Apa itu otentikasi? Berbagai metode otentikasi

Autentikasi adalah proses untuk mengetahui siapa sekutu Anda dan siapa musuh Anda, dan mengetahui musuh adalah separuh dari pertempuran. Ini adalah pos pemeriksaan pertama dalam proses memverifikasi bahwa pengguna, perangkat, atau sistem memang benar-benar siapa atau apa yang diklaimnya untuk setiap permintaan akses.

Baik pengguna masuk ke email, mengakses aplikasi web, terhubung ke VPN, atau masuk ke dasbor internal, autentikasi menentukan apakah identitas di balik permintaan tersebut dapat dipercaya. Akses ke layanan hanya diberikan kepada pengguna setelah autentikasi selesai. 

Autentikasi yang lemah dapat membuat semua langkah keamanan lainnya menjadi tidak relevan. Penyerang tidak memerlukan eksploitasi tingkat lanjut jika mereka dapat masuk sebagai pengguna yang sah. 

Tanpa basa-basi lagi, mari kita bahas apa sebenarnya autentikasi dan bagaimana berbagai metode autentikasi bekerja.

Apa itu otentikasi?

Autentikasi adalah proses verifikasi identitas yang membantu melindungi sumber daya digital dan fisik. Ini merupakan bagian mendasar dalam menjaga integritas dan kerahasiaan data sensitif.

Autentikasi memungkinkan perusahaan untuk memastikan bahwa hanya orang, layanan, dan aplikasi yang tepat dengan izin yang sesuai yang dapat mengakses sumber daya organisasi. Hal ini juga berlaku untuk identitas non-manusia seperti server, aplikasi web, dan mesin serta beban kerja lainnya.

Autentikasi bergantung pada prinsip sederhana yaitu membandingkan kredensial yang diberikan dengan basis data atau server autentikasi yang berwenang. Jika kredensial cocok dengan yang tercatat, maka akses diberikan, dan jika tidak, maka akses ditolak. Proses ini mencegah akses yang tidak sah dan melindungi informasi sensitif.

Autentikasi modern telah jauh melampaui sekadar kata sandi sederhana. Saat ini, organisasi menggunakan metode verifikasi berlapis yang menggabungkan sesuatu yang diketahui pengguna, sesuatu yang mereka miliki, dan sesuatu yang merupakan identitas mereka.

Cara kerja otentikasi

Pada dasarnya, otentikasi memeriksa apakah sistem mempercayai pihak yang membuat permintaan. Hal ini kemudian dapat dipecah menjadi langkah-langkah utama berikut:

1. Konfirmasi identitasMemverifikasi bahwa orang atau sistem yang meminta akses menggunakan kredensial yang sah. 
2. Memeriksa kredensial: Melakukan pengecekan silang di seluruh basis data untuk menentukan siapa dan pengguna mana yang telah membuat permintaan, sehingga akses selanjutnya dapat diberikan.
3. Otorisasi akses: Mengaktifkan akses ke layanan yang dapat dimanfaatkan pengguna.

Jumlah otorisasi yang diberikan didasarkan pada kebijakan yang dikeluarkan untuk ID pengguna yang meminta akses, dan hanya layanan serta aplikasi yang diizinkan dalam batasan tersebut yang tersedia bagi pengguna. 

Peran otentikasi dalam keamanan

Autentikasi adalah fondasi dari segalanya. solusi manajemen identitas dan aksesyang bertanggung jawab untuk mengelola identitas pengguna, siklus hidup yang telah ditentukan, dan izin akses mereka dalam sistem organisasi. 

Menerapkan pemeriksaan otentikasi secara drastis menurunkan risiko akses tidak sah dan pelanggaran data, sehingga melindungi semua data organisasi dan privasi pengguna. Kontrol yang terencana dan sistematis seperti ini adalah kunci untuk menegakkan kontrol akses dan mengelola keamanan jaringan dan sistem organisasi.

Autentikasi vs otorisasi

Sebelum kita melanjutkan, penting untuk memahami perbedaan antara mengautentikasi ID dan mengotorisasi ID. Autentikasi dimulai saat kredensial dimasukkan ke dalam sistem, sedangkan otorisasi baru dimulai setelah kredensial berhasil diverifikasi. 

Setelah identitas yang terkait dengan kredensial telah diautentikasi, sistem otorisasi mengevaluasi permintaan tersebut terhadap kontrol akses yang telah ditentukan. Evaluasi ini mencakup beberapa atribut, seperti peran pengguna, kasus penggunaan yang ditugaskan untuk aplikasi, dan izin yang diberikan kepada pengguna untuk mengakses basis data perusahaan.  

Perbedaan utama antara otentikasi dan otorisasi dapat dilihat sebagai berikut:

Berbagai jenis otentikasi

Terdapat berbagai metode otentikasi, masing-masing dengan serangkaian parameter dan tingkat keamanan yang ditawarkannya sendiri. Mari kita lihat bagaimana berbagai metode otentikasi dilakukan:

1. Metode tradisional: Kata sandi dan nama pengguna

Kata sandi dan nama pengguna telah menjadi bentuk otentikasi yang paling umum selama bertahun-tahun. Pengguna diminta untuk membuat nama pengguna dan kata sandi yang unik, sebagian besar sebagai kredensial login mereka, yang disimpan dalam direktori perusahaan. 

Kata sandi dan nama pengguna ini kemudian dienkripsi dan disimpan dalam basis data yang akan diperiksa silang setiap kali pengguna memasukkan kata sandi dan nama pengguna tersebut. Setelah berhasil dicocokkan, pengguna kemudian diberikan akses ke layanan yang telah ditentukan. 

 Meskipun masih banyak digunakan sebagai bentuk otentikasi standar, kata sandi dan nama pengguna juga menimbulkan tantangan keamanan dan kemudahan penggunaan karena kerentanannya terhadap serangan phishing. 

2. Tanpa kata sandi

Sederhananya, autentikasi tanpa kata sandi berarti masuk tanpa mengetikkan kata sandi tradisional. Sebagai gantinya, autentikasi ini bergantung pada parameter lain untuk memverifikasi identitas pengguna. Parameter-parameter tersebut meliputi:

1. Biometrik: Sidik jari, pengenalan wajah, dan pemindaian retina kini mudah didapatkan di sebagian besar perangkat dan dapat dihubungkan langsung dengan individu. Teknologi ini sulit dipalsukan dan nyaman bagi pengguna yang tidak perlu lagi mengingat apa pun.
2. Faktor kepemilikan: Ini termasuk token keamanan perangkat keras, aplikasi otentikasi, atau kode sandi sekali pakai (OTP) yang dikirim melalui SMS atau email. Hal ini memastikan bahwa hanya mereka yang secara fisik memiliki perangkat terdaftar yang dapat masuk. 
3. Tautan berwaktu: Tautan sekali pakai dikirim ke alamat email terdaftar pengguna, melalui tautan tersebut akses diberikan. Metode ini sangat populer di aplikasi yang berinteraksi langsung dengan konsumen karena menghilangkan kebutuhan akan kata sandi.

Dengan menghilangkan kebutuhan akan kata sandi dan nama pengguna, yang merupakan titik lemah dalam keamanan, organisasi dapat mengurangi potensi serangan secara drastis.

3. Kepercayaan nol

Autentikasi zero trust bekerja berdasarkan prinsip jangan pernah percaya, selalu verifikasi. Pendekatan ini menerapkan pemeriksaan ketat yang sama untuk autentikasi di seluruh identitas pengguna dan identitas perangkat, memastikan hanya akses tepercaya yang diberikan. 

Dengan metode otentikasi zero trust, sistem terus-menerus mengevaluasi identitas, kesehatan perangkat, dan perilaku pengguna untuk memberikan akses ke sumber daya berdasarkan penilaian waktu nyata ini. Tidak ada kepercayaan implisit yang diberikan, bahkan jika pengguna atau perangkat berada di dalam jaringan perusahaan. 

4. Dua faktor dan multi-faktor

Metode otentikasi dua faktor dibangun di atas otentikasi kata sandi atau tanpa kata sandi dengan menambahkan lapisan keamanan ekstra. Untuk memastikan bahwa hanya pengguna yang berwenang yang dapat mengakses akun atau sistem, metode ini mengharuskan pengguna untuk memberikan dua atau lebih bentuk identifikasi sebelum akses diberikan. 

Formulir-formulir ini dibagi berdasarkan berbagai faktor, seperti kata sandi, biometrik, dan kode yang dikirim ke ponsel pengguna atau tautan verifikasi.

Langkah tambahan ini menjadikan otentikasi dua faktor dan otentikasi multi-faktor Hal ini secara signifikan mempersulit pembobolan dan akses tanpa izin. Ini mengurangi dampak kata sandi yang dicuri atau lemah, melindungi dari serangan phishing dan credential-stuffing, serta membatasi akses bahkan jika detail login disalahgunakan. 

5. Single sign-on (SSO)

SSO (Single Sign-On) adalah metode otentikasi yang memungkinkan pengguna untuk masuk sekali dan mendapatkan akses aman ke berbagai aplikasi, platform, dan layanan. Ini menghilangkan kelelahan kata sandi dan memungkinkan peralihan yang lancar antar alat seperti email, sistem manajemen hubungan pelanggan, aplikasi manajemen, atau layanan lainnya.

SSO Sistem ini sangat bergantung pada penyedia identitas yang bertanggung jawab untuk mengautentikasi pengguna dan menerbitkan token aman yang mengkonfirmasi identitas mereka. Penyedia identitas bertindak sebagai otoritas tepercaya yang diandalkan oleh aplikasi, memastikan bahwa hanya pengguna yang terverifikasi yang mendapatkan akses.

Jenis-jenis protokol otentikasi

Protokol autentikasi adalah seperangkat aturan penting untuk memverifikasi identitas titik akhir atau pengguna oleh pihak penerima, seperti server. Hampir setiap sistem komputer menggunakan beberapa jenis autentikasi jaringan untuk memverifikasi pengguna. Protokol-protokol ini menentukan seperangkat aturan dan prosedur yang digunakan untuk proses verifikasi. 

Berikut daftar protokol otentikasi yang paling banyak digunakan di berbagai industri:

1. SAML 2.0Ini memungkinkan pengguna untuk mengakses beberapa aplikasi dengan satu kali login. Sistem ini menggunakan pertukaran data otentikasi yang aman antara penyedia identitas dan penyedia layanan, memungkinkan pengguna untuk masuk ke setiap layanan secara terpisah.
2. SCIMIni adalah proses otentikasi standar terbuka yang mengotomatiskan pertukaran informasi identitas pengguna antar sistem. SCIM menyediakan penyediaan, pembaruan, dan penghapusan akun pengguna yang konsisten di berbagai platform.
3. OAuth 2.0Ini memungkinkan aplikasi untuk meminta akses terbatas ke data pengguna, yang dapat ditolak oleh pengguna, dan data tersebut dihosting oleh layanan lain, seperti Google, Microsoft, atau GitHub. 
4. KerberosDigunakan untuk memvalidasi klien/server selama proses jaringan yang menggunakan kunci kriptografi. Dirancang untuk menjalankan otentikasi yang kuat saat melaporkan ke aplikasi.
5. RADIUSRADIUS dirancang untuk pengguna layanan jaringan. Server RADIUS mengenkripsi kredensial yang dimasukkan oleh pengguna, yang dipetakan melalui basis data lokal, dan menyediakan akses.
6. CHAP dan PAPMereka menggunakan nama pengguna dan kata sandi untuk mengautentikasi pengguna. Sementara PAP mengirimkan kata sandi dalam bentuk teks biasa, CHAP memperbaikinya dengan terus memverifikasi pengguna melalui pertukaran tantangan-respons tanpa mengungkapkan kata sandi.
7. LDAP: LDAP Digunakan untuk mengakses dan mengelola layanan direktori yang menyimpan identitas dan kredensial pengguna. Ia menentukan setiap individu, organisasi, dan perangkat lain di jaringan, terlepas dari batas wilayahnya. 
8. FIDO2: Ini terdiri dari serangkaian spesifikasi yang tidak bergantung pada teknologi tertentu untuk mengkonsolidasikan akses dan otentikasi pengguna yang aman. Fido Memungkinkan pengguna untuk mengakses dan mengautentikasi akun mereka dengan kode sandi, biometrik, atau PIN, bukan kata sandi.

Praktik terbaik untuk membangun lapisan otentikasi yang kuat.

Penggunaan berbagai metode otentikasi memastikan selalu ada pengaman dan mendiversifikasi area ancaman. Berikut beberapa praktik terbaik yang dapat Anda lakukan untuk memastikan lapisan otentikasi Anda tetap aman.

1. Prioritaskan otentikasi multi-faktor: Autentikasi multi-faktor ibarat memeriksa ulang jawaban Anda dalam ujian. Dengan menerapkannya pada akun admin, pekerja jarak jauh, dan aplikasi yang menyimpan data sensitif, perusahaan dapat mengurangi pelanggaran data secara signifikan.
2. Terapkan pendekatan tanpa kata sandi untuk kredensial: Dengan menerapkan biometrik, OTP berbasis waktu, tautan aman, atau otentikator yang terikat pada perangkat, perusahaan dapat mengurangi serangan phishing, pencurian kredensial, dan serangan brute-force secara signifikan.
3. Terapkan autentikasi adaptif: Sinyal risiko waktu nyata seperti reputasi perangkat, kecepatan geografis, risiko IP, dan pola perilaku merupakan faktor identifikasi yang sangat baik. Hal ini juga mengurangi beban TI untuk pemantauan terus-menerus, karena setiap perubahan pada faktor-faktor tersebut akan secara otomatis menghasilkan penerapan langkah-langkah keamanan. 
4. SSO untuk menghilangkan kelelahan kata sandi: Penggunaan SSO mengurangi beban karyawan dan memungkinkan autentikasi pengguna yang cepat melalui penyedia identitas tepercaya. 
5. Pantau aktivitas autentikasi: Dengan melacak pola-pola seperti kegagalan login berulang, penggunaan perangkat baru, lokasi yang tidak biasa, atau akses pada waktu yang tidak wajar, perusahaan dapat mencegah ancaman apa pun sebelum ancaman tersebut memiliki kesempatan untuk melakukan pelanggaran. 
6. Gunakan protokol identitas modern: Penggunaan OAuth 2.0, OpenID Connect, SAML, dan protokol modern lainnya membantu mengurangi kesalahan implementasi yang dapat terjadi pada sistem autentikasi yang dibuat khusus.
7. Terapkan tata kelola sesi yang ketat: Membatasi siklus hidup token identitas, mencabut sesi yang mencurigakan, dan memblokir token yang berumur panjang atau tidak terkelola mencegah akses tidak sah menyusup di antara sesi yang sah.

Fondasi yang kuat menghasilkan struktur yang kuat. 

Autentikasi adalah fondasi tempat semua langkah keamanan dibangun. Dengan membangun fondasi yang kuat, Anda dapat menciptakan struktur keamanan yang solid dan tidak mudah ditembus. 

Perusahaan harus memperhatikan lonjakan penerbitan identitas baru yang terus-menerus dan ancaman siber yang terus meningkat. Perusahaan yang menjadikan otentikasi sebagai inti dari infrastruktur bisnis mereka akan lebih siap untuk mengamankan akses ke jaringan data mereka.

Scalefusion OneIdP Memberikan Anda serangkaian faktor otentikasi yang komprehensif sehingga Anda selalu yakin bahwa orang yang tepat memiliki akses yang tepat. Solusi akses zero trust berbasis UEM memverifikasi silang identitas dan postur keamanan perangkat, memastikan akses diberikan hanya ketika keduanya memenuhi standar keamanan.

Pertanyaan Umum (FAQ)

1. Apa perbedaan antara otentikasi dan otorisasi?

Autentikasi terjadi terlebih dahulu untuk memverifikasi siapa pengguna tersebut (identitas), diikuti oleh otorisasi, yang menentukan apa yang diizinkan untuk mereka lakukan (akses).

2. Mengapa otentikasi tanpa kata sandi lebih aman?

Autentikasi tanpa kata sandi menghilangkan kredensial statis yang mudah disalahgunakan, menggantinya dengan faktor biometrik atau yang tahan terhadap phishing. Dengan demikian, autentikasi tanpa kata sandi menghilangkan risiko penggunaan kembali kata sandi, serangan brute-force, dan pemalsuan kredensial.

3. Apakah otentikasi sama dengan verifikasi identitas?

Tidak. Meskipun keduanya mengkonfirmasi identitas, verifikasi identitas biasanya merupakan proses satu kali, yang memvalidasi bahwa seseorang adalah orang yang mereka klaim. Di sisi lain, otentikasi adalah proses berkelanjutan dan aman yang memastikan pengguna yang kembali adalah orang yang sama di setiap titik pemeriksaan.

4. Untuk apa otentikasi digunakan?

Autentikasi merupakan bagian penting dari setiap struktur keamanan siber. Ini adalah proses yang digunakan perusahaan untuk memastikan bahwa hanya orang, layanan, dan aplikasi yang tepat dengan izin yang sesuai yang dapat mengakses sumber daya organisasi.

5. Apa saja contoh otentikasi?

Contoh autentikasi meliputi, tetapi tidak terbatas pada, masuk dengan nama pengguna/kata sandi, menggunakan pengenalan wajah (Face ID) atau pemindai sidik jari pada ponsel, menerima OTP SMS, atau dengan SSO.