Pencurian akun lewat phishing bisa dihentikan dengan hardware security key, karena perangkat ini hanya bekerja untuk situs yang asli. Kata sandi dan kode sekali pakai bisa diketik di halaman login palsu, sedangkan perangkat ini tidak bisa dipakai di sana.
Pada Juli 2022, penyerang mengirim pesan teks palsu ke sedikitnya 76 karyawan perusahaan infrastruktur web Cloudflare, dan tiga di antaranya memasukkan kredensial di halaman login tiruan. Penyerang tetap gagal masuk karena Cloudflare memakai hardware security key berstandar FIDO2, dan perusahaan itu menyatakan tidak ada sistemnya yang berhasil ditembus.
Artikel ini membahas pengertian hardware security key, cara kerjanya, manfaat dan keterbatasannya, serta langkah penerapannya di perusahaan.
Apa Itu Hardware Security Key?
Hardware security key adalah perangkat fisik kecil yang dipakai sebagai faktor kedua dalam autentikasi multifaktor (MFA) atau sebagai pengganti kata sandi. Isinya chip pengaman yang menyimpan kunci pribadi (private key), tombol atau sensor sentuh untuk memastikan penggunanya hadir, dan konektor USB, NFC, atau Bluetooth.
Perangkat ini mengikuti standar FIDO2, yaitu gabungan WebAuthn (antarmuka di browser) dan CTAP (protokol komunikasi antara browser dan perangkat). Menurut FIDO Alliance, passkey (kredensial login berbasis kunci kriptografi) yang terikat pada perangkat dan disimpan di security key modern memberi jaminan keamanan tertinggi.
Perbedaan Hardware Security Key dengan Hardware Security Module (HSM)
Perbedaannya terletak pada tujuan, karena hardware security key membuktikan identitas satu pengguna saat login, sedangkan hardware security module (HSM) menyimpan dan mengelola kunci kriptografi milik sistem atau aplikasi. Keduanya sama-sama menyimpan kunci di perangkat keras khusus, tetapi pemakainya berbeda.
| Aspek | Hardware security key | Hardware security module (HSM) |
|---|---|---|
| Fungsi utama | Membuktikan identitas pengguna saat login | Menyimpan dan mengelola kunci kriptografi milik sistem atau aplikasi |
| Pengguna dan lokasi | Dibawa pengguna dan dipakai langsung saat login | Dipasang di pusat data atau disewa sebagai layanan cloud, lalu dipakai sistem dan aplikasi |
| Contoh pemakaian | Login ke email, VPN, atau konsol administrator | Menandatangani sertifikat digital, melindungi kunci enkripsi data, dan mengamankan transaksi pembayaran |
Untuk melindungi login karyawan, pilih hardware security key. Untuk melindungi kunci enkripsi aplikasi atau sertifikat digital, pilih HSM.
Cara Kerja Hardware Security Key
Security key bekerja dengan menandatangani tantangan acak dari layanan memakai kunci pribadi miliknya, tanpa mengirim kunci itu ke mana pun. Prosesnya terdiri dari lima langkah:
- Saat pendaftaran, perangkat membuat pasangan kunci kriptografi khusus untuk layanan itu, lalu menyerahkan kunci publiknya ke layanan.
- Saat login, layanan mengirim tantangan (challenge) acak ke browser.
- Browser meneruskan tantangan itu ke perangkat bersama alamat situs yang sedang dibuka.
- Pengguna menyentuh perangkat, dan memasukkan PIN atau sidik jari jika perangkat memintanya.
- Perangkat menandatangani tantangan dengan kunci pribadinya, lalu layanan memeriksa tanda tangan itu dengan kunci publik yang sudah tersimpan.
Perangkat hanya menjawab untuk alamat situs tempat ia didaftarkan, sehingga situs palsu yang meniru tampilan login tidak mendapat tanda tangan yang berlaku di situs asli. Tanda tangan itu juga hanya berlaku untuk satu tantangan, sehingga penyerang tidak bisa memakainya ulang.
Manfaat Hardware Security Key bagi Keamanan Perusahaan
Perusahaan mendapat tiga manfaat utama dari security key, yaitu ketahanan terhadap phishing, kunci pribadi yang tidak bisa disalin dari jarak jauh, dan proses login yang lebih sederhana.
Tahan terhadap Phishing dan Kata Sandi yang Bocor
CISA, lembaga keamanan siber Amerika Serikat, dalam panduannya pada Oktober 2022 menyebut FIDO/WebAuthn sebagai satu-satunya autentikasi tahan phishing yang tersedia luas. Kode SMS, kode dari aplikasi, dan push notification tidak masuk kategori itu.
Penyerang yang memperoleh kata sandi lewat situs palsu atau kebocoran data tetap tidak bisa login tanpa perangkat fisiknya.
Kunci Pribadi Tidak Bisa Disalin dari Jarak Jauh
Kunci pribadi tersimpan di dalam chip dan tidak pernah dikirim ke komputer maupun ke server layanan, sehingga malware di komputer tidak bisa menyalinnya. Server hanya menyimpan kunci publik yang tidak bisa dipakai untuk menandatangani tantangan, jadi kebocoran basis data layanan tidak membuat penyerang bisa menyamar sebagai pengguna.
Login Lebih Sederhana
Pengguna cukup menyentuh perangkat, tanpa menyalin kode enam digit dari aplikasi atau menunggu SMS. FIDO Alliance bahkan menyebut kunci USB dengan PIN dan satu sentuhan bisa lebih sederhana daripada alur yang bergantung pada ponsel.
Keterbatasan Hardware Security Key yang Perlu Diantisipasi
Keterbatasan hardware security key ada empat, yaitu biaya, risiko kunci hilang, dukungan aplikasi, dan kebiasaan baru pengguna. Keempatnya perlu direncanakan sebelum perusahaan membeli dalam jumlah besar:
- Biaya dan logistik, karena setiap pengguna sebaiknya memegang dua perangkat yang harus dibeli, dibagikan, dan dicatat.
- Risiko kunci hilang atau rusak, yang membuat pengguna terkunci dari akunnya jika tidak ada perangkat cadangan.
- Dukungan aplikasi yang belum merata, terutama pada sistem lama yang belum mengenal FIDO2.
- Kebiasaan baru bagi pengguna, karena perangkat harus selalu dibawa dan disentuh setiap kali login.
Biaya bisa ditekan dengan memulai dari akun berisiko tinggi, sedangkan risiko kehilangan diatasi dengan menyediakan perangkat cadangan sejak awal.
Cara Menerapkan Hardware Security Key di Perusahaan
Penerapan paling aman dimulai dari kelompok kecil berisiko tinggi, lalu diperluas secara bertahap. Lima langkah berikut bisa menjadi urutan kerjanya:
- Tentukan kelompok awal, yaitu administrator sistem dan staf helpdesk (CISA mencontohkan keduanya untuk fase pertama), lalu tambahkan staf keuangan dan akun yang mengakses email, VPN, atau server identitas.
- Pastikan identity provider (sistem yang memverifikasi login pengguna) dan aplikasi yang dipakai mendukung FIDO2/WebAuthn, lalu siapkan metode cadangan untuk sistem lama.
- Sediakan dua perangkat untuk setiap pengguna, satu untuk dipakai sehari-hari dan satu disimpan terpisah sebagai cadangan.
- Daftarkan perangkat di sistem login terpusat (single sign-on, SSO) perusahaan, lalu wajibkan lewat kebijakan akses agar login tanpa perangkat itu ditolak.
- Tetapkan prosedur untuk perangkat yang hilang dan karyawan yang keluar, yaitu mencabut perangkat dari akun, memverifikasi identitas pengguna, mendaftarkan perangkat baru, dan mencatat inventarisnya.
Ukur hasil kelompok awal lewat dua hal, yaitu jumlah login yang gagal dan jumlah permintaan penggantian perangkat, sebelum kewajiban diperluas ke seluruh karyawan.
Kesimpulan
Hardware security key membuktikan identitas pengguna lewat tanda tangan kriptografi yang hanya berlaku di situs asli, sehingga tahan terhadap phishing. Keterbatasannya ada pada biaya, risiko kunci hilang, dukungan aplikasi yang belum merata, dan kebiasaan baru pengguna.
Langkah yang bisa Anda mulai minggu ini adalah mendata akun administrator dan keuangan, lalu memeriksa apakah sistem login perusahaan mendukung FIDO2. Hasilnya menunjukkan akun mana yang bisa langsung memakai hardware security key dan akun mana yang masih membutuhkan metode lain.
Siap Mengelola Identitas Digital sebagai Strategi Keamanan Bisnis?
Request demo sekarang dan pelajari bagaimana solusi IAM membantu memusatkan proses login pengguna melalui Single Sign-On (SSO), mengotomatisasi onboarding karyawan, serta melindungi data perusahaan dari akses tidak sah tanpa mengganggu produktivitas akibat login berulang.
FAQ
Sulit, karena kunci pribadinya tidak pernah meninggalkan perangkat dan perangkat yang meminta PIN atau sidik jari tidak langsung bisa dipakai pencuri. Risiko yang tersisa ada pada sesi yang sudah login, karena malware di komputer masih bisa mencurinya, jadi pengamanan komputer tetap diperlukan.
Bisa, tetapi hanya pada layanan yang mendukung login tanpa kata sandi, dengan perangkat dan PIN sebagai penggantinya. Pada layanan lain, perangkat berfungsi sebagai faktor kedua dan kata sandi tetap dipakai.
Bisa. Satu perangkat dapat didaftarkan ke email kantor dan VPN sekaligus, selama keduanya mendukung FIDO2, dan setiap layanan mendapat pasangan kunci kriptografi tersendiri.
Bisa, selama ponsel mendukung koneksi perangkat itu, yaitu lewat NFC (cukup ditempelkan ke ponsel) atau port USB-C. Periksa juga apakah aplikasi yang Anda pakai mendukung FIDO2 di ponsel sebelum membeli.
