Semua yang perlu diketahui, tidak ada yang tidak perlu.
Apa itu OTP
OTP adalah kode singkat sekali pakai — biasanya 4 hingga 8 digit — yang hanya berlaku satu kali dalam jendela waktu singkat. Kode ini dikirimkan ke perangkat yang dimiliki pengguna, paling sering melalui SMS, tetapi juga melalui WhatsApp, panggilan suara, flash call, email, atau dibuat secara lokal oleh aplikasi autentikator. Karena kode ini kedaluwarsa dan tidak dapat digunakan kembali, OTP membuktikan, pada saat itu, bahwa pengguna mengendalikan saluran tempat kode tersebut dikirimkan.
- Kode sekali pakai, berlaku satu kali dan dalam waktu singkat.
- Dikirim melalui SMS, WhatsApp, suara, flash call, email, atau aplikasi.
- Membuktikan kendali atas saluran tempat pesan dikirim.
- Masa berlaku + penggunaan tunggal adalah hal yang menjadikannya 'sekali pakai'.
Apa itu 2FA
Autentikasi dua faktor memerlukan dua bukti dari kategori yang berbeda: sesuatu yang Anda ketahui (kata sandi atau PIN), sesuatu yang Anda miliki (ponsel, kunci keamanan, atau OTP), atau sesuatu yang merupakan bagian dari diri Anda (sidik jari atau wajah). Intinya adalah independensi — penyerang yang mencuri kata sandi Anda tetap tidak memiliki faktor kedua. Kata sandi ditambah SMS OTP adalah 2FA; dua kata sandi tidaklah demikian, karena keduanya merupakan tipe faktor yang sama.
- Dua faktor dari kategori berbeda: tahu / punya / adalah.
- Kata sandi + SMS OTP = 2FA; kata sandi + PIN = bukan 2FA.
- Independensi adalah properti keamanan yang utama.
- MFA memperluas 2FA menjadi dua faktor atau lebih.
Hubungan keduanya
OTP sering kali menjadi faktor 'sesuatu yang Anda miliki' dalam pengaturan 2FA — tetapi itu hanya satu opsi, dan bukan yang terkuat. SMS OTP rentan terhadap phishing, SIM-swap, dan penipuan SMS-pumping, itulah sebabnya panduan seperti NIST SP 800-63B memperlakukan SMS sebagai autentikator terbatas dan mengapa alternatif seperti flash-call, silent network authentication, aplikasi autentikator, dan kunci perangkat keras tersedia. Anda dapat memiliki OTP tanpa 2FA (login tanpa kata sandi faktor tunggal melalui kode) dan 2FA tanpa OTP (kata sandi ditambah sidik jari).
- OTP biasanya merupakan faktor 'keharusan', tetapi bukan satu-satunya.
- OTP SMS lebih lemah daripada faktor berbasis aplikasi atau perangkat keras.
- NIST SP 800-63B membatasi SMS sebagai autentikator.
- OTP tanpa 2FA dan 2FA tanpa OTP keduanya ada.
Perbandingan OTP vs 2FA secara ringkas
| OTP | 2FA | |
|---|---|---|
| Apa itu | Kode sekali pakai | Model keamanan autentikasi dua faktor |
| Cakupan | Satu mekanisme autentikasi | Kebijakan yang menggabungkan dua faktor |
| Contoh | Kode SMS, kode suara, kode aplikasi | Kata sandi + OTP, kata sandi + sidik jari |
| Pengiriman / metode | SMS, WhatsApp, suara, flash call, aplikasi | Dua jenis faktor independen apa pun |
| Hubungan | Dapat menjadi faktor kedua dalam 2FA | Dapat menggunakan OTP, atau tidak |