Aplikasi Authenticator vs SMS vs Passkey: Metode 2FA Mana yang Sebaiknya Dipakai?

Autentikasi dua faktor bukanlah satu hal saja. SMS berisi enam digit, kode di aplikasi authenticator, notifikasi "Apakah ini Anda?", dan passkey semuanya dihitung sebagai faktor kedua, tetapi masing-masing melindungi Anda dari serangan yang sangat berbeda. Berikut perbandingan metode yang umum dan mana yang masuk akal untuk akun apa.

Serangan yang perlu diwaspadai

Sebagian besar pengambilalihan akun dimulai dari salah satu dari tiga hal ini:

• Kata sandi yang dipakai ulang. Kata sandi yang bocor dari satu situs dicoba di semua situs lain. Faktor kedua apa pun sudah cukup untuk menghentikan ini.
• Phishing. Halaman login palsu mengumpulkan kata sandi Anda dan, makin sering, juga kode sekali pakai Anda, lalu memakai keduanya di situs asli dalam hitungan detik.
• SIM swap. Penyerang meyakinkan operator seluler Anda untuk memindahkan nomor Anda ke SIM yang mereka kuasai. Sejak itu, SMS dan panggilan Anda masuk ke mereka.

Faktor kedua yang baik juga harus tahan terhadap dua serangan terakhir. Di sinilah metode-metode mulai berbeda.

Kode SMS

Layanan mengirim kode lewat SMS dan Anda mengetikkannya.

• Kelebihan: berfungsi di ponsel apa pun, tidak perlu memasang apa-apa, dan mudah dipertahankan saat ganti ponsel dengan nomor yang sama.
• Kekurangan: rentan terhadap SIM swap dan pemindahan nomor, kode bisa muncul di pratinjau layar kunci, dan sama mudahnya di-phishing seperti kata sandi. Pengiriman juga bisa gagal di luar negeri atau tanpa sinyal.

Pedoman identitas digital NIST mengklasifikasikan SMS dan panggilan suara sebagai authenticator terbatas karena risiko ini (SP 800-63B). SMS tetap jauh lebih baik daripada kata sandi saja, dan untuk sebagian bank itulah satu-satunya pilihan. Jika Anda mengandalkannya, tanyakan ke operator apakah Anda bisa menambahkan PIN atau perlindungan pemindahan nomor ke akun Anda.

Kode email

Kode atau tautan ajaib yang dikirim ke kotak masuk Anda.

• Kelebihan: universal dan familier.
• Kekurangan: hanya sekuat akun email Anda, dan tidak berguna sebagai faktor kedua untuk akun email itu sendiri. Siapa pun yang masuk ke kotak masuk Anda mendapatkan kode untuk setiap situs yang bergantung padanya.

Pedoman NIST yang sama menyatakan email tidak boleh dipakai untuk autentikasi out-of-band, karena email tidak membuktikan bahwa Anda memegang perangkat tertentu. Anggap kode email sebagai saluran pemulihan, bukan 2FA yang sebenarnya.

Aplikasi authenticator (TOTP)

Aplikasi di ponsel Anda menghasilkan kode baru setiap 30 detik dari kunci rahasia yang dibagikan dengan layanan, biasanya dikirim dalam bentuk kode QR. Algoritmanya adalah standar terbuka TOTP, jadi satu aplikasi bisa dipakai di ribuan layanan. Jika Anda belum mengaturnya, panduan langkah demi langkah pengaturan 2FA kami menjelaskan caranya.

• Kelebihan: tidak terpengaruh SIM swap, berfungsi offline, gratis, dan didukung hampir di semua tempat yang menawarkan 2FA.
• Kekurangan: situs palsu yang meyakinkan tetap bisa meminta kode dan meneruskannya secara real time, dan jika kunci rahasia hanya ada di satu ponsel, kehilangan ponsel itu berarti harus melalui pemulihan akun.

Aplikasi seperti Ring menyimpan kunci rahasia terenkripsi di iPhone Anda dan menghasilkan kode tanpa koneksi jaringan, jadi tidak ada yang bisa disadap selama pengiriman dan tidak ada yang terikat ke nomor telepon Anda. Namun ini tidak membuat Anda kebal terhadap phishing: periksa bilah alamat sebelum mengetik kode.

Persetujuan push

Alih-alih kode, layanan mengirim notifikasi ke aplikasi atau perangkat yang sudah login, dan Anda mengetuk Setujui.

• Kelebihan: sangat praktis, dan implementasi yang baik menampilkan asal percobaan login.
• Kekurangan: setiap sistem push biasanya hanya berfungsi untuk akun dari vendornya sendiri, dan penyerang menyalahgunakannya dengan "MFA fatigue": memicu notifikasi terus-menerus sampai seseorang mengetuk Setujui hanya agar berhenti.

Pencocokan angka, yaitu Anda memasukkan angka yang tampil di layar login ke notifikasi, membuat persetujuan asal-asalan jauh lebih sulit. Apa pun itu, aturannya sederhana: jangan pernah menyetujui notifikasi yang tidak Anda mulai sendiri.

Kunci keamanan fisik

Kunci kecil USB atau NFC yang Anda colokkan atau tempelkan ke ponsel. Kunci modern memakai standar FIDO2 dan WebAuthn.

• Kelebihan: tahan phishing. Kunci menandatangani tantangan yang terikat ke domain situs asli, jadi situs palsu tidak mendapatkan apa pun yang bisa dipakai ulang. Tidak perlu mengetik, tanpa baterai, tanpa jaringan.
• Kekurangan: berbayar, Anda perlu setidaknya dua agar satu bisa jadi cadangan, dan tidak semua layanan mendukungnya. Jika keduanya hilang, Anda kembali ke pemulihan akun.

Panduan CISA menyebut FIDO/WebAuthn sebagai bentuk MFA tahan phishing yang tersedia luas dan mendesak organisasi untuk beralih ke sana (lembar fakta CISA).

Passkey

Passkey dibangun di atas standar FIDO yang sama dengan kunci keamanan, tetapi kredensialnya tersimpan di ponsel atau pengelola kata sandi Anda dan dibuka dengan Face ID, Touch ID, atau kode sandi perangkat. Di banyak situs, passkey menggantikan kata sandi sepenuhnya, bukan sekadar menambah langkah kedua (FIDO Alliance).

• Kelebihan: tahan phishing seperti kunci fisik, tidak ada yang perlu diingat atau diketik, dan passkey yang disinkronkan ikut pindah ke perangkat baru lewat pengelola kredensial Anda.
• Kekurangan: dukungan antarlayanan masih belum merata, keamanan Anda bergantung pada akun yang menyinkronkannya, dan memakainya di berbagai platform dan browser bisa membingungkan.

Jika suatu situs menawarkan passkey dan Anda memakai pengelola kredensial yang Anda percaya, passkey adalah opsi praktis terkuat yang tersedia saat ini.

Metode mana untuk akun apa

Gunakan metode terkuat yang ditawarkan setiap layanan, tetapi jangan sampai mengejar yang sempurna membuat Anda melewatkan yang sudah baik:

• Email utama, pengelola kata sandi, Akun Apple, atau Akun Google. Akun-akun ini bisa mereset semua akun lain. Gunakan passkey atau kunci keamanan jika didukung, dan simpan kode pemulihan atau metode kedua sebagai cadangan.
• Akun kerja. Ikuti kebijakan kantor Anda. Banyak organisasi kini mewajibkan kunci keamanan atau passkey.
• Bursa kripto dan broker. Aplikasi authenticator atau kunci keamanan. Hindari SMS jika ada pilihan lain.
• Bank. Banyak yang hanya menawarkan SMS atau aplikasinya sendiri. Gunakan aplikasi bank jika ada, dan lindungi nomor telepon Anda lewat operator.
• Media sosial, alat developer, penyimpanan cloud, belanja online. Aplikasi authenticator adalah pilihan paling pas.
• Apa pun yang hanya menawarkan SMS. Tetap aktifkan. SMS tetap menghentikan serangan kata sandi yang dipakai ulang.

Mengapa aplikasi authenticator jadi pilihan bawaan yang praktis

Passkey dan kunci fisik lebih tahan phishing, dan sebaiknya Anda memakainya di akun terpenting di mana pun tersedia. Namun metode yang bisa diaktifkan hampir di mana saja, gratis, tanpa membeli perangkat keras atau terikat ke satu platform, tetaplah TOTP. Metode ini menghilangkan risiko SIM swap pada SMS, tidak bergantung pada kotak masuk Anda, dan berfungsi offline.

Kompromi yang perlu direncanakan adalah kehilangan perangkat. Simpan kode pemulihan untuk setiap akun, tambahkan metode kedua di akun penting, dan baca apa yang harus dilakukan jika ponsel berisi kode 2FA hilang sebelum Anda membutuhkannya. Tidak ada metode yang membuat akun tak bisa dibobol, tetapi faktor kedua yang dipilih dengan baik membuat akun Anda jauh lebih sulit diserang dibanding akun orang lain.