Apa itu Risk-Based Authentication (RBA)?
Autentikasi berbasis risiko (Risk-Based Authentication/RBA) adalah metode autentikasi di mana tingkat ketatnya proses autentikasi dalam suatu sistem bervariasi berdasarkan kemungkinan bahwa akses ke sistem tersebut dapat menyebabkan kompromi keamanan. Ketika tindakan dianggap memiliki tingkat risiko yang lebih tinggi, proses autentikasi menjadi lebih ketat dan komprehensif untuk melindungi sistem dari akses yang tidak sah atau berbahaya.
Autentikasi berbasis risiko adalah jenis autentikasi adaptif atau step-up. Adaptif berarti sistem autentikasi terlebih dahulu menilai risiko dari permintaan autentikasi yang dimulai oleh pengguna. Berdasarkan penilaian tersebut, sistem menyesuaikan mekanisme autentikasi yang diterapkan kepada pengguna.
Setelah menghitung risiko yang dipersepsikan, RBA mungkin meminta pengguna untuk memberikan faktor autentikasi tambahan untuk mengkonfirmasi identitas mereka. Faktor-faktor ini dapat mencakup:
- Tautan verifikasi yang dikirim melalui email.
- Kode OTP (One-Time Password) yang dikirim melalui SMS.
- Kode OTP yang dihasilkan oleh aplikasi autentikator.
- Kode OTP yang dihasilkan oleh token keamanan fisik.
- Pertanyaan dan jawaban keamanan (ditetapkan sebelumnya oleh pengguna yang berwenang).
- Informasi biometrik, seperti sidik jari atau pemindaian wajah.
Bagaimana autentikasi berbasis risiko bekerja?
Ketika pengguna mencoba masuk ke sistem atau akun dengan RBA yang dikonfigurasi, mekanisme ini menganalisis perilaku pengguna dan berbagai faktor risiko, seperti:
- Lokasi geografis pengguna.
- Alamat IP pengguna.
- Perangkat pengguna — apakah dikenali atau tidak oleh akun yang diakses.
- Sensitivitas informasi atau akun yang diakses.
- Status pembaruan perangkat lunak antivirus pada perangkat pengguna.
- Kehadiran proxy anonim.
- Nilai transaksi.
- Kehadiran malware.
- Riwayat insiden keamanan pengguna.
Setelah menganalisis faktor-faktor ini, RBA menghitung skor risiko, yang merupakan ukuran kemungkinan bahwa upaya login tersebut ilegal atau berbahaya, misalnya peretasan. Skor ini dibuat secara real-time dan digunakan untuk mengklasifikasikan koneksi sebagai berisiko rendah, menengah, atau tinggi.
Di mana autentikasi berbasis risiko digunakan?
RBA umumnya digunakan untuk melindungi akun yang sensitif atau rahasia, seperti akun perbankan online. Banyak aplikasi email populer, situs e-commerce, dan media sosial telah menerapkan RBA. Contohnya termasuk Gmail, Facebook, LinkedIn, dan Amazon.
Jenis autentikasi berbasis risiko
RBA dapat dikategorikan sebagai berbasis pengguna atau berbasis transaksi. Dalam RBA berbasis pengguna, setiap sesi autentikasi pengguna memiliki persyaratan autentikasi yang sama. Dalam RBA berbasis transaksi, tingkat autentikasi yang diperlukan bervariasi tergantung pada sensitivitas atau potensi risiko transaksi.
Manfaat autentikasi berbasis risiko
Dibandingkan dengan metode autentikasi berbasis kata sandi tradisional, RBA memberikan autentikasi yang lebih kuat dan keamanan akun yang lebih andal. Dengan menyesuaikan autentikasi dengan tingkat risiko yang dipersepsikan, RBA juga lebih efektif dalam mengurangi risiko kompromi akun dan penipuan siber.
Keamanan yang lebih kuat tidak berarti meningkatkan friksi bagi pengguna. Justru, RBA mengurangi beban autentikasi pengguna karena hanya pengguna dengan risiko sedang atau tinggi yang diminta untuk memberikan faktor autentikasi tambahan.