Apakah mengalami pelanggaran data dalam dunia online ?. Masalahnya adalah kata sandi, yang merupakan cara yang sangat rapuh untuk mengamankan sumber daya yang berharga.
Jangan terbuai oleh rasa aman yang palsu dengan keyakinan bahwa membuat kata sandi yang lebih panjang, lebih kompleks, dan sulit ditebak akan membuat Anda lebih aman saat online. Anda dapat membuat kata sandi yang sangat panjang dan rumit sehingga Anda membutuhkan waktu lima menit untuk mengetik, dan itu tidak akan melindungi Anda jika layanan tempat Anda menggunakan kata sandi itu menyimpannya dengan tidak benar dan kemudian server mereka dilanggar. Itu sering terjadi.
Dan bahkan dengan kebijakan yang masuk akal (kompleksitas, diubah secara teratur, tidak digunakan kembali), orang-orang masih merupakan mata rantai terlemah dalam rantai keamanan. Manipulasi psikologis bahkan dapat meyakinkan orang yang cerdas untuk memasukkan kredensial mereka di situs phishing atau memberikannya melalui telepon.
Solusinya adalah two-factor authentication, atau 2FA. (Beberapa layanan, yang melekat pada detail, menyebutnya otentikasi multi-faktor atau verifikasi dua langkah, tetapi 2FA adalah istilah yang paling banyak digunakan, jadi itulah nomenklatur yang saya pilih untuk digunakan di sini.)
Laporan tahun 2019 dari Microsoft menyimpulkan bahwa 2FA berfungsi, memblokir 99,9% serangan otomatis. Jika penyedia layanan mendukung otentikasi multi-faktor, Microsoft merekomendasikan untuk menggunakannya, meskipun sesederhana kata sandi satu kali berbasis SMS. Laporan terpisah tahun 2019 dari Google menawarkan kesimpulan serupa.
Pada artikel ini, akan dijawab beberapa pertanyaan paling umum yang diajukan orang tentang 2FA.
BAGAIMANA 2FA BEKERJA? APAKAH ITU TIDAK NYAMAN?
Mengaktifkan 2FA untuk layanan mengubah persyaratan keamanan, memaksa Anda untuk memberikan setidaknya dua bukti identitas saat mengakses layanan aman untuk pertama kalinya di perangkat yang tidak dikenal. Setelah Anda berhasil memenuhi tantangan itu, Anda biasanya memiliki opsi untuk mengategorikan perangkat sebagai tepercaya, yang berarti bahwa permintaan 2FA seharusnya relatif jarang pada perangkat yang Anda gunakan secara teratur.
Kedua bentuk otentikasi tersebut dapat berasal dari kombinasi apa pun dari setidaknya dua elemen berikut:
- "Sesuatu yang Anda ketahui", seperti sandi atau PIN
- "Sesuatu Anda", seperti sidik jari atau ID biometrik lainnya
- "Sesuatu yang Anda miliki", seperti smartphone tepercaya yang dapat menghasilkan atau menerima kode konfirmasi, atau perangkat keamanan berbasis perangkat keras
Sebagian besar, sistem otentikasi dua faktor yang Anda lihat saat ini menggunakan item pertama (kata sandi Anda) dan item terakhir (smartphone Anda). Smartphone telah ada di mana-mana, menjadikannya perangkat keamanan yang ideal.
Smartphone Anda bisa membantu otentikasi dengan memberikan kode unik yang Anda gunakan bersama dengan kata sandi untuk masuk. Anda bisa memperoleh kode itu dengan salah satu dari dua cara: Dikirim sebagai pesan teks dari layanan, atau dibuat oleh aplikasi yang diinstal pada Anda. telepon.
Di sini, misalnya, adalah apa yang saya lihat beberapa saat yang lalu ketika saya mencoba masuk ke akun Gmail saya dari browser yang belum pernah saya gunakan sebelumnya.
Jika permintaan masuk ini berasal dari seseorang yang telah mencuri kredensial akun Google saya, mereka akan dihentikan di jalurnya. Tanpa kode tersebut, mereka tidak dapat melanjutkan proses masuk.
Sebagian besar (tetapi tidak semua) layanan yang mendukung 2FA menawarkan pilihan metode otentikasi. Google dan Microsoft, misalnya, dapat mengirimkan pemberitahuan ke perangkat tepercaya; Anda mengetuk pemberitahuan untuk menyetujui masuk. Semakin banyak layanan yang mendukung penggunaan kunci keamanan perangkat keras.
Dan, tentu saja, sebagian besar layanan menawarkan opsi untuk mencetak kode pemulihan cadangan, yang dapat Anda simpan di tempat yang aman dan digunakan jika metode otentikasi sekunder Anda tidak tersedia. Jika smartphone Anda hilang, dicuri, atau rusak, Anda memerlukan kode-kode itu.
METODE OTENTIKASI MANA YANG TERBAIK?
Metode otentikasi terbaik adalah yang paling Anda sukai. Pastikan Anda memiliki setidaknya dua opsi, untuk menghindari risiko akun Anda terkunci.
Saya lebih suka opsi untuk menggunakan aplikasi pengautentikasi daripada menerima kode melalui pesan teks bila memungkinkan, dan Anda juga sebaiknya, karena dua alasan bagus. Yang pertama adalah soal logistik sederhana. Ada kalanya Anda memiliki akses ke internet (melalui koneksi kabel atau Wi-Fi) tetapi tidak dapat menerima pesan teks, karena sinyal seluler Anda lemah atau tidak ada, atau Anda menggunakan SIM yang berbeda saat bepergian. Yang kedua adalah peluang kecil tapi nyata bahwa penyerang akan melakukan rekayasa sosial melalui pertahanan operator seluler Anda untuk mendapatkan kartu SIM dengan nomor telepon Anda, proses yang disebut "pembajakan SIM". Aplikasi 2FA paling populer adalah Google Authenticator, yang tersedia di iOS dan Android. Tetapi ada banyak alternatif; karena proses pembuatan token aman didasarkan pada standar terbuka, siapa pun dapat menulis aplikasi pengautentikasi yang menjalankan fungsi yang sama. Faktanya, Anda dapat menggunakan beberapa aplikasi pengautentikasi. Saya menggunakan Microsoft Authenticator, yang mampu menerima pemberitahuan push dari akun pribadi dan bisnis di platform Microsoft, serta 1Password, yang mengintegrasikan dukungan 2FA ke dalam aplikasi yang sama yang mengelola kata sandi, membuat proses masuk menjadi lebih mulus. Saya hampir merekomendasikan aplikasi pihak ketiga Authy, yang memungkinkan Anda mengelola kode pengautentikasi pada beberapa perangkat dengan kemampuan untuk mencadangkan dan memulihkan pengaturan akun.
Perlu diperhatikan bahwa menyiapkan akun di aplikasi pengautentikasi Anda hanya memerlukan koneksi data selama konfigurasi awal. Setelah itu, semuanya terjadi di perangkat Anda. Proses ini diatur oleh standar yang diterima dengan baik yang menggunakan algoritma Time-based One-Time Password algorithm (TOTP). Algoritme itu menggunakan aplikasi pengautentikasi sebagai kalkulator canggih yang menghasilkan kode menggunakan waktu saat ini di perangkat Anda dan rahasia bersama. Layanan online menggunakan rahasia yang sama dan stempel waktunya sendiri untuk menghasilkan kode yang dibandingkan dengan entri Anda. Kedua sisi koneksi dapat menyesuaikan zona waktu tanpa masalah, meskipun kode Anda akan gagal jika waktu di perangkat Anda salah.
BAGAIMANA SAYA TAHU LAYANAN MANA YANG MENDUKUNG 2FA?
Ketika saya mulai menulis tentang teknologi ini satu dekade lalu, dukungan 2FA relatif jarang. Hari ini, itu lumrah.
Akun Google, termasuk akun Gmail konsumen dan G Suite bisnis, menawarkan berbagai alternatif verifikasi dua langkah. Semua akun Microsoft, termasuk akun gratis yang digunakan dengan Outlook.com, Xbox, Skype, dan layanan konsumen lainnya, mendukung berbagai opsi otentikasi, seperti halnya akun Azure Active Directory yang digunakan dengan layanan bisnis dan perusahaan Microsoft, termasuk Microsoft 365 dan Office 365.
Dukungan 2FA ada di mana-mana di antara layanan media sosial (Facebook, Twitter, Instagram, dan sebagainya). Setiap layanan penyimpanan online yang layak dipertimbangkan mendukung 2FA, seperti halnya sebagian besar pendaftar domain dan perusahaan hosting web. Jika Anda tidak yakin tentang layanan tertentu, tempat terbaik untuk memeriksanya adalah repositori informasi open source yang luar biasa yang disebut Two Factor Auth List. Dan jika layanan bernilai tinggi yang Anda andalkan tidak mendukung 2FA, mungkin Anda harus mempertimbangkan untuk beralih ke layanan yang mendukung.
LAYANAN MANA YANG HARUS SAYA LINDUNGI PERTAMA?
Anda mungkin memiliki kredensial login di lusinan layanan online yang mendukung 2FA, jadi strategi terbaik adalah membuat daftar yang diprioritaskan dan menyelesaikannya. Saya menyarankan prioritas ini:
- Pengelola kata sandi / identitas. Menggunakan pengelola kata sandi mungkin merupakan cara paling penting untuk memastikan bahwa Anda memiliki kata sandi yang kuat dan unik untuk setiap layanan, tetapi itu juga menciptakan satu titik serangan. Menambahkan 2FA memperkuat potensi kelemahan itu. Perhatikan bahwa untuk beberapa perangkat lunak manajemen kata sandi, dukungan 2FA adalah opsi berbayar.
- Akun Microsoft dan Google. Jika Anda menggunakan layanan dari salah satu perusahaan ini, menambahkan dukungan 2FA sangat penting. Untungnya, ini juga mudah.
- Akun email. Jika seorang pelaku kejahatan dapat mengambil alih akun email Anda, mereka seringkali dapat menimbulkan malapetaka, karena pesan email adalah cara standar untuk mengirimkan tautan penyetelan ulang kata sandi. Pesan yang dikirim dari akun email yang disusupi juga dapat digunakan untuk menyerang teman dan rekan kerja Anda (dengan mengirim lampiran yang berisi malware, misalnya). Jika Anda menggunakan Outlook.com, Exchange Online, Gmail, atau G Suite, akun email Anda menggunakan metode verifikasi identitas yang terkait dengan akun Microsoft atau Google Anda. Jika Anda menggunakan layanan email yang berbeda, Anda harus menyiapkan 2FA secara terpisah.
- Akun media sosial. Seperti halnya email, risiko terbesar yang terkait dengan akun Twitter atau Facebook yang diretas adalah akun tersebut akan digunakan untuk melawan teman dan kolega Anda. Meskipun Anda seorang pengintai yang jarang memposting apa pun di media sosial, Anda harus melindungi akun-akun ini.
- Bank dan lembaga keuangan. Sebagian besar bank dan perusahaan kartu kredit telah melakukan investasi signifikan dalam program deteksi penipuan back-end, itulah sebabnya opsi 2FA biasanya terbatas dibandingkan dengan kategori lain. Meskipun demikian, ada baiknya menjelajahi pengaturan ini dan mengencangkannya sebanyak mungkin.
- Belanja dan perdagangan online. Situs mana pun tempat Anda menyimpan nomor kartu kredit harus diamankan.
BAGAIMANA SAYA MENGATUR 2FA?
Menyiapkan keamanan tambahan untuk sebagian besar layanan online membutuhkan keterampilan teknis minimal. Jika Anda dapat menggunakan kamera ponsel cerdas Anda, ketik angka enam digit, dan ketuk OK di kotak dialog, Anda memiliki semua keterampilan yang diperlukan. Bagian tersulit dari pekerjaan itu adalah menemukan halaman yang memiliki pengaturan yang relevan.
0 comments:
Post a Comment