Pemilik pasukan tank terbaik di dunia pada zamannya Erwin Rommel sekalipun sangat bijaksana dan tidak sembarangan memanfaatkan pasukan tanknya. Jadi tidak semena-mena langsung mengerahkan tank untuk setiap pertempuran karena ia memiliki pasukan panzer dengan tank yang diakui sangat berkualitas dan terlatih. Dalam pertempuran melawan tank musuh, strategi utama yang digunakan justru bukan adu tank, sebaliknya pasukan tank yang ada digunakan untuk memancing pasukan tank musuh yang akan mengejar dan masuk ke dalam jebakan dimana meriam kaliber besar dan flak anti pesawat terbang sudah menunggu dan dikerahkan untuk menumpas pasukan tank musuh yang masuk ke dalam jebakan karena mengejar tank Jerman.

Prinsip yang sama sebaiknya dipertimbangkan oleh perancang sekuriti dan sebaiknya menimbang dengan seksama metode yang paling aman, efektif dan murah dalam mengamankan akun finansial yang ingin di proteksinya. Jangan karena OTP berada di kasta tertinggi pengamanan otentikasi lalu perlindungan OTP di gunakan sebagai perlindungan utama dan berharap memperoleh keamanan maksimal dengan hanya memanfaatkan OTP tanpa memperhatikan faktor lain yang terkadang kelihatannya sepele, lemah dan mudah di tebak. Tetapi jika digunakan dengan tepat malah akan penyempurnakan pengamanan OTP.

Jika ditanya, apakah ada PIN yang memiliki tingkat keamanan mendekati dengan OTP ? Kebanyakan orang akan menjawab tidak ada dan jawaban tersebut cukup tepat. Tetapi secara teknis sebenarnya jika dapat tercipta lingkungan yang aman dari keylogger, trojan dan perangkat mata-mata atas PIN, maka keamanan PIN dapat dikatakan mendekati OTP. Dengan kata lain, PIN yang baru dibuat untuk melindungi satu akun tertentu yang langsung disimpan dan sangat jarang dipakai ulang pada prinsipnya keamanannya mendekati OTP. Tetapi PIN yang digunakan berulang-ulang untuk transaksi seperti PIN mobile banking, kartu kredit, e wallet dan internet banking pada prinsipnya lebih rentan bocor dan dapat disadap karena sifatnya yang digunakan berulang-ulang. Jadi ada baiknya anda mempertimbangkan untuk memiliki minimal 2 jenis PIN. Pertama adalah PIN yang jarang dipakai tetapi bersifat strategis dan PIN tersebut digunakan untuk melindungi akun penting seperti Two Step Verification Whatsapp, PIN khusus untuk melindungi SIM SWAP seperti yang di implementasikan oleh Verizon. Sedangkan PIN kedua adalah PIN yang sering dipakai seperti PIN tarik tunai ATM, PIN e wallet, mobile banking dan internet banking.

Jika penyedia layanan seluler mengimplementasikan PIN untuk mengamankan SIM SWAP, pemerintah tidak perlu mengeluarkan terlalu banyak usaha dan biaya mengimplementasikan pengamanan biometrik yang notabene membutuhkan biaya besar dan usaha ekstra besar yang dalam kenyataannya jika tidak disimpan dan diamankan dengan baik malah menjadi sumber kebocoran data baru seperti yang terjadi pada kebocoran database e KTP. Lebih baik biaya dan energi yang ada difokuskan untuk menerapkan pengamanan database kependudukan yang ada dan harus dimonitor oleh pihak ketiga seperti adanya sertifikasi ISO 27001. Setelah mampu memenuhi sertifikasi pengamanan baru mulai dipikirkan bagaimana memanfaatkan database kependudukan yang ada.

Thinking out of the box

Belajar dari banyaknya kasus akun yang tetap berhasil dibobol sekalipun sudah di proteksi dengan OTP, mungkin ada baiknya para perancang pengamanan akun belajar dari Erwin Rommel. Sekalipun anda memiliki tank terbaik di dunia, mengerahkan pasukan tank tanpa di dukung oleh strategi dan pasukan pendukung tepat malah akan melemahkan pasukan tank anda dan berakibat kekalahan dalam pertempuran. Jendral yang baik justru akan meramu kombinasi pasukan dan sumberdaya yang ada guna mendapatkan hasil maksimal dan tidak hanya menggunakan pasukan terbaiknya di segala medan pertempuran.

Dalam mengamankan akun kredensial penting, ada baiknya perancang sekuriti tidak melulu mengandalkan OTP One Time Password sebagai senjata utama pengamanan akun, tetapi selalu meramu dan mengevaluasi sejauh mana tingkat pengamanan yang ada dan apa saja yang dapat dilakukan untuk menyempurnakan pengamanan OTP yang sudah ada.

Beberapa contoh simpel dan tidak rumit tetapi akan efektif dan dapat dilakukan untuk menyempurnakan pengamanan kredensial OTP yang ada misalnya :

1. Deferred transfer fund. Tenggang waktu pindah dana bagi rekening yang baru berpindah tangan / dibuka.
   Dengan menahan transfer dana pada akun yang baru berpindah / dibuka akan memberi waktu pada korban penipuan / peretasan akun untuk melakukan pelaporan ke penyedia layanan. Berapa lama waktu yang ideal untuk menahan dana dapat ditetapkan oleh penyedia layanan. Prinsipnya makin lama dana di tahan makin aman tetapi makin tidak nyaman bagi pengguna. Tetapi sebaliknya tidak menerapkan penundaan waktu transfer dana jelas nyaman tetapi tidak aman bagi pemilik akun.
   Dengan adanya tenggang waktu pindah dana ini juga akan menurunkan motivasi pencuri akun karena sekalipun ia berhasil mengambil alih akun, masih belum ada jaminan ia akan berhasil mendapatkan dana dari akun tersebut.
2. Fitur menolak usaha OTP melalui SMS.
   Salah satu kelemahan OTP melalui SMS yang dilakukan oleh WhatsApp dan beberapa layanan yang menerapkan metode serupa adalah penerima OTP sifatnya pasif dan tidak bisa secara aktif menolak pengiriman OTP. Hal ini mengakibatkan peretas bisa membombardir nomor HP yang di incarnya dengan banyak percobaan OTP yang jika tidak sengaja di klik akan mengotorisasi pemindahan akun.
   Akan sangat membantu jika SMS OTP yang datang dilengkapi dengan tautan tambahan “TIDAK MELAKUKAN OTP” atau “Blokir nomor yang mencoba OTP” sehingga pemilik akun tidak menjadi korban spam OTP dan bisa menolak OTP yang memang tidak dilakukannya. Hal ini mungkin membutuhkan sedikit “keringat” dari pengembang aplikasi baik melakukan coding tambahan atau harus melakukan koordinasi ke penyedia layanan seluler, tetapi apa artinya sedikit berkeringat jika hal ini bisa memberikan kenyamanan lebih dan meningkatkan keamanan dari pengguna layanan anda.
3. Hindari Otomatisasi OTP.
   Otomatisasi OTP merupakan hal yang harus dihindari. Banyak layanan yang memberikan fitur OTP yang datang akan otomatis masuk dan dieksekusi oleh aplikasi, selain itu SMS berisi OTP juga disertai tautan yang jika di klik akan mengotorisasi perpindahan akun. Hal ini rentan memicu “kecelakaan” dimana penerima OTP sebenarnya tidak menyetujui OTP tersebut. Tetapi karena tidak sadar / sengaja mengklik malah mengotorisasi OTP.
4. Satu akun hanya untuk satu perangkat.
   Settingan lain yang perlu dihindari adalah satu akun harusnya terasosiasi dengan hanya 1 perangkat. Bisa berdasarkan IMEI, cookies atau pengenal lain yang bisa mengidentifikasi perangkat tersebut. Memang hal ini menimbulkan ketidaknyamanan namun dari sisi sekuriti hal ini akan efektif mencegah akses akun dari beberapa perangkat yang berakibat pemindahan dana akun tersebut.

Demikianlah beberapa hal simpel yang bisa dipertimbangkan oleh penyedia layanan e wallet, ride hailing atau layanan finansial untuk lebih mengamankan akunnya. Semoga bisa berguna untuk meningkatkan keamanan layanan anda.

Bagi masyarakat pengguna layanan, pertimbangkan membedakan PIN transaksi yang sering digunakan dan PIN password untuk meminimalisir resiko. Untuk layanan yang anda tidak yakini keamanannya anda bisa meminimalisir resiko dengan menyimpan dana / saldo terbatas pada layanan ini sehingga anda tetap bisa menikmati kenyamanan yang disediakan layanan tetapi resiko finansial yang anda derita akan dapat dibatasi jika terjadi peretasan.