{"id":5213,"date":"2026-08-09T11:02:14","date_gmt":"2026-08-09T04:02:14","guid":{"rendered":"https:\/\/dtisolution.id\/blog\/?p=5213"},"modified":"2026-08-09T11:02:14","modified_gmt":"2026-08-09T04:02:14","slug":"security-key-vs-otp-sms-tahan-phishing","status":"publish","type":"post","link":"https:\/\/dtisolution.id\/blog\/security-key-vs-otp-sms-tahan-phishing\/","title":{"rendered":"Security Key vs OTP SMS: Mana yang Tahan Phishing?"},"content":{"rendered":"
Jawaban singkat:<\/strong> Security key FIDO2 seperti YubiKey mengikat kredensial pada domain situs asli dan menyimpan kunci privat di dalam chip, sehingga kode tidak bisa diteruskan ke penyerang. OTP SMS mengirim rahasia bersama lewat jaringan seluler yang rentan SIM swap dan phishing real-time. Keduanya sah dipakai, tetapi ketahanan phishing keduanya berbeda jauh.<\/div>\n

Perdebatan security key vs OTP SMS<\/strong> sering direduksi menjadi soal kenyamanan versus keamanan. Padahal perbedaan keduanya jauh lebih mendasar: keduanya berdiri di atas model ancaman yang berbeda. OTP SMS adalah shared secret<\/em> \u2014 sebuah rahasia yang dikirim melalui pihak ketiga dan bisa diketik ulang oleh siapa pun yang berhasil membujuk penggunanya. Security key FIDO2 adalah kriptografi kunci publik<\/em> yang terikat pada domain, tidak pernah meninggalkan perangkat keras, dan secara arsitektural tidak bisa diteruskan ke situs palsu. Artikel ini membedah perbedaan itu secara praktis untuk institusi perbankan dan organisasi enterprise di Indonesia, tanpa mengklaim bahwa OTP SMS dilarang, karena memang tidak. Untuk gambaran menyeluruh soal MFA yang tahan phishing, lihat panduan lengkap MFA tahan phishing untuk enterprise dan perbankan<\/a>.<\/p>\n

\"Ilustrasi
YubiKey dari DTI.<\/figcaption><\/figure>\n

Security key vs OTP SMS: perbedaan pada model ancaman, bukan sekadar kenyamanan<\/h2>\n

OTP SMS bekerja dengan asumsi bahwa hanya pemilik sah yang dapat membaca pesan pada nomor terdaftar, dan bahwa pengguna akan mengetikkan kode itu hanya di tempat yang benar. Dua asumsi ini persis yang diserang oleh teknik penipuan modern. Sebaliknya, protokol WebAuthn\/FIDO2 tidak mengirimkan rahasia apa pun. Browser hanya menandatangani challenge<\/em> memakai kunci privat yang tersimpan di elemen aman kunci fisik, dan tanda tangan itu hanya sah untuk origin<\/em> (domain) yang persis sama dengan tempat kredensial didaftarkan. Mekanisme teknisnya kami uraikan lebih rinci pada pembahasan cara kerja FIDO2 WebAuthn<\/a>.<\/p>\n

Konsekuensinya sederhana namun menentukan: pada OTP SMS, korban adalah bagian dari rantai keamanan; pada FIDO2, korban dikeluarkan dari rantai itu. Pengguna boleh saja tertipu situs tiruan \u2014 kunci fisik tetap menolak menandatangani karena domainnya tidak cocok.<\/p>\n

Empat jalur serangan yang menembus OTP SMS<\/h2>\n

1. SIM swap dan pengambilalihan nomor<\/h3>\n

Penyerang mengumpulkan data identitas korban, lalu mengajukan penggantian kartu SIM ke gerai operator. Begitu nomor berpindah, seluruh OTP mengalir ke perangkat penyerang. Tidak ada kelemahan di sistem bank atau rumah sakit yang dieksploitasi di sini \u2014 titik lemahnya ada di proses verifikasi pihak ketiga yang berada di luar kendali organisasi Anda. Kunci FIDO2 tidak terpengaruh sama sekali karena kredensialnya tidak terikat pada nomor telepon.<\/p>\n

2. Phishing real-time (adversary-in-the-middle)<\/h3>\n

Ini ancaman yang paling sering diremehkan. Kit phishing modern bertindak sebagai proksi transparan: korban login di situs tiruan, kredensial dan OTP diteruskan ke situs asli dalam hitungan detik, lalu penyerang mencuri session cookie<\/em> yang sudah terautentikasi. Karena OTP tetap valid pada saat itu, masa berlaku 60 detik tidak menolong. FIDO2 memutus serangan ini secara struktural melalui origin binding<\/em> \u2014 inilah yang dimaksud NIST sebagai verifier impersonation resistance<\/em> dalam SP 800-63B.<\/p>\n

3. Penyadapan dan malware pada perangkat<\/h3>\n

SMS melintasi jaringan pensinyalan telekomunikasi yang tidak dirancang dengan asumsi kerahasiaan tinggi. Di sisi perangkat, aplikasi berbahaya dengan izin baca SMS dapat meneruskan kode secara diam-diam. Kunci privat pada YubiKey tidak bisa diekspor keluar dari elemen aman, bahkan oleh pemiliknya sendiri.<\/p>\n

4. Rekayasa sosial langsung<\/h3>\n

Penipu menelepon mengaku petugas bank atau tim IT internal dan meminta kode yang baru saja masuk. Selama sebuah metode menghasilkan angka yang bisa dibacakan manusia<\/em>, metode itu bisa dibujuk keluar. Menyentuh kunci fisik tidak menghasilkan apa pun yang dapat didiktekan lewat telepon.<\/p>\n