Apa itu Autentikasi Multi-Faktor?
Autentikasi multi-faktor (MFA) adalah metode autentikasi yang mengharuskan pengguna menyajikan dua kredensial independen atau lebih dari kategori berbeda — sesuatu yang mereka ketahui, sesuatu yang mereka miliki, atau sesuatu yang melekat pada diri mereka — sebelum akses diberikan.
Juga dikenal sebagai: multi-factor authentication, two-factor authentication, 2FA, MFA
Tiga faktor autentikasi standar adalah: pengetahuan (password, PIN), kepemilikan (ponsel, token perangkat keras, kartu pintar), dan inheren (sidik jari, pengenalan wajah). MFA mengharuskan kredensial dari setidaknya dua kategori ini, sehingga mengkompromikan satu faktor saja tidak cukup bagi penyerang untuk mendapatkan akses. Password yang dicuri tidak berguna tanpa token perangkat keras; ponsel yang dicuri tidak berguna tanpa PIN.
Implementasi MFA yang paling umum memasangkan password dengan kata sandi sekali pakai berbasis waktu (TOTP) yang dihasilkan oleh aplikasi autentikator, kode SMS, atau notifikasi push ke perangkat seluler. Implementasi yang lebih kuat menggunakan kunci keamanan perangkat keras (FIDO2/WebAuthn), yang tahan terhadap phishing karena terikat secara kriptografis ke domain spesifik yang sedang diautentikasi. Kode berbasis SMS, meskipun lebih baik dari password saja, rentan terhadap serangan SIM swapping.
MFA adalah salah satu kontrol keamanan paling efektif yang dapat diterapkan oleh sebuah organisasi. Data industri secara konsisten menunjukkan bahwa MFA memblokir lebih dari 99% serangan kredensial otomatis. Meskipun demikian, adopsinya masih tidak merata — banyak pelanggaran dapat ditelusuri ke akun yang hanya dilindungi oleh password, khususnya akun layanan, sistem lama, dan akun pribadi yang digunakan di berbagai layanan.
Cara Vaulted menggunakan Autentikasi Multi-Faktor
Vaulted tidak menggunakan akun atau autentikasi berbasis login, sehingga MFA tidak berlaku secara langsung untuk layanan ini. Namun, perlindungan passphrase opsional Vaulted memberikan faktor kedua yang analog untuk akses rahasia. Tautan itu sendiri berfungsi sebagai "sesuatu yang kamu miliki" (kepemilikan URL), dan passphrase bertindak sebagai "sesuatu yang kamu ketahui." Bersama-sama, keduanya memastikan bahwa mencegat tautan saja tidak cukup untuk mengakses rahasia — penyerang juga membutuhkan passphrase, yang sebaiknya dikomunikasikan melalui saluran terpisah.