Setelah kata sandi, faktor kedua adalah lapisan pertahanan yang paling menentukan. Masalahnya, "aktifkan 2FA" terdengar seperti satu pilihan, padahal ada tiga jenis yang tingkat keamanannya jauh berbeda. Artikel ini membandingkan kunci keamanan fisik dengan aplikasi autentikator secara praktis, supaya Anda tahu mana yang layak dipasang di akun mana.
Tiga faktor kedua yang umum dipakai
Kode lewat SMS adalah yang paling lemah. Nomor ponsel bukan milik Anda secara teknis, melainkan milik operator, dan penyerang yang berhasil membujuk gerai atau petugas layanan pelanggan untuk memindahkan nomor Anda ke kartu SIM baru akan menerima semua kode itu. Meski begitu, SMS tetap jauh lebih baik daripada tidak memakai faktor kedua sama sekali.
Aplikasi autentikator memakai standar TOTP: saat pendaftaran, situs memberi Anda satu rahasia bersama, biasanya dalam bentuk kode QR, lalu aplikasi menggabungkan rahasia itu dengan jam saat ini untuk menghasilkan angka enam digit yang berganti tiap tiga puluh detik. Tidak ada koneksi internet yang dibutuhkan dan tidak ada nomor telepon yang bisa dibajak. Kalau Anda belum pernah melihat cara kerjanya, Anda bisa mencoba generator kode TOTP online untuk memahami hubungan antara rahasia, waktu, dan angka yang muncul. Penjelasan lebih rinci soal apa itu kode TOTP membantu jika Anda ingin memahami detail standarnya.
Kunci keamanan perangkat keras adalah benda fisik seukuran flash drive yang menyimpan kunci privat di dalam chip khusus. Ia bekerja dengan standar FIDO2/WebAuthn dan membuktikan identitas Anda lewat kriptografi kunci publik, bukan dengan angka yang harus Anda ketik.
Satu perbedaan yang benar-benar penting
Semua perbandingan lain sekunder dibanding yang satu ini: kunci keamanan terikat pada asal situs (origin). Saat Anda mendaftarkan kunci di sebuah layanan, kunci itu menyimpan pasangan kredensial yang hanya mau menandatangani permintaan dari domain persis tersebut. Halaman phishing dengan alamat yang mirip tetapi tidak identik tidak akan mendapatkan tanda tangan apa pun — bukan karena Anda cukup teliti, melainkan karena browser dan kunci menolak secara teknis.
Kode TOTP tidak punya perlindungan itu. Angka enam digit hanyalah angka: jika Anda mengetiknya di halaman palsu, penyerang punya waktu sekitar tiga puluh detik untuk meneruskannya ke situs asli dan masuk sebagai Anda. Serangan phishing modern otomatis persis pada titik ini. Jadi aplikasi autentikator melindungi Anda dari kata sandi yang bocor, tetapi tidak dari Anda sendiri yang tertipu di halaman yang salah. Kunci keamanan melindungi dari keduanya.
Bentuk fisik dan cara mendaftarkannya
Kunci tersedia dalam berbagai konektor: USB-A, USB-C, NFC untuk ditempelkan ke belakang ponsel, dan sebagian model lama memakai Lightning. Pendaftarannya singkat. Anda membuka pengaturan keamanan akun, memilih penambahan kunci keamanan, mencolokkan atau menempelkan perangkat, lalu menyentuh tombol logamnya. Perangkat membuat pasangan kunci baru khusus untuk layanan itu, mengirim kunci publiknya ke server, dan menyimpan kunci privat di dalam dirinya sendiri.
Poin terakhir itu yang membuat modelnya kuat: kunci privat tidak pernah keluar dari perangkat. Server hanya menyimpan kunci publik, sehingga kebocoran basis data di sisi layanan tidak memberi penyerang apa pun yang bisa dipakai untuk masuk. Sentuhan jari Anda hanya membuktikan ada manusia yang hadir, dan sebagian model menambahkan PIN atau sidik jari sebagai pengaman jika perangkatnya dicuri.
Kekurangan kunci keamanan yang perlu diterima
Pertama, ada biaya perangkat, dan Anda praktis harus membeli dua. Satu dipakai sehari-hari, satu lagi didaftarkan ke akun yang sama lalu disimpan di tempat aman terpisah. Mendaftarkan hanya satu kunci berarti kehilangan benda kecil itu sama dengan kehilangan akses. Kedua, dukungannya belum merata; banyak layanan kecil dan aplikasi internal perusahaan masih hanya menawarkan TOTP. Ketiga, pemakaian di ponsel terasa canggung kalau kunci Anda tidak mendukung NFC. Keempat, ada beban kebiasaan: kunci itu harus benar-benar ikut Anda, bukan tertinggal di laci kantor.
Kapan aplikasi autentikator tetap pilihan yang tepat
Aplikasi autentikator gratis, menampung akun tanpa batas, berjalan di ponsel apa pun, dan diterima hampir semua layanan yang mendukung 2FA. Untuk mayoritas akun — forum, aplikasi belanja, layanan langganan — ini adalah titik keseimbangan yang paling masuk akal. Kuncinya ada pada cara Anda menyimpan cadangan: simpan kode QR atau rahasia teks dari setiap pendaftaran di tempat terenkripsi, atau gunakan aplikasi yang menyediakan cadangan terenkripsi. Tanpa itu, ponsel hilang berarti puluhan akun terkunci sekaligus.
Lalu bagaimana dengan passkey
Passkey memakai kriptografi FIDO2 yang sama persis dengan kunci keamanan, termasuk pengikatan pada asal situs, sehingga tahan phishing dengan cara yang sama. Bedanya hanya pada tempat kunci privat disimpan: bukan di dongle terpisah, melainkan di ponsel, laptop, atau pengelola kata sandi Anda, dan biasanya disinkronkan antarperangkat lewat akun platform. Konsekuensinya, keamanan passkey bergantung pada keamanan akun platform tempat ia disinkronkan, sementara kunci fisik berdiri sendiri. Untuk pemakaian sehari-hari, passkey memberi sebagian besar manfaat tanpa perlu membawa perangkat tambahan. Uraian tentang apa itu passkey dan cara kerjanya menjelaskan perbedaannya lebih jauh.
Jangan lupakan lapisan di bawahnya
Faktor kedua tidak menghapus kewajiban punya kata sandi yang kuat dan unik per layanan. Kata sandi yang dipakai ulang tetap membuka pintu di semua tempat yang belum Anda lindungi. Cara paling praktis adalah membuat frasa sandi panjang yang tidak mungkin ditebak lewat generator kata sandi dan frasa sandi, lalu menyimpannya di pengelola kata sandi. Perlu jujur juga soal satu celah yang sering diabaikan: kalau email pemulihan Anda sendiri tidak terlindungi, seluruh rantai keamanan runtuh, karena tautan pengaturan ulang dikirim ke sana. Lindungi kotak surat utama lebih dulu, dan jangan mengaitkan pendaftaran bernilai rendah ke alamat itu — untuk uji coba layanan atau unduhan sekali pakai, alamat email sementara jauh lebih aman karena tidak menambah pintu masuk ke identitas utama Anda.
Urutan tindakan yang disarankan
- Aktifkan faktor kedua apa pun di semua akun penting. SMS lebih baik daripada kosong.
- Jadikan aplikasi autentikator sebagai standar. Pindahkan akun yang masih memakai SMS ke TOTP; Anda bisa menguji format kodenya lewat alat kode 2FA gratis sebelum mengubah pengaturan akun.
- Tambahkan kunci keamanan atau passkey pada akun bernilai tertinggi: email utama, pengelola kata sandi, registrar domain, akun keuangan, serta akun pengembang dan cloud.
- Daftarkan dua kunci pada setiap akun tersebut dan simpan yang kedua terpisah dari yang pertama.
- Unduh dan simpan kode pemulihan secara luring, misalnya dicetak dan disimpan bersama dokumen penting, karena itulah satu-satunya jalan masuk saat semua perangkat Anda hilang sekaligus.
Kesimpulannya sederhana: aplikasi autentikator adalah pilihan bawaan yang bagus dan gratis untuk hampir semua orang, sedangkan kunci keamanan fisik adalah peningkatan nyata — bukan sekadar tambahan kosmetik — untuk segelintir akun yang kalau jatuh akan menyeret semua akun lain bersamanya.
