La Autentikasi multi-faktor telah menjadi persyaratan dasar. dari strategi keamanan siber modern apa pun. Kata sandi yang lumayan saja tidak lagi cukup: dengan banyaknya pelanggaran data, phishing yang semakin canggih, dan serangan otomatis, mengandalkan sepenuhnya pada "apa yang Anda ketahui" hampir seperti membiarkan pintu depan Anda sedikit terbuka.
Dalam beberapa tahun terakhir telah muncul Metode otentikasi baru, pedoman dari organisasi seperti PCI SSC dan standar seperti FIDO2 atau WebAuthn yang telah sepenuhnya mengubah lanskap. Hasilnya adalah saat ini ada banyak cara berbeda untuk memverifikasi identitas pengguna, dengan tingkat keamanan dan kenyamanan yang sangat berbeda. Masalahnya bukan lagi hanya mengaktifkan MFA, tetapi pilih kombinasi faktor yang tepat untuk digunakan tergantung pada risiko, konteks, dan jenis layanan.
Dasar-dasar identifikasi, otentikasi, dan otorisasi
Sebelum membandingkan metode, ada baiknya untuk mengingat bahwa... Otentikasi tidak sama dengan mengidentifikasi diri atau memberi otorisasi pada diri sendiri.meskipun dalam praktiknya semuanya merupakan bagian dari alur akses yang sama.
Pertama, Identifikasi hanyalah pemberian identitas unik. Kepada seseorang, sistem, atau akun: nama pengguna, nomor karyawan, sertifikat, dll. Ini adalah pertanyaan "siapa Anda?" tanpa memverifikasi terlebih dahulu bahwa Anda benar-benar orang, sistem, atau akun tersebut.
La Autentikasi adalah proses memverifikasi bahwa identitas tersebut valid.Untuk melakukan ini, sistem meminta Anda untuk memberikan satu atau lebih faktor otentikasi yang hanya Anda yang seharusnya tahu, memiliki, atau menjadi bagian darinya. Jika pemeriksaan ini berhasil, sistem akan memvalidasi identitas Anda.
Akhirnya, Otorisasi menentukan apa yang sebenarnya dapat diakses oleh pengguna tersebut. Setelah terautentikasi: aplikasi apa yang dapat dilihatnya, data apa yang dapat diaksesnya, apakah ia dapat mengelola pengguna lain, dan sebagainya. Hal ini dapat dilengkapi dengan alat yang memungkinkan Anda untuk mengetahui Siapa yang memiliki akses ke file Anda? dan dengan demikian mengaudit izin dan berbagi.
Pengelolaan yang terpadu dari ketiga elemen ini membentuk apa yang dikenal sebagai Manajemen Identitas dan Akses (IAM)Dan dalam kerangka kerja seperti PCI DSS, hal ini ditinjau secara menyeluruh dalam hal persyaratan kontrol akses spesifik. Di lingkungan Windows, ini biasanya dikelola dengan Editor Kebijakan Grup.
Faktor otentikasi: sesuatu yang Anda ketahui, miliki, atau Anda adalah
Setiap sistem otentikasi modern berputar di sekitar tiga kelompok faktor utamayang dapat digabungkan untuk membangun skema ganda atau multifaktor:
Di satu sisi adalah “sesuatu yang kamu ketahui”Kata sandi, PIN, frasa sandi, atau pertanyaan keamanan. Keuntungan utamanya adalah mudah diterapkan dan sangat familiar bagi setiap pengguna, tetapi juga menjadi target utama penyerang, baik melalui serangan brute force, phishing, kebocoran basis data, atau pencurian kredensial.
Kedua kami temukan “sesuatu yang kamu miliki”Ini bisa berupa ponsel yang menerima SMS, aplikasi otentikasi, kartu pintar, token fisik, atau kunci FIDO. Dalam hal ini, penyerang perlu mencuri atau mengkloning elemen tersebut untuk melewati filter, yang secara teoritis secara signifikan meningkatkan keamanan.
Kategori ketiga adalah “sesuatu yang ada dalam dirimu”Artinya, faktor biometrik seperti sidik jari, pengenalan wajah, pemindaian iris, atau bahkan karakteristik perilaku (gaya mengetik, gaya berjalan, pola suara). Faktor-faktor ini sangat praktis dan sulit ditiru, tetapi menimbulkan tantangan serius dalam hal privasi dan pengelolaan: Anda tidak dapat dengan mudah "mengubah sidik jari Anda" jika telah disalahgunakan.
Selain itu, faktor kontekstual atau perilaku menjadi semakin penting, terkadang dikelompokkan sebagai “sesuatu yang kamu lakukan” atau “sesuatu yang terjadi di sekitarmu”Lokasi, perangkat yang Anda gunakan untuk terhubung, waktu biasa dalam sehari, alamat IP yang dikenal, dll. Secara terpisah, hal-hal ini biasanya tidak dianggap sebagai faktor "kuat", tetapi merupakan dasar dari otentikasi adaptif berbasis risiko.
Kata sandi, PIN, dan otentikasi berbasis pengetahuan
Panggilan Autentikasi berbasis pengetahuan (KBA) Ini adalah model tradisional: Anda memasukkan nama pengguna dan kata sandi, atau menjawab pertanyaan seperti "Di kota mana Anda lahir?". Implementasinya sangat murah, didukung oleh platform apa pun, dan pengguna sudah tahu cara kerjanya.
Masalahnya adalah, dalam praktiknya, Kata sandi digunakan kembali dalam skala besar. Keamanan antar layanan seringkali lemah. Berbagai penelitian menunjukkan bahwa sebagian besar orang menggunakan kata sandi yang sama di puluhan situs, jadi jika hanya satu situs web yang memiliki kerentanan, akun lainnya berisiko terkena serangan credential stuffing.
itu Pertanyaan keamanan tradisional bahkan lebih buruk.Banyak jawaban dapat ditemukan dengan sedikit pencarian di media sosial atau sumber publik, dan yang lainnya relatif mudah ditebak. Oleh karena itu, sekarang disarankan untuk membatasinya pada kasus-kasus yang sangat spesifik atau menggantinya dengan mekanisme pencarian lainnya.
Los PIN merupakan kasus khusus yang menarik.Secara teori, PIN 4 digit memiliki entropi yang sangat rendah dan tidak akan memenuhi persyaratan kompleksitas yang biasanya kita tuntut dari sebuah kata sandi. Namun, pedoman PCI SSC terbaru memperjelas bahwa PIN dapat diterima sebagai faktor "sesuatu yang Anda ketahui" selama dikombinasikan dengan kontrol tambahan seperti penguncian akun setelah beberapa kali percobaan gagal, batas waktu progresif, dan penyimpanan yang aman.
Ketika hal itu tidak memungkinkan Amankan PIN tersebut dengan langkah-langkah anti-brute-force.Oleh karena itu, kata sandi tersebut harus memenuhi kriteria yang sama dengan kata sandi yang kuat: panjang minimum yang cukup tinggi, larangan pola yang mudah ditebak, riwayat penggunaan, dan lain sebagainya. Jika tidak, kata sandi tersebut akan menjadi kelemahan yang mudah dieksploitasi.
Kode sekali pakai: SMS, email, dan daftar yang telah dibuat sebelumnya.
Salah satu metode MFA yang paling umum digunakan hingga saat ini adalah dengan menggunakan kode satu kali (OTP) dikirim melalui berbagai saluran atau dicetak sebelumnya. Ini adalah faktor kedua yang sangat mudah dipahami oleh pengguna dan yang ditawarkan oleh banyak layanan secara default.
Dalam kasus OTP melalui SMS atau panggilan suaraProsesnya mudah: setelah memasukkan nama pengguna dan kata sandi Anda, sistem akan mengirimkan kode multi-digit ke nomor yang terdaftar. Pengguna memasukkan kode tersebut, dan jika cocok, akses akan diberikan. Pada dasarnya, ini memverifikasi bahwa Anda masih memiliki kendali atas nomor telepon tersebut.
Kami juga dapat menemukan Kode OTP yang dikirim melalui emailHal ini kurang umum tetapi tetap ada. Risikonya jelas: jika kata sandi email Anda sama dengan kata sandi akun yang ingin Anda lindungi, keamanan tambahan tersebut akan hilang karena penyerang dapat mengakses kotak masuk Anda terlebih dahulu dan dengan mudah membaca kodenya.
Pendekatan yang lebih klasik adalah pendekatan yang daftar kode yang telah dibuat sebelumnyaKode-kode ini diberikan oleh beberapa bank dalam bentuk cetak atau dapat diunduh melalui layanan tertentu (seperti platform online besar) untuk pemulihan akun. Setiap kode hanya digunakan sekali, dan upaya selanjutnya harus menggunakan kode yang berbeda dari daftar tersebut.
Daftar ini cukup aman terhadap serangan penyadapan karena Data tersebut dihasilkan dan dikirimkan pada waktu yang sangat spesifik.Poin pentingnya adalah penyimpanan: jika Anda menyimpan lembaran tersebut di laci yang tidak terkunci atau mengambil foto dan meninggalkannya di galeri tanpa enkripsi, siapa pun yang memiliki akses fisik ke barang-barang Anda dapat membajak akun atau dana Anda.
Untuk mengelola daftar-daftar ini dengan baik, disarankan untuk simpan di lokasi fisik yang aman atau dalam wadah digital terenkripsiseperti catatan aman di pengelola kata sandi. Namun, metode ini memiliki masalah skalabilitas yang jelas: jika Anda melakukan banyak transaksi atau memiliki banyak akun, memori akan cepat habis dan menjadi sulit dikelola, sehingga semakin jarang digunakan sebagai metode utama dan lebih sering sebagai mekanisme darurat.
Aplikasi otentikasi dan TOTP
Pedoman terbaru dan pengalaman praktis sepakat bahwa Aplikasi otentikasi berbasis waktu (TOTP) Mereka menawarkan keseimbangan yang sangat baik antara keselamatan dan kenyamanan, itulah sebabnya mereka direkomendasikan sebagai pilihan "standar" kapan pun memungkinkan.
Prinsipnya sederhana: selama pelepasan faktor kedua, Layanan dan aplikasi otentikasi Anda berbagi kunci rahasia. (biasanya dengan memindai kode QR). Dari situ, baik aplikasi maupun server menghasilkan kode 6 atau 8 digit yang sama setiap 30 detik tanpa memerlukan koneksi, berkat algoritma standar.
Alat seperti Google Authenticator, Microsoft Authenticator, Authy, Aegis atau Duo Mobile Fitur ini memungkinkan Anda mendaftarkan banyak akun dan menyimpan semua kode Anda secara terpusat. Beberapa di antaranya menyertakan pencadangan cloud terenkripsi atau sinkronisasi antar perangkat, yang sangat praktis tetapi harus dikonfigurasi dengan hati-hati untuk menghindari munculnya risiko baru.
Ada juga Pengelola kata sandi yang mengintegrasikan TOTP (1Password, Bitwarden, Dashlane, dan lainnya). Dalam kasus ini, produk yang sama menyimpan kata sandi dan menghasilkan kode sementara, sehingga proses masuk menjadi sangat mudah. Namun, dari sudut pandang keamanan murni, Anda kehilangan sebagian independensi antar faktor, karena keduanya bergantung pada satu titik kegagalan.
Bagaimanapun juga, dibandingkan dengan SMS atau email, TOTP memiliki keunggulan yang jelas: Mereka tidak bergantung pada jaringan seluler atau operator.Perangkat ini kurang rentan terhadap serangan pertukaran SIM, dapat berfungsi tanpa jangkauan, dan tidak mengekspos kode pada saluran yang mudah dicegat.
Biometrik: sidik jari, wajah, suara, dan fitur lainnya
La Autentikasi biometrik bukan lagi fiksi ilmiah. Menjadi bagian dari kehidupan sehari-hari: hampir semua ponsel pintar saat ini memungkinkan Anda untuk membukanya dengan sidik jari atau wajah, dan banyak laptop mengintegrasikan pembaca sidik jari atau kamera yang kompatibel dengan pengenalan wajah yang aman.
Biometrik bergantung pada karakteristik fisik atau perilaku yang sulit untuk direplikasiSidik jari, fitur wajah, iris mata, suara, dinamika pengetikan, gaya berjalan, dan lain-lain. Dari sudut pandang pengguna, ini sangat nyaman karena menghindari keharusan mengingat apa pun dan mengurangi hambatan dalam akses.
Namun, ada nuansa penting yang perlu diperhatikan. Yang pertama adalah bahwa Data biometrik pada dasarnya bersifat sensitif.Anda tidak dapat "mencabut" identitas wajah atau sidik jari Anda jika telah disalahgunakan, dan identitas tersebut tidak hanya berfungsi untuk otentikasi tetapi juga untuk identifikasi hukum. Ini berarti bahwa pengambilan, penyimpanan, dan pemrosesannya harus dilakukan dengan tingkat perlindungan yang sangat tinggi.
Oleh karena itu, sebagian besar arsitektur modern membatasi biometrik pada proses otentikasi lokal pada perangkat itu sendiriSebagai contoh, saat Anda menggunakan Face ID atau pembaca sidik jari, data disimpan dan diproses di lingkungan aman (secure enclave) pada ponsel dan tidak dikirim ke layanan jarak jauh. Yang dikirimkan adalah respons "ya" atau "tidak" dari sistem operasi yang menunjukkan bahwa pengguna yang sah telah membuka kunci perangkat.
Dalam kasus otentikasi biometrik jarak jauh murni, layanan yang menerima data tersebut Ia harus sepenuhnya mempercayai produsen perangkat atau penyedia sistem.Ini adalah sesuatu yang hanya sedikit organisasi yang bersedia lakukan kecuali dalam ekosistem yang sangat tertutup. Contoh utamanya adalah Apple, yang memiliki kendali penuh atas perangkat keras dan perangkat lunak serta menawarkan mekanisme seperti Face ID yang terintegrasi dengan kunci akses.
Meskipun memiliki kekurangan, biometrik menawarkan Keunggulan utama: secara drastis mengurangi gesekan.Pengguna yang membuka kunci ponsel mereka dengan sidik jari atau wajah ratusan kali sehari akan jauh lebih bersedia menerima MFA jika itu adalah "ketidaknyamanan" tambahan yang harus mereka tanggung, daripada mengetik kata sandi yang sangat panjang setiap kali mereka mengaksesnya.
Otentikasi berbasis lokasi, konteks, dan risiko (RBA)
Di luar faktor-faktor klasik, banyak sistem modern yang menerapkannya. otentikasi berbasis risiko (RBA)Menyesuaikan persyaratan secara dinamis berdasarkan apa yang mereka amati secara real-time.
Pada dasarnya, sistem tersebut menganalisis variabel kontekstual seperti lokasi, perangkat, alamat IP, waktu, atau pola penggunaanJika seseorang mencoba masuk dari laptop yang biasa mereka gunakan, pada waktu yang biasa mereka gunakan, dan dari jaringan kantor, risikonya dianggap rendah, dan mereka mungkin tidak akan diminta informasi tambahan apa pun selain kata sandi atau sesi SSO mereka.
Namun, jika Masuk dari negara lain, pada waktu yang tidak lazim, atau dari perangkat yang tidak dikenal.Sistem penilaian risiko dapat meningkatkan tingkat persyaratan dan memerlukan faktor tambahan kedua, seperti OTP, persetujuan aplikasi, atau pemeriksaan biometrik.
Pendekatan ini memiliki keunggulan besar yaitu... menyeimbangkan keamanan dan kemudahan penggunaanSistem ini tidak menghukum pengguna dengan langkah-langkah yang tidak perlu ketika semuanya tampak baik-baik saja, tetapi akan meningkatkan kewaspadaan ketika ada sesuatu yang mencurigakan. Bagi bank, platform online besar, atau perusahaan dengan ribuan karyawan, ini praktis merupakan standar.
Kelemahan utamanya adalah bahwa Mendesain atau menyesuaikannya bukanlah hal yang sepele.Jika ambang risiko dikalibrasi secara tidak tepat, Anda bisa berakhir terus-menerus meminta MFA dari pengguna yang sah atau, sebaliknya, mengabaikan perilaku mencurigakan. Di sinilah analitik canggih dan, semakin meningkat, kecerdasan buatan memainkan peran kunci dalam mendeteksi anomali dan pola yang tidak biasa.
Autentikasi multi-faktor: multi-faktor vs multi-langkah
Ketika kita menggabungkan dua atau lebih faktor yang berbeda, kita sedang membicarakan tentang... autentikasi multi-faktor (MFA)Idenya adalah, bahkan jika penyerang berhasil membobol salah satu faktor (misalnya, kata sandi), mereka tetap harus mengatasi filter independen kedua (seperti OTP atau kunci fisik).
Dari perspektif kepatuhan, kerangka kerja seperti PCI DSS menghubungkan konsep MFA dengan persyaratan yang sangat spesifik: akses jarak jauh ke jaringan internal, akses ke lingkungan data kartu, akun dengan hak akses yang lebih tinggidll. Dalam kasus-kasus ini, mengandalkan sepenuhnya pada nama pengguna dan kata sandi saja tidak lagi dapat diterima.
Selama bertahun-tahun terjadi cukup banyak kebingungan mengenai perbedaan antara Autentikasi multi-langkah dan MFA yang sesuai dengan standar PCI.Pedoman lama mensyaratkan bahwa semua faktor dievaluasi tanpa pengguna menerima umpan balik parsial, yaitu, mereka tidak diberi tahu apakah kata sandi tersebut benar sebelum meminta faktor kedua.
Versi panduan terbaru memperjelas kriteria tersebut: Dapat diterima untuk menunjukkan keberhasilan satu faktor sebelum meminta faktor berikutnya.dengan ketentuan bahwa akses tidak diberikan sampai semua orang berhasil diverifikasi. Ini berarti bahwa alur seperti "kata sandi terlebih dahulu, kemudian OTP" tetap sesuai, meskipun pengguna telah dipastikan bahwa kata sandinya valid.
Meskipun begitu, tetap saja praktik yang baik untuk mengurangi umpan balik yang terlalu rinci tersebut: bisa jadi tidak mengungkapkan keabsahan faktor apa pun sampai semua faktor telah disajikan, atau melakukan autentikasi terlebih dahulu dengan faktor sesi satu kali (OTP, kunci anti-phishing) sebelum memvalidasi faktor statis lainnya seperti kata sandi.
Kunci perangkat keras dan kode sandi FIDO U2F / FIDO2
Menghadapi masalah phishing dan serangan "man-in-the-middle" dari berbagai metode tradisional, solusi seperti berikut ini telah muncul: Kunci keamanan FIDO U2F/FIDO2Dipopulerkan oleh perangkat seperti YubiKey, Google Titan, atau model dari Feitian dan SoloKeys.
Kunci-kunci ini menerapkan kriptografi kunci publik dan, selama proses pendaftaran, Mereka menghasilkan kunci unik yang terkait dengan setiap layanan.Saat Anda melakukan autentikasi ulang, server mengirimkan tantangan bahwa kunci hanya akan menandatangani jika domain dan konteksnya sesuai dengan yang terdaftar. Jika seseorang mencoba menipu Anda dengan situs web palsu, kunci akan mendeteksi bahwa itu bukan situs yang sah dan tidak akan menandatangani apa pun. Banyak platform menggunakan metode ini. TPM 2.0 untuk melindungi kunci yang terkait dengan perangkat tersebut.
Dengan demikian, jenis otentikasi ini tidak hanya memverifikasi pengguna, tetapi juga Hal ini juga memverifikasi layanan itu sendiri.Mereka menawarkan ketahanan yang sangat tinggi terhadap serangan phishing, replay, dan relay. Itulah mengapa banyak organisasi menganggapnya sebagai standar emas untuk melindungi akun-akun penting, kredensial administratif, dan akses email perusahaan.
Dari sudut pandang pengguna, prosesnya sangat sederhana: Hubungkan kunci ke port USB atau dekatkan melalui NFC. Cukup sentuh sensor kapasitif di ponsel Anda dan selesai. Ada kriptografi kompleks di baliknya, tetapi gerakan ini lebih mudah daripada mengetik OTP.
Atas dasar yang sama, Aliansi FIDO telah mempromosikan kunci akses atau kunci sandiMetode ini membawa ide tersebut selangkah lebih maju dengan langsung mengganti kata sandi. Kunci pribadi disimpan di perangkat (atau dienkripsi dan disinkronkan melalui cloud penyedia layanan), dan pengguna melakukan autentikasi dengan membuka kunci perangkat tersebut menggunakan biometrik atau PIN.
Kata sandi tetap dirancang untuk otentikasi multifaktor karena menggabungkan sesuatu yang Anda miliki (perangkat) dikombinasikan dengan sesuatu yang Anda miliki atau ketahui (biometrik atau PIN)Namun, mereka menghilangkan kata sandi tradisional dari persamaan tersebut. Semakin banyak layanan utama mulai menawarkannya, meskipun ekosistemnya masih agak terfragmentasi dan setiap platform menerapkan nuansa yang berbeda.
SSO, otentikasi berbasis token, dan sertifikat digital
Dalam lingkungan perusahaan, hal yang umum dilakukan adalah menggabungkan faktor-faktor ini dengan mekanisme seperti... Sistem Masuk Tunggal (SSO)yang memungkinkan Anda untuk masuk sekali saja menggunakan penyedia identitas tepercaya (misalnya, Azure AD, Okta, Google Workspace) dan mengakses berbagai aplikasi tanpa perlu terus-menerus mengulang kredensial.
Dalam skema ini, penyedia identitas menerbitkan token keamanan (seperti JWT) Setelah otentikasi awal yang kuat (idealnya dengan MFA), token ini disajikan kepada aplikasi terintegrasi untuk membuktikan identitas Anda tanpa perlu memasukkan kembali kata sandi Anda di setiap tahapan.
Autentikasi berbasis token mengurangi beban pada server dan memfasilitasi arsitektur tanpa status Banyak digunakan dalam API dan aplikasi modern. Namun, pengelolaan masa berlaku, perpanjangan, dan pencabutan token harus dirancang dengan sangat baik untuk mencegah token curian menjadi akses tak terbatas.
Metode lain yang sangat andal, terutama untuk jaringan internal dan akses VPN, adalah otentikasi berdasarkan sertifikat digitalAlih-alih kata sandi, pengguna memberikan sertifikat yang dikeluarkan oleh otoritas sertifikasi perusahaan, dan server memverifikasi keabsahannya secara kriptografis.
Pendekatan ini sangat tangguh terhadap banyak serangan umum, tetapi melibatkan Memelihara infrastruktur kunci publik (PKI) yang terkelola dengan baik.Penerbitan, perpanjangan, pencabutan, kebijakan penggunaan, manajemen perangkat, dll. Itulah mengapa biasanya dikhususkan untuk lingkungan dengan keamanan tinggi di mana upaya tersebut sepadan.
Manajemen Sesi dan Zero Trust
Setelah proses otentikasi awal selesai, hampir semua sistem akan membuat sesi yang mewakili hubungan kepercayaan antara pengguna dan layanan. Alih-alih meminta MFA pada setiap klik—sesuatu yang tidak praktis—sesi tersebut digunakan kembali untuk mengotorisasi permintaan berikutnya.
Hal ini menyebabkan banyak penyerang memfokuskan perhatian pada mencuri atau membajak sesi aktif melalui cookie, token, atau mekanisme serupa, alih-alih mencoba melewati otentikasi multi-faktor secara langsung. Itulah mengapa sangat penting untuk melengkapi MFA dengan praktik manajemen sesi yang baik.
Di antara rekomendasi umum yang kita temukan Menghubungkan sesi ke pengguna dan perangkat tertentu Untuk mencegah penggunaan ulang dari perangkat yang berbeda, terapkan batas waktu idle yang wajar, paksa otentikasi ulang MFA dalam operasi yang sangat sensitif, dan selalu gunakan saluran terenkripsi seperti TLS.
Semua elemen ini sangat sesuai dengan pendekatan Arsitektur Kepercayaan Nol (ZTA)di mana kepercayaan implisit tidak diasumsikan hanya karena berada "di dalam" jaringan perusahaan. Setiap permintaan yang relevan dievaluasi berdasarkan konteks, status perangkat, dan identitas, sehingga mengurangi dampak dari sesi yang berpotensi disusupi.
Perbandingan praktis metode dan rekomendasi MFA
Dengan mempertimbangkan semua hal di atas, wajar untuk bertanya... Metode otentikasi multi-faktor mana yang terbaik? dan bagaimana memilih kombinasi yang tepat untuk setiap kasus penggunaan tanpa membuat pengguna frustrasi.
Jika kita mengurutkan faktor-faktor tersebut dari yang terlemah hingga yang terkuat, kita dapat menempatkannya di bagian bawah. SMS, email, dan pertanyaan keamananMeskipun memenuhi persyaratan formal "sesuatu yang Anda miliki/ketahui", kartu SIM ini sangat rentan terhadap penukaran SIM, penerusan data, phishing, dan penggunaan kembali kata sandi.
Pada tingkat menengah terdapat Aplikasi TOTP, token fisik sederhana, dan metode biometrik tertentu. Fitur-fitur tersebut diimplementasikan dengan baik, menawarkan keseimbangan yang baik antara keamanan dan kemudahan penggunaan, serta merupakan rekomendasi standar untuk melindungi sebagian besar akun pribadi dan banyak akun perusahaan.
Di atas kita menemukan Kunci FIDO U2F/FIDO2 dan kata sandi tahan phishingMetode-metode ini menggabungkan kriptografi yang kuat, pengikatan domain, dan otentikasi yang terkait dengan perangkat. Untuk akun bernilai tinggi—keuangan, administrasi sistem, akses dasbor penting—metode ini adalah yang paling disukai.
Mulai dari titik ini, pemilihan bisnis tertentu harus mempertimbangkan hal-hal berikut: Jenis data apa yang dilindunginya, seberapa besar hambatan yang dapat ditoleransi oleh penggunanya, dan berapa anggaran yang dimilikinya? untuk menerapkan dan memelihara infrastruktur. Sebagian besar organisasi akhirnya menggabungkan beberapa pendekatan: MFA yang kuat untuk akses sensitif, SSO untuk kenyamanan sehari-hari, dan RBA untuk menyeimbangkan keamanan dan pengalaman pengguna.
Dalam skenario apa pun, ada poin-poin konsensus yang jelas: Aktifkan MFA (Autentikasi Multi-Factor) kapan pun memungkinkan, dan prioritaskan metode yang tahan terhadap phishing. Jika risikonya membenarkannya, lindungi pemulihan piutang dengan sangat baik, misalnya. Dapatkan kembali akses ke Windowsdan melatih pengguna untuk memahami mengapa mereka diminta untuk melakukan "langkah kedua" tersebut dan bagaimana mendeteksi upaya penipuan.
Dalam lingkungan di mana pencurian identitas menyumbang sebagian besar insiden, memperkuat otentikasi dengan metode yang tepat memungkinkan mengurangi secara drastis kemungkinan akun diretas tanpa mengorbankan pengalaman pengguna yang wajar, dan telah menjadi persyaratan dasar bagi pengguna individu maupun organisasi mana pun yang ingin menganggap keamanan, meskipun hanya sebatas minimal.
