Apa itu FIDO?

Alih-alih mengandalkan sesuatu yang diketahui pengguna dan dapat dengan mudah ditipu agar membagikannya, otentikasi FIDO menggunakan kredensial kriptografi yang terikat pada perangkat atau aplikasi otentikator yang dikendalikan oleh pengguna. Bagi perusahaan yang beralih dari penggunaan kata sandi, FIDO telah menjadi salah satu standar dasar di balik otentikasi tanpa kata sandi modern, passkeys, dan otentikasi multi-faktor yang tahan terhadap serangan phishing.

Aliansi FIDO adalah asosiasi industri terbuka yang mengembangkan standar otentikasi yang bertujuan untuk mengurangi ketergantungan dunia terhadap kata sandi. Anggotanya meliputi penyedia layanan identitas, produsen perangkat, pengembang peramban, lembaga keuangan, dan lembaga pemerintah, yang semuanya bekerja sama untuk mencapai tujuan bersama: menjadikan proses masuk (sign-in) lebih aman dan lebih mudah bagi pengguna.

FIDO bukanlah sebuah produk, dan tidak dimiliki oleh satu vendor pun. Ini adalah pendekatan berbasis standar yang dapat diterapkan di berbagai perangkat, sistem operasi, peramban, aplikasi, dan alat otentikasi. Keterbukaan inilah yang menjadikan FIDO bermanfaat bagi perusahaan. Standar yang sama yang berfungsi pada kunci keamanan dari satu produsen juga berfungsi pada otentikator berbasis platform dari produsen lain, pada perangkat seluler, atau di dalam peramban. Hasilnya adalah landasan yang konsisten yang dapat dijadikan dasar oleh organisasi tanpa harus terikat pada satu ekosistem saja.

RSA adalah salah satu anggota pendiri dari Aliansi FIDO dan menjabat sebagai anggota dewan direksi organisasi tersebut. RSA juga merupakan anggota kelompok kerja Aliansi FIDO berikut ini:

• Kelompok Kerja Penerapan di Tingkat Perusahaan
• Kelompok Kerja Pengalaman Pengguna
• Kelompok Kerja Layanan Metadata
• Kelompok Kerja Teknis
• Subkelompok Pengalaman Pengguna Perusahaan
• Subkelompok otentikasi perangkat lunak non-CTAP

Baru-baru ini, Aliansi FIDO menerbitkan sebuah studi kasus menjelaskan bagaimana RSA menerapkan otentikasi tanpa kata sandi bagi para karyawannya di seluruh dunia.

FIDO merupakan singkatan dari Fast Identity Online. Nama tersebut mencerminkan tujuan di balik standar ini: otentikasi yang lebih cepat, lebih sederhana, dan lebih aman daripada kata sandi. Saat ini, FIDO sangat erat dikaitkan dengan otentikasi tanpa kata sandi, passkey, dan MFA yang tahan terhadap serangan phishing.

Otentikasi FIDO dibangun berdasarkan kriptografi kunci publik. Setiap kali pengguna mendaftar ke layanan daring, perangkat otentikasi akan menghasilkan sepasang kunci yang unik. Kunci pribadi tidak pernah meninggalkan perangkat otentikasi milik pengguna. Kunci publiklah yang disimpan oleh layanan tersebut. Saat pengguna masuk, layanan tersebut mengirimkan tantangan yang hanya dapat dijawab oleh kunci pribadi yang sesuai, yang membuktikan bahwa pengguna mengendalikan kredensial tersebut tanpa perlu mengirimkan kata sandi melalui jaringan.

Dalam praktiknya, alurnya terlihat seperti ini:

1. Seorang pengguna mendaftarkan aplikasi otentikasi: Hal ini bisa berupa perangkat, faktor biometrik, kunci keamanan, atau alat otentikasi lain yang didukung oleh FIDO.
2. Autentikator membuat sepasang kunci: Kunci pribadi tetap berada di tangan pengguna aplikasi otentikasi. Kunci publik didaftarkan ke layanan daring.
3. Pengguna melakukan verifikasi secara lokal: Pengguna dapat membuka kunci aplikasi otentikator menggunakan data biometrik, PIN, atau metode lokal lainnya.
4. Layanan ini memverifikasi respons kriptografis: Layanan ini memastikan bahwa pengguna memiliki kendali atas kunci pribadi tanpa menerima kunci pribadi itu sendiri.
5. Otentikasi berhasil tanpa mengirimkan kata sandi: Hal ini membantu mengurangi risiko terpapar serangan phishing dan pencurian data otentikasi.

Karena tidak ada rahasia bersama yang pernah keluar dari perangkat otentikator pengguna, penyerang yang menyadap lalu lintas jaringan, membobol basis data server, atau membuat halaman login palsu yang meyakinkan tidak akan menemukan apa pun yang berguna untuk dicuri.

FIDO merupakan keluarga standar otentikasi terbuka yang lebih luas. FIDO2 adalah kumpulan standar FIDO versi modern yang mencakup WebAuthn dan CTAP, dan inilah yang umumnya dimaksud oleh kebanyakan orang saat ini ketika mereka membicarakan tentang login tanpa kata sandi, passkey, dan MFA yang tahan terhadap serangan phishing.

FIDO menggantikan kata sandi dengan kredensial kriptografis yang dikendalikan oleh pengguna. Dari sudut pandang pengguna, proses masuk dapat berupa sidik jari, pemindaian wajah, PIN perangkat, sentuhan pada kunci keamanan, atau persetujuan melalui aplikasi otentikator seluler. Dari sudut pandang layanan, yang sebenarnya mengotentikasi pengguna adalah bukti kriptografis yang terikat pada kredensial tersebut.

Ini adalah perbedaan yang penting. Data biometrik atau PIN bukanlah yang dikenali oleh layanan tersebut. Keduanya hanyalah metode lokal yang digunakan pengguna untuk membuka kunci aplikasi otentikatornya. Proses otentikasi itu sendiri bergantung pada kepemilikan kredensial FIDO dan respons kriptografis yang dihasilkannya. Itulah yang menjadikan FIDO berguna untuk otentikasi tanpa kata sandi. Pengguna tidak perlu mengetik apa pun, penyerang tidak memiliki data apa pun yang bisa dijadikan sasaran phishing, dan tidak ada informasi yang dapat digunakan kembali untuk dicuri. Bergantung pada cara organisasi mengimplementasikannya, FIDO dapat mendukung proses masuk tanpa kata sandi sama sekali atau berfungsi sebagai faktor kedua yang kuat dalam alur MFA yang lebih luas.

Passkey adalah kredensial FIDO yang didasarkan pada kriptografi kunci publik, dan inilah cara yang akan digunakan sebagian besar pengguna untuk menjalani otentikasi berbasis FIDO dalam kehidupan sehari-hari. Sebuah passkey dapat disimpan di satu perangkat, disinkronkan di seluruh perangkat pengguna melalui penyedia layanan cloud, atau dikaitkan dengan autentikator perangkat keras. Dalam semua kasus tersebut, mekanisme dasarnya sama: kunci pribadi di sisi pengguna, kunci publik yang terdaftar pada layanan, dan tantangan kriptografi sebagai pengganti kata sandi.

Bagi perusahaan, passkey memang menjanjikan, namun belum sepenuhnya matang. Pengalaman pengguna sangat baik, dan peningkatan keamanannya dibandingkan dengan kata sandi sangat signifikan. Namun, organisasi masih perlu mempertimbangkan dengan cermat bagaimana passkey diterbitkan, di mana passkey tersebut disimpan, bagaimana sinkronisasinya, bagaimana passkey dipulihkan ketika pengguna kehilangan perangkat, dan bagaimana passkey dikelola sepanjang siklus hidup identitas. Pertanyaannya bukanlah apakah kunci akses Hal ini bergantung pada apakah model penerapan tersebut sesuai dengan persyaratan jaminan dan pengendalian dari lingkungan tempat model tersebut akan diterapkan.

Kredensial FIDO terikat pada domain layanan yang sah. Ikatan itulah yang membuat standar ini tahan terhadap serangan phishing. Seorang pengguna yang ditipu hingga mengunjungi situs tiruan tidak dapat menyelesaikan alur otentikasi yang sama di sana, karena kredensial kriptografis tersebut tidak akan merespons domain yang tidak terdaftar atas namanya.

Ada beberapa hal spesifik yang perlu diperhatikan:

• FIDO tidak mengirimkan kata sandi yang dapat digunakan kembali melalui jaringan.
• Kunci pribadi tetap berada di tangan pengguna otentikator dan tidak pernah diungkapkan kepada layanan tersebut.
• Kredensial kunci publik berlaku khusus untuk pihak yang mengandalkan atau domain tertentu.
• FIDO dapat mengurangi risiko yang timbul akibat phishing kredensial, kelelahan akibat MFA, dan beberapa teknik untuk mengelabui MFA.
• FIDO akan memberikan hasil terbaik jika dipadukan dengan proses pendaftaran, pemulihan, dan tata kelola perangkat yang kuat.

Sifat-sifat inilah yang menjadi alasan mengapa para analis dan badan standar semakin sering menyebut FIDO ketika mereka membahas otentikasi yang tahan terhadap phishing. Hal ini menghilangkan kondisi-kondisi yang menjadi landasan sebagian besar serangan berbasis kredensial.

FIDO muncul dalam berbagai skenario perusahaan, dan penerapan yang tepat biasanya bergantung pada kelompok pengguna serta profil risikonya.

• Masuk tanpa kata sandi bagi karyawan: Karyawan menggunakan alat otentikasi yang didukung oleh FIDO untuk mengakses aplikasi bisnis tanpa kata sandi.
• MFA yang tahan phishing: Organisasi menggunakan FIDO sebagai faktor otentikasi yang lebih kuat untuk akses berisiko tinggi.
• Otentikasi dalam layanan perbankan dan keuangan: Bank dapat memanfaatkan sistem login tanpa kata sandi berbasis FIDO untuk mengurangi serangan phishing yang menargetkan kredensial serta meningkatkan keamanan akses bagi pelanggan maupun karyawan.
• Akses pengguna dengan hak istimewa: Administrator dan pengguna berisiko tinggi dapat menggunakan kredensial FIDO untuk jaminan akses yang lebih kuat.
• Akses ke aplikasi hibrida dan berbasis cloud: FIDO dapat mendukung identitas yang aman di lingkungan cloud, hybrid, dan on-premises jika diintegrasikan dengan arsitektur IAM yang tepat.
• IAM Berbasis Zero Trust: FIDO dapat mendukung manajemen identitas dan akses Zero Trust dengan memperketat verifikasi pengguna sebelum akses diberikan.

Alasan di balik penerapan FIDO mencakup aspek keamanan, pengalaman pengguna, dan strategi identitas jangka panjang. Manfaat utamanya meliputi:

• Mengurangi serangan berbasis kata sandi: FIDO membantu mengurangi risiko pencurian kredensial, penggunaan ulang kata sandi, dan serangan phishing.
• Mendukung MFA yang tahan terhadap phishing: Otentikasi FIDO2 dapat memberikan perlindungan yang lebih kuat dibandingkan SMS, OTP, atau sistem berbasis push sederhana MFA.
• Meningkatkan pengalaman pengguna: Pengguna dapat melakukan otentikasi menggunakan perangkat, aplikasi otentikator, pembukaan kunci biometrik, atau kunci keamanan, alih-alih mengetik kata sandi.
• Mendukung tujuan keamanan zero trust: FIDO memperkuat verifikasi identitas sebagai bagian dari sebuah Nol Kepercayaan Strategi IAM.
• Membantu memenuhi harapan otentikasi yang lebih ketat: FIDO dapat membantu organisasi dalam memenuhi persyaratan MFA yang lebih ketat serta standar keamanan siber.
• Dapat disesuaikan untuk berbagai kelompok pengguna: Perusahaan dapat menggunakan berbagai jenis otentikator untuk tingkat risiko, peran, dan lingkungan yang berbeda-beda.

Menerapkan FIDO belum tentu sama dengan mengimplementasikannya dengan baik. Sebagian besar nilainya berasal dari keputusan-keputusan terkait autentikator, pendaftaran, kelompok pengguna, infrastruktur, dan tata kelola.

Pilihan otentikator

Sebagian besar organisasi membutuhkan kombinasi dari keduanya. Otentikator seluler sangat cocok untuk akses karyawan sehari-hari. Kredensial yang terikat pada perangkat dan token perangkat keras seringkali lebih tepat digunakan untuk pengguna dengan hak istimewa, lingkungan yang diatur oleh regulasi, atau situasi di mana portabilitas kredensial perlu dikendalikan secara ketat. Otentikator berbasis platform yang terintegrasi ke dalam laptop dan ponsel menawarkan pengalaman pengguna yang baik bagi karyawan pada umumnya.

Pendaftaran dan pemulihan

Keamanan otentikasi yang kuat bergantung sepenuhnya pada seberapa kuat proses yang digunakan untuk mendaftarkannya. Jika seorang pengguna dapat memulihkan kredensial FIDO melalui alur kerja help desk yang lemah atau mekanisme cadangan berbasis kata sandi, manfaat jaminan keamanannya akan berkurang dengan cepat. Proses pemulihan perlu mendapat perhatian desain yang sama seperti alur otentikasi itu sendiri.

Kelompok pengguna dan tingkat risiko

Peran yang berbeda memiliki risiko yang berbeda pula. Pengguna dengan hak istimewa, kontraktor, vendor, dan karyawan yang terlibat dalam alur kerja yang diatur sering kali memerlukan metode otentikasi dengan tingkat jaminan yang lebih tinggi. Menyesuaikan opsi FIDO dengan kelompok pengguna merupakan bagian dari penerapan yang tepat.

Persyaratan cloud, hybrid, dan on-premises

FIDO harus dapat beroperasi di mana pun sistem identitas diperlukan. Bagi banyak perusahaan, hal ini berarti lingkungan cloud, hybrid, on-premises, dan lingkungan dengan tingkat keamanan tinggi secara bersamaan, termasuk implementasi yang bersifat sovereign atau terisolasi (air-gapped) di mana ekosistem passkey konsumen mungkin tidak berlaku.

Tata kelola dan kepatuhan

Kredensial FIDO seharusnya menjadi bagian dari siklus hidup identitas, bukan berada di luarnya. Artinya, penerbitan, pencabutan, dan bukti audit autentikator harus diintegrasikan dengan kebijakan akses dan alur kerja kepatuhan, alih-alih memperlakukan FIDO sebagai kemampuan yang berdiri sendiri.

FIDO adalah salah satu alat terkuat yang dimiliki perusahaan untuk meninggalkan sistem kata sandi dan menutup celah yang selama bertahun-tahun telah dimanfaatkan oleh serangan phishing kredensial. Namun, merealisasikan nilai tersebut tidak hanya bergantung pada pengaktifan passkey. Hal ini bergantung pada cara penerbitan autentikator, cara penanganan pemulihan, cara pengelolaan kebijakan akses, serta cara pemeliharaan jaminan identitas di seluruh lingkungan cloud, hybrid, on-premises, dan lingkungan dengan jaminan tinggi.

RSA membantu organisasi mengintegrasikan FIDO ke dalam strategi identitas tanpa kata sandi yang menyeluruh, dengan fleksibilitas otentikator, tata kelola, dan opsi penerapan yang dibutuhkan perusahaan di berbagai lingkungan yang kompleks. Untuk mengetahui bagaimana hal ini sesuai dengan organisasi Anda, jelajahi RSA otentikasi tanpa kata sandi dan otentikasi multi-faktor solusi.