{"id":5213,"date":"2026-08-09T11:02:14","date_gmt":"2026-08-09T04:02:14","guid":{"rendered":"https:\/\/dtisolution.id\/blog\/?p=5213"},"modified":"2026-08-25T00:14:29","modified_gmt":"2026-08-24T17:14:29","slug":"security-key-vs-otp-sms-tahan-phishing","status":"publish","type":"post","link":"https:\/\/dtisolution.id\/blog\/security-key-vs-otp-sms-tahan-phishing\/","title":{"rendered":"Security Key vs OTP SMS: Mana yang Tahan Phishing?"},"content":{"rendered":"
Jawaban singkat:<\/strong> Security key FIDO2 seperti YubiKey menyimpan kunci privat di dalam chip dan mengikat kredensial pada domain situs aslinya, sehingga tidak ada kode yang bisa diteruskan ke penyerang. OTP SMS mengirim rahasia lewat jaringan seluler yang rentan SIM swap dan phishing real-time. Keduanya sah dipakai; ketahanan phishing-nya yang berbeda jauh.<\/div>\n

Perdebatan security key vs OTP SMS<\/strong> sering dikerdilkan menjadi urusan nyaman atau aman. Perbedaan sesungguhnya lebih dalam: keduanya berdiri di atas model ancaman yang berbeda. OTP SMS adalah shared secret<\/em>, rahasia yang dititipkan lewat pihak ketiga dan bisa diketik ulang oleh siapa saja yang berhasil membujuk pemiliknya. Security key FIDO2 memakai kriptografi kunci publik<\/em>: kredensial terikat pada domain, kunci privatnya tidak pernah keluar dari perangkat keras, dan karena itu tidak mungkin diserahkan ke situs palsu \u2014 bukan karena penggunanya waspada, melainkan karena protokolnya memang tidak menyediakan jalan ke sana. Artikel ini membedah perbedaan tersebut secara praktis untuk perbankan dan organisasi enterprise di Indonesia, tanpa ikut mengklaim OTP SMS dilarang; memang tidak ada larangannya. Untuk gambaran menyeluruh soal MFA yang tahan phishing, lihat panduan lengkap MFA tahan phishing untuk enterprise dan perbankan<\/a>.<\/p>\n

\"Ilustrasi
YubiKey dari DTI.<\/figcaption><\/figure>\n

Security key vs OTP SMS: perbedaan pada model ancaman, bukan sekadar kenyamanan<\/h2>\n

OTP SMS berdiri di atas dua asumsi: hanya pemilik sah yang bisa membaca pesan di nomor terdaftar, dan pengguna hanya akan mengetikkan kode di tempat yang benar. Dua asumsi itulah yang justru menjadi sasaran teknik penipuan modern. WebAuthn\/FIDO2 mengambil jalan lain \u2014 tidak ada rahasia yang dikirim sama sekali. Browser menandatangani challenge<\/em> memakai kunci privat yang tersimpan di elemen aman kunci fisik, dan tanda tangan itu hanya berlaku untuk origin<\/em> (domain) yang persis sama dengan tempat kredensial didaftarkan. Mekanisme teknisnya kami uraikan lebih rinci pada pembahasan cara kerja FIDO2 WebAuthn<\/a>.<\/p>\n

Konsekuensinya sederhana tetapi menentukan. Pada OTP SMS, korban adalah bagian dari rantai keamanan; pada FIDO2, ia dikeluarkan dari rantai itu. Silakan saja pengguna tertipu situs tiruan \u2014 kunci fisik tetap menolak menandatangani karena domainnya tidak cocok.<\/p>\n

Empat jalur serangan yang menembus OTP SMS<\/h2>\n

1. SIM swap dan pengambilalihan nomor<\/h3>\n

Penyerang mengumpulkan data identitas korban, lalu datang ke gerai operator dan mengajukan penggantian kartu SIM. Begitu nomor berpindah, seluruh OTP mengalir ke perangkat penyerang. Perhatikan: tidak ada satu pun sistem bank atau rumah sakit yang dibobol di sini. Titik lemahnya ada pada proses verifikasi pihak ketiga, jauh di luar kendali organisasi Anda. Kunci FIDO2 tidak terpengaruh sama sekali karena kredensialnya tidak terikat pada nomor telepon.<\/p>\n

2. Phishing real-time (adversary-in-the-middle)<\/h3>\n

Ini jalur yang paling sering diremehkan. Kit phishing modern bekerja sebagai proksi transparan: korban login di situs tiruan, kredensial dan OTP diteruskan ke situs asli dalam hitungan detik, lalu penyerang mengambil session cookie<\/em> yang sudah terautentikasi. Masa berlaku 60 detik tidak menolong, karena kodenya memang masih valid saat direlai. FIDO2 memutus serangan ini di tingkat protokol lewat origin binding<\/em> \u2014 inilah yang disebut NIST sebagai verifier impersonation resistance<\/em> dalam SP 800-63B.<\/p>\n

3. Penyadapan dan malware pada perangkat<\/h3>\n

SMS melintasi jaringan pensinyalan telekomunikasi yang tidak pernah dirancang untuk kerahasiaan tinggi. Di sisi perangkat, aplikasi berbahaya yang mengantongi izin baca SMS bisa meneruskan kode secara diam-diam. Bandingkan dengan kunci privat pada YubiKey: ia tidak bisa diekspor keluar dari elemen aman, bahkan oleh pemiliknya sendiri.<\/p>\n

4. Rekayasa sosial langsung<\/h3>\n

Penipu menelepon, mengaku petugas bank atau tim IT internal, lalu meminta kode yang baru saja masuk. Selama sebuah metode menghasilkan angka yang bisa dibacakan manusia<\/em>, metode itu bisa dibujuk keluar. Menyentuh kunci fisik tidak menghasilkan apa pun yang bisa didiktekan lewat telepon.<\/p>\n