Satu kredensial yang berhasil dicuri dapat menjadi pintu masuk ke berbagai aplikasi dan data perusahaan. Risiko ini semakin kompleks ketika infrastruktur IT tersebar di cloud, data center, aplikasi SaaS, dan lingkungan hybrid.
Enterprise Multi-Factor Authentication (MFA) menambahkan lapisan verifikasi di luar password. Namun, metode MFA yang masih mengandalkan kode atau approval belum tentu cukup untuk menghadapi phishing modern. Karena itu, perusahaan perlu mempertimbangkan phishing-resistant authentication sekaligus kebijakan akses yang dapat menyesuaikan tingkat risiko.
Mengapa Traditional MFA Tidak Lagi Cukup Menahan Serangan Phishing Modern?
MFA memang dapat mengurangi risiko yang muncul dari password yang dicuri. Namun, cara autentikasi yang digunakan tetap menentukan seberapa kuat perlindungannya terhadap serangan seperti Adversary-in-the-Middle (AitM) dan MFA fatigue.
Bahaya AitM dan MFA Fatigue
Dalam serangan AitM, penyerang dapat menggunakan situs atau proxy palsu untuk menjadi perantara antara pengguna dan layanan yang sebenarnya. Korban merasa sedang login ke aplikasi resmi, sementara informasi autentikasi atau sesi yang berhasil dibuat dapat diteruskan kepada penyerang.
Sementara itu, MFA fatigue memanfaatkan notifikasi autentikasi yang dikirim berulang kali. Penyerang berharap pengguna akhirnya menyetujui salah satu permintaan karena terburu-buru atau menganggapnya sebagai aktivitas login biasa.
Pada skenario seperti ini, masalahnya tidak lagi apakah perusahaan menggunakan MFA, tetapi seberapa tahan metode MFA tersebut terhadap manipulasi.
Dampak Account Takeover pada Operasional Bisnis
Ketika akun korporat berhasil diambil alih, akses penyerang dapat meluas ke aplikasi, sistem, dan data yang terhubung dengan akun tersebut. Dampaknya dapat mencakup gangguan operasional, investigasi insiden, pemulihan akses, hingga risiko terhadap data perusahaan dan pelanggan.
Karena itu, enterprise MFA sebaiknya menjadi bagian dari strategi identity security, bukan hanya tambahan pada proses login.
Mengapa FIDO2 dan Passkeys Lebih Tahan terhadap Phishing?
FIDO2 menggunakan kriptografi kunci publik untuk membuat kredensial yang terikat pada origin atau domain layanan. WebAuthn merupakan salah satu komponen utama dalam ekosistem FIDO2, sedangkan passkeys menggunakan pendekatan kriptografis yang sama untuk memungkinkan autentikasi tanpa password.
Perbedaannya dengan OTP cukup mendasar. Pada OTP, kode yang diterima pengguna masih dapat diminta oleh situs phishing dan diteruskan kepada penyerang. Pada FIDO2, autentikator memverifikasi origin layanan sebelum melakukan autentikasi, sehingga kredensial tidak dapat digunakan begitu saja pada domain phishing yang berbeda. Inilah alasan FIDO2 dan passkeys dikategorikan sebagai phishing-resistant authentication.
Perbedaan SMS OTP, Authenticator App, dan Security Key
Metode Autentikasi
| Ketahanan Terhadap Phishing | Risiko AiTM | Pengalaman Pengguna |
SMS OTP
| Rendah | Dapat menjadi target phishing dan risiko seperti SIM swapping
| Mudah, tetapi perlu input kode |
Authenticator App
| Bergantung pada metode | OTP/push dapat menjadi target AitM atau MFA fatigue
| Praktis dengan push notification |
FIDO2 Security Key
| Tinggi / phishing-resistant | Dirancang untuk cegah penggunaan kredensial pada origin yang salah
| Cepat, dengan tap, PIN, atau biometrik |
Pemilihan metode tetap perlu disesuaikan dengan tingkat risiko, jenis aplikasi, dan kebutuhan pengguna.
Dalam konteks regulasi Indonesia, kebutuhan MFA juga menjadi bagian dari pengamanan akses. SEOJK 29/2022 mengenai ketahanan dan keamanan siber bagi bank umum, misalnya, mencantumkan penggunaan MFA untuk akses data sensitif atau seluruh jaringan apabila diperlukan. Sementara itu, UU Pelindungan Data Pribadi mewajibkan pengendali data melakukan langkah yang diperlukan untuk melindungi data pribadi dari akses yang tidak sah.
Solusi Terintegrasi Okta, F5, dan Hitachi Vantara untuk Keamanan Akses Enterprise
MFA merupakan salah satu bagian dari security architecture. Untuk menghadapi risiko dari identitas hingga data, perusahaan juga membutuhkan kontrol pada identity, application, dan data.
Dalam pendekatan ini, masing-masing solusi memiliki peran yang berbeda. Okta memverifikasi identitas pengguna, lalu F5 BIG-IP APM mengatur akses ke aplikasi, dan kemudian Hitachi Vantara membantu melindungi dan memulihkan data ketika terjadi insiden.
Okta MFA untuk Phishing-Resistant Identity
Okta MFA mendukung FIDO2/WebAuthn untuk phishing-resistant authentication. Okta juga menyediakan adaptive authentication yang dapat menggunakan berbagai konteks risiko, termasuk device, lokasi, IP, dan perilaku pengguna, untuk menentukan apakah verifikasi tambahan diperlukan.
Dengan pendekatan ini, perusahaan dapat menerapkan step-up authentication ketika kondisi akses dianggap berisiko, tanpa harus memberikan proses verifikasi tambahan yang sama pada setiap login.
F5 BIG-IP APM sebagai Centralized Access Control
Setelah identitas diverifikasi, F5 BIG-IP Access Policy Manager (APM) dapat menerapkan kebijakan akses secara terpusat untuk aplikasi melalui authentication, SSO, dan policy-based access control.
APM juga mendukung per-request policy dan step-up authentication. Artinya, verifikasi tambahan dapat diterapkan ketika pengguna mencoba mengakses resource atau fungsi aplikasi tertentu yang membutuhkan perlindungan lebih tinggi. Solusi ini relevan bagi perusahaan yang masih menjalankan kombinasi aplikasi legacy, hybrid, dan cloud.
Hitachi Vantara untuk Memperkuat Data Resilience
Kontrol identity dan application access membantu membatasi siapa yang dapat mengakses sistem. Namun, perusahaan tetap membutuhkan lapisan perlindungan ketika serangan berhasil menembus akses tersebut.
Hitachi Vantara menyediakan kemampuan data protection dan cyber resilience, termasuk immutable snapshots dan CyberSense untuk mendeteksi indikasi ransomware pada data yang dilindungi. Analisis CyberSense dapat membantu mengidentifikasi perubahan yang mengindikasikan korupsi serta menentukan snapshot yang dapat digunakan untuk recovery.
Dengan begitu, perlindungan tidak berhenti pada pencegahan akses tidak sah, tetapi juga mencakup kemampuan untuk mempertahankan dan memulihkan data ketika terjadi insiden.
Pertanyaan Umum Seputar Enterprise MFA
Q: Apa perbedaan traditional MFA dan phishing-resistant enterprise MFA?
A: Traditional MFA dapat menggunakan OTP atau push notification yang masih berpotensi dimanipulasi melalui phishing atau AitM. Sementara itu, FIDO2 menggunakan autentikasi berbasis kriptografi yang terikat pada origin layanan, sehingga kredensial tidak dapat digunakan pada domain phishing yang berbeda.
Q: Apakah enterprise MFA akan memperlambat akses karyawan?
A: Tidak selalu. Adaptive MFA memungkinkan perusahaan menerapkan autentikasi tambahan berdasarkan konteks dan tingkat risiko. Pengguna dengan kondisi akses yang dianggap aman dapat mengalami lebih sedikit interupsi, sementara verifikasi tambahan dapat dipicu ketika terdeteksi kondisi yang lebih berisiko.
Q: Bagaimana Okta, F5, dan Hitachi Vantara bekerja bersama?
A: Ketiganya menangani lapisan keamanan yang berbeda. Okta memverifikasi identitas dan menerapkan MFA, F5 BIG-IP APM membantu mengatur akses ke aplikasi berdasarkan kebijakan, sementara Hitachi Vantara memperkuat data protection dan cyber resilience. Kombinasi ini membentuk pendekatan berlapis dari identity hingga application dan data.
Amankan Akses Infrastruktur Perusahaan Anda Bersama Central Data Technology
Enterprise MFA bukan hanya tentang menambahkan satu langkah pada proses login. Perusahaan perlu mempertimbangkan metode autentikasi, kebijakan akses, konteks risiko, hingga perlindungan data setelah akses diberikan.
Ingin mengetahui bagaimana Okta, F5 BIG-IP APM, dan Hitachi Vantara dapat mendukung strategi keamanan infrastruktur IT perusahaan Anda? Hubungi tim Central Data Technology (CDT), sebagai bagian dari CTI Group, untuk mendiskusikan kebutuhan identity security, application access, dan cyber resilience yang sesuai dengan lingkungan IT Anda.
Penulis: Wilsa Azmalia Putri – Content Writer CTI Group
