Metode Verifikasi Dua Langkah: SMS vs Aplikasi vs Passkey

Verifikasi dua langkah berarti proses masuk membutuhkan bukti kedua selain kata sandi Anda. Namun, "verifikasi dua langkah" bukanlah satu metode tunggal: kode SMS, aplikasi autentikator, serta kunci keamanan atau passkey menawarkan tingkat keamanan dan kenyamanan yang cukup berbeda. Dalam artikel ini kami membandingkan metode verifikasi dua langkah dan menjelaskan metode mana yang masuk akal untuk akun tertentu.

Mengapa verifikasi dua langkah itu penting?

Kata sandi bisa bocor melalui pelanggaran data, halaman phishing, atau pemakaian ulang di banyak situs. Langkah kedua membuat akun Anda lebih sulit dibuka hanya dengan kata sandi yang dicuri. Jadi, verifikasi dua langkah apa pun lebih baik daripada tidak ada sama sekali. Pertanyaan yang sebenarnya bukan "apakah saya perlu mengaktifkannya?", melainkan "metode mana yang sebaiknya saya pilih?"

Saat mengevaluasi sebuah metode, lihat tiga hal: seberapa baik metode itu menahan peniruan dan phishing, seberapa mudah digunakan setiap hari, dan bagaimana Anda kembali masuk ke akun jika kehilangan ponsel.

Metode 1: Kode SMS

Kode enam digit dikirim ke nomor ponsel Anda, lalu Anda mengetikkannya. Ini adalah metode yang paling mudah diatur, tidak memerlukan aplikasi tambahan, dan semua orang memahami cara kerjanya.

Kelebihan: Sangat sederhana diatur, tersedia di hampir semua layanan, dan tidak memerlukan pengetahuan teknis.

Kekurangan: Keamanannya bergantung pada siapa yang mengendalikan nomor Anda. Memindahkan nomor ke kartu lain di operator (SIM swap), pesan yang memancing kode, dan dibujuk untuk membacakan kode kepada orang lain adalah risiko utamanya. Anda juga mungkin tidak menerima kode saat berada di luar negeri atau di area tanpa sinyal.

SMS jauh lebih baik daripada tidak ada sama sekali, dan kadang menjadi satu-satunya pilihan. Namun, sebaiknya jangan jadikan SMS pilihan pertama untuk akun yang berharga.

Metode 2: Aplikasi autentikator (TOTP)

Sebuah aplikasi di ponsel menghasilkan kode berumur pendek yang berganti setiap 30 detik. Kode dibuat langsung di perangkat Anda, sehingga tidak memerlukan SMS maupun koneksi jaringan.

Kelebihan: Bahkan jika nomor ponsel Anda diambil alih, kode tidak dikirim kepada penyerang. Metode ini bekerja secara offline. Banyak layanan mendukungnya.

Kekurangan: Jika ponsel hilang atau di-reset, akses ke kode ikut hilang, sehingga kode cadangan atau fitur cadangan aplikasi sangat penting. Jika Anda sendiri mengetikkan kode di halaman login palsu, risikonya tetap ada, jadi metode ini tidak sepenuhnya kebal terhadap phishing.

Bagi kebanyakan orang, ini adalah keseimbangan terbaik antara keamanan dan kenyamanan.

Metode 3: Kunci keamanan dan passkey

Kunci keamanan (perangkat fisik yang bekerja lewat USB atau NFC) dan passkey (kredensial yang tersimpan di ponsel, komputer, atau pengelola kata sandi, dan dibuka dengan sidik jari atau wajah) termasuk dalam keluarga yang sama. Anda tidak perlu mengetik kode; perangkat berkomunikasi langsung dengan alamat asli tempat Anda masuk.

Kelebihan: Metode yang paling tahan terhadap phishing, karena tidak berfungsi di situs palsu. Tanpa kode yang harus diketik, metode ini cepat dan nyaman.

Kekurangan: Tidak semua layanan mendukungnya. Jika Anda kehilangan kunci fisik atau kehilangan akses ke akun tempat passkey Anda tersimpan, Anda memerlukan rencana pemulihan. Kunci fisik membutuhkan biaya, dan membeli kunci cadangan sangat dianjurkan.

Tabel perbandingan

| Metode | Ketahanan terhadap phishing | Risiko SIM swap | Kemudahan | Jika perangkat hilang |
|---|---|---|---|---|
| Kode SMS | Rendah | Ya | Sangat tinggi | Dapat dipulihkan dengan mendapatkan kembali nomornya |
| Aplikasi autentikator | Sedang | Tidak | Tinggi | Memerlukan kode cadangan atau cadangan aplikasi |
| Kunci keamanan | Sangat tinggi | Tidak | Sedang-tinggi | Kunci cadangan sangat penting |
| Passkey | Sangat tinggi | Tidak | Sangat tinggi | Bergantung pada akun tempat passkey disinkronkan |

Penilaian ini menggambarkan kecenderungan umum; detail penerapan dapat berbeda dari satu layanan ke layanan lain.

Metode mana untuk akun yang mana?

• Email, perbankan, kripto, pengelola kata sandi: Passkey atau kunci keamanan jika memungkinkan; jika tidak, aplikasi autentikator. Email adalah kunci pemulihan untuk semua hal lain, jadi email harus menjadi akun Anda yang paling terlindungi.
• Media sosial dan pesan: Aplikasi autentikator atau passkey. SMS hanya jika tidak ada pilihan lain.
• Belanja, langganan, gim: Aplikasi autentikator sudah cukup; gunakan passkey jika ditawarkan.
• Akun sekali pakai atau sementara: SMS dapat diterima, selama Anda tidak memakai kata sandi yang sama di tempat lain.

Jika sebuah akun memungkinkan Anda mendaftarkan lebih dari satu metode, jadikan satu metode sebagai metode utama dan metode lain sebagai cadangan.

Nomor virtual dan verifikasi dua langkah

Nomor virtual sekali pakai yang dipakai untuk menerima kode verifikasi tidak memberi Anda kepemilikan permanen. Karena itu, nomor tersebut tidak cocok dijadikan dasar verifikasi dua langkah berbasis SMS untuk akun Anda, sebab Anda tidak bisa menggunakannya lagi nanti. Jika Anda membuka akun dengan nomor virtual, tambahkan aplikasi autentikator atau passkey segera setelah pengaturan, dan tentukan email pemulihan.

Beberapa platform mungkin tidak menerima nomor virtual, dan dalam hal itu Anda harus mematuhi ketentuan layanan. Jika kode tidak kunjung datang, baca mengapa kode SMS Anda tidak datang. Untuk layanan dan negara yang tersedia saat ini, lihat halaman harga.

Daftar periksa pengaturan singkat

1. Aktifkan metode terkuat pada akun email Anda terlebih dahulu.
2. Kemudian aktifkan di bank, media sosial, dan pengelola kata sandi Anda.
3. Daftarkan setidaknya satu metode cadangan untuk setiap akun.
4. Simpan kode cadangan secara offline di tempat yang aman; jangan simpan tangkapan layar di cloud.
5. Saat mengganti ponsel, jangan hapus ponsel lama sebelum Anda yakin aplikasi autentikator sudah dipindahkan ke perangkat baru.
6. Periksa daftar "perangkat tepercaya" dan "sesi aktif" di pengaturan akun Anda secara berkala.

Kesalahan yang sering terjadi

Bahkan metode yang bagus bisa melemah karena kebiasaan tertentu:

• Tidak punya rencana cadangan: Terkunci dari akun selamanya setelah kehilangan ponsel adalah masalah yang paling sering terjadi.
• Menyimpan kode cadangan sebagai tangkapan layar di cloud: Jika akun diambil alih, kode-kode itu ikut terbawa.
• Memberitahukan kode kepada orang lain: Apa pun metodenya, membagikan kode menghilangkan perlindungan.
• Memakai kata sandi yang sama di mana-mana: Langkah kedua membantu, tetapi tidak menggantikan kebiasaan kata sandi yang baik.
• Menyetujui permintaan persetujuan secara otomatis: Jangan pernah menyetujui notifikasi persetujuan yang muncul saat Anda tidak sedang masuk.

Pertanyaan yang sering diajukan

Apakah verifikasi dua langkah lewat SMS tidak boleh digunakan sama sekali?

Tidak. SMS jauh lebih aman daripada tanpa langkah kedua. Aktifkan jika itu satu-satunya pilihan, dan beralih ke metode yang lebih kuat begitu tersedia.

Apakah passkey menggantikan kata sandi?

Di banyak layanan, passkey memungkinkan Anda masuk tanpa kata sandi dan sekaligus berfungsi sebagai langkah kedua. Tergantung layanannya, kata sandi bisa tetap ada di samping passkey, jadi periksa pengaturannya.

Bagaimana saya bisa masuk ke akun jika kehilangan ponsel?

Dengan kode cadangan yang Anda simpan sebelumnya, perangkat kedua yang terdaftar, atau kunci keamanan cadangan. Menyiapkan semua ini saat pengaturan adalah langkah yang paling penting.

Bisakah aplikasi autentikator dan SMS diaktifkan bersamaan?

Di sebagian besar layanan, bisa. Namun, selama opsi SMS tetap aktif, penyerang mungkin mencoba jalur itu, jadi jika memungkinkan, biarkan SMS hanya sebagai pilihan terakhir.