{"id":5170,"date":"2026-07-25T13:00:49","date_gmt":"2026-07-25T06:00:49","guid":{"rendered":"https:\/\/dtisolution.id\/blog\/?p=5170"},"modified":"2026-07-25T13:00:49","modified_gmt":"2026-07-25T06:00:49","slug":"fido2-webauthn-cara-kerja-lebih-aman-dari-otp-sms","status":"publish","type":"post","link":"https:\/\/dtisolution.id\/blog\/fido2-webauthn-cara-kerja-lebih-aman-dari-otp-sms\/","title":{"rendered":"FIDO2 WebAuthn: Cara Kerja &#038; Kenapa Lebih Aman dari OTP"},"content":{"rendered":"<div class=\"dti-snippet-answer\" style=\"margin:0 0 24px;padding:16px 20px;border-left:4px solid #E85A5A;background:#fdf6f6;border-radius:6px\"><strong>Jawaban singkat:<\/strong> FIDO2 WebAuthn bekerja dengan pasangan kunci kriptografi: kunci privat tidak pernah meninggalkan YubiKey, sedangkan server hanya menyimpan kunci publik. Karena setiap login diikat ke alamat domain asli dan tidak ada kode yang bisa dibacakan ulang, metode ini menutup celah phishing, SIM swap, dan penyadapan SS7 yang membuat OTP SMS rentan.<\/div>\n<p>Selama lebih dari satu dekade, One-Time Password (OTP) melalui SMS menjadi tulang punggung autentikasi dua faktor di Indonesia, mulai dari mobile banking, dompet digital, hingga portal layanan pemerintah. Namun lanskap ancaman telah berubah. <strong>FIDO2 WebAuthn<\/strong> \u2014 standar terbuka yang menjadi dasar kerja perangkat keras seperti YubiKey \u2014 kini dipandang sebagai jawaban atas kelemahan struktural OTP SMS. Artikel ini membedah cara kerja teknisnya, membandingkannya secara jujur dengan OTP, dan menempatkannya dalam konteks kewajiban perlindungan data di Indonesia.<\/p>\n<figure style=\"margin:20px 0\"><img decoding=\"async\" src=\"https:\/\/dtisolution.id\/blog\/wp-content\/uploads\/2026\/07\/dti-weekly-1784474538-yubikey-5-family.png\" alt=\"Ilustrasi YubiKey \u2014 FIDO2 WebAuthn: Cara Kerja &amp; Kenapa Lebih Aman dari OTP\" style=\"max-width:100%;height:auto;border-radius:8px\" title=\"\"><figcaption style=\"font-size:13px;color:#5B6B85;margin-top:6px\">YubiKey dari DTI.<\/figcaption><\/figure>\n<h2>Apa Itu FIDO2 dan WebAuthn?<\/h2>\n<p>FIDO2 adalah payung standar yang dikembangkan FIDO Alliance bersama W3C. Ia terdiri atas dua komponen yang saling melengkapi. Pertama, <em>Web Authentication<\/em> (WebAuthn), yaitu antarmuka pemrograman standar W3C yang memungkinkan peramban dan aplikasi web memanggil autentikator kriptografis. Kedua, <em>Client to Authenticator Protocol<\/em> (CTAP), protokol yang mengatur komunikasi antara perangkat pengguna dengan autentikator eksternal melalui USB, NFC, atau Bluetooth.<\/p>\n<p>YubiKey adalah salah satu implementasi autentikator perangkat keras yang mendukung FIDO2 sekaligus protokol lain seperti PIV smart card, OATH-TOTP, dan OpenPGP. Karena kunci kriptografi disimpan pada elemen aman di dalam perangkat, kunci privat secara desain tidak dapat diekstraksi \u2014 bahkan oleh pemilik perangkat itu sendiri. Beberapa seri khusus memiliki validasi FIPS 140 dari NIST, yang relevan bagi organisasi dengan persyaratan kepatuhan ketat.<\/p>\n<h2>Cara Kerja FIDO2 WebAuthn Langkah demi Langkah<\/h2>\n<p>Inti FIDO2 adalah kriptografi kunci publik, bukan rahasia bersama. Perbedaan filosofis ini yang menentukan seluruh keunggulan keamanannya.<\/p>\n<h3>1. Fase Registrasi<\/h3>\n<p>Ketika pengguna mendaftarkan YubiKey pada suatu layanan, server mengirimkan tantangan acak (<em>challenge<\/em>) beserta identitas domainnya. Autentikator kemudian membangkitkan sepasang kunci baru yang unik dan khusus untuk layanan tersebut. Kunci privat tetap tersimpan di dalam perangkat; hanya kunci publik yang dikirim balik ke server untuk disimpan pada profil pengguna.<\/p>\n<p>Konsekuensinya penting: basis data server tidak lagi menyimpan rahasia yang bernilai bagi penyerang. Jika terjadi kebocoran, yang bocor hanyalah kumpulan kunci publik yang tidak dapat digunakan untuk masuk ke akun mana pun. Ini kontras tajam dengan basis data berisi hash kata sandi atau seed OTP.<\/p>\n<h3>2. Fase Autentikasi<\/h3>\n<p>Saat login, server mengirim tantangan acak baru. Peramban meneruskannya ke YubiKey bersama informasi asal permintaan. Perangkat menandatangani tantangan tersebut dengan kunci privat yang sesuai, lalu mengembalikan tanda tangan digital. Server memverifikasinya menggunakan kunci publik yang telah tersimpan. Tidak ada kode yang berpindah tangan, tidak ada yang bisa dibacakan melalui telepon, dan tidak ada yang bisa disalin ke situs palsu.<\/p>\n<h3>3. Origin Binding: Kunci Ketahanan terhadap Phishing<\/h3>\n<p>Elemen paling menentukan adalah <em>origin binding<\/em>. Peramban menyertakan alamat domain sesungguhnya ke dalam data yang ditandatangani, dan autentikator hanya akan merespons jika domain tersebut cocok dengan yang digunakan saat registrasi. Bila korban membuka situs tiruan dengan domain mirip, YubiKey secara teknis tidak akan menghasilkan tanda tangan yang valid. Perlindungan ini tidak bergantung pada kewaspadaan pengguna \u2014 ia berjalan otomatis di lapisan protokol.<\/p>\n<h3>4. Verifikasi Pengguna<\/h3>\n<p>FIDO2 menambahkan kemampuan verifikasi pengguna melalui PIN perangkat atau sensor sidik jari pada seri tertentu. Dengan demikian satu perangkat dapat memenuhi dua faktor sekaligus: sesuatu yang Anda miliki (kunci fisik) dan sesuatu yang Anda ketahui atau miliki secara biometrik.<\/p>\n<h2>Mengapa OTP SMS Rentan?<\/h2>\n<p>OTP SMS bekerja dengan mengirim rahasia bersama melalui jalur yang tidak dikendalikan oleh penyelenggara layanan. Setidaknya ada empat vektor serangan yang telah terdokumentasi luas:<\/p>\n<ul>\n<li><strong>SIM swap.<\/strong> Penyerang membujuk atau menyuap petugas gerai untuk memindahkan nomor korban ke kartu SIM baru, lalu menerima seluruh OTP secara sah.<\/li>\n<li><strong>Kelemahan protokol SS7.<\/strong> Protokol pensinyalan antar-operator memungkinkan pengalihan pesan lintas jaringan bagi pihak yang memiliki akses tingkat interkoneksi.<\/li>\n<li><strong>Phishing real-time (adversary-in-the-middle).<\/strong> Situs proksi meneruskan kredensial dan OTP korban ke situs asli secara langsung. Karena OTP hanya berupa deretan angka tanpa keterikatan domain, ia dapat digunakan ulang dalam hitungan detik.<\/li>\n<li><strong>Rekayasa sosial dan malware.<\/strong> Aplikasi berbahaya dengan izin membaca SMS, atau penipuan bermodus petugas resmi yang meminta kode, tetap menjadi penyebab kerugian terbesar di sektor keuangan.<\/li>\n<\/ul>\n<p>NIST SP 800-63B menempatkan autentikator berbasis jaringan telepon publik, termasuk SMS, sebagai <em>restricted authenticator<\/em> \u2014 masih boleh digunakan, namun penyelenggara diminta menilai risikonya dan menyiapkan alternatif. Sebaliknya, autentikator perangkat keras yang tahan phishing merupakan syarat untuk mencapai tingkat jaminan autentikasi tertinggi.<\/p>\n<h2>Perbandingan FIDO2 WebAuthn dan OTP SMS<\/h2>\n<table>\n<tr>\n<th>Aspek<\/th>\n<th>FIDO2\/WebAuthn (YubiKey)<\/th>\n<th>OTP SMS<\/th>\n<\/tr>\n<tr>\n<td>Model rahasia<\/td>\n<td>Kunci privat tidak pernah keluar perangkat<\/td>\n<td>Rahasia bersama dikirim melalui jaringan seluler<\/td>\n<\/tr>\n<tr>\n<td>Ketahanan phishing<\/td>\n<td>Ada, melalui origin binding otomatis<\/td>\n<td>Tidak ada; kode dapat diteruskan ke situs palsu<\/td>\n<\/tr>\n<tr>\n<td>Risiko SIM swap<\/td>\n<td>Tidak relevan<\/td>\n<td>Tinggi<\/td>\n<\/tr>\n<tr>\n<td>Dampak kebocoran basis data<\/td>\n<td>Minimal (hanya kunci publik)<\/td>\n<td>Signifikan bila seed atau nomor bocor<\/td>\n<\/tr>\n<tr>\n<td>Ketergantungan sinyal<\/td>\n<td>Tidak ada<\/td>\n<td>Ada; gagal saat roaming atau jaringan padat<\/td>\n<\/tr>\n<tr>\n<td>Biaya operasional<\/td>\n<td>Investasi perangkat di awal<\/td>\n<td>Biaya SMS berulang per transaksi<\/td>\n<\/tr>\n<tr>\n<td>Risiko kehilangan perangkat<\/td>\n<td>Perlu kebijakan kunci cadangan<\/td>\n<td>Perlu prosedur pemulihan nomor<\/td>\n<\/tr>\n<\/table>\n<h2>Konteks Regulasi di Indonesia<\/h2>\n<p>Perlu ditegaskan sejak awal: sampai saat ini tidak ada regulasi Indonesia yang secara eksplisit mewajibkan penggunaan FIDO2 atau kunci keamanan perangkat keras. Yang diwajibkan adalah penerapan pengamanan yang memadai dan berbasis risiko. FIDO2 merupakan salah satu cara memenuhi kewajiban tersebut, bukan satu-satunya.<\/p>\n<p>UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi mewajibkan pengendali data pribadi melindungi data dari akses tidak sah dan menerapkan langkah teknis yang sesuai, dengan ancaman sanksi administratif apabila terjadi kegagalan pelindungan. PP No. 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik menuntut penyelenggara sistem elektronik menjaga keandalan dan keamanan sistemnya. UU ITE beserta perubahannya mengatur kedudukan informasi dan tanda tangan elektronik sebagai alat bukti yang sah sepanjang memenuhi syarat keandalan \u2014 aspek yang bersinggungan langsung dengan kualitas mekanisme autentikasi.<\/p>\n<p>Di sektor jasa keuangan, ketentuan OJK mengenai penyelenggaraan teknologi informasi oleh bank umum menuntut penerapan manajemen risiko TI, termasuk pengendalian akses dan autentikasi yang proporsional terhadap tingkat risiko layanan. Pada sektor kesehatan, Permenkes No. 24 Tahun 2022 tentang Rekam Medis Elektronik mengharuskan penyelenggara menjamin keamanan dan kerahasiaan data rekam medis, yang mencakup pengaturan hak akses pengguna. Dalam kerangka semacam ini, autentikasi tahan phishing menjadi argumen kepatuhan yang kuat, terutama untuk akun administrator dan pengguna dengan hak istimewa.<\/p>\n<h2>Rekomendasi Penerapan Bertahap<\/h2>\n<p>Menggantikan seluruh OTP SMS dalam sekali langkah jarang realistis. Pendekatan berlapis berikut lebih dapat dijalankan:<\/p>\n<ul>\n<li>Mulai dari populasi berisiko tertinggi: administrator sistem, tim keuangan, pengelola basis data, dan pimpinan.<\/li>\n<li>Terapkan kebijakan dua kunci per pengguna \u2014 satu kunci harian, satu kunci cadangan yang disimpan di brankas \u2014 untuk menghindari penguncian akun.<\/li>\n<li>Pastikan penyedia identitas dan aplikasi internal Anda mendukung WebAuthn sebelum pengadaan massal.<\/li>\n<li>Nonaktifkan mekanisme cadangan yang lemah; kunci tahan phishing tidak bermanfaat bila penyerang masih dapat memulihkan akun lewat OTP SMS.<\/li>\n<li>Dokumentasikan proses penerbitan, pencabutan, dan pemusnahan perangkat sebagai bagian dari kebijakan keamanan informasi organisasi.<\/li>\n<li>Sertakan hasil penilaian risiko dan bukti pengendalian dalam dokumentasi kepatuhan Anda.<\/li>\n<\/ul>\n<h3>Pertanyaan yang sering diajukan<\/h3>\n<p><strong>Apakah OTP SMS masih boleh digunakan di Indonesia?<\/strong><\/p>\n<p>Masih boleh. Tidak ada larangan regulatif terhadap OTP SMS. Namun regulasi perlindungan data menuntut pengamanan yang memadai dan berbasis risiko, sehingga untuk akun dengan dampak tinggi Anda sebaiknya mendokumentasikan mengapa OTP SMS dinilai cukup, atau beralih ke metode tahan phishing.<\/p>\n<p><strong>Apa yang terjadi jika YubiKey saya hilang?<\/strong><\/p>\n<p>Akun Anda tetap aman karena penemu perangkat masih memerlukan PIN atau biometrik, dan kunci privat tidak dapat diekstraksi. Anda cukup masuk menggunakan kunci cadangan yang telah didaftarkan sebelumnya, lalu mencabut pendaftaran kunci yang hilang dari sistem.<\/p>\n<p><strong>Apakah FIDO2 menghilangkan kebutuhan kata sandi?<\/strong><\/p>\n<p>Bisa, melalui fitur <em>discoverable credential<\/em> atau passkey yang memungkinkan login tanpa kata sandi sama sekali. Namun banyak organisasi memilih tahap awal berupa kata sandi ditambah FIDO2 sebagai faktor kedua, lalu bermigrasi penuh setelah cakupan perangkat dan proses pemulihan matang.<\/p>\n<p><strong>Apakah YubiKey memerlukan koneksi internet atau baterai?<\/strong><\/p>\n<p>Tidak. Perangkat mengambil daya dari port USB atau medan NFC dan tidak memiliki baterai maupun konektivitas mandiri. Karena itu ia tetap berfungsi di area tanpa sinyal seluler \u2014 keunggulan praktis dibanding OTP SMS pada lokasi operasional terpencil.<\/p>\n<div class=\"dti-related-links\" style=\"margin:28px 0;padding:16px 20px;background:#f4f6fa;border-radius:6px\"><strong>Baca juga:<\/strong><\/p>\n<ul style=\"margin:8px 0 0;padding-left:20px\">\n<li><a href=\"https:\/\/dtisolution.id\/blog\/memilih-yubikey-untuk-perusahaan-panduan-lengkap\/\">Memilih YubiKey untuk Perusahaan<\/a><\/li>\n<li><a href=\"https:\/\/dtisolution.id\/blog\/pemusnahan-data-perbankan-pojk-padk\/\">Pemusnahan Data Perbankan: Kewajiban POJK &amp; PADK<\/a><\/li>\n<\/ul>\n<\/div>\n<div class=\"dti-product-cta\" style=\"margin:28px 0;padding:18px 20px;border-left:4px solid #2C4A7E;background:#f4f6fa;border-radius:6px\"><strong>Butuh security key hardware untuk organisasi Anda?<\/strong><br \/>Pelajari <a href=\"https:\/\/dtisolution.id\/id\/produk\/yubikey-security-key\"><strong>YubiKey security key resmi dari DTI<\/strong><\/a>.<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Pahami cara kerja FIDO2 WebAuthn pada YubiKey, mengapa lebih tahan phishing dibanding OTP SMS, serta konteks regulasi keamanan data di Indonesia.<\/p>\n","protected":false},"author":19941,"featured_media":5169,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[2],"tags":[],"coauthors":[1470],"class_list":["post-5170","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-knowledge"],"_links":{"self":[{"href":"https:\/\/dtisolution.id\/blog\/wp-json\/wp\/v2\/posts\/5170","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/dtisolution.id\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/dtisolution.id\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/dtisolution.id\/blog\/wp-json\/wp\/v2\/users\/19941"}],"replies":[{"embeddable":true,"href":"https:\/\/dtisolution.id\/blog\/wp-json\/wp\/v2\/comments?post=5170"}],"version-history":[{"count":1,"href":"https:\/\/dtisolution.id\/blog\/wp-json\/wp\/v2\/posts\/5170\/revisions"}],"predecessor-version":[{"id":5198,"href":"https:\/\/dtisolution.id\/blog\/wp-json\/wp\/v2\/posts\/5170\/revisions\/5198"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/dtisolution.id\/blog\/wp-json\/wp\/v2\/media\/5169"}],"wp:attachment":[{"href":"https:\/\/dtisolution.id\/blog\/wp-json\/wp\/v2\/media?parent=5170"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/dtisolution.id\/blog\/wp-json\/wp\/v2\/categories?post=5170"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/dtisolution.id\/blog\/wp-json\/wp\/v2\/tags?post=5170"},{"taxonomy":"author","embeddable":true,"href":"https:\/\/dtisolution.id\/blog\/wp-json\/wp\/v2\/coauthors?post=5170"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}