Masuk dua langkah

Kode enam digit punya tepat 1 000 000 kemungkinan nilai, jadi pencuri yang punya kata sandimu dan mendapat lima tebakan punya peluang 1 banding 200 000.

Seorang pencuri punya kata sandimu. Berapa peluangnya menebak kode?

Mulai dengan teka-teki. Seseorang telah mencuri kata sandimu, tetapi situs juga meminta kode enam digit, dan pencuri itu mendapat lima kali percobaan. Seberapa mungkin ia beruntung menebaknya? Hitunglah di latihan di bawah sebelum lanjut membaca.

Enam digit berkisar dari 000000 sampai 999999, yaitu 10⁶ = 1 000 000 kode. Lima tebakan memberi peluang 5 dari 1 000 000, atau 1 banding 200 000. Dengan kata sandi saja, pencuri itu sudah masuk. Dengan kode, hampir tidak pernah. Selisih itulah yang kamu dapatkan dari autentikasi multifaktor.

Tiga jenis bukti, dan mengapa dua kata sandi tetap satu jenis

Autentikasi multifaktor (MFA), yang sering disebut masuk dua faktor atau dua langkah, meminta bukti dari lebih dari satu jenis faktor. CISA membagi jenisnya menjadi sesuatu yang kamu ketahui (kata sandi atau PIN), sesuatu yang kamu miliki (ponsel atau kunci keamanan), dan sesuatu yang merupakan dirimu (sidik jari atau wajah). Dua kata sandi tetap satu jenis. Saran CISA untuk semua orang adalah menyalakan MFA di setiap akun yang menyediakannya, mulai dari email, media sosial, dan akun keuangan. Email didahulukan karena tautan atur ulang kata sandi dikirim ke sana. Siapa pun yang menguasai kotak masukmu bisa mengatur ulang hampir semua akun lainnya.

Kode yang bisa diteruskan, dan kunci yang tidak bisa

Pilihan yang umum berbeda dalam hal ketahanannya. Kode yang dikirim lewat SMS atau panggilan suara melewati jaringan telepon. NIST menggolongkannya sebagai autentikator terbatas. Kode ini masih diizinkan, tetapi layanan harus menawarkan alternatif dan memperingatkan pengguna tentang risikonya, serta sebaiknya mewaspadai tanda-tanda seperti penggantian SIM atau pemindahan nomor yang baru terjadi, karena penjahat bisa membujuk perusahaan telepon untuk memindahkan nomormu ke SIM mereka. Kode dari aplikasi autentikator dibuat di ponselmu dan tidak pernah melewati jaringan. Notifikasi push memintamu mengetuk Setujui. Penjahat kadang mengirim puluhan permintaan, berharap kamu mengetuk salah satunya agar berhenti, jadi CISA menyarankan pencocokan angka, yaitu kamu mengetik angka yang tampil di layar login.

Semua cara ini masih bisa di-phishing. Halaman login palsu meminta kodemu, kamu mengetiknya, dan penjahat meneruskannya ke situs asli dalam hitungan detik. NIST menyatakan dengan jelas bahwa metode yang melibatkan pengetikan kode secara manual tidak tahan phishing, karena tidak ada yang mengikat kode itu ke situs asli. CISA menyebut MFA tahan phishing sebagai standar emas dan menyatakan bahwa satu-satunya jenis yang tersedia luas adalah FIDO/WebAuthn: kunci keamanan dan passkey, yang seperti ditunjukkan unit sebelumnya, hanya menjawab situs tempat keduanya dibuat. MFA apa pun tetap jauh lebih baik daripada tidak ada sama sekali.

Sebelum ponselmu hilang

Saat kamu menyalakan masuk dua langkah, kebanyakan layanan menampilkan daftar kode pemulihan sekali pakai. NIST menyebutnya look-up secret (rahasia daftar). Kode itu jalan masukmu kembali jika ponselmu hilang, jadi simpan di tempat yang aman dan terpisah dari ponsel: dicetak dan disimpan di rumah, atau di pengelola kata sandi. Jangan pernah menempelkannya ke email untuk dirimu sendiri, dan jangan pernah membacakannya kepada orang yang meneleponmu. Tim dukungan yang asli tidak pernah membutuhkannya.

Rencanakan untuk ponsel yang hilang atau diganti sebelum hal itu terjadi. Kebanyakan layanan memungkinkanmu mendaftarkan lebih dari satu faktor kedua, misalnya aplikasi autentikator dan kunci keamanan, atau passkey di dua perangkat. Saat berganti ponsel, pindahkan aplikasi autentikator atau passkey ke ponsel baru sebelum menghapus isi ponsel lama. Jika ponsel hilang, masuklah dengan kode pemulihan atau faktor lain dan hapus perangkat yang hilang dari setiap akun.