Jumlahnya terus bertambah. Setiap hari, rata-rata orang mengumpulkan kredensial login lainnya.
Bank. E-mail. perdagangan elektronik. media sosial. Portal kantor.
Anda mengelola pasukan karakter yang terus bertambah. Dan seseorang selalu berusaha mencurinya.
Peretas tidak hanya menginginkan akses. Mereka ingin uang melekat pada akses itu. Transaksi penipuan, identitas dicuri, rekening terkuras. Motifnya sederhana. Metodenya tiada henti.
Bagaimana Anda mengunci pintu ketika Anda memiliki lima puluh kunci di saku Anda?
Sebuah pendekatan baru sedang muncul. Ini bukan hanya tentang membuat kata sandi lebih sulit ditebak. Ini tentang menjadikannya tidak perlu.
Kelelahan karena Gesekan
Pertimbangkan hari-hari pengguna pada umumnya.
Anda bangun. Anda memeriksa email Anda. Anda masuk ke aplikasi perbankan Anda. Anda mencari baju baru. Anda membalas pesan Slack kantor.
Itu adalah lima peristiwa otentikasi yang berbeda.
Sekarang bayangkan melakukan hal itu untuk setiap layanan yang Anda gunakan.
Gesekan itu nyata. Dan itu berbahaya.
Karena pengguna lelah. Ketika keamanan menjadi terlalu rumit, orang akan berbuat curang.
Mereka menggunakan kata sandi yang sama di mana pun.
Mereka menuliskannya.
Mereka membagikannya.
Hal ini menciptakan kerentanan yang sangat besar. Jika satu situs dibobol, penyerang mempunyai kunci untuk situs lainnya.
Phishing dan Brute Force
Ancaman juga terus berkembang.
Serangan phishing semakin pintar. Mereka meniru situs sah dengan akurasi yang mengerikan. Anda mengetikkan kata sandi Anda di halaman login palsu. Peretas langsung mendapatkannya.
Lalu ada kekerasan. Skrip otomatis mencoba ribuan kombinasi per detik. Jika kata sandi Anda adalah “Password123”, Anda selesai.
Kerugian finansial dapat dirasakan secara langsung.
Kartu kredit Anda dikenakan biaya. Identitas Anda dicuri. Reputasi Anda terancam.
Pergeseran ke Kunci Sandi
Di sinilah metode baru ini muncul.
Ini disebut kunci sandi.
Juga dikenal sebagai kredensial FIDO2 atau WebAuthn.
Nama tidak terlalu penting dibandingkan fungsinya.
Kunci sandi menggantikan kata sandi sepenuhnya.
Mereka mengandalkan kriptografi kunci publik.
Inilah cara kerjanya dalam bahasa Inggris sederhana.
Perangkat Anda (ponsel atau laptop) menghasilkan pasangan kunci unik.
Satu kunci tetap ada di perangkat Anda. Ia tidak pernah pergi.
Kunci lainnya dikirim ke situs web atau aplikasi. Ini adalah kunci publik.
Saat Anda masuk, perangkat Anda membuktikan bahwa ia memiliki kunci pribadi.
Hal ini dilakukan dengan menggunakan biometrik atau PIN.
ID Wajah. Sidik jari. Kode kunci layar Anda.
Tidak ada rahasia bersama. Tidak ada rangkaian huruf yang bisa ditebak.
Jika sebuah situs web diretas, penyerang hanya mendapatkan kunci publik. Tidak berguna.
Mereka tidak dapat merekayasa balik kata sandi Anda.
Mereka tidak dapat menggunakannya di tempat lain.
Mengapa Ini Penting bagi Anda
Anda tidak perlu memahami matematika.
Anda hanya perlu mengetahui manfaatnya.
Tidak perlu lagi mengingat string yang rumit.
Tidak perlu lagi mengatur ulang kata sandi yang terlupa.
Tidak perlu lagi terjerumus ke situs phishing yang meminta kata sandi.
Situs phishing mungkin terlihat nyata. Bahkan mungkin meminta kode verifikasi.
Namun tanpa perangkat fisik dan persetujuan biometrik Anda, proses masuk akan gagal.
Peretas tidak mendapatkan apa pun.
Ini bukanlah konsep masa depan.
Platform-platform besar mulai meluncurkannya
Mengapa kata sandi sederhana gagal dan bagaimana keamanan berbasis perilaku mengubah keadaan
Ponsel Anda pada dasarnya adalah komputer yang seluruh hidup Anda ada di sakunya. Detail perbankan. Email pribadi. Daftarnya terus berlanjut. Kenyamanan tersebut harus dibayar mahal: risiko infeksi, trojan, dan peretasan langsung. Ketika penjahat masuk, kerusakannya nyata. Namun, kami tetap membuatnya terlalu mudah bagi mereka.
Rata-rata orang jogging dengan lebih dari 20 akun yang dilindungi kata sandi. Mereka menggunakan sekitar lima kata sandi berbeda agar semuanya tetap terbuka. Pengulangan ini adalah mimpi buruk keamanan.
Bagaimana sebenarnya penjahat mencuri kunci Anda
Stephan Wiefling, pakar dari Universitas Sains Terapan Bonn-Rhein-Sieg (H-BRS), menguraikan dua cara utama peretas menerobos pertahanan Anda. Ini tidak selalu merupakan keajaiban teknologi tinggi.
Pertama, ada kebocoran database besar-besaran. Ingat Adobe? LinkedIn? Ruangku? Situs-situs ini sering kali menyimpan data pengguna dengan buruk. Peretas mencuri kombinasi email dan kata sandi. Kemudian mereka menggunakan teknik yang disebut “Credential Stuffing”. Ini otomatis. Mereka mencoba kredensial yang sama di setiap situs lain yang Anda gunakan. Akamai, penyedia layanan online, mencatat 250 juta upaya ini setiap hari. Jika Anda menggunakan kembali kata sandi, Anda sudah selesai.
Yang kedua adalah seni menebak. Kedengarannya naif. Tetap saja itu berhasil. Wiefling mencatat bahwa tingkat keberhasilan mencapai 70% dalam kurang dari 100 upaya. Mengapa? Karena manusia bisa ditebak. Peretas menggunakan nama Anda, nama hewan peliharaan Anda, ulang tahun keluarga. Mereka memasukkannya ke dalam model statistik untuk menghasilkan daftar kata sandi yang paling mungkin. Komputer menebak apa yang menurut Anda pintar. Biasanya itu salah.
Perisai baru: mengenali diri Anda yang sebenarnya
Untuk menghentikan hal ini, Wiefling mengembangkan sistem perlindungan. Itu tidak hanya memeriksa apakah kata sandi Anda benar. Ia memeriksa apakah Anda yang mengetiknya.
Ini disebut risiko-basierte Authentifizierung (otentikasi berbasis risiko). Sistem menerima detail login Anda selama tidak ada yang terlihat aneh. Jika ia melihat perilaku aneh, ia memerlukan langkah verifikasi kedua.
Apa yang dianggap aneh? Menggunakan perangkat yang belum pernah Anda login sebelumnya. Masuk dari lokasi geografis yang belum pernah Anda kunjungi. Atau mengunjungi situs tersebut pada jam 3 pagi pada hari Selasa saat Anda biasanya tertidur. Sistem menandai penyimpangan ini. Ia meminta bukti.
Kenyamanan bertemu dengan kehati-hatian
Bagi sebagian besar situs, ini sangat mudah. Anda mengetikkan kata sandi Anda sekali. Jika perilakunya normal, Anda termasuk dalam kelompok tersebut. Sebuah studi laboratorium dengan hampir 70 peserta mengonfirmasi bahwa hal ini berhasil. Pengguna merasa jauh lebih aman dengan autentikasi berbasis risiko dibandingkan dengan kata sandi sederhana. Mereka lebih menyukainya untuk media sosial dan situs belanja.
Tapi bagaimana dengan rekening bank?
Orang-orang di sana berbeda. Dalam studi kedua, peserta menolak untuk hanya mengandalkan perilaku untuk situs dengan keamanan tinggi. Mereka menginginkan Otentikasi Dua Faktor (2FA) tradisional. Artinya selalu login dua kali. Kata sandi ditambah PIN satu kali. Ini lebih banyak gesekan. Tapi demi uang Anda, Anda akan mengambilnya.
Apa yang membuat kata sandi benar-benar aman?
Semua ini tidak akan berfungsi jika kata sandi dasar Anda adalah sampah. Wiefling menyarankan menggunakan pengelola kata sandi. Banyak browser menawarkan fitur bawaan ini.
Inilah bagian yang berlawanan dengan intuisi: kompleksitas bukanlah raja. Panjangnya adalah. Kalimat yang panjang dan mudah diingat seperti “Montags arbeite ich oft sehr gerne” mengalahkan string pendek dan kacau seperti “$Le90pch”. Lebih sulit bagi komputer untuk melakukan brute force pada frase yang panjang.
Dan tolong. Berhenti menggunakan kembali kata sandi. Gunakan manajer. Ini menyimpannya dalam brankas digital terenkripsi. Anda hanya perlu mengingat satu kata sandi utama. Satu kunci itu membuka segalanya.
Itu tidak sempurna. Sistem masih bisa tertipu jika penyerang mengetahui rutinitas Anda. Atau jika Anda sedang bepergian dan sistem menandai perilaku normal Anda sebagai mencurigakan. Tapi ini adalah langkah maju dari harapan tidak ada yang menebak nama anjing Anda.
Anda tetap harus berhati-hati. Alatnya membantu. Mereka tidak menyelamatkan Anda.
