FIDO2 WebAuthn: Cara Kerja & Kenapa Lebih Aman dari OTP

Lebih dari sepuluh tahun OTP lewat SMS menjadi tulang punggung autentikasi dua faktor di Indonesia, dari mobile banking, dompet digital, sampai portal layanan pemerintah. Lanskap ancamannya kini sudah jauh berbeda. FIDO2 WebAuthn, standar terbuka yang menjadi dasar kerja perangkat keras seperti YubiKey, dipandang sebagai jawaban atas kelemahan struktural OTP SMS. Tulisan ini membedah cara kerja teknisnya, lalu membandingkannya apa adanya dengan OTP dan menimbangnya terhadap kewajiban perlindungan data di Indonesia.

Apa Itu FIDO2 dan WebAuthn?

FIDO2 adalah payung standar hasil kerja FIDO Alliance bersama W3C, dan di dalamnya ada dua komponen yang saling melengkapi. Web Authentication (WebAuthn) adalah antarmuka pemrograman standar W3C yang membuat peramban dan aplikasi web bisa memanggil autentikator kriptografis. Sementara itu, Client to Authenticator Protocol (CTAP) mengatur komunikasi antara perangkat pengguna dan autentikator eksternal lewat USB, NFC, atau Bluetooth.

YubiKey adalah salah satu autentikator perangkat keras yang mendukung FIDO2, di samping protokol lain seperti PIV smart card, OATH-TOTP, dan OpenPGP. Kunci kriptografinya tersimpan pada elemen aman di dalam perangkat, sehingga kunci privat memang tidak bisa diekstraksi — bahkan oleh pemiliknya sendiri. Seri tertentu juga mengantongi validasi FIPS 140 dari NIST, hal yang relevan bagi organisasi dengan persyaratan kepatuhan ketat.

Cara Kerja FIDO2 WebAuthn Langkah demi Langkah

Inti FIDO2 adalah kriptografi kunci publik, bukan rahasia bersama. Dari perbedaan mendasar inilah seluruh keunggulan keamanannya bermula.

1. Fase Registrasi

Ketika pengguna mendaftarkan YubiKey pada suatu layanan, server mengirimkan tantangan acak (challenge) beserta identitas domainnya. Autentikator lalu membangkitkan sepasang kunci baru yang unik untuk layanan itu saja. Kunci privat tinggal di dalam perangkat; hanya kunci publik yang dikirim balik dan disimpan server pada profil pengguna.

Konsekuensinya besar: basis data server tidak lagi menyimpan rahasia yang bernilai bagi penyerang. Kalaupun terjadi kebocoran, yang bocor sebatas kumpulan kunci publik yang tidak bisa dipakai masuk ke akun mana pun. Bandingkan dengan basis data berisi hash kata sandi atau seed OTP.

2. Fase Autentikasi

Saat login, server mengirim tantangan acak baru. Peramban meneruskannya ke YubiKey bersama informasi asal permintaan. Perangkat menandatangani tantangan itu dengan kunci privat yang sesuai, lalu mengembalikan tanda tangan digital untuk diverifikasi server memakai kunci publik yang sudah tersimpan. Tidak ada kode yang berpindah tangan; tidak ada yang bisa dibacakan lewat telepon, apalagi disalin ke situs palsu.

3. Origin Binding: Kunci Ketahanan terhadap Phishing

Elemen paling menentukan adalah origin binding. Peramban menyertakan alamat domain sesungguhnya ke dalam data yang ditandatangani, dan autentikator hanya merespons bila domain itu cocok dengan yang dipakai saat registrasi. Ketika korban membuka situs tiruan dengan domain mirip, YubiKey secara teknis tidak akan menghasilkan tanda tangan yang valid. Perlindungan ini berjalan otomatis di lapisan protokol; kewaspadaan pengguna tidak lagi menjadi satu-satunya tumpuan.

4. Verifikasi Pengguna

FIDO2 menambahkan verifikasi pengguna melalui PIN perangkat atau, pada seri tertentu, sensor sidik jari. Satu perangkat dengan demikian bisa memenuhi dua faktor sekaligus: sesuatu yang Anda miliki (kunci fisik) plus sesuatu yang Anda ketahui atau yang melekat pada diri Anda.

Mengapa OTP SMS Rentan?

OTP SMS pada dasarnya mengirim rahasia bersama melalui jalur yang tidak dikendalikan penyelenggara layanan. Sedikitnya empat vektor serangan sudah terdokumentasi luas:

• SIM swap. Penyerang membujuk atau menyuap petugas gerai agar nomor korban dipindahkan ke kartu SIM baru. Sejak itu seluruh OTP mengalir ke penyerang secara “sah”.
• Kelemahan protokol SS7. Protokol pensinyalan antar-operator ini memungkinkan pengalihan pesan lintas jaringan bagi pihak yang punya akses tingkat interkoneksi.
• Phishing real-time (adversary-in-the-middle). Situs proksi meneruskan kredensial dan OTP korban ke situs asli saat itu juga. OTP hanyalah deretan angka tanpa keterikatan domain, jadi bisa dipakai ulang dalam hitungan detik.
• Rekayasa sosial dan malware. Aplikasi berbahaya berizin membaca SMS, atau penipuan bermodus petugas resmi yang meminta kode, sampai hari ini masih menjadi penyebab kerugian terbesar di sektor keuangan.

NIST SP 800-63B menempatkan autentikator berbasis jaringan telepon publik, termasuk SMS, sebagai restricted authenticator: masih boleh dipakai, tetapi penyelenggara diminta menilai risikonya dan menyiapkan alternatif. Untuk mencapai tingkat jaminan autentikasi tertinggi, justru autentikator perangkat keras yang tahan phishing yang menjadi syaratnya.

Perbandingan FIDO2 WebAuthn dan OTP SMS

Konteks Regulasi di Indonesia

Satu hal perlu diluruskan sejak awal: sampai hari ini tidak ada regulasi Indonesia yang secara eksplisit mewajibkan FIDO2 atau kunci keamanan perangkat keras. Yang diwajibkan adalah pengamanan yang memadai dan berbasis risiko. FIDO2 merupakan salah satu cara memenuhi kewajiban itu — bukan satu-satunya.

UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi mewajibkan pengendali data pribadi melindungi data dari akses tidak sah dan menerapkan langkah teknis yang sesuai; kegagalan pelindungan diancam sanksi administratif. PP No. 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik menuntut penyelenggara sistem elektronik menjaga keandalan dan keamanan sistemnya. Ada pula UU ITE beserta perubahannya, yang mengatur kedudukan informasi dan tanda tangan elektronik sebagai alat bukti sah sepanjang memenuhi syarat keandalan — aspek yang bersinggungan langsung dengan kualitas mekanisme autentikasi.

Di sektor jasa keuangan, ketentuan OJK mengenai penyelenggaraan teknologi informasi oleh bank umum menuntut manajemen risiko TI, termasuk pengendalian akses dan autentikasi yang proporsional terhadap tingkat risiko layanan. Di sektor kesehatan, Permenkes No. 24 Tahun 2022 tentang Rekam Medis Elektronik mengharuskan penyelenggara menjamin keamanan dan kerahasiaan data rekam medis, termasuk pengaturan hak akses pengguna. Dalam kerangka semacam ini, autentikasi tahan phishing menjadi argumen kepatuhan yang kuat — terutama untuk akun administrator dan pengguna dengan hak istimewa.

Rekomendasi Penerapan Bertahap

Mengganti seluruh OTP SMS dalam sekali langkah jarang realistis. Pendekatan berlapis berikut lebih bisa dijalankan:

• Mulai dari populasi berisiko tertinggi: administrator sistem, tim keuangan, pengelola basis data, dan pimpinan.
• Terapkan kebijakan dua kunci per pengguna — satu untuk pemakaian harian, satu cadangan di brankas — agar tidak ada yang terkunci dari akunnya sendiri.
• Pastikan penyedia identitas dan aplikasi internal Anda sudah mendukung WebAuthn sebelum pengadaan massal.
• Nonaktifkan mekanisme cadangan yang lemah. Kunci tahan phishing tidak ada artinya bila penyerang masih bisa memulihkan akun lewat OTP SMS.
• Dokumentasikan proses penerbitan, pencabutan, dan pemusnahan perangkat sebagai bagian dari kebijakan keamanan informasi organisasi.
• Sertakan hasil penilaian risiko dan bukti pengendalian dalam dokumentasi kepatuhan Anda.

Pertanyaan yang sering diajukan

Apakah OTP SMS masih boleh digunakan di Indonesia?

Masih boleh; tidak ada larangan regulatif terhadap OTP SMS. Namun regulasi perlindungan data menuntut pengamanan yang memadai dan berbasis risiko. Untuk akun berdampak tinggi, sebaiknya Anda mendokumentasikan alasan OTP SMS dinilai cukup — atau beralih ke metode tahan phishing.

Apa yang terjadi jika YubiKey saya hilang?

Akun Anda tetap aman. Penemu perangkat masih memerlukan PIN atau biometrik, dan kunci privat tidak bisa diekstraksi. Anda tinggal masuk memakai kunci cadangan yang sudah didaftarkan, lalu mencabut pendaftaran kunci yang hilang dari sistem.

Apakah FIDO2 menghilangkan kebutuhan kata sandi?

Bisa, lewat fitur discoverable credential atau passkey yang memungkinkan login tanpa kata sandi sama sekali. Meski begitu, banyak organisasi memilih memulai dari kata sandi plus FIDO2 sebagai faktor kedua, baru bermigrasi penuh setelah cakupan perangkat dan proses pemulihannya matang.

Apakah YubiKey memerlukan koneksi internet atau baterai?

Tidak. Perangkat mengambil daya dari port USB atau medan NFC — tanpa baterai, tanpa konektivitas mandiri. Ia tetap berfungsi di area tanpa sinyal seluler, keunggulan praktis dibanding OTP SMS di lokasi operasional terpencil.