggalkan perangkat. Ini berarti jika ponsel Anda jatuh ke danau, Anda dapat menginstal Authy di perangkat baru, memasukkan kata sandi cadangan, dan memulihkan semua token secara instan.
Authy juga memungkinkan Anda menonaktifkan akses multi-perangkat setelah semua perangkat disinkronkan, yang mencegah pencuri menginstal Authy di ponsel mereka sendiri menggunakan nomor Anda. Kombinasi kenyamanan dan penguatan keamanan itu menjadikannya favorit di kalangan orang yang menginginkan keamanan tanpa kekakuan.
Kunci Perangkat Keras: Saat Anda Membutuhkan Keamanan Maksimum
Untuk akun yang menjaga data paling sensitif Anda, pikirkan lembaga keuangan, email utama, atau penyimpanan cloud yang berisi dokumen pajak, kunci keamanan perangkat keras adalah standar emas. Perangkat seperti YubiKey atau Kunci Keamanan Titan Google cukup kecil untuk digantung di gantungan kunci dan dicolokkan ke komputer melalui USB, atau ditempelkan ke ponsel menggunakan NFC.
Saat login, setelah mengetikkan kata sandi, Anda menyentuh kunci secara fisik untuk mengautentikasi. Tidak ada kode yang perlu diketik dan tidak ada sinyal yang dapat dicegat. Halaman phishing tidak dapat menipu kunci karena kunci memverifikasi domain situs web sebenarnya secara kriptografis. Jika Anda tertipu halaman login palsu, kunci akan menolak bekerja.
Konsekuensinya adalah biaya dan portabilitas. Kunci perangkat keras yang bagus berkisar antara dua puluh hingga lima puluh dolar. Jika Anda meninggalkannya di rumah, Anda tidak dapat login. Jika Anda kehilangannya, Anda memerlukan kode cadangan atau kunci terdaftar kedua yang disimpan di tempat aman. Bagi kebanyakan orang, kunci perangkat keras sebaiknya dicadangkan untuk tiga hingga lima akun penting daripada setiap aplikasi di ponsel mereka.
Membandingkan Pilihan Anda Secara Berdampingan
Autentikasi dua faktor berbasis SMS unggul dalam aksesibilitas. Setiap orang yang memiliki ponsel dapat langsung menggunakannya. Namun, ia berada di tangga keamanan paling bawah karena serangan pertukaran SIM dan risiko penyadapan.
Aplikasi autentikator seperti Google Authenticator dan Authy meningkatkan perlindungan dengan menghasilkan kode secara lokal di perangkat Anda. Kode tersebut tidak melewati jaringan seluler, sehingga tidak dapat dicegat seperti SMS. Authy sedikit lebih unggul dari Google Authenticator bagi sebagian besar pengguna karena fitur cadangan terenkripsinya, sementara Google Authenticator menarik bagi mereka yang menginginkan aplikasi yang sangat sederhana dan tidak memerlukan akun.
Kunci perangkat keras berada di puncak. Mereka tahan terhadap phishing, kebal terhadap serangan jarak jauh, dan cepat digunakan. Namun, mereka juga paling tidak nyaman dan satu-satunya opsi yang memerlukan biaya. Pendekatan yang bijaksana adalah menggunakan kunci perangkat keras untuk email dan pengelola kata sandi Anda, aplikasi autentikator untuk media sosial dan situs belanja, dan SMS hanya jika tidak ada metode lain yang ditawarkan.
Jaring Pengaman Kode Cadangan
Setiap layanan besar yang menawarkan autentikasi dua faktor juga menyediakan kode cadangan saat Anda pertama kali mengaktifkannya. Ini adalah kode sekali pakai yang sepenuhnya melewati faktor kedua Anda. Kebanyakan orang melewatkannya karena terburu-buru menyelesaikan pengaturan. Jangan lakukan kesalahan itu.
Cetaklah. Simpan di brankas tahan api, lemari arsip terkunci, atau kotak penyimpanan aman di bank. Jika Anda menggunakan pengelola kata sandi, Anda juga dapat menyimpannya di sana, meskipun salinan fisik melindungi Anda jika Anda terkunci dari pengelola Anda. Perlakukan kode cadangan seperti kunci cadangan rumah Anda. Anda berharap tidak pernah membutuhkannya, tetapi pada hari Anda membutuhkannya, Anda akan senang kode itu ada.
Lapisi Pertahanan Anda: Kata Sandi yang Kuat Tetap Penting
Autentikasi dua faktor bukan alasan untuk menggunakan kembali kata sandi seperti "Fluffy123" di setiap situs web. Faktor kedua melindungi dari penyerang jarak jauh, tetapi kata sandi yang lemah tetap membuat Anda rentan terhadap serangan brute force, tebakan, atau serangan lokal. Bayangkan seperti gerendel pada pintu dengan bingkai yang rusak. Kuncinya membantu, tetapi strukturnya tetap penting.
Buat kata sandi unik dan acak untuk setiap akun. Pengelola kata sandi membuat ini praktis, dan jika Anda membutuhkan kata sandi kompleks baru secara instan, pembuat kata sandi di adwatak.cloud/tools/password-generator menghasilkan kredensial yang kuat secara kriptografis dengan seketika. Memadukan kata sandi yang kuat dengan autentikasi dua faktor adalah hal terdekat yang bisa didapatkan kebanyakan orang untuk memiliki pintu depan yang tidak dapat ditembus. Untuk pandangan yang lebih luas tentang mengamankan kehidupan digital Anda, adwatak.cloud memiliki alat keamanan tambahan yang layak dijelajahi.
Mulai dari Mana Hari Ini
Anda tidak perlu mengaktifkan autentikasi dua faktor di setiap akun sore ini. Mulailah dengan penyedia email Anda, karena email adalah kunci utama untuk segalanya. Jika penyerang menguasai kotak masuk Anda, mereka dapat mereset kata sandi untuk akun bank, media sosial, dan belanja Anda. Selanjutnya, tangani layanan keuangan Anda, diikuti oleh pengelola kata sandi, penyimpanan cloud, dan media sosial.
Telusuri setiap akun secara metodis. Jika layanan mendukung kunci perangkat keras, gunakan satu untuk email dan perbankan Anda. Jika mendukung aplikasi autentikator, instal Authy atau Google Authenticator dan pindai kodenya. Jika SMS adalah satu-satunya pilihan, aktifkan saja. Sedikit perlindungan selalu lebih baik daripada tidak sama sekali. Anda dapat menemukan panduan dan utilitas lebih lanjut di adwatak.cloud untuk membantu Anda melalui proses ini.
Pertanyaan yang Sering Diajukan
Apakah autentikasi dua faktor benar-benar diperlukan jika saya sudah menggunakan kata sandi yang kuat?
Ya. Kata sandi yang kuat sangat penting, tetapi masih bisa dicuri dalam pelanggaran data atau di-phishing. Autentikasi dua faktor memastikan bahwa kata sandi yang dicuri saja tidak dapat membuka akun Anda.
Apa yang terjadi jika saya kehilangan ponsel dan saya menggunakan Google Authenticator?
Anda akan terkunci kecuali Anda memiliki kode cadangan atau perangkat lain yang sudah disinkronkan. Itulah mengapa menyimpan kode cadangan selama penyiapan adalah keharusan. Jika Anda khawatir dengan skenario ini, cadangan terenkripsi Authy menawarkan jalur pemulihan yang lebih aman.
Apakah autentikasi dua faktor SMS cukup aman?
Ini lebih aman daripada hanya kata sandi, tetapi ini adalah bentuk autentikasi dua faktor yang paling lemah. Pertukaran SIM dan penyadapan teks membuatnya rentan. Gunakan aplikasi autentikator atau kunci perangkat keras bila memungkinkan.
Bisakah peretas melewati autentikasi dua faktor sepenuhnya?
Dalam beberapa kasus, ya. Perangkat phishing canggih dapat menipu pengguna untuk memasukkan kata sandi dan kode 2FA langsung di situs palsu. Kunci perangkat keras tahan terhadap ini karena mereka memverifikasi domain situs web secara kriptografis. Aplikasi autentikator lebih sulit dilewati daripada SMS, tetapi bukan tidak mungkin jika Anda secara aktif di-phishing.
Haruskah saya menggunakan aplikasi autentikator yang sama untuk semua akun saya?
Anda bisa, dan kebanyakan orang melakukannya. Baik Google Authenticator maupun Authy dapat menampung puluhan akun. Kode-kode tersebut terikat pada layanan yang Anda atur, bukan satu sama lain, jadi tidak ada penalti keamanan untuk menggunakan satu aplikasi secara menyeluruh.
Apa itu kode cadangan dan di mana saya harus menyimpannya?
Kode cadangan adalah kode sekali pakai yang memungkinkan Anda melewati faktor kedua Anda selama keadaan darurat. Simpan secara offline di lokasi fisik yang aman, seperti brankas atau laci terkunci, dan pertimbangkan untuk menyimpan satu salinan di pengelola kata sandi tepercaya.
Apakah Authy lebih baik daripada Google Authenticator?
Bagi sebagian besar pengguna, ya. Authy menawarkan cadangan cloud terenkripsi dan sinkronisasi multi-perangkat, yang membuat pemulihan dari ponsel yang hilang jauh lebih mudah. Google Authenticator lebih sederhana dan tidak memerlukan akun, tetapi tidak menawarkan mekanisme cadangan bawaan.
Apakah saya masih memerlukan kata sandi yang kuat jika saya telah mengaktifkan autentikasi dua faktor?
Tentu saja. Autentikasi dua faktor adalah lapisan kedua. Lapisan pertama tetaplah kata sandi Anda. Jika lemah, penyerang mungkin memecahkannya melalui brute force atau menebaknya bahkan sebelum mereka perlu khawatir tentang faktor kedua. Anda dapat membuat kata sandi yang aman di adwatak.cloud/tools/password-generator.
Bisakah saya menggunakan autentikasi dua faktor tanpa ponsel pintar?
Ya, meskipun pilihannya terbatas. Beberapa layanan menawarkan panggilan suara ke telepon rumah. Kunci perangkat keras berfungsi dengan komputer tanpa ponsel sama sekali. Beberapa pengelola kata sandi dan aplikasi desktop juga dapat menghasilkan kode TOTP di laptop Anda.
Akun mana yang harus saya prioritaskan untuk autentikasi dua faktor?
Mulailah dengan email Anda, lalu akun keuangan, pengelola kata sandi, penyimpanan cloud, dan layanan terkait pekerjaan apa pun. Setelah itu, aktifkan untuk media sosial dan situs belanja. Email Anda adalah yang paling penting karena biasanya merupakan jalur pemulihan untuk setiap akun lainnya.
Apakah kunci keamanan perangkat keras sepadan dengan uangnya?
Jika Anda mampu membayar dua puluh hingga lima puluh dolar untuk ketenangan pikiran, itu sepadan untuk akun Anda yang paling sensitif. Mereka menawarkan perlindungan terkuat terhadap phishing dan serangan jarak jauh. Mereka tidak diperlukan untuk setiap akun, tetapi sangat baik untuk email dan perbankan.
Apakah autentikasi dua faktor menghentikan phishing?
Ini membantu, tetapi bukan perisai ajaib. Kode autentikasi dua faktor standar masih dapat di-phishing jika Anda mengetiknya di situs palsu. Kunci perangkat keras saat ini adalah pertahanan terbaik terhadap phishing karena mereka menolak untuk mengautentikasi di domain palsu. Apa pun metode yang Anda gunakan, selalu periksa URL sebelum masuk.