MeldID Menambahkan Mode Panik: Apa yang Terjadi Ketika Akses Tidak Bisa Dipercaya Lagi

Dalam artikel sebelumnya tentang MeldID, saya menuliskan bagaimana sistem bekerja dalam mode biasa: menyimpan profil yang dikelola, membantu login ke layanan yang terhubung, menyinkronkan entri TOTP antar perangkat, dan memungkinkan konfirmasi otorisasi baru melalui aplikasi mobile.

Namun, setiap sistem identifikasi memiliki skenario yang biasanya baru diingat saat sudah terlambat: apa yang harus dilakukan jika pengguna tidak lagi percaya pada kondisi akses saat ini ke akun mereka?

Untuk situasi ini, tidak perlu mengetahui bahwa terjadi peretasan. Kadang cukup sebuah email pemulihan password yang tidak terduga, sesi yang tidak dikenal, atau login dari perangkat yang tidak dikenali pemiliknya.

Dengan situasi seperti ini, MeldID memperkenalkan dua mekanisme baru: penggantian password tertunda dan mode panik.

Pertama-tama, penting untuk memahami struktur password MeldID

Dalam MeldID, pengguna tidak membuat password secara mandiri—password dihasilkan oleh sistem. Ini memungkinkan langsung menghindari kombinasi yang lemah dan mudah ditebak, penggunaan ulang password lama, dan masalah lain terkait pemilihan sendiri.

Selain itu, password yang sedang berlaku tidak dikirim ke pengguna melalui email. Kotak surat tidak menjadi tempat untuk mendapatkan password MeldID yang ada.

Prosedur pemulihan juga tidak mengungkapkan password lama. Ia memungkinkan memulai pembuatan password baru.

Oleh karena itu, kompromi email menciptakan ancaman lain: orang yang mendapatkan akses ke kotak surat tidak akan mengetahui password aktif MeldID, tetapi bisa mencoba menggunakan prosedur pemulihan untuk menetapkan password baru.

Skema ini menjadi salah satu alasan untuk mengubah logika proses pemulihan.

Password sekarang tidak berubah secara instan

Dalam skenario pemulihan biasa, semua terjadi hampir seketika. Pengguna mengajukan permintaan password baru, menerima email, dan menyelesaikan prosesnya.

Ini nyaman, selama email masih di bawah kendali pemiliknya. Tapi jika diketahui pihak lain, pemulihan instan menjadi jalan langsung ke akun melalui email itu.

Pada MeldID, permintaan password baru pertama-tama menjadi peringatan, bukan pengganti otomatis password lama. Pengguna menerima notifikasi percobaan pemulihan, kemudian periode tunggu mulai berjalan.

Durasi periode ini bisa diubah, tetapi prinsipnya tetap sama: antara permintaan dan aktivasi password baru ada waktu untuk mengevaluasi situasi.

Password lama tetap berlaku selama periode ini. Jadi, peluncuran proses pemulihan belum berarti bahwa kendali akun sudah berpindah ke pihak lain.

Jika aplikasi tidak dapat diakses

Ada skenario penting yang mudah terlupakan. Pengguna bisa memulai proses pemulihan tetapi tidak memiliki akses ke aplikasi MeldID: ponsel hilang, rusak, baterai habis, atau sementara tidak tersedia.

Dalam kasus ini, pemulihan tetap dapat diselesaikan. Setelah periode yang ditentukan berakhir, password baru otomatis berlaku. Aplikasi mobile bukan syarat wajib dalam prosedur standar.

Oleh karena itu, orang yang memprakarsai penggantian password dan tidak bisa membuka aplikasi saat ini tidak perlu mengulang proses dari awal. Cukup tunggu proses selesai dan login dengan password baru.

Jika aplikasi tersedia, ada opsi yang lebih banyak: pengguna bisa mengaktifkan password baru secara langsung atau membatalkan permintaan mencurigakan. Jika aplikasi tidak dapat diakses, proses pemulihan tertunda tetap berlaku.

Pemilik akun sendiri yang memutuskan langkah selanjutnya

Jika pemrosesan benar-benar dilakukan oleh pemilik akun dan aplikasi tersedia, mereka dapat membuka MeldID dan langsung mengaktifkan password baru tanpa menunggu periode tunggu selesai.

Jika permintaan itu tak terduga, dapat dibatalkan dari aplikasi. Password baru tidak akan berlaku, sementara password lama tetap aktif.

Ini adalah perubahan penting dalam logika proses pemulihan. Sistem tidak menganggap setiap permintaan otomatis benar hanya karena dibuat melalui email. Ia memberi pemilik akun kesempatan untuk campur tangan dan memutuskan lewat perangkat tepercaya.

Bayangkan situasi umum: seseorang menerima notifikasi perubahan password, padahal mereka tidak memintanya. Mereka membatalkan dari aplikasi dan kemudian memeriksa email, perangkat, dan mencari penyebab aktivitas yang mencurigakan.

MeldID tidak dapat mengembalikan kontrol atas email yang dikompromikan. Tapi dapat mencegah kompromi email secara langsung menyebabkan pengaturan password baru untuk akun utama.

Mode panik mencabut akses aktif

Penggantian password tertunda membantu memberi waktu. Mode panik dirancang untuk situasi di mana itu tidak cukup, dan pengguna ingin segera menghentikan akses yang telah diberikan ke akun.

Aktivasi dilakukan dari aplikasi mobile dengan satu klik.

Setelah diaktifkan, sistem mencabut token token aktif—kunci akses yang digunakan aplikasi dan situs untuk mengidentifikasi bahwa pengguna sudah terotentikasi. Saat bersamaan, semua sesi yang sedang berlangsung di perangkat mobile dan web terkait akun tersebut juga dihentikan.

Ini bukan hanya menghentikan sesi saat ini di ponsel, tetapi juga di perangkat lain seperti tablet dan browser, termasuk login sebelumnya.

Mode ini berlaku selama periode tertentu. Durasi bisa diubah, tetapi prinsipnya sama: akses yang ada dihentikan, memberi waktu bagi pengguna untuk memeriksa situasi.

Mode panik tidak menghapus data

Nama mode ini terdengar ekstrem, dan penting untuk menjelaskan apa yang tidak dilakukan.

Mode panik tidak menghapus entri TOTP, profil yang tersimpan, pengaturan, atau data lain pengguna. Ia tidak menghapus isi akun dan tidak membuatnya kosong.

Perubahan terjadi pada status akses: token aktif dicabut, sesi terbuka dihentikan. Setelah akun kembali ke mode normal, data yang disimpan tetap ada dan tidak perlu diinput ulang.

Ini perbedaan mendasar antara penghentian akses darurat dan penghapusan isi akun. Pengguna dapat menutup koneksi yang ada tanpa takut entri dan pengaturan ikut hilang.

Apa yang terjadi saat mode panik dengan perubahan password

Mode panik memiliki satu aturan penting: menghentikan semua upaya perubahan password yang belum selesai.

Pemintaan password baru, kapan pun dia diajukan—sebelum atau selama mode panik—tidak akan otomatis selesai setelah keluar dari mode proteksi ini.

Setelah mode panik berakhir, password yang tetap aktif adalah yang sebelum mode aktif.

Ini sengaja dilakukan.

Prosedur pemulihan biasa mengandalkan pengguna melihat permintaan mencurigakan di MeldID dan membatalkannya sebelum password baru aktif.

Selama mode panik, skenario ini tidak berlaku lagi.

Anggaplah pengguna melihat aktivitas mencurigakan lalu mengaktifkan mode panik. Jika timer pemulihan berjalan, penyerang dapat meminta password baru selama mode panik. Jika periode tunggu berakhir sebelum mode panik selesai, password baru akan aktif sebelum akun kembali normal.

Ini bisa menyebabkan paradoks: pengguna melindungi akun, tetapi selama periode itu sistem mengizinkan perubahan password tanpa bisa dibatalkan lewat aplikasi.

Sehingga, mode panik tidak menunda pemulihan untuk dilanjutkan kemudian. Ia memutus proses yang sedang berlangsung.

Permintaan sebelumnya tidak akan mengubah password setelah mode panik selesai, termasuk yang dibuat selama mode itu aktif.

Dengan kata lain, proses pemulihan yang belum selesai tidak melewati batas mode panik.

Kalau pengguna ingin terlebih dahulu ubah password sendiri

Mode panik tidak membatasi pilihan pengguna untuk berlangkah apa dulu.

Jika akses ke MeldID masih ada dan pengguna ingin mengganti password, mereka bisa memulai proses penggantian password dan langsung mengonfirmasi password baru melalui aplikasi.

Dalam kasus ini, penggantian selesai sebelum mode panik aktif.

Setelah itu, pengguna bisa mengaktifkan mode panik dengan password baru, dan password ini yang akan aktif setelah mode selesai.

Alternatif lain adalah mengaktifkan mode panik terlebih dahulu, menyelidiki aktivitas mencurigakan, lalu jika perlu, memulai proses penggantian password baru setelah selesai.

Inti mekanisme ini bukan untuk memaksa pengguna mengikuti satu alur tertentu. Aturan utama adalah: perubahan password yang belum selesai tidak boleh bertahan melewati mode panik.

Mode panik memberi waktu untuk mengembalikan kendali atas email

Ada skenario penting di mana mekanisme ini sangat penting: pengguna yakin masalah bukan di MeldID atau perangkat, tetapi di email.

Email digunakan sebagai salah satu saluran pemulihan. Oleh karena itu, komprominya berbahaya bahkan jika password MeldID tetap tidak diketahui pihak lain.

Pada kondisi ini, pengguna dapat mengaktifkan mode panik dan fokus memperbaiki sumber masalah:Restore akses ke email, ubah password, hentikan sesi yang tidak dikenal, dan periksa pengaturan keamanan.

Sementara mode panik aktif, proses pemulihan tidak mengizinkan pembuatan password aktif baru.

Jika sudah ada permintaan pemulihan sebelum mode aktif, permintaan itu tidak akan berlaku selama mode panik. Jika permintaan baru muncul saat mode aktif, hasilnya sama.

Ini menciptakan jendela waktu aman: akses MeldID sudah dicabut, email yang mungkin dikompromikan tidak bisa digunakan untuk membuat password baru, dan pengguna punya waktu mengembalikan kendali email.

Setelah mode panik selesai, password MeldID kembali berlaku seperti semula. Jika email dikendalikan kembali dan tidak ada tanda bahaya lain, pengguna bisa kembali normal.

Jika kemudian ingin mengubah password MeldID lagi, bisa dilakukan secara terpisah.

Banyak alasan untuk mengaktifkan mode panik

Mode ini tidak memerlukan bukti pelanggaran terlebih dahulu.

Ponsel bisa jatuh ke tangan yang tidak berwenang. Sesi tak dikenal bisa muncul di daftar perangkat. Pengguna bisa mendapatkan notifikasi tidak terduga terkait login atau pemulihan. Kadang rasa curiga muncul dari serangkaian tanda kecil, bukan satu kejadian besar.

Dalam situasi seperti ini, tidak selalu perlu menunggu investigasi lengkap sebelum bertindak. Kadang lebih aman untuk segera cabut akses aktif dan kemudian cek detailnya.

Logika yang diadopsi MeldID sederhana: jika pemilik merasa situasi berbahaya dan punya akses ke aplikasi tepercaya, mereka harus mampu segera mengaktifkan skenario perlindungan. Sistem tidak memerlukan bukti serangan terlebih dahulu.

Mengapa sekali penggantian password tidak cukup

Password hanyalah satu bagian dari proses otorisasi. Jika sudah ada sesi aktif atau token akses yang dikeluarkan, mengubah password saja tidak sama dengan mencabut semua akses yang sudah diberikan sebelumnya.

Itulah sebabnya mode panik bekerja lebih luas. Ia tidak hanya mengubah satu parameter akun, tetapi mengalihkan seluruh akun ke status proteksi terpisah.

Urutannya sebagai berikut:

1. Akses aktif dan token dicabut;

2. Upaya penggantian password yang belum selesai dihentikan;

3. Permintaan pemulihan saat mode aktif tidak akan mengubah password setelah selesai;

4. Password yang aktif tetap sama dengan sebelum mode aktif;

5. Pemilik mendapatkan waktu untuk memeriksa email, perangkat, dan sumber lain;

6. Setelah keluar dari mode panik, akun kembali normal atau bisa mengubah password lagi secara terpisah.

Ini bukan pengganti mekanisme keamanan reguler, tetapi skenario darurat jika kepercayaan terhadap akses saat ini hilang sementara.

Aplikasi mobile sebagai titik tepercaya

Fitur baru tersedia di aplikasi MeldID untuk iPhone dan Android. Dalam arsitektur ini, ponsel bukan hanya perangkat login tambahan, tetapi menjadi titik tepercaya untuk mengelola keamanan akun.

Melalui aplikasi, pengguna dapat:

• konfirmasi penggantian password tertunda;

• batal permintaan mencurigakan;

• aktifkan mode panik;

• hentikan akses aktif di berbagai perangkat;

• tentukan langkah berikutnya untuk pengelolaan akun.

Perangkat mobile tidak membatalkan TOTP dan tidak menggantikan metode perlindungan lainnya. Ia menambah saluran pengelolaan tersendiri untuk situasi di mana otentikasi biasa sudah tidak cukup untuk memastikan kondisi akun.

Di mana batas perlindungan MeldID

Penting membedakan keamanan mekanisme MeldID itu sendiri dan lingkungan tempat menggunakannya.

MeldID dirancang sedemikian rupa agar layanan tidak menyediakan saluran standar untuk mendapatkan password aktif. Password dihasilkan oleh sistem, bukan dipilih pengguna, dan tidak dikirim lewat email. Pemulihan juga tidak mengungkap password yang ada, melainkan memulai proses pembuatan baru.

Tetapi pengguna tetap dapat secara manual mengungkap data login mereka, misalnya membagikan ke orang lain atau memasukkannya di tempat yang tidak seharusnya.

Level perlindungan lain adalah keamanan perangkat dan sistem operasinya sendiri. Aplikasi mobile bekerja dalam mekanisme perlindungan yang disediakan iOS dan Android, dan tidak bisa menggantikan keamanan platformnya sendiri.

Oleh karena itu, MeldID fokus pada risiko yang bisa dikontrol dari sisi pengguna: penciptaan data login, otentikasi, token, sesi, pemulihan, dan reaksi terhadap potensi kompromi saluran pemulihan.

Dari login ke respons

Saat pertama kali bertemu MeldID, gambaran awalnya bisa berupa sistem identifikasi tunggal dan pengelolaan profil. Setelah munculnya aplikasi mobile dan mekanisme perlindungan baru, deskripsi ini dianggap terlalu terbatas.

Sekarang sistem menjawab bukan hanya pertanyaan "bagaimana login?", tetapi juga pertanyaan yang lebih kompleks:

• apa yang harus dilakukan jika ada upaya pemulihan yang tidak terduga;

• bagaimana memulihkan akun tanpa akses aplikasi;

• cara mendapatkan waktu untuk mengevaluasi sebelum mengaktifkan password baru;

• bagaimana membatalkan pemulihan yang tidak dilakukan pemilik;

• cara mencabut sesi aktif;

• bagaimana mencegah email yang dikompromikan mengubah password selama mode darurat;

• cara mendapatkan kembali kendali atas saluran pemulihan eksternal;

• bagaimana menyimpan data pengguna saat semua akses aktif dihentikan;

• bagaimana kembali normal setelah mengevaluasi situasi.

Pada akhirnya, terwujud sebuah model perlindungan berurutan.

Password aktif MeldID tidak dikirim melalui saluran pemulihan. Mengakses email tidak secara otomatis mengungkapkan password, tetapi bisa memungkinkan memulai proses pembuatan password baru. Oleh karena itu, pemulihan dilakukan dengan penundaan dan dapat dibatalkan dari aplikasi tepercaya.

Kalau ini tidak cukup, mode panik memutus sesi aktif, mencabut token, dan menghalangi pemulihan yang belum selesai untuk melewati periode perlindungan.

Pemilik mendapatkan waktu yang sangat penting saat terjadi insiden nyata: waktu.

Waktu untuk mengembalikan kendali atas email, memeriksa perangkat, menyelidiki kejadian, dan baru kemudian kembali mendapatkan akses normal ke akun.

Itulah mengapa mode panik di MeldID bukan hanya tombol 'keluar dari semua sesi'. Ini adalah skenario respons berbeda ketika otentikasi biasa tidak cukup dan perlu mengembalikan kepercayaan terlebih dahulu.

Informasi lengkap tentang proyek ini di: meldid.de.