Thales Dorong Adopsi FIDO2 untuk Melawan Phishing di Sektor Publik

Thales memperkenalkan solusi kunci keamanan FIDO yang dirancang untuk memberikan autentikasi multifaktor yang tahan terhadap serangan phishing. Solusi ini ditujukan untuk organisasi yang membutuhkan perlindungan identitas tingkat tinggi di tengah meningkatnya ancaman siber. Pendekatan ini mengintegrasikan standar FIDO2 dengan teknologi sertifikat PKI dalam satu perangkat fisik. Hal ini memungkinkan organisasi untuk beralih ke autentikasi tanpa kata sandi secara bertahap tanpa mengganggu sistem lama yang masih beroperasi.

Keputusan untuk meningkatkan keamanan ini dipicu oleh kebocoran data besar-besaran di sektor publik Thailand. Insiden tersebut mengungkap lebih dari 200 juta pasang nama pengguna dan kata sandi yang tersimpan dalam format teks biasa. Data yang bocor ini memungkinkan penyerang untuk masuk ke sistem tanpa perlu melakukan serangan teknis yang kompleks. Mereka cukup menggunakan kredensial yang dicuri untuk mengakses informasi rahasia atau menyebabkan kerusakan pada infrastruktur organisasi. Kejadian ini menegaskan bahwa perlindungan berbasis kata sandi tunggal tidak lagi memadai untuk menghadapi ancaman modern.

Pemerintah Thailand kemudian menunjuk kantor keamanan siber nasional untuk mendorong penggunaan autentikasi multifaktor di semua lembaga negara. Tujuannya adalah untuk meningkatkan perlindungan sistem dan data penting dari akses yang tidak sah. Namun, tidak semua metode autentikasi multifaktor memiliki tingkat ketahanan yang sama terhadap serangan phishing. Metode tradisional seperti pesan singkat, kode sekali pakai, atau notifikasi push masih rentan terhadap rekayasa sosial. Penyerang dapat menggunakan teknik seperti penukaran kartu SIM atau serangan orang di tengah untuk menipu pengguna agar memberikan kode atau menyetujui akses masuk.

Standar FIDO mengubah paradigma keamanan dengan menggunakan kriptografi kunci publik. Sistem ini menghilangkan kebutuhan akan kata sandi atau kode sekali pakai yang dapat dicuri. Saat pengguna mendaftar, sistem membuat pasangan kunci enkripsi di mana kunci privat tetap berada di perangkat pengguna. Kunci privat ini tidak pernah dikirim ke server, sehingga mengurangi risiko pencurian kredensial dan serangan pemutaran ulang. Pengguna hanya perlu memverifikasi identitas mereka menggunakan PIN atau biometrik pada perangkat mereka sendiri. Data login juga terikat dengan layanan yang benar, sehingga mencegah pengguna tertipu masuk ke situs web palsu.

Teknologi passkey memungkinkan pengguna masuk ke sistem tanpa kata sandi dengan menggunakan metode yang sudah dikenal seperti sidik jari atau wajah. Passkey tersedia dalam dua jenis, yaitu yang disinkronkan melalui ekosistem digital dan yang terikat pada perangkat keras. Organisasi dapat memilih jenis yang sesuai dengan tingkat risiko dan kebutuhan operasional mereka. Pendekatan ini mengurangi kompleksitas bagi pengguna dan meningkatkan keamanan secara keseluruhan.

Thales menawarkan perangkat yang mendukung kedua standar FIDO2 dan autentikasi berbasis sertifikat PKI. Perangkat ini memungkinkan organisasi untuk mendukung aplikasi modern yang menggunakan FIDO2 dan WebAuthn, serta sistem lama yang masih bergantung pada sertifikat digital. Integrasi ini mendukung logon jaringan, penandatanganan digital, dan enkripsi data. Solusi ini juga kompatibel dengan platform manajemen identitas seperti Microsoft Entra ID. Dengan demikian, organisasi dapat mengurangi jumlah perangkat autentikasi yang perlu dikelola oleh tim teknologi informasi.

Strategi implementasi yang disarankan adalah dengan mengidentifikasi pengguna berisiko tinggi dan sistem bisnis yang kritis terlebih dahulu. Kelompok ini termasuk eksekutif, administrator sistem, dan akses ke layanan seperti email, VPN, dan akses cloud. Peningkatan keamanan untuk kelompok ini menjadi langkah awal sebelum memperluas adopsi ke seluruh organisasi. Proses ini memungkinkan transisi yang mulus dari kata sandi ke autentikasi multifaktor, lalu ke autentikasi tahan phishing, dan akhirnya ke autentikasi tanpa kata sandi. Thales mengklaim memiliki pengalaman lebih dari 30 tahun dalam keamanan siber dan telah diakui sebagai pemimpin di bidang autentikasi tanpa kata sandi untuk perusahaan dan konsumen.