Google Authenticator dijelaskan: cara kerja kode 2FA-nya

Kira-kira setiap 30 detik, sebuah angka pendek di ponsel Anda berubah, dan sebuah situs web yang belum pernah Anda tunjukkan ponsel itu entah bagaimana tahu angka baru yang seharusnya muncul. Kelihatannya seperti sulap, tetapi sebenarnya ini trik sederhana menggunakan rahasia bersama.

Begitulah cara kerja Google Authenticator dan aplikasi serupa. Berikut penjelasan tentang cara kode dibuat, alasan kode tetap berfungsi tanpa koneksi internet, hubungan aplikasi ini dengan Verifikasi 2 Langkah Google, serta hal-hal yang bisa dan tidak bisa dilindunginya.

Cara kode dibuat

Saat Anda menambahkan akun ke aplikasi autentikator, layanan akan memberikan sebuah rahasia, biasanya dalam bentuk kode QR atau kunci penyiapan, lalu aplikasi menyimpannya. Sejak saat itu, layanan dan ponsel Anda sama-sama menyimpan rahasia yang sama. Untuk membuat kode, aplikasi menggabungkan rahasia tersebut dengan waktu saat ini, dan layanan melakukan perhitungan yang sama di sisinya. Jika kedua hasilnya cocok, kode akan diterima.

Metode ini merupakan standar yang dipublikasikan bernama TOTP, singkatan dari kata sandi sekali pakai berbasis waktu, yang ditetapkan dalam IETF RFC 6238. Metode ini dikembangkan dari metode lama berbasis penghitung, dengan mengganti penghitung menggunakan nilai yang berasal dari waktu. Standar tersebut menyatakan bahwa aplikasi dan layanan harus menggunakan interval waktu yang sama, serta merekomendasikan nilai bawaan 30 detik. Karena itulah kode biasanya diperbarui sekitar dua kali setiap menit.

Alasan kode tetap berfungsi tanpa koneksi internet

Kode dihitung di ponsel Anda menggunakan rahasia yang tersimpan dan jam perangkat, jadi tidak ada informasi yang perlu dikirim ke ponsel. Daftar aplikasi resmi Google menyatakan bahwa kode dapat dibuat bahkan tanpa jaringan atau koneksi seluler. Layanan hanya perlu melakukan perhitungan yang sama saat Anda mengirimkan kode.

Artinya, waktu sangat penting. Jika waktu di ponsel Anda jauh berbeda dari waktu sebenarnya, kedua perhitungan tidak akan cocok dan kode akan ditolak, meskipun aplikasi berfungsi sebagaimana mestinya.

Hubungannya dengan Verifikasi 2 Langkah Google

Keduanya mudah tertukar. Verifikasi 2 Langkah adalah fitur di Akun Google yang meminta langkah kedua saat Anda masuk. Google Authenticator adalah aplikasi yang dapat menyediakan langkah tersebut dan, menurut Google, juga dapat membuat kode untuk situs dan aplikasi lain yang mendukung verifikasi melalui aplikasi autentikator. Beberapa aplikasi autentikator lain menggunakan standar yang sama, sehingga kode itu sendiri tidak terikat pada satu perusahaan.

Anda dapat menggunakan aplikasi ini dengan atau tanpa Akun Google. Dengan masuk ke akun, kode Anda dapat disinkronkan di berbagai perangkat, dan Google menyatakan bahwa tanpa akun pun Anda tetap dapat memindahkannya secara manual ke perangkat baru. Kode yang disinkronkan bergantung pada Akun Google tersebut, sehingga perlindungan akun itu sendiri menjadi lebih penting. Google juga menyarankan untuk menyiapkan metode Verifikasi 2 Langkah tambahan agar Anda tidak terkunci dari akun.

Hal yang dilindunginya dan yang tidak

Menurut CISA, kode dari aplikasi autentikator lebih baik daripada pesan teks, tetapi tetap rentan terhadap phishing. Halaman login palsu yang meyakinkan dapat menangkap kode saat Anda mengetikkannya dan langsung menggunakannya. Hanya metode berbasis FIDO, seperti kunci keamanan dan passkey, yang tahan terhadap serangan tersebut. Memeriksa alamat situs sebelum memasukkan kode merupakan bagian dari perlindungan.

Rahasia di balik kode Anda juga bersifat sensitif. Siapa pun yang memiliki kode QR atau kunci penyiapan dapat membuat kode yang sama, jadi tangkapan layarnya harus diperlakukan seperti kata sandi. Selain itu, aplikasi autentikator melindungi akun yang masuk melalui suatu layanan. Aplikasi ini tidak dapat melindungi frasa seed atau kunci privat dompet.

Pengingat WEEX: perlakukan kunci penyiapan seperti kata sandi

WEEX mengingatkan pengguna untuk tidak pernah membagikan kode sekali pakai, kode QR, atau kunci penyiapan kepada siapa pun, termasuk orang yang mengaku sebagai petugas dukungan, karena layanan resmi tidak akan pernah memintanya. Periksa alamat situs sebelum memasukkan kode, dan simpan kunci cadangan atau kode cadangan di tempat yang aman dan offline, bukan sebagai tangkapan layar atau catatan di cloud. Informasi di sini bukan nasihat keuangan.

Kesimpulan

Google Authenticator membuat kode berjangka pendek dari rahasia yang dibagikan dengan layanan dan waktu saat ini. Itulah sebabnya aplikasi ini berfungsi secara offline dan jam perangkat menjadi penting. Aplikasi ini adalah salah satu dari beberapa aplikasi yang menggunakan standar yang sama, lebih baik daripada pesan teks tetapi masih rentan terhadap phishing, dan rahasia penyiapannya perlu dijaga seperti kata sandi. Jika digunakan bersama kata sandi yang kuat dan kebiasaan berhati-hati, aplikasi ini membuat akun lebih sulit diambil alih.

FAQ

1. Apa itu Google Authenticator?
Ini adalah aplikasi yang membuat kode sekali pakai untuk digunakan sebagai langkah kedua saat Anda masuk, baik ke Akun Google maupun ke situs dan aplikasi lain yang mendukung verifikasi melalui aplikasi autentikator.

2. Bagaimana Google Authenticator membuat kode tanpa internet?
Aplikasi ini menghitung kode di ponsel Anda menggunakan rahasia yang tersimpan dan waktu saat ini. Layanan melakukan perhitungan yang sama untuk memeriksa kode, jadi tidak ada informasi yang perlu dikirim ke ponsel Anda.

3. Apakah saya memerlukan Akun Google untuk menggunakan Google Authenticator?
Tidak. Google menyatakan bahwa Anda dapat menggunakannya tanpa akun. Dengan masuk, kode Anda dapat disinkronkan di berbagai perangkat, sedangkan tanpa akun Anda dapat memindahkannya secara manual ke perangkat baru.

4. Apakah Google Authenticator sama dengan Verifikasi 2 Langkah Google?
Tidak. Verifikasi 2 Langkah adalah fitur di Akun Google, sedangkan aplikasi ini merupakan salah satu cara untuk menyediakan langkah kedua. Aplikasi ini juga dapat digunakan dengan situs lain yang mendukung kode dari aplikasi autentikator.

5. Apakah Google Authenticator lebih aman daripada kode SMS?
Menurut CISA, kode dari aplikasi autentikator lebih baik daripada pesan teks, tetapi tetap dapat dicuri melalui phishing. Kunci keamanan dan passkey memberikan perlindungan yang lebih kuat terhadap phishing.