Beberapa pertukaran untuk meningkatkan pengalaman pengguna akan memungkinkan pengguna untuk menghapus langkah-langkah rumit dalam beberapa skenario pembayaran dan menghapus input kata sandi Google Authenticator.

Belajar dari GPT, mengapa semua orang harus mengaktifkan Google Authenticator, harus menggunakan ponsel terpisah yang tidak terhubung ke internet untuk menginstal Google Authenticator, apa prinsip kriptografi di baliknya?

Mengapa "ponsel offline + Google Authenticator" adalah yang paling aman?

Karena pada dasarnya itu adalah sebuah kunci rahasia (Secret Key) yang hanya ada di ponselmu, dan tidak pernah diunggah, ditambah dengan jam matematika.

Anda dapat membayangkannya sebagai: di ponsel Anda tersembunyi sebuah "generator kata sandi brankas" yang hanya Anda ketahui, yang secara otomatis mengganti kata sandi setiap 30 detik sesuai waktu. Generator ini dapat berfungsi tanpa terhubung ke internet karena tidak memerlukan data server.

Ketika Anda mengaktifkan Google Authenticator, Anda memindai kode QR yang berisi kunci yang dihasilkan secara acak antara 20 hingga 32 byte (Secret). Kunci ini hanya akan ada di dua tempat: Google Authenticator Anda (di ponsel offline), server platform (seperti pertukaran). Google sama sekali tidak mengetahui kunci Anda, dan tidak ada yang dapat mencurinya secara jarak jauh, karena tidak mengunggah apa pun. Tanpa kunci, Anda tidak dapat menghasilkan kode verifikasi Anda setiap 30 detik.

Kode verifikasi dihasilkan dengan "perhitungan", bukan "pengiriman". Google Authenticator menampilkan 6 digit angka setiap 30 detik, yang sebenarnya tidak diambil dari server, melainkan dihitung berdasarkan kunci + waktu saat ini menggunakan rumus matematika. Tanpa jaringan pun dapat dihitung, sehingga lebih aman secara offline.

Meskipun peretas mengetahui kata sandi akun Anda, mereka tidak dapat menghitung kode verifikasi Anda, karena peretas tidak memiliki Kunci Rahasia Anda, dan kunci ini tidak akan pernah meninggalkan ponsel Anda.

Pesan SMS/email dapat disadap atau dicuri, tetapi ponsel offline tidak. SMS dapat disadap oleh: rekayasa sosial hacker, penggantian kartu oleh operator; perampokan gateway SMS; perampokan protokol SS7; aplikasi trojan yang membaca SMS. Email juga dapat: diserang dengan serangan brute force, serangan man-in-the-middle, phishing, dibaca session oleh trojan browser. Namun, ponsel offline yang tidak menggunakan kartu, tidak terhubung ke internet, tanpa SIM card, dan tanpa media sosial: hacker tidak memiliki cara untuk mengaksesnya dari jarak jauh. Ini adalah "keamanan isolasi fisik".

Mengapa Google Authenticator dapat berfungsi secara offline?

Karena ia menggunakan satu set standar kriptografi yang disebut TOTP, kepanjangannya: Time-based One-Time Password, kata sandi sekali pakai berbasis waktu. Ciri utama adalah: hanya memerlukan satu kunci bersama + waktu, tidak memerlukan jaringan, tidak memerlukan server, ia sepenuhnya dihitung secara lokal.

Dengan sebuah perumpamaan yang paling jelas dan sederhana bagi orang awam:

Langkah pertama: Anda berbagi sebuah kunci rahasia (Secret Key) dengan server, seperti Anda dan platform berbagi sebuah: benih rahasia di kalkulator khusus, kedua belah pihak menyimpan kunci ini.

Langkah kedua: Kedua belah pihak melihat "jam dunia yang seragam" secara bersamaan, waktu adalah infrastruktur publik, konsisten secara global: setiap 30 detik satu potongan waktu (misalnya 1234567890, 1234567920 ...), seperti dua orang yang melihat "stopwatch" yang sama secara bersamaan.

Langkah ketiga: Hitung angka menggunakan mesin matematika yang seragam (HMAC-SHA1). Google Authenticator dan server melakukan: kode verifikasi = HMAC-SHA1( kunci + waktu saat ini ) % 1.000.000, tidak perlu peduli apa itu HMAC-SHA1, cukup tahu: itu adalah mesin pencampur matematika yang mencampur "kunci + waktu" menjadi tidak dapat dibalik. Mengganti 1 bit akan sepenuhnya berubah menjadi angka lain. Kedua belah pihak menggunakan kunci yang sama, waktu yang sama → menghasilkan enam digit yang sama. Karena rumus sepenuhnya terbuka, algoritma dapat diverifikasi oleh siapa saja, jadi: tidak ada pintu belakang, tidak bergantung pada Google, siapa pun di seluruh dunia dapat membuat authenticator mereka sendiri.

Mengapa Google Authenticator dapat sepenuhnya offline? Karena menghasilkan kode verifikasi hanya memerlukan: kunci (yang sudah Anda simpan secara lokal), waktu (waktu sistem ponsel saja), fungsi matematika (HMAC-SHA1, yang ada di dalam program). Jadi tidak ada satu pun dari bagian tersebut yang memerlukan koneksi internet, selama ponsel memiliki daya, ia akan menghitung.

Mengapa ponsel offline lebih aman daripada ponsel online? Karena ponsel online dapat terpapar malware, kebocoran sinkronisasi cloud, aplikasi trojan, kontrol jarak jauh oleh hacker, pencurian melalui browser, dan backup cloud yang dapat diretas. Sedangkan ponsel offline tidak terhubung ke internet, tidak login ke akun sosial, tidak menginstal aplikasi dari toko aplikasi, tidak memasukkan kartu SIM, dan tidak mengaktifkan WiFi. Isolasi fisik total = Keamanan sangat tinggi. Ponsel seperti ini dalam industri keamanan disebut: Air-gapped device (perangkat udara terisolasi), yang merupakan standar tertinggi untuk militer, lembaga intelijen, bank, dan sistem kriptografi.

Seberapa aman sebenarnya Google Authenticator offline? Untuk meretas 2FA Anda, hacker harus mendapatkan secara bersamaan: kata sandi akun Anda, kunci rahasia di ponsel Anda (tidak terlihat), akses fisik ke ponsel offline Anda, menyalin kunci sebelum Anda menyadarinya, dan menghitung jendela waktu dengan benar, yang pada kenyataannya hampir tidak mungkin.