Apa itu Out-of-Band Authentication?
Out-of-band authentication adalah salah satu metode two-factor authentication (2FA) yang mewajibkan verifikasi tambahan melalui saluran komunikasi yang berbeda dari saluran utama (seperti username dan password). Metode ini sering digunakan di sektor keuangan dan organisasi dengan kebutuhan keamanan tinggi.
Konsep dasar dari out-of-band authentication adalah menambahkan lapisan keamanan ekstra dengan menggunakan dua saluran komunikasi yang tidak saling terhubung. Saluran sekunder ini bisa berupa pesan SMS (SMS), notifikasi push di perangkat mobile, panggilan suara, atau media komunikasi lain yang terpisah dari jalur akses utama. Tujuannya adalah membuat peretasan akun jauh lebih sulit karena attacker harus membobol dua jalur yang tidak berhubungan sekaligus.
Bagaimana Cara Kerja Out-of-Band Authentication?
Umumnya, proses ini melibatkan beberapa tahap seperti berikut:
- Login awal. Pengguna mencoba mengakses sistem atau aplikasi, atau melakukan transaksi sensitif melalui saluran utama seperti website atau mobile app.
- Permintaan verifikasi tambahan. Setelah login awal, sistem akan mengirim permintaan verifikasi tambahan lewat saluran komunikasi terpisah.
- Pengiriman out-of-band. Sistem mengirim kode sekali pakai atau OTP lewat push notification atau media autentikasi lainnya ke perangkat pengguna.
- Verifikasi pengguna. Pengguna menerima notifikasi lalu memasukkan OTP atau menyetujui permintaan autentikasi di saluran kedua tersebut.
- Akses diberikan. Setelah proses verifikasi dari dua saluran berhasil, sistem memberikan akses atau menyelesaikan transaksi.
Pendekatan multisaluran seperti ini sangat memperkuat sistem manajemen identitas dan akses. Soalnya, seorang attacker harus bisa menembus dua jalur komunikasi yang tidak terhubung sekaligus—dan itu cukup sulit.
Contoh Penggunaan Out-of-Band Authentication
Out-of-band authentication bisa diterapkan dengan berbagai cara, tergantung jenis komunikasi yang digunakan. Secara umum, metode ini lebih murah dibanding pakai key fob atau metode biometrik (biometrics) yang kompleks. Beberapa contoh yang umum antara lain:
- OTP via SMS. Kode unik akan dikirim via SMS ke ponsel pengguna dan harus dimasukkan untuk menyelesaikan autentikasi.
- Push notification via app. Aplikasi khusus mengirim notifikasi ke perangkat pengguna untuk meminta persetujuan login atau transaksi.
- Panggilan suara. Sistem akan melakukan panggilan otomatis ke nomor terdaftar pengguna, yang harus merespons dengan menekan tombol tertentu atau memberikan suara. Bahkan, bisa juga digunakan voice recognition sebagai verifikasi biometrik.
- Hardware token. Perangkat fisik seperti USB key atau smart card yang menghasilkan OTP atau tantangan kriptografi.
- Software token. Kode yang dihasilkan oleh aplikasi autentikator di smartphone atau desktop (soft token), berisi PIN satu kali pakai.
- Autentikasi biometrik. Menggunakan sidik jari, pengenalan wajah (facial recognition), atau suara sebagai faktor autentikasi melalui perangkat berbeda.
Siapa yang Menggunakan Out-of-Band Authentication?
Banyak industri mengadopsi metode ini karena keamanannya yang kuat. Beberapa di antaranya:
- Layanan keuangan. Bank dan institusi keuangan lain menggunakannya untuk mengamankan transaksi online dan mencegah akses tidak sah.
- E-commerce. Platform e-commerce menggunakannya saat proses checkout atau pengelolaan akun untuk melindungi informasi pelanggan.
- Layanan kesehatan. Digunakan untuk melindungi data pasien dan rekam medis elektronik dari akses ilegal.
- Perusahaan besar. Untuk mengamankan akses jarak jauh ke jaringan internal dan sistem sensitif.
- Lembaga pemerintah. Digunakan untuk melindungi data rahasia seperti dokumen pajak atau informasi rahasia nasional dari serangan siber.
Kelebihan dan Kekurangan Out-of-Band Authentication
Berikut beberapa manfaat dan tantangan dari teknologi ini:
Kelebihan
- Keamanan tinggi. Menambahkan lapisan verifikasi ekstra membuat sistem lebih tahan terhadap phishing dan serangan man-in-the-middle.
- Fleksibel. Bisa diterapkan lewat berbagai jalur komunikasi seperti SMS, app, panggilan suara, atau token hardware.
- Patuh regulasi. Banyak standar industri yang mewajibkan multifactor authentication, termasuk metode ini.
- User-friendly. Dengan menggunakan perangkat dan saluran komunikasi yang sudah dikenal pengguna, proses autentikasi terasa lebih natural dan tidak menyusahkan.
Kekurangan
- Masih bisa ditembus. Kalau hacker berhasil mengalihkan nomor telepon pengguna ke miliknya, sistem bisa jebol. Jadi, keamanan tetap bergantung pada kebijakan dan prosedur lembaga yang digunakan.
- Risiko dari perangkat mobile. Jika pengguna mengakses sistem dan menerima OTP di perangkat yang sama, efektivitas autentikasi jadi menurun.
- Tergantung koneksi komunikasi. Gangguan atau delay di saluran komunikasi bisa menghambat proses autentikasi.
- Menambah permukaan serangan. Menambahkan channel baru juga berarti menambah potensi celah keamanan, misalnya intercept SMS atau celah di aplikasi autentikasi.
- Tantangan adopsi pengguna. Tidak semua pengguna siap atau paham soal saluran tambahan ini. Edukasi jadi faktor penting.
- Biaya dan kompleksitas implementasi. Untuk skala organisasi besar, setup-nya bisa cukup kompleks dan mahal.
Alternatif Metode Autentikasi
Meski out-of-band authentication kuat, ada juga metode lain yang umum digunakan:
- Single-factor authentication (SFA). SFA hanya mengandalkan satu faktor, biasanya password atau PIN.
- Two-factor authentication (2FA). Kombinasi dua faktor, misalnya password dan OTP. Out-of-band bisa dianggap bentuk lanjutan dari 2FA karena menggunakan saluran berbeda.
- Multifactor authentication (MFA). Gabungan dua atau lebih faktor autentikasi, seperti password, token, dan biometrik. Out-of-band juga termasuk jenis MFA jika memakai saluran komunikasi terpisah.
- Risk-based authentication (RBA). RBA menyesuaikan tingkat autentikasi berdasarkan risiko dari aktivitas login atau transaksi tertentu. Out-of-band bisa jadi lapisan tambahan untuk skenario yang dianggap berisiko tinggi.
Out-of-band authentication merupakan metode keamanan yang makin populer, terutama dalam konteks manajemen risiko digital.