Aplikasi Autentikator dan Sandi Aplikasi: Cara Kerjanya

Aplikasi autentikator menghasilkan kata sandi sekali pakai berbasis waktu, metode yang biasa disebut TOTP. Saat Anda mengaktifkan autentikasi dua faktor berbasis aplikasi, layanan akan menampilkan kode QR. Kode itu berisi kunci rahasia, dan ketika dipindai, salinan kunci tersebut tersimpan di dalam aplikasi Anda. Sejak saat itu, layanan dan ponsel Anda memegang rahasia yang sama, dan rahasia tersebut tidak perlu dikirim lewat jaringan lagi.

Untuk membuat kode, aplikasi menggabungkan kunci rahasia dengan waktu saat ini, yang dibulatkan ke interval pendek, biasanya 30 detik, lalu memprosesnya dengan fungsi kriptografi standar. Hasilnya dipangkas menjadi angka pendek, umumnya enam digit. Server melakukan perhitungan yang sama di sisinya dan membandingkan kedua hasil. Karena kedua pihak hanya membutuhkan kunci rahasia dan jam, aplikasi ini tetap bekerja tanpa paket data maupun Wi-Fi.

Desain ini sekaligus menjelaskan masalah yang paling sering muncul: kode ditolak padahal sudah diketik dengan benar. Jika jam ponsel Anda meleset, aplikasi menghitung kode untuk jendela waktu yang salah. Mengatur tanggal dan waktu agar diperbarui otomatis biasanya menyelesaikan masalah ini, dan sebagian aplikasi juga punya opsi koreksi waktu.

Aplikasi apa pun yang mendukung metode standar TOTP bisa dipakai di sebagian besar layanan, jadi pilihan sesungguhnya bergantung pada cara aplikasi itu menangani kunci rahasia Anda. Perusahaan platform besar punya aplikasi sendiri, di antaranya Google Authenticator dan Microsoft Authenticator, dan banyak pengelola kata sandi juga bisa menyimpan kode TOTP.

Carilah fitur untuk mencadangkan atau mengekspor kode, karena aplikasi yang hanya menyimpan kode di satu ponsel akan membuat ponsel yang hilang berujung pada akun yang terkunci. Jika aplikasi menyinkronkan data ke akun cloud, pastikan akun itu sendiri terlindungi dengan baik, dan utamakan aplikasi yang mengenkripsi cadangannya. Kunci aplikasi dengan sidik jari, wajah, atau PIN menambah perlindungan jika ada orang yang mengambil ponsel Anda dalam keadaan tidak terkunci.

Sebagian aplikasi autentikator juga menawarkan persetujuan push untuk akun milik perusahaannya sendiri, sehingga Anda cukup mengetuk untuk mengonfirmasi login alih-alih mengetik kode. Cara ini praktis, tetapi hanya berlaku untuk penyedia tersebut. Untuk layanan lain, aplikasi itu berfungsi seperti pembuat kode biasa.

Di pengaturan keamanan akun, pilih opsi untuk menyiapkan aplikasi autentikator. Pindai kode QR dengan aplikasi, atau ketik kunci penyiapan secara manual jika tidak bisa memindai. Layanan kemudian meminta kode yang sedang tampil untuk membuktikan bahwa penyiapan berhasil. Jangan lewatkan langkah ini, dan jangan tutup halaman sebelum kode diterima.

Beri nama yang jelas pada setiap entri jika aplikasi memungkinkan, terutama saat Anda mengelola beberapa akun di layanan yang sama. Entri yang hanya menampilkan nama merek mudah tertukar dengan entri lain, dan menghapus entri yang salah bisa membuat Anda terkunci dari akun.

Simpan juga kode cadangan atau kode pemulihan yang ditawarkan layanan pada saat yang sama. Kode ini adalah cara paling sederhana untuk masuk kembali jika ponsel berisi autentikator hilang sebelum Anda sempat mencadangkan kode-kodenya.

Aturan paling aman sebenarnya sederhana: siapkan ponsel baru selagi ponsel lama masih berfungsi. Jangan reset, jual, atau tukar tambah perangkat lama sebelum semua kode dipindahkan dan diuji.

Banyak aplikasi autentikator punya fitur transfer atau ekspor yang menampilkan satu atau beberapa kode QR di ponsel lama untuk dipindai ponsel baru. Aplikasi lain memulihkan entri Anda dari cadangan cloud terenkripsi ketika Anda login di perangkat baru. Setelah kode dipindahkan, coba login ke beberapa akun dengan kode dari ponsel baru untuk memastikan kodenya cocok.

Jika aplikasi Anda tidak punya opsi transfer, pindahkan akun satu per satu. Login ke setiap layanan, buka pengaturan dua faktornya, pilih untuk menambah atau mengganti autentikator, pindai kode QR baru dengan ponsel baru, lalu konfirmasi kodenya. Di banyak layanan, entri lama berhenti berfungsi begitu kunci rahasianya diganti, jadi hapus entri itu setelahnya agar tidak membingungkan. Siapkan kode cadangan di dekat Anda selama proses berlangsung, berjaga-jaga kalau ada yang gagal di tengah jalan.

Sandi aplikasi adalah kata sandi panjang yang dibuat secara acak agar satu aplikasi atau perangkat tertentu bisa masuk ke akun Anda tanpa melalui autentikasi dua faktor. Fitur ini ada untuk perangkat lunak lama yang hanya mengenal nama pengguna dan kata sandi, serta tidak bisa menampilkan permintaan kode atau membuka halaman login.

Akun Google, Microsoft, dan Yahoo, di antara layanan lainnya, memungkinkan Anda membuat sandi aplikasi dari pengaturan keamanan akun, dan dalam kebanyakan kasus fitur ini baru tersedia setelah autentikasi dua faktor diaktifkan. Beberapa jenis akun, seperti akun kantor atau sekolah tertentu atau akun yang terdaftar dalam program keamanan paling ketat, mungkin tidak menyediakannya sama sekali. Biasanya setiap sandi aplikasi hanya ditampilkan sekali saat dibuat, jadi langsung tempelkan ke aplikasi yang membutuhkannya.

Karena sandi aplikasi melewati faktor kedua, perlakukan sandi ini seperti kata sandi lengkap untuk akun email yang dilindunginya. Buat sandi terpisah untuk setiap aplikasi atau perangkat, beri nama yang deskriptif jika layanan mengizinkan, dan jangan pernah memakainya di tempat lain.

Aplikasi email modern masuk ke penyedia besar melalui jendela login bergaya browser yang langsung menangani autentikasi dua faktor, sehingga tidak memerlukan sandi aplikasi. Anda biasanya hanya membutuhkannya ketika sebuah program atau perangkat terhubung dengan pengaturan IMAP, POP, atau SMTP biasa dan hanya punya kolom kata sandi sederhana: aplikasi email desktop versi lama, sebagian aplikasi email seluler, pemindai dan printer yang bisa mengirim email, alat pencadangan, skrip, serta perangkat pintar model lama.

Cara mengujinya mudah: coba login dengan cara biasa terlebih dahulu. Jika aplikasi membuka halaman login resmi milik penyedia, gunakan halaman itu. Jika aplikasi hanya menawarkan pengaturan server dan terus menolak kata sandi yang benar setelah Anda mengaktifkan autentikasi dua faktor, itulah tanda untuk membuat sandi aplikasi, memasukkannya sebagai pengganti kata sandi biasa, dan membiarkan pengaturan lainnya tetap sama.

Para penyedia terus mengarahkan pengguna agar meninggalkan login dengan kata sandi biasa untuk aplikasi pihak ketiga, jadi sandi aplikasi yang berfungsi hari ini mungkin tidak lagi didukung di kemudian hari. Jika program yang Anda andalkan tiba-tiba tidak bisa terhubung, periksa apakah versi terbarunya sudah mendukung metode login modern sebelum membuat sandi aplikasi baru lagi.

Sesekali tinjau daftar sandi aplikasi di pengaturan keamanan akun dan cabut yang sudah tidak dipakai, terutama untuk perangkat yang sudah dijual atau program yang sudah dicopot. Sebagian penyedia menampilkan setiap sandi aplikasi secara terpisah, sementara yang lain hanya memungkinkan Anda menghapus semuanya sekaligus. Di beberapa layanan, mengganti kata sandi utama juga mencabut sandi aplikasi yang ada, jadi bersiaplah membuat yang baru setelahnya.

Jika Anda menerima akun email dari orang lain, misalnya melalui marketplace barang digital seperti rStock, hapus semua sandi aplikasi dan entri autentikator yang bukan Anda buat, lalu siapkan autentikator sendiri dan buat kode cadangan baru. Di rStock, konten yang dikirimkan muncul di halaman pesanan Anda sebagai catatan pengiriman yang terhubung dengan pesanan, jadi salin detailnya ke pengelola kata sandi sebelum mulai mengubahnya. Gunakan akun apa pun yang Anda peroleh sesuai dengan ketentuan penggunaan penyedianya.

Terakhir, sebisa mungkin simpan aplikasi autentikator, kode cadangan, dan sandi aplikasi secara terpisah satu sama lain. Satu ponsel yang dicuri atau satu catatan yang bocor tidak boleh cukup untuk menyerahkan seluruh kunci akun email Anda kepada orang lain.