Dengan kredensial yang dicuri atau dikompromikan yang menyumbang 80% pelanggaran data pada tahun 2024, menghentikan serangan berbasis kredensial sangat penting untuk melindungi akses ke data, aplikasi, dan sumber daya organisasi. Kunci untuk menangkis serangan jenis ini adalah otentikasi multi-faktor (MFA), yang membutuhkan beberapa faktor verifikasi untuk mendapatkan akses ke sumber daya yang aman.
Sesuai dengan namanya, metode autentikasi MFA membutuhkan autentikasi menggunakan dua faktor atau lebih dari kategori yang berbeda: sesuatu yang Anda ketahui (seperti kata sandi, PIN, atau jawaban untuk pertanyaan keamanan), sesuatu yang Anda miliki (seperti pengautentikasi fisik atau virtual), dan / atau sesuatu yang Anda miliki (karakteristik biometrik yang unik untuk Anda). Autentikasi dua faktor (2FA) adalah bagian dari MFA yang membutuhkan dua faktor dari kategori yang berbeda. Jika ada faktor tambahan yang ditambahkan di luar dua faktor, maka tetap saja itu adalah MFA.
Meskipun 2FA lebih aman daripada hanya memiliki satu faktor autentikasi, metode MFA membuat lingkungan autentikasi menjadi lebih aman-terutama dalam hal menghentikan kampanye phishing yang semakin canggih dan jenis serangan lainnya.
Sesuatu yang kau tahu
Kata sandi, PIN, pertanyaan keamanan: semua faktor berbasis pengetahuan ini sudah ada selama sumber daya yang aman membutuhkan perlindungan. Meskipun mereka melibatkan informasi yang hanya boleh diketahui oleh pengguna yang sah, sering kali pelaku kejahatan telah menemukan jalan menuju informasi tersebut juga - baik dengan phishing, serangan brute-force, kebocoran data, atau sekadar memanfaatkan kebersihan kata sandi yang buruk (misalnya, pengguna yang menggunakan kredensial yang sama berulang kali untuk semua hal).
Sulit untuk menyalahkan pengguna yang menuliskan atau menggunakan kembali kredensial untuk dieksploitasi oleh penyerang. Dengan banyaknya kata sandi yang berhubungan dengan sumber daya bisnis yang harus mereka lacaksekarang rata-rata 87, menurut sebuah penelitian-hampir tidak mungkin dilakukan tanpa bantuan. Dan hal ini menjadikan manusia sebagai mata rantai terlemah dalam hal keamanan siber.
Mengingat kelemahan inheren yang terkait dengan ketergantungan pada kata sandi, semakin banyak organisasi yang memprioritaskan otentikasi tanpa kata sandi, sering kali menggunakan kata sandi yang mengandalkan biometrik dan mekanisme non kata sandi lainnya untuk autentikasi. Organisasi juga menerapkan penggunaan pertanyaan keamanan dinamis yang terkait dengan konteks waktu nyata.
Sejauh kata sandi masih terus digunakan sampai sekarang, kata sandi sekarang hampir selalu - terutama di industri yang sensitif terhadap keamanan - digabungkan dengan faktor autentikasi tambahan. Sebagai contoh, masuk ke aplikasi perbankan saat ini kemungkinan besar mengharuskan pengguna untuk masuk dengan kata sandi dan juga menggunakan mekanisme biometrik seperti pengenalan wajah, terutama jika aktivitas yang tidak biasa terdeteksi.
Sesuatu yang Anda miliki
Faktor "sesuatu yang Anda miliki", yang secara resmi dikenal sebagai faktor kepemilikan, mengharuskan pengguna untuk memiliki objek fisik atau virtual yang dapat digunakan untuk autentikasi. Contohnya antara lain:
- Autentikator perangkat keras yang menghasilkan kata sandi sekali pakai (OTP), terutama di lingkungan dengan keamanan tinggi di mana perangkat seluler tidak tersedia
- Kunci keamanan yang didasarkan pada standar U2F dan juga mendukung teknologi nirkabel NFC, sehingga dapat digunakan baik di lingkungan USB maupun nirkabel
- Kartu pintar dengan kredensial autentikasi yang tersimpan di dalamnya untuk akses aman ke sumber daya
- Kunci sandi FIDO tahan phishing yang memungkinkan pengguna untuk masuk dengan biometrik perangkat atau PIN alih-alih menggunakan kata sandi
- Kunci sandi terikat perangkat yang terkait dengan perangkat tertentu (demi memaksimalkan keamanan, kunci sandi ini tidak dapat disinkronkan di beberapa perangkat)
Sesuatu yang Anda
Kapan pun Anda membuka kunci ponsel cerdas Anda menggunakan pengenalan wajah, atau mendapatkan akses ke aplikasi yang aman dengan memindai sidik jari Anda, Anda menggunakan faktor berbasis bawaan, yaitu, "sesuatu yang menjadi diri Anda." Sulit membayangkan pertahanan yang lebih baik, mengingat bentuk autentikasi ini sepenuhnya bergantung pada karakteristik biometrik unik Anda sendiri, yang hampir tidak mungkin-atau setidaknya sangat sulit-untuk mereproduksi. Pengenalan sidik jari atau wajah, pemindaian retina atau iris mata, deteksi pola suara, bahkan biometrik perilaku seperti kecepatan mengetik-semua itu adalah cara untuk membuktikan bahwa Anda adalah Anda yang sebenarnya.
Meskipun faktor berbasis bawaan dapat menimbulkan beberapa masalah privasi, terutama yang berkaitan dengan bagaimana (dan seberapa aman) data biometrik disimpan, sulit untuk menyangkal kekuatan dan nilai keamanan yang didasarkan pada siapa diri Anda, bukan pada apa yang Anda ketahui atau miliki (dan karena itu bisa lupa atau hilang). Ini juga merupakan area yang mengundang inovasi, termasuk tren yang muncul seperti autentikasi berkelanjutan berdasarkan faktor lingkungan (pilar utama Zero Trust), serta biometrik perilaku yang berfokus pada dinamika penekanan tombol dan pola gerakan mouse.
Tekan untuk menyetujui
- Definisi: Notifikasi pada perangkat yang meminta pengguna mengetuk untuk menyetujui permintaan akses
- Manfaat: Cara yang cepat dan nyaman untuk memberikan faktor tambahan untuk autentikasi waktu nyata
- Skenario: Akses ke aplikasi seluler yang aman
Kode sandi satu kali (OTP)
- Definisi: Kode yang dibuat secara otomatis yang mengautentikasi pengguna untuk satu sesi login
- Manfaat: Mekanisme otentikasi yang hanya dapat digunakan sekali, meningkatkan keamanan
- Skenario Perbankan online atau transaksi yang sensitif terhadap keamanan lainnya
Biometrik
- Definisi: Penggunaan perangkat atau aplikasi yang mengenali sidik jari atau biometrik lainnya
- Manfaat: Autentikasi nyaman yang sangat sulit dipalsukan atau ditiru
- Skenario: Akses aman ke perangkat atau aplikasi
Kunci sandi yang terikat pada perangkat
- Definisi: Metode autentikasi berdasarkan mekanisme biometrik atau mekanisme non kata sandi lainnya
- Manfaat: Risiko keamanan yang lebih rendah daripada kunci sandi yang disinkronkan yang digunakan di beberapa perangkat
- Skenario: Aplikasi tingkat perusahaan
Pengautentikasi perangkat keras
- Definisi: Token dalam bentuk autentikator penghasil OTP yang kecil dan portabel
- Manfaat: Kepemilikan fisik sebagai lapisan keamanan tambahan
- Skenario: Lingkungan aman di mana perangkat seluler bukan merupakan pilihan untuk autentikasi
Pengautentikasi perangkat lunak
- Definisi: Token yang ada sebagai aplikasi perangkat lunak pada ponsel cerdas atau perangkat lain
- Manfaat: Portabel dan mudah digunakan
- Skenario: Di mana pun perangkat yang dikeluarkan perusahaan atau pribadi dapat digunakan untuk autentikasi
Ada beberapa faktor yang perlu dipertimbangkan ketika Anda memikirkan metode MFA mana yang paling cocok untuk organisasi Anda, termasuk tingkat risiko dan sensitivitas data; kenyamanan dan aksesibilitas pengguna; serta persyaratan biaya dan implementasi. Berikut ini adalah pertanyaan-pertanyaan spesifik yang perlu dipertimbangkan dengan mempertimbangkan faktor-faktor tersebut.
Pertanyaan kritis dan rekomendasi untuk dipertimbangkan
- Apakah Anda memerlukan beberapa metode MFA untuk memenuhi kebutuhan berbagai lingkungan - di lokasi, jarak jauh, atau kombinasi keduanya? Menggunakan beberapa metode MFA yang dipilih secara strategis dan disediakan oleh satu penyedia akan membantu mengendalikan biaya dan merampingkan implementasi.
- Apakah Anda memiliki tenaga kerja jarak jauh yang menggunakan perangkat pribadi yang tidak dikelola untuk mengautentikasi guna mengamankan sumber daya? Pastikan salah satu metode MFA yang tersedia untuk Anda dirancang khusus untuk mendeteksi dan mengelola ancaman pada perangkat BYOD.
- Apakah Anda beroperasi terutama di lingkungan dengan keamanan tinggi (seperti ruangan yang bersih) di mana ponsel tidak diizinkan? Metode MFA yang menyertakan autentikasi token perangkat keras menggunakan token yang dapat dikelola di awan akan memungkinkan untuk memenuhi kebutuhan akan autentikasi yang aman dan kemudahan pengelolaan.
- Apa rencana Anda untuk kelangsungan bisnis, khususnya dalam hal mempertahankan autentikasi dan akses yang kuat, selama pemadaman listrik? Pertimbangkan lingkungan hibrida yang dapat beralih ke metode MFA lokal bila perlu.
- Apakah Anda diharuskan untuk mematuhi peraturan atau arahan khusus yang menetapkan ketahanan terhadap phishing atau kualitas spesifik lainnya dalam metode MFA Anda? Lakukan uji tuntas untuk memastikan bahwa metode MFA yang Anda pilih dirancang secara khusus untuk memenuhi persyaratan regulasi dan persyaratan lainnya.
Tidak mungkin melebih-lebihkan pentingnya metode MFA dalam keamanan siber modern, terutama mengingat keragaman dan kompleksitas lingkungan autentikasi dan lingkungan ancaman saat ini. Beberapa metode MFA memungkinkan untuk mengambil pendekatan berlapis terhadap autentikasi, di mana penggunaan lebih dari satu metode menciptakan beberapa lapisan keamanan, sehingga menyulitkan pengguna yang tidak sah untuk mendapatkan akses. Memiliki beberapa metode yang tersedia juga dapat meningkatkan pengalaman pengguna, dengan menyediakan berbagai pilihan untuk menyesuaikan autentikasi dengan kebutuhan dan keadaan pengguna yang berbeda. Hubungi RSA untuk mulai menjelajahi berbagai solusi MFA komprehensif yang tersedia untuk Anda saat ini.
