Multifactor authentication (MFA) atau Otentikasi multifaktor adalah sistem keamanan yang membutuhkan lebih dari satu metode otentikasi dari kategori kredensial independen untuk memverifikasi identitas pengguna untuk login atau transaksi lainnya.

Otentikasi multifactor menggabungkan dua atau lebih kredensial independen: apa yang diketahui pengguna (kata sandi), apa yang dimiliki pengguna (token keamanan) dan apa yang digunakan pengguna (verifikasi biometrik).

Tujuan MFA adalah untuk menciptakan pertahanan berlapis dan membuatnya lebih sulit bagi orang yang tidak berwenang untuk mengakses target seperti lokasi fisik, perangkat komputer, jaringan atau basis data. Jika satu faktor dikompromikan atau dihancurkan, penyerang masih memiliki setidaknya satu penghalang lagi untuk ditembus sebelum berhasil membobol target.

Skenario MFA meliputi:

  • Menggesekkan kartu dan memasukkan PIN.
  • Masuk ke situs web dan diminta untuk memasukkan kata sandi satu kali (OTP) yang dikirim server otentikasi situs web ke telepon pemohon atau alamat email.
  • Mengunduh klien VPN dengan sertifikat digital yang valid dan masuk ke VPN sebelum diberikan akses ke jaringan.
  • Menggesekkan kartu, memindai sidik jari, dan menjawab pertanyaan keamanan.
  • Melampirkan token perangkat keras USB ke desktop yang menghasilkan kode akses satu kali dan menggunakan kode akses satu kali untuk masuk ke klien VPN.

Latar Belakang Penggunaan Otentikasi multifactor

Salah satu masalah terbesar dengan ID pengguna tradisional dan kata sandi masuk adalah kebutuhan untuk memelihara basis data kata sandi. Dienkripsi atau tidak, jika database di curi, ia akan menyediakan penyerang sebuah data untuk memverifikasi tebakannya dengan kecepatan yang hanya dibatasi oleh sumber daya perangkat kerasnya. Dengan waktu yang cukup, kata sandi yang ada di basis data akan berhasil di curi.

Karena kecepatan pemrosesan CPU meningkat, serangan brute force telah menjadi ancaman nyata. Perkembangan lebih lanjut seperti cracking kata sandi menggunakan GPGPU dan rainbow tables telah memberikan keuntungan yang sama bagi penyerang. GPGPU cracking misalnya, dapat menghasilkan lebih dari 500.000.000 kata sandi per detik, bahkan pada perangkat keras gaming kelas bawah.

GPU Computing
Perbandingan jumlah Core dalam prosesor dan GPU. 8 core vs Ribuan core.

Tergantung pada perangkat lunak tertentu, rainbow tables dapat digunakan untuk memecahkan kata sandi alfanumerik 14 karakter dalam waktu sekitar 160 detik. Sekarang kartu FPGA yang dibuat khusus, seperti yang digunakan oleh agen keamanan, menawarkan kinerja sepuluh kali lipat pada sebagian kecil dari penarikan daya GPU. Basis data kata sandi saja tidak memiliki peluang melawan metode seperti itu ketika itu adalah target yang spesifik.

Di masa lalu, sistem MFA biasanya mengandalkan otentikasi dua faktor. Semakin banyak vendor menggunakan label “multifaktor” untuk menjelaskan skema otentikasi yang membutuhkan lebih dari satu identitas identitas.

Faktor Otentikasi

multi factor auth

Faktor otentikasi adalah kategori kredensial yang digunakan untuk verifikasi identitas. Untuk MFA, setiap faktor tambahan dimaksudkan untuk meningkatkan kepastian bahwa suatu entitas yang terlibat dalam beberapa jenis komunikasi atau meminta akses ke beberapa sistem adalah siapa (manusia) atau dinyatakan sebagai apa (mesin atau layanan).

Tiga kategori paling umum sering digambarkan sebagai sesuatu yang Anda ketahui (faktor pengetahuan), sesuatu yang Anda miliki (faktor kepemilikan) dan sesuatu yang ada di badan Anda (faktor bawaan).

Faktor pengetahuan – informasi yang harus dapat disediakan pengguna untuk dapat masuk. Nama atau ID pengguna, kata sandi, PIN, dan jawaban atas pertanyaan rahasia semuanya termasuk dalam kategori ini. Lihat artikel otentikasi berbasis pengetahuan (KBA)

Faktor kepemilikan – apa pun yang harus dimiliki pengguna untuk dapat masuk, seperti token keamanan, token kata sandi satu kali (OTP), key fob, kartu ID karyawan atau kartu SIM ponsel. Untuk otentikasi seluler, smartphone  sering kali menyediakan faktor kepemilikan, bersama dengan aplikasi OTP.

Faktor bawaan – sifat biologis apa pun yang dimiliki pengguna yang dikonfirmasi untuk masuk. Kategori ini mencakup ruang lingkup metode otentikasi biometrik seperti pemindaian retina, pemindaian sidik jari, pemindaian iris, pemindaian pembuluh darah jari, pengenalan wajah, pengenalan suara, geometri tangan, bahkan geometri daun telinga.

Faktor lokasi – lokasi pengguna saat ini sering disarankan sebagai faktor keempat untuk otentikasi. Sekali lagi, keberadaan smartphone di mana-mana dapat membantu meringankan beban otentikasi di sini: Pengguna biasanya membawa ponsel mereka dan sebagian besar smartphone memiliki perangkat GPS, memungkinkan konfirmasi penjaminan dari lokasi login.

Faktor waktu – Waktu saat ini juga kadang-kadang dianggap sebagai faktor keempat untuk otentikasi atau alternatif faktor kelima. Verifikasi ID karyawan terhadap jadwal kerja dapat mencegah beberapa jenis serangan pembajakan akun karyawan. Seorang nasabah bank tidak dapat secara fisik menggunakan kartu ATM mereka di Jakarta misalnya, dan kemudian menarik uang di Papua 15 menit kemudian. Dengan otentikasi waktu ini dapat mencegah banyak kasus penipuan bank online.

Teknologi otentikasi multifaktor :

Token keamanan: Perangkat keras kecil yang dibawanya untuk mengotorisasi akses ke layanan jaringan. Perangkat mungkin dalam bentuk kartu pintar atau dapat disematkan pada objek yang mudah dibawa seperti key fob atau drive USB. Token perangkat keras menyediakan faktor kepemilikan untuk autentikasi multifaktor. Token berbasis perangkat lunak menjadi lebih umum daripada perangkat perangkat keras.

RSA SecurID key Fob
RSA SecurID key Fob

Soft token : Aplikasi token keamanan berbasis perangkat lunak yang menghasilkan PIN login sekali pakai. Soft token sering digunakan untuk otentikasi ponsel multifaktor, di mana perangkat itu sendiri – seperti smartphone – memberikan faktor kepemilikan.

Otentikasi seluler : Variasi meliputi: pesan SMS dan panggilan telepon yang dikirimkan kepada pengguna sebagai metode out-of-band, aplikasi OTP ponsel cerdas, kartu SIM dan kartu cerdas dengan data otentikasi yang tersimpan.

Soft token

Metode otentikasi biometrik seperti pemindaian retina, pemindaian sidik jari, pemindaian iris, pemindaian pembuluh darah jari, pengenalan wajah, pengenalan suara, geometri tangan, dan bahkan geometri daun telinga.

Smartphone GPS juga dapat memberikan lokasi sebagai faktor otentikasi dengan perangkat keras terpasang ini.

ID karyawan dan kartu pelanggan, termasuk strip magnetik dan smartcards.

Teknologi Smart card
Tagged: