Tolong hentikan penggunaan SMS untuk autentikasi dua faktor

Otentikasi dua faktor (2FA) adalah salah satu cara terbaik untuk menambahkan lapisan keamanan ekstra pada akun online Anda. Kode rahasia itu mencegah banyak upaya peretasan, dan sangat bagus bahwa banyak orang menggunakannya saat ini. Namun, bagaimana Anda mendapatkan kode itu sangatlah penting. Jika Anda telah menggunakan SMS seperti yang saya lakukan untuk waktu yang lama, saya punya permintaan besar untuk Anda — tolong berhentilah.

Baik itu Facebook, Amazon, atau PayPal, banyak dari kita memilih menggunakan SMS untuk autentikasi dua faktor. Namun SMS dirancang tanpa mempertimbangkan keamanan, dan itulah mengapa ini adalah metode yang paling lemah untuk mendapatkan kode penting itu. Anda bahkan dapat memilih faktor autentikasi lain selain kode SMS. Mari kita bicarakan tentang itu.

SMS adalah cara termudah untuk menerima kode otentikasi dua faktor Anda

Tetapi kesederhanaan bisa berarti bahwa sesuatu kurang

Saya mengerti daya tarik menggunakan SMS sebagai metode 2FA pilihan Anda — kenyamanannya tak tertandingi. Tidak ada aplikasi yang perlu diunduh, tidak ada pengaturan yang harus dikelola, dan tidak diperlukan pengetahuan teknis. Anda hanya memberikan nomor telepon Anda, dan kode akan dikirimkan ke perangkat yang selalu ada di dekat Anda. Ini tidak memerlukan koneksi internet, dan bahkan ponsel lama yang bukan smartphone pun bisa menerima SMS.

Meskipun nyaman, berguna, dan universal, SMS memiliki beberapa celah keamanan. Mari saya bahas dua yang terbesar yang seharusnya membuat Anda terjaga di malam hari.

SMS menggunakan protokol transmisi yang sudah usang

Masalah terbesar dalam menggunakan SMS adalah teknologi dasarnya sudah usang. Teknologi ini tidak bisa memenuhi kebutuhan keamanan modern karena menggunakan protokol transmisi lama yang disebut Signaling System No. 7 (SS7), yang dikembangkan pada akhir tahun 1970-an dan 1980-an. Sistem ini lebih mudah dieksploitasi karena dikembangkan pada saat akses terbatas dan semua orang yang menggunakannya dapat dipercaya.

Masalah utama dengan SS7 adalah kurangnya autentikasi kriptografi. Secara sederhana, protokol ini menganggap setiap pesan dalam jaringan sinyalnya berasal dari sumber yang sah, artinya seorang peretas yang mendapatkan akses ke dalamnya — biasanya melalui operator yang keamanannya lemah — dapat mengirim perintah berbahaya yang melacak, meniru, dan mencegat pesan.

Semakin parah. Protokol SS7 tidak memiliki enkripsi ujung-ke-ujung seperti yang biasa kita gunakan dalam aplikasi seperti WhatsApp dan iMessage. Pesan SMS dikirimkan sebagai teks biasa, artinya peretas dapat mencegat pesan dengan kode 2FA dan dengan mudah membacanya karena pesan tersebut tidak dienkripsi.

Selain melihat isi pesan, peretas juga memiliki akses ke metadata. Itu berarti mereka dapat melihat informasi lain seperti nomor telepon, lokasi, dan informasi perangkat yang terlampir pada pesan.

Pertukaran SIM adalah ancaman yang semakin berkembang

Saat ini, peretas bahkan tidak perlu mengakses jaringan signaling untuk meretas akun Anda. Mereka bisa mengeksploitasi salah satu tautan terlemah dalam rantai keamanan apa pun — manusia. Peretas dapat menggunakan phishing untuk menipu operator Anda agar mentransfer nomor telepon Anda ke kartu SIM yang mereka miliki. Setelah itu, mereka bisa menerima kode autentikasi dua faktor yang seharusnya untuk Anda, memungkinkan mereka mengakses akun Anda.

Seberapa besar ancaman dari pertukaran SIM? Nah, menurut laporan TransUnion, sekitar 27% eksekutif telekomunikasi di AS menganggap pertukaran SIM sebagai ancaman baru terbesar dalam penipuan telekomunikasi. Namun, pertukaran SIM sebenarnya menempati peringkat kedua, dengan penipuan identitas sintetis (30%) berada di tempat pertama dan pencurian perangkat (20%) berada di urutan ketiga.

Apa yang bisa Anda gunakan untuk autentikasi dua faktor selain SMS

Faktor autentikasi lain selain SMS

Masalah lain dengan SMS yang saya anggap mengganggu, bukan karena celah keamanan, adalah bahwa SMS dapat gagal saat Anda paling membutuhkannya. Saya ingat mencoba masuk ke akun Amazon saya di perangkat yang berbeda, dan ketika saya mencoba mengirim kode melalui SMS, kode itu tidak pernah tiba. Terkadang kode tiba setelah dikirim ulang, tetapi setelah kegagalan berulang, saya memutuskan bahwa SMS tidak dapat diandalkan untuk menerima kode 2FA. Saya telah mengalami masalah serupa dengan PayPal dan Payoneer.

Berikut adalah alternatif yang lebih aman dan lebih dapat diandalkan daripada SMS untuk autentikasi dua faktor:

Aplikasi Authenticator: Anda dapat menggunakan Google Authenticator, Microsoft Authenticator, Authy, atau aplikasi authenticator lainnya yang menghasilkan TOTP (kata sandi sekali pakai berbasis waktu). Ini adalah kode sementara yang hanya digunakan sekali — banyak akun populer memungkinkan Anda menghubungkan aplikasi authenticator ke akun mereka. Aplikasi ini mengatur ulang kode setiap 30 detik dan tetap berfungsi bahkan tanpa akses internet. Kode-kode tersebut aman karena dihasilkan secara lokal, bukan dikirim melalui jaringan.
Kata Sandi Kunci: Anda juga dapat menggunakan kata sandi kunci, yang seperti kredensial digital yang disimpan di perangkat Anda (misalnya, ponsel atau komputer). Saat masuk ke akun, server mengirimkan tantangan ke perangkat Anda untuk ditandatangani menggunakan kunci pribadi yang disimpan secara lokal. Setelah ditandatangani, server memverifikasi tanda tangan menggunakan kunci publik, memberikan Anda akses ketika semuanya sesuai. Jadi, kecuali peretas secara fisik mencuri ponsel Anda dan melewati keamanan (misalnya, kode sandi, sidik jari, atau pengenalan wajah), mereka tidak akan bisa masuk ke akun tersebut.
Kunci keamanan: Anda juga bisa mengubah USB menjadi kunci keamanan (misalnya, YubiKey). Ini bekerja dengan cara yang sama seperti passkey, tetapi tantangannya ditandatangani dengan kunci keamanan. Sekali lagi, seseorang harus benar-benar mendapatkan kunci keamanan secara fisik untuk bisa meretas akun Anda. Memperoleh kunci secara fisik sangat berisiko, itulah sebabnya peretas kebanyakan mengandalkan serangan jarak jauh.

Tentu saja, ada lebih banyak metode selain ini. Ini hanyalah yang relatif lebih mudah untuk diatur dan menawarkan keamanan yang jauh lebih tinggi daripada SMS.

SMS memberikan rasa aman yang salah

Menggunakan SMS untuk 2FA membuat orang merasa tenang karena mereka benar-benar berpikir bahwa mereka terlindungi. Itu bekerja, dan itu saja yang perlu mereka ketahui. Namun, sangat berisiko secara keamanan untuk mengandalkan teknologi yang tidak berkembang sejak tahun 1970-an. Kita berada di era digital, di mana ancaman berkembang dengan cepat, semakin memperlebar celah keamanan dari teknologi usang ini. Saatnya beralih ke sesuatu yang lebih baik.