Panduan Autentikasi Modern: Password, 2FA, Passkey

Ada tiga hal yang menentukan seberapa aman login di organisasimu: kualitas rahasia yang dipakai (password atau kunci), ada tidaknya faktor kedua, dan seberapa rapi akun dikelola sepanjang siklus hidupnya, dari karyawan masuk sampai keluar. Kalau salah satunya lemah, dua yang lain ikut terancam.

Pembahasannya ditujukan bagi siapa pun yang mengelola akun email, panel hosting, aplikasi bisnis, dan layanan cloud untuk tim. Rujukan utamanya adalah pedoman NIST SP 800-63B-4 yang diterbitkan Juli 2025 dan penjelasan FIDO Alliance tentang passkey, dilengkapi praktik yang realistis untuk tim kecil.

Kenapa login masih jadi titik lemah?

Banyak pengambilalihan akun tidak membutuhkan peretasan canggih. Pelaku cukup mendapatkan password yang benar: dari kebocoran layanan lain yang dipakai ulang, dari halaman login palsu, atau dari tebakan karena password terlalu sederhana. Begitu masuk ke email kantor, pelaku bisa mengatur ulang password layanan lain, membaca percakapan dengan klien, atau mengirim permintaan transfer palsu atas nama atasan.

Dua pola serangan yang paling relevan dibahas terpisah: credential stuffing untuk password daur ulang, dan cara mengenali phishing untuk halaman login palsu.

Kebijakan password menurut pedoman terbaru

Banyak aturan password lama justru membuat orang memilih password yang mudah ditebak. NIST SP 800-63B-4 merevisi pendekatan itu. Beberapa poin pentingnya:

• Panjang lebih penting dari kerumitan. Password yang dipakai sebagai satu-satunya faktor minimal 15 karakter. Bila hanya menjadi bagian dari MFA, minimal 8 karakter.
• Izinkan password panjang. Sistem sebaiknya menerima setidaknya 64 karakter, termasuk spasi dan karakter Unicode.
• Tidak ada aturan komposisi seperti wajib huruf besar, angka, dan simbol.
• Tidak ada penggantian berkala. Password hanya wajib diganti bila ada bukti kebocoran.
• Cek daftar password terlarang: password yang umum, mudah ditebak, atau pernah bocor harus ditolak.
• Dukung password manager: izinkan autofill, dan sebaiknya izinkan tempel (paste).

Kebijakan internal yang mengikuti poin ini biasanya lebih mudah dipatuhi karyawan dan sekaligus lebih aman.

Password manager untuk tim

Aturan "satu password unik per layanan" hanya realistis dengan password manager. Untuk organisasi, pilih yang mendukung brankas bersama per tim atau proyek, hak akses yang bisa dicabut, log aktivitas, dan 2FA untuk membuka brankas. Pilihannya ada yang berupa layanan cloud dan ada yang bisa di-hosting sendiri, seperti Vaultwarden yang dibahas di password manager untuk tim dengan Vaultwarden.

Lindungi akun master password manager dengan sangat ketat: master password panjang, 2FA kuat, dan prosedur pemulihan yang jelas. Akun ini kini menjadi kunci dari semua kunci.

Seberapa kuat setiap metode 2FA?

Faktor kedua membuat password yang bocor tidak cukup untuk masuk. Tapi kekuatan setiap metode berbeda, terutama terhadap phishing.

Menurut NIST, password, kode OTP, dan autentikator out-of-band bukan metode tahan phishing. Ketahanan terhadap phishing membutuhkan autentikasi kriptografis dengan pengikatan ke nama situs, seperti WebAuthn yang menjadi dasar passkey.

Passkey: login tanpa password yang bisa dicuri

Menurut FIDO Alliance, passkey adalah kredensial berbasis standar FIDO yang menggantikan password dengan pasangan kunci kriptografis. Kunci privat disimpan di perangkat atau penyedia passkey, dan dibuka dengan cara yang sama seperti membuka perangkat, misalnya sidik jari, wajah, atau PIN. Server hanya menyimpan kunci publik, sehingga tidak ada rahasia bersama yang bisa dicuri dari server.

Ada dua jenis:

• Passkey tersinkron: disalin antar perangkat milik pengguna melalui penyedia passkey, dengan sinkronisasi terenkripsi end-to-end. Nyaman untuk banyak karyawan.
• Passkey terikat perangkat: tidak pernah keluar dari satu perangkat, misalnya di kunci keamanan FIDO. Cocok bila hanya boleh ada satu salinan kunci, misalnya untuk akun admin.

Karena passkey terikat ke nama situs, halaman login palsu tidak bisa memakainya. Inilah alasan utama passkey dianggap tahan phishing. Mulailah dari layanan yang sudah mendukungnya, seperti akun email dan cloud utama organisasi.

SSO: satu pintu yang dijaga ketat

Single sign-on (SSO) membuat karyawan masuk ke banyak aplikasi lewat satu penyedia identitas, biasanya dengan protokol SAML atau OpenID Connect. Keuntungannya besar untuk organisasi:

• Kebijakan 2FA atau passkey cukup diterapkan di satu tempat.
• Saat karyawan keluar, menonaktifkan satu akun memutus akses ke semua aplikasi yang terhubung.
• Log login terpusat, sehingga pola mencurigakan lebih mudah dilihat.

Konsekuensinya, penyedia identitas menjadi target bernilai tinggi. Lindungi akun admin SSO dengan metode tahan phishing dan batasi jumlahnya. Untuk aplikasi yang tidak mendukung SSO, simpan kredensialnya di password manager tim.

Akun bersama, akun layanan, dan akun darurat

Tidak semua login milik satu orang. Organisasi hampir selalu punya akun bersama, seperti akun media sosial perusahaan atau panel vendor yang hanya menyediakan satu login, serta akun layanan yang dipakai aplikasi untuk saling terhubung. Akun jenis ini sering luput dari kebijakan karena "bukan punya siapa-siapa".

Untuk akun bersama, simpan kredensialnya di brankas password manager tim, bukan di grup chat atau spreadsheet. Bila layanannya mendukung 2FA berbasis aplikasi, simpan rahasia TOTP-nya di brankas yang sama agar bisa dipakai bergiliran tanpa bergantung pada HP satu orang. Lebih baik lagi, pindahkan ke akun per orang bila layanan menyediakan fitur tim.

Untuk akun layanan dan token API, berikan hak seminimal mungkin, beri nama yang jelas pemiliknya, dan catat tanggal pembuatannya. Ganti token bila orang yang pernah memegangnya keluar, dan hapus token yang tidak lagi dipakai.

Siapkan juga akun darurat (break-glass) untuk sistem paling penting, seperti penyedia identitas dan registrar domain. Akun ini dilindungi kunci keamanan fisik, disimpan terpisah, jarang dipakai, dan setiap pemakaiannya memicu peringatan. Tujuannya agar organisasi tetap bisa masuk bila penyedia SSO bermasalah atau admin utama tidak bisa dihubungi.

Pemulihan akun: pintu belakang yang sering terlupa

Penyerang yang gagal menembus 2FA sering mencoba jalur pemulihan: menelepon helpdesk, mengaku kehilangan HP, atau memanfaatkan pertanyaan keamanan. Prosedur pemulihan yang longgar bisa membatalkan semua kerja keras di depan.

Praktik yang membantu:

• Sediakan kode pemulihan atau autentikator cadangan saat pendaftaran 2FA, dan minta pengguna menyimpannya dengan aman.
• Wajibkan verifikasi identitas yang tidak hanya berdasar informasi yang mudah dicari, seperti tanggal lahir atau nama atasan.
• Gunakan persetujuan dua orang untuk reset akun admin.
• Kirim notifikasi ke pengguna setiap kali faktor autentikasi diubah atau diatur ulang.

Offboarding: mencabut akses tanpa celah

Akun karyawan yang sudah keluar tapi masih aktif adalah risiko yang mudah dicegah. Jadikan offboarding sebuah checklist, bukan ingatan.

Akses SSH ke server juga termasuk. Kalau tim masih memakai password untuk SSH, pindah ke kunci seperti dijelaskan di SSH key vs password, lalu kelola kunci per orang agar mudah dicabut.

Peta jalan menuju MFA tahan phishing

Tidak perlu semuanya sekaligus. Urutan bertahap ini realistis untuk kebanyakan organisasi.

Di setiap tahap, perbarui juga prosedur pemulihan dan offboarding. Autentikasi yang kuat hanyalah satu lapisan; gambaran pengamanan selengkapnya ada di panduan lengkap keamanan website untuk bisnis.