Kunci sandi menjadi semakin umum berkat layanan konsumen seperti Google, Apple, Facebook, Meta, dan banyak lagi. Penggunaan kunci sandi secara signifikan meningkatkan keamanan dibandingkan dengan login berbasis kata sandi tradisional.
Adalah hal yang wajar jika beberapa solusi konsumen meluas ke penggunaan profesional-pikirkanlah tentang kemampuan untuk mengirim reaksi emoji ke email. Tetapi hanya karena Instagram mengizinkan saya masuk menggunakan kata sandi, apakah itu berarti bisnis juga harus melakukannya?
Singkatnya: apakah kunci sandi sudah siap untuk penggunaan perusahaan?
The Aliansi FIDO didirikan pada tahun 2013 oleh berbagai perusahaan untuk mengembangkan standar otentikasi yang akan berfungsi sebagai faktor kedua; hari ini, FIDO dapat berfungsi sebagai metode otentikasi tanpa kata sandi yang kuat.
Sejak tahun 2013, FIDO telah menjadi salah satu metode login tanpa kata sandi yang paling populer sebagian besar karena metode ini sesuai dengan singkatan yang membentuk namanya: memberikan identitas online yang cepat. Aliansi FIDO memiliki fokus yang kuat pada lingkungan konsumen. Tidak heran, karena anggota terbesarnya aktif dalam bidang ini: Apple, Google, PayPal, dan Microsoft (RSA adalah anggota Aliansi FIDO dan mengetuai Kelompok Kerja Penerapan Perusahaan).
Kredensial FIDO menggunakan pasangan kunci asimetris untuk mengautentikasi ke dalam sebuah layanan. Ketika kredensial FIDO didaftarkan ke sebuah layanan, pasangan kunci baru dibuat pada pengautentikasi FIDO dan layanan tersebut kemudian mempercayai pasangan kunci tersebut-dan hanya pasangan kunci tersebut. Pasangan kunci tersebut terhubung ke nama domain yang tepat dari layanan.
Pasangan yang ketat antara layanan dan kredensial FIDO inilah yang menciptakan tingkat resistensi phishing yang tinggi: jika pengguna mencoba masuk ke situs phishing palsu dengan kunci sandi yang dibuat untuk situs yang sebenarnya, mereka akan gagal karena domain yang dinamai tidak cocok dengan pasangan kuncinya.
Pada tahun 2022, Apple, Google, dan Microsoft meluncurkan dukungan untuk jenis kredensial FIDO baru, yang mereka sebut sebagai kunci sandi. Pada tahun 2023, Aliansi FIDO mengadopsi istilah "kunci sandi" untuk semua jenis kredensial FIDO, yang menyebabkan potensi kebingungan tentang apa yang dimaksud oleh sebuah organisasi ketika menyebutkan "kunci sandi."
Kemungkinan ambiguitas ini telah diatasi oleh Aliansi FIDO (lihat di bawah) tetapi masih bisa terjadi di organisasi. Penting untuk mengatasi ambiguitas tersebut, karena tidak semua kunci sandi dibuat sama atau sesuai untuk penggunaan perusahaan.
Jenis-jenis kunci sandi
Sekarang ada dua jenis kunci sandi, seperti yang didefinisikan oleh Aliansi FIDO: terikat perangkat dan disinkronkan.
Tombol sandi yang terikat perangkat vs tombol sandi yang disinkronkan
Kunci sandi yang terikat pada perangkat umumnya disimpan pada perangkat "kunci keamanan" tertentu. Pada kunci sandi yang terikat perangkat, pasangan kunci dibuat dan disimpan pada satu perangkat; selain itu, materi kunci itu sendiri tidak pernah meninggalkan perangkat itu. Jenis kunci sandi ini umumnya dianggap lebih aman karena kunci pribadi tidak pernah meninggalkan perangkat, membuatnya tahan terhadap ekstraksi atau kompromi jarak jauh. Akan tetapi, hal ini juga berarti bahwa jika perangkat hilang atau rusak, pengguna harus mendaftarkan ulang kunci sandi mereka pada perangkat mereka ketika perangkat tersebut ditemukan atau menambahkannya ke perangkat baru jika diperlukan. Kunci sandi yang terikat pada perangkat sangat disukai di lingkungan dengan tingkat keamanan tinggi dan kasus penggunaan perusahaan, yang sering kali memanfaatkan perangkat keras seperti kunci keamanan atau Modul Platform Tepercaya (TPM).
Kunci sandi yang disinkronkan
Dengan passkey yang disinkronkan, materi kunci disimpan melalui apa yang disebut sebagai fabric sinkronisasi jarak jauh, dan materi kunci kemudian dapat dipulihkan pada perangkat lain yang dimiliki oleh pengguna yang sama. Fabrik sinkronisasi utama saat ini adalah Microsoft, Google, dan Apple. Ini berarti bahwa jika Anda mendaftarkan ponsel Android Anda sebagai kunci sandi, maka materi kunci yang sesuai akan tersedia di semua perangkat Android Anda yang lain segera setelahnya.
Kunci sandi yang disinkronkan-selain mendapat dukungan dari layanan yang digunakan secara luas seperti WhatsApp atau Facebook-merupakan alasan utama peningkatan tajam dalam penggunaan kunci sandi secara umum. Sangat mudah untuk mengetahui alasannya: satu pengguna dengan banyak akun dan banyak perangkat dapat menggunakan kunci sandi yang disinkronkan yang sama di antara semuanya.
Passkey menggantikan kata sandi tradisional dengan pasangan kunci kriptografi, memberikan autentikasi yang kuat dan tahan phishing. Ketika pengguna mendaftar untuk sebuah layanan, perangkat mereka menghasilkan pasangan kunci privat-publik yang unik. Kunci privat tetap tersimpan dengan aman di perangkat pengguna sementara kunci publik dibagikan dengan layanan. Selama login, perangkat membuktikan kepemilikan kunci pribadi dengan menandatangani tantangan dari layanan, dan tanda tangan tersebut diverifikasi menggunakan kunci publik yang tersimpan. Tidak ada rahasia bersama yang dikirimkan, dan tidak ada kata sandi yang dibuat atau disimpan, sehingga secara dramatis mengurangi risiko pencurian kredensial atau serangan pemutaran ulang.
Kata sandi tradisional bergantung pada rahasia bersama yang dapat ditebak, dicuri, atau dibobol, sehingga menjadi pintu masuk yang umum bagi para penyerang. Kata sandi ini sering kali digunakan kembali di berbagai akun, disimpan dengan tidak aman, dan rentan terhadap serangan brute-force atau serangan pengisian kredensial.
Passkey menghilangkan risiko ini dengan mengganti kata sandi dengan kriptografi kunci publik-pribadi. Kunci privat tidak pernah meninggalkan perangkat pengguna, dan autentikasi terjadi dengan membuktikan kepemilikan kunci tersebut-tanpa mengirimkannya. Pendekatan ini membuat vektor serangan yang paling umum menjadi tidak berguna, termasuk phishing, pencurian kredensial, dan penggunaan ulang kata sandi. Untuk organisasi, kunci sandi menawarkan lompatan maju dalam autentikasi yang aman, sekaligus mengurangi beban pengaturan ulang kata sandi dan tiket dukungan.
- Tahan phishing: Kunci sandi dirancang untuk mencegah serangan phishing tradisional. Karena tidak ada kata sandi yang terlibat, tidak ada yang bisa dicuri atau digunakan kembali.
- Cepat dan nyaman: Masuk dengan kunci sandi sering kali semudah menggunakan biometrik (seperti ID Wajah atau sidik jari), sehingga pengalaman pengguna menjadi lebih lancar.
- Pengalaman pengguna yang akrab: Login dengan kunci sandi menyerupai pola autentikasi seluler pada umumnya, jadi hanya sedikit atau bahkan tidak ada kurva pembelajaran.
- Keamanan pencocokan domain: Passkey menawarkan lapisan perlindungan ekstra dengan memastikan materi kunci hanya bekerja dengan domain layanan asli - manfaat yang tidak diberikan oleh semua metode MFA.
- Disetujui pemerintah: Di A.S., perlawanan terhadap phishing adalah pendorong utama di balik mandat federal. Perintah Eksekutif 14028 membutuhkan autentikasi tanpa kata sandi dan tahan phishing untuk melindungi infrastruktur penting.
Meskipun kunci sandi memberikan keuntungan yang signifikan, kunci sandi juga memiliki beberapa tantangan dan masalah yang signifikan.
- Pengalaman pengguna: Permintaan kunci sandi, seperti permintaan untuk memasukkan kunci keamanan ke dalam port USB atau memasukkan PIN, misalnya, terlihat berbeda, tergantung pada sistem operasi dan browser. Permintaan tersebut kemungkinan akan mempersulit pelatihan pengguna dan meningkatkan panggilan dukungan.
- Gangguan dari serangan lain: Siapa pun yang berpikir bahwa penggunaan kunci sandi secara tiba-tiba membuat mereka kebal terhadap bypass MFA seperti serangan rekayasa sosial, sangat keliru. Kunci sandi membantu melawan satu jenis serangan rekayasa sosial: phishing. Sayangnya, ada varian lainnya. Serangan terhadap MGM Resorts atau Caesars Palace di Las Vegas memiliki komponen rekayasa sosial: mengeksploitasi meja bantuan untuk mengizinkan penyerang mendaftarkan autentikator MFA sendiri.
- Kehilangan perangkat atau tantangan peningkatan: Jika pengguna kehilangan akses ke perangkat (dan belum mengaktifkan sinkronisasi atau pencadangan), mereka mungkin akan mengalami kesulitan untuk memulihkan kunci sandi mereka-khususnya untuk kunci yang terikat pada perangkat.
- Dukungan terbatas di semua layanan: Meskipun adopsi terus berkembang, belum semua situs web atau sistem perusahaan mendukung kunci sandi, yang dapat membatasi kegunaannya sehari-hari.
- Kebingungan pengguna atau kurangnya kesadaran: Konsep kunci sandi masih baru bagi banyak pengguna, yang dapat menyebabkan kebingungan tentang penyiapan, sinkronisasi, atau apa yang sebenarnya terjadi di balik layar. Variasi dalam terminologi (kunci sandi, kunci keamanan, kunci FIDO) dan standar yang terus berkembang di seluruh industri dapat meningkatkan kebingungan ini dan menyulitkan pengguna dan organisasi untuk memahami dengan jelas praktik terbaik serta secara konsisten menerapkan dan mengadopsi kunci sandi. Hal ini juga dapat menyebabkan kesalahan saat penyiapan dan penggunaan, peningkatan panggilan dukungan, dan potensi celah keamanan.
- Kesiapan infrastruktur: Menerapkan kode sandi mungkin mengharuskan organisasi untuk melakukan pembaruan pada platform identitas, kebijakan manajemen perangkat, dan upaya pelatihan-terutama ketika beralih dari autentikasi lama. Organisasi mungkin menemukan bahwa sumber daya lama atau sumber daya lokal mungkin tidak kompatibel dengan kode sandi karena otentikasi hanya web. Dalam kasus tersebut, organisasi harus memodernisasi MFA mereka dengan kemampuan tanpa kata sandi yang dapat menjangkau lingkungan dan memelihara infrastruktur lama.
Mengingat tantangan yang dihadapi oleh passkey saat ini dalam hal menghadirkan alur kerja yang seragam di berbagai peramban, perangkat, dan sistem operasi, apa yang dapat dilakukan oleh industri ini untuk memastikan pengalaman lintas platform yang benar-benar mulus? Bagaimana kita dapat menentukan jalur terbaik untuk menyelesaikan ketidakkonsistenan yang dapat membingungkan pengguna dan menghambat adopsi secara luas? Di RSA, kepemimpinan UX kami secara aktif terlibat dalam kelompok kerja Aliansi FIDO untuk mengadvokasi pengalaman pengguna yang konsisten. Dengan menyumbangkan wawasan kami, kami bertujuan untuk membantu membentuk standar yang menghasilkan lebih sedikit gangguan, lebih sedikit gesekan, dan lebih banyak keseragaman bagi pengguna akhir.
Mobilitas adalah aspek lain dalam menciptakan pengalaman passkey yang mulus di seluruh lingkungan. Pengguna tenaga kerja semakin mengharapkan kenyamanan alur kerja yang mengutamakan perangkat seluler. Jika mengakses sumber daya perusahaan di ponsel pintar terasa sama intuitifnya dengan membuka kunci perangkat yang sama, adopsi metode autentikasi baru-seperti kunci sandi-menjadi jauh lebih mudah. Pengalaman seluler tanpa hambatan membantu meruntuhkan resistensi pengguna, meminimalkan kurva pembelajaran dan membuat transisi dari kata sandi menjadi jauh lebih lancar. Dengan menghadirkan antarmuka yang familiar, transparan tentang izin, dan konsisten terlepas dari perangkat atau platform pengguna, organisasi dapat mengurangi kebingungan dan meningkatkan kepercayaan. Solusi RSA mobile FIDO berfungsi sebagai contoh bagaimana mengimplementasikan kata sandi dengan cara yang bersifat perangkat-agnostik.
Mereka mengatakan bahwa ketika Anda memiliki palu, segala sesuatu dapat terlihat seperti paku. Mengubah solusi-bahkan solusi yang hebat-yang awalnya ditujukan untuk penggunaan konsumen menjadi aplikasi perusahaan dapat menimbulkan risiko yang signifikan.
Sewaktu membaca artikel ini, Anda mungkin merasa mual saat menyebutkan "kain sinkronisasi". Firasat Anda benar.
Fakta bahwa kunci sandi muncul seolah-olah secara ajaib di semua perangkat tempat pengguna masuk melalui Apple atau Google adalah tanda bahaya besar di lingkungan perusahaan dan harus menimbulkan beberapa pertanyaan penting:
- Haruskah pengguna diizinkan untuk menggunakan beberapa perangkat (mungkin juga yang digunakan secara pribadi) untuk autentikasi sama sekali? Jika ya... berapa banyak?
- Kunci sandi yang disinkronkan memungkinkan pemulihan kunci sandi yang "hilang" dengan proses pemulihan akun, misalnya, Google atau Apple. Itu bagus... tetapi apakah proses ini cukup aman untuk Anda?
- Fitur Apple yang memungkinkan pengguna untuk berbagi kunci sandi dengan teman atau keluarga cukup bagus... tetapi apakah ini juga berlaku untuk kunci sandi yang digunakan untuk masuk ke aplikasi perusahaan?
Ketika menggunakan kunci sandi yang disinkronkan, keamanan perusahaan Anda tiba-tiba sangat bergantung pada keamanan teknis dan organisasi Apple dan Google. Tentu saja, ada ketergantungan tertentu karena penggunaan iOS dan Android-tetapi kunci sandi yang disinkronkan meningkatkan ketergantungan ini secara signifikan.
Ini juga bukan kerentanan teoretis. Tahun lalu Retool membahas bagaimana para pelaku ancaman menggunakannya untuk mendapatkan akses ke sistemnya: Retool menulis bahwa fungsi tersebut berarti bahwa "jika akun Google Anda disusupi, maka sekarang adalah kode MFA Anda."
Ini juga bukan kerentanan teoretis. Tahun lalu Retool membahas bagaimana para pelaku ancaman menggunakannya untuk mendapatkan akses ke sistemnya: Retool menulis bahwa fungsionalitas tersebut berarti bahwa "jika akun Google Anda disusupi, maka sekarang adalah kode MFA Anda."
Apakah kunci sandi harus digunakan di perusahaan tidak bisa dijawab dengan cara yang umum. Setiap organisasi berbeda dan harus menyeimbangkan antara keamanan dan prioritas operasionalnya yang unik.
Selain itu, apakah akan menggunakan kunci sandi atau tidak, seharusnya tidak menjadi pertanyaan ya/tidak. Pengenalan kunci sandi atau login tanpa kata sandi secara umum harus digunakan untuk meninjau secara mendasar seluruh proses MFA organisasi. Apa yang baik untuk token OTP perangkat keras selama 15 tahun mungkin tidak lagi sepenuhnya benar untuk kunci sandi atau metode MFA lainnya saat ini.
RSA percaya bahwa kunci sandi dapat digunakan untuk penggunaan perusahaan jika sesuai dengan strategi organisasi dan jika organisasi memikirkan jawaban atas pertanyaan-pertanyaan berikut ini. Kami telah melihat organisasi yang menggunakan kunci sandi dengan sukses menggunakan RSA® ID Plus, platform manajemen identitas dan akses (IAM) kami yang komprehensif yang menyediakan berbagai opsi tanpa kata sandi.
Karena kami adalah organisasi yang mengutamakan keamanan dan menggunakan prinsip-prinsip Secure by Design/Secure by Default, kami mencegah penggunaan kata sandi yang disinkronkan secara default. Hanya kunci sandi yang terikat pada perangkat yang tersedia secara default di lingkungan RSA untuk memberikan tingkat keamanan maksimum di luar kotak, dan tanpa pekerjaan tambahan oleh admin.
Ketika menilai apakah akan memperkenalkan kunci sandi, organisasi harus bertanya: Bagaimana autentikator kita terdaftar? Apakah ada proses yang dengan aman menangani skenario "Saya kehilangan pengautentikasi saya"? Bagaimana dengan klasifikasi pengguna, aplikasi, dan data?
Kunci sandi adalah satu Metode MFA di antara sekian banyak. Ya, ketahanan phishing mereka fantastis, tetapi bisakah pengguna masuk dengan itu di desktop jarak jauh mereka?
Untuk alasan ini dan banyak alasan lainnya, penting bahwa sistem MFA Anda tidak hanya mutakhir secara teknis, tetapi juga mendukung berbagai macam metode MFA, seperti kode QR, biometrik, OTP, pesan push, dan kunci sandi.
Penting juga bahwa proses di sekitar MFA disesuaikan dengan ancaman-ancaman baru. Hal ini jauh melampaui sistem MFA yang sebenarnya: apakah meja bantuan Anda juga aman dari serangan rekayasa sosial?
Jika kunci sandi masuk akal bagi Anda, maka kami ingin membantu. Hubungi kami untuk mempelajari lebih lanjut atau memulai uji coba ID Plus gratis selama 45 hari.
