What is Multi-Factor Authentication (MFA)?

By requiring people to confirm identity in more than one-way, multi-factor authentication provides greater assurance that they really are who they claim to be—which reduces the risk of unauthorized access to sensitive data. After all, it’s one thing to enter a stolen password to gain access; it’s quite another to enter a stolen password and then also be required to enter an OTP that was texted to the legitimate user’s smartphone.

Kombinasi dari dua faktor atau lebih memenuhi syarat sebagai autentikasi multi-faktor. Penggunaan hanya dua faktor juga dapat disebut sebagai autentikasi dua faktor.

Langkah pertama – Nama pengguna dan kata sandi telah dimasukkan

Langkah pertama dalam proses Autentikasi Multi-Faktor biasanya melibatkan pengguna yang memasukkan nama pengguna dan kata sandi unik mereka. Metode otentikasi tradisional ini sering kali merupakan garis pertahanan awal terhadap akses yang tidak sah. Pengguna diminta untuk memberikan kredensial mereka pada halaman login yang aman. Namun, hanya mengandalkan nama pengguna dan kata sandi bisa jadi tidak memadai karena berbagai ancaman, seperti serangan phishing, rekayasa sosial, serangan musuh di tengah-tengah, atau pelanggaran data pihak ketiga yang membuat kredensial pengguna tersedia bagi pelaku ancaman.

Oleh karena itu, baik itu untuk menyelesaikan proses MFA tradisional atau untuk bergerak di luar kata sandi, metode verifikasi tambahan diperlukan untuk meningkatkan postur keamanan organisasi.

Langkah kedua – Token atau PIN telah dimasukkan

Setelah berhasil memasukkan nama pengguna dan kata sandi, sebagian besar proses MFA meminta pengguna untuk memasukkan Nomor Identifikasi Pribadi (PIN) sementara atau kode sandi sekali pakai (OTP). Karakteristik utama dari langkah ini adalah bahwa token sensitif terhadap waktu dan sering kali berubah secara berkala. Ini berarti bahwa bahkan jika aktor jahat telah mendapatkan kata sandi pengguna, mereka masih membutuhkan akses ke token untuk menyelesaikan proses login. Persyaratan verifikasi ganda ini secara signifikan meningkatkan keamanan akun pengguna, membuatnya lebih sulit bagi penyusup untuk mendapatkan akses.

Meskipun menggunakan OTP sebagai faktor kedua jauh lebih aman daripada hanya menggunakan kata sandi, namun tidak seaman protokol lainnya. Selain itu, cara organisasi membagikan OTP juga merupakan faktor penting dalam menentukan keamanan keseluruhan proses autentikasi, dengan SMS dan email yang biasanya dianggap menawarkan keamanan yang lebih rendah secara keseluruhan.

Langkah ketiga – Verifikasi sidik jari atau data biometrik lainnya

Langkah terakhir dalam proses Autentikasi Multi-Faktor sering kali melibatkan verifikasi biometrik, seperti pemindaian sidik jari, pengenalan wajah, atau pemindaian iris mata, atau autentikasi berdasarkan sesuatu yang Anda miliki, seperti kunci sandi yang terikat pada perangkat. Biometrik mengandalkan karakteristik fisik unik yang sangat sulit untuk ditiru atau dipalsukan. Dengan membutuhkan verifikasi biometrik selain nama pengguna, kata sandi, dan token, MFA memastikan bahwa orang yang mencoba mengakses akun memang pengguna yang sah. Langkah ini sangat berharga di lingkungan seluler, di mana banyak perangkat dilengkapi dengan teknologi sidik jari atau pengenalan wajah. Menerapkan autentikasi biometrik tidak hanya meningkatkan keamanan tetapi juga memberikan pengalaman yang lancar dan ramah pengguna, karena pengguna dapat dengan cepat dan mudah memverifikasi identitas mereka tanpa perlu mengingat kode yang rumit.

Kunci sandi yang terikat pada perangkat dan autentikator perangkat keras atau token perangkat keras lainnya juga memberikan keamanan yang lebih baik. Kunci sandi yang terikat pada perangkat umumnya di-host pada perangkat 'kunci keamanan' tertentu, dengan pasangan kunci yang dihasilkan dan disimpan pada satu perangkat. Selain itu, materi kunci itu sendiri tidak pernah meninggalkan perangkat tersebut, sehingga alur autentikasi menjadi lebih aman.

Metode autentikasi multi-faktor biasanya dikategorikan dalam salah satu dari tiga cara:

1. 1. Sesuatu yang Anda ketahui-PIN, kata sandi, atau jawaban atas pertanyaan keamanan

Kata sandi dan PIN merupakan contoh dari faktor pengetahuan. Ini adalah rahasia yang diketahui oleh pengguna dan berfungsi sebagai garis pertahanan pertama. Sebagai bagian dari MFA, mereka mengaitkan keamanan pada informasi yang dianggap dapat diingat oleh pengguna dan tidak dapat diakses oleh orang lain.

2. Sesuatu yang Anda miliki-OTP, token, perangkat tepercaya, kartu pintar atau lencana, kunci sandi yang terikat pada perangkat

Kepemilikan perangkat fisik, seperti token perangkat keras, kunci sandi yang terikat pada perangkat, atau ponsel, merupakan faktor kepemilikan. Benda-benda ini sering kali menyimpan kunci kriptografi atau mampu menerima kode verifikasi, menambahkan penghalang tambahan untuk akses yang tidak sah. Dengan faktor kepemilikan, hanya dengan mengetahui kata sandi saja tidak cukup; akses membutuhkan sesuatu yang secara fisik dipegang oleh pengguna.

3. Sesuatu yang Anda miliki-wajah, sidik jari, pemindaian retina, atau biometrik lainnya

Faktor-faktor warisan berhubungan dengan karakteristik biometrik individu. Contohnya termasuk sidik jari, pengenalan wajah, pola suara, dan bahkan pemindaian retina. Faktor-faktor ini memanfaatkan keunikan ciri-ciri biologis manusia, yang menghadirkan rintangan besar bagi penyusup potensial.

Salah satu metode berikut ini dapat digunakan selain kata sandi untuk mencapai autentikasi multi-faktor.

• Biometrik—a form of authentication that relies on a device or application recognizing a biometric, such as a person’s fingerprint, facial features or the retina or iris of the eye
• Tekan untuk menyetujui—a notification on someone’s device that asks the user to approve a request for access by tapping their device screen
• One-time password (OTP)—an automatically generated set of characters that authenticates a user for one login session or transaction only
• Token perangkat keras or hard tokens or device-bound passkeys—a small, portable OTP-generating device, sometimes referred to as a key fob like the Seri RSA iShield Key 2 atau autentikator perangkat keras RSA DS100
• Token perangkat lunak or soft tokens or software authenticators—a token that exists as a software app on a smartphone or other device rather than as a physical token, like RSA’s Authenticator App available on iOS and Android

Meningkatkan keamanan

Autentikasi multi-faktor meningkatkan keamanan. Lagi pula, ketika hanya ada satu mekanisme yang menjaga sebuah titik akses, seperti kata sandi, satu-satunya hal yang harus dilakukan oleh pelaku kejahatan untuk mendapatkan akses masuk adalah menemukan cara untuk menebak atau mencuri kata sandi tersebut. Itulah sebabnya mengapa sebagian besar pelanggaran data dimulai dengan kredensial yang disusupi atau phishing, yang berujung pada penyusupan kredensial.

Tetapi jika untuk masuk juga membutuhkan faktor autentikasi kedua (atau bahkan kedua dan ketiga), maka akan jauh lebih sulit untuk masuk, terutama jika persyaratannya adalah sesuatu yang lebih sulit ditebak atau dicuri, seperti fitur biometrik.

MFA juga meningkatkan kemampuan suatu organisasi dalam Nol Kepercayaan maturity and stops phishing with phishing-resistant authentication.

Mendukung inisiatif digital

Dengan semakin banyaknya organisasi yang ingin menerapkan tenaga kerja jarak jauh Saat ini, semakin banyak konsumen yang memilih untuk berbelanja online bukan di toko, dan lebih banyak organisasi memindahkan aplikasi dan sumber daya lainnya ke awan, otentikasi multi-faktor adalah pendukung yang kuat. Mengamankan sumber daya organisasi dan e-commerce merupakan tantangan di era digital, dan autentikasi multi-faktor bisa sangat berharga untuk membantu menjaga keamanan interaksi dan transaksi online.

Dalam proses menciptakan lingkungan akses yang lebih aman, ada kemungkinan untuk menciptakan lingkungan yang kurang nyaman-dan itu bisa menjadi kelemahan. (Hal ini terutama terjadi karena Nol Kepercayaan, yang memperlakukan segala sesuatu sebagai ancaman potensial, termasuk jaringan dan aplikasi atau layanan apa pun yang berjalan di jaringan, terus mendapatkan daya tarik sebagai fondasi untuk akses yang aman). Tidak ada karyawan yang ingin menghabiskan waktu ekstra setiap hari untuk berurusan dengan berbagai rintangan untuk masuk dan mengakses sumber daya, dan tidak ada konsumen yang terburu-buru untuk berbelanja atau melakukan transaksi perbankan yang ingin dihalangi oleh berbagai persyaratan autentikasi. Kuncinya adalah menyeimbangkan keamanan dan kenyamanan sehingga akses aman, tetapi persyaratan untuk akses tidak terlalu berat sehingga menciptakan ketidaknyamanan yang tidak semestinya bagi mereka yang secara sah membutuhkannya.

Salah satu cara untuk mencapai keseimbangan antara mencapai keamanan dan memastikan kenyamanan adalah dengan meningkatkan atau menurunkan persyaratan autentikasi berdasarkan apa yang dipertaruhkan-yaitu risiko yang terkait dengan permintaan akses. Inilah yang dimaksud dengan autentikasi berbasis risiko. Risiko bisa terletak pada apa yang diakses, siapa yang meminta akses, atau keduanya.

• Risiko yang ditimbulkan oleh apa yang diakses: For example, if someone requests digital access to a bank account, is it to initiate a funds transfer, or just to check the status of a transfer that’s already been initiated? Or if someone interacts with an online shopping website or app, is it to order something, or just to check the delivery status of an existing order?  A username and password may suffice for the latter, but multi-factor authentication makes sense when there’s a high-value asset at risk.
• Risiko yang ditimbulkan oleh siapa yang meminta akses: Ketika seorang karyawan atau kontraktor jarak jauh meminta akses ke jaringan perusahaan dari kota yang sama setiap hari, menggunakan laptop yang sama setiap saat, hanya ada sedikit alasan untuk mencurigai bahwa itu bukan orang tersebut. Namun apa yang terjadi jika permintaan dari Mary di Minneapolis tiba-tiba datang dari Moskow di suatu pagi? Potensi risikonya (apakah itu benar-benar dia?) mengharuskan adanya permintaan autentikasi tambahan.

Autentikasi multi-faktor terus berkembang untuk menyediakan akses yang lebih aman bagi organisasi dan tidak terlalu merepotkan bagi pengguna. Biometrik adalah contoh yang bagus untuk ide ini. Keduanya lebih aman, karena sulit untuk mencuri sidik jari atau wajah, dan lebih nyaman, karena pengguna tidak perlu mengingat apa pun (seperti kata sandi) atau melakukan upaya besar lainnya. Berikut ini adalah beberapa kemajuan yang membentuk autentikasi multi-faktor saat ini.

• Artificial intelligence (AI) and machine learning (ML): AI and ML can be used to recognize behaviors that indicate whether a given access request is “normal” and therefore does not require additional authentication (or, conversely, to recognize anomalous behavior that does warrant it).
• Fast Identity Online (FIDO): FIDO authentication is based on a set of free and open standards from the FIDO Alliance. It enables password logins to be replaced with secure and fast login experiences across websites and apps.
• Passwordless authentication: Rather than using a password as the main method of verifying identity and supplementing it with other non-password methods, passwordless authentication eliminates passwords as a form of authentication.

Yakinlah bahwa autentikasi multi-faktor akan terus berubah dan berkembang dalam upaya mencari cara untuk membuktikan bahwa mereka memang benar seperti yang mereka katakan-dengan andal dan tanpa melewati berbagai rintangan.

Coba Solusi otentikasi multi-faktor (MFA) cloud ID Plus—one of the most secure products on the market, and the world’s most deployed MFA.

Find out why: sign up for our free 45-day trial: Mulai uji coba gratis