Belajar Authelia - Duo Push

#Pendahuluan

Di episode 10, WebAuthn menangkal phishing dengan kredensial yang terikat pada domain. Namun authenticator hardware tidak selalu praktis untuk semua orang, dan aplikasi authenticator TOTP menuntut pengguna mengetik kode. Ada satu metode kedua yang menggabungkan kemudahan dan kekuatan verifikasi: push notification — sebuah notifikasi di ponsel, sekali ketuk, autentikasi selesai.

Duo Push adalah implementasi paling populer dari pola ini. Authelia mengintegrasikan Duo Security sebagai salah satu metode kedua, di mana keputusan "apakah ini benar kamu" dilakukan di aplikasi Duo Mobile. Di episode ini kalian akan menyiapkan akun Duo, memasang API key di konfigurasi duo_api, meng-enroll perangkat pengguna, dan memahami kapan push notification menang — serta kapan kalian harus tetap punya fallback.

#Mengenal Arsitektur Duo Push

Duo menggeser sebagian tanggung jawab autentikasi ke layanan cloud Duo Security. Alurnya:

1. Pengguna login dengan password (faktor pertama) di portal Authelia.
2. Authelia meminta tantangan ke API Duo dengan device ID yang tersimpan di storage (episode 8).
3. Duo mengirim push notification ke aplikasi Duo Mobile di ponsel pengguna.
4. Pengguna mengetuk approve; Duo melaporkan hasilnya kembali ke Authelia.

Perhatikan ketergantungannya: Authelia tidak menangani push itu sendiri, melainkan meminta layanan Duo. Inilah trade-off utama Duo Push dibanding TOTP atau WebAuthn yang berjalan sepenuhnya mandiri — Duo membutuhkan koneksi internet ke infrastruktur Duo, dan Authelia hanya menyimpan device ID, bukan seluruh rahasia.

#Menyiapkan Akun Duo dan API Key

Langkah pertama berlangsung di dashboard Duo, bukan di Authelia:

1. Buat akun di layanan Duo dan masuk ke dashboard administrasi.
2. Buka menu Applications, lalu Protect an Application.
3. Cari jenis aplikasi Partner Auth API dan pilih Protect.
4. Duo akan menampilkan tiga nilai: integration key (IKey), secret key (SKey), dan API hostname.

Integration key berperan seperti client identifier, secret key seperti password, dan hostname adalah alamat API yang akan dihubungi Authelia. Ketiganya wajib dimasukkan ke konfigurasi.

#Konfigurasi duo_api

Di sisi Authelia, semua diatur lewat section duo_api:

duo_api:
  hostname: "api-12345678.duosecurity.com"
  integration_key: "DIXYZ1234567890"
  secret_key: "rahasia-secret-key-duo"
  enable_self_enrollment: false

• hostname: API hostname dari dashboard Duo.
• integration_key: IKey yang diberikan Duo.
• secret_key: SKey rahasia; jangan pernah disimpan plaintext di repository.
• enable_self_enrollment: jika true, pengguna bisa mendaftarkan perangkat mereka sendiri lewat portal Authelia.

Ketika duo_api dikonfigurasi, Authelia otomatis menampilkan Duo sebagai metode kedua yang tersedia di portal.

#Metode Kedua di Duo Mobile

Setelah terintegrasi, pengguna tidak selalu harus mengetuk notifikasi. Duo Mobile menyediakan beberapa metode autentikasi perangkat:

• Push: notifikasi yang cukup di-approve sekali ketuk.
• Passcode: kode 6 digit yang dibuat aplikasi Duo Mobile, berguna saat push terhambat atau pengguna di perangkat yang tidak bisa menerima notifikasi.
• SMS: kode via SMS ke nomor terdaftar, bergantung pada operator seluler.
• Phone call: verifikasi via panggilan telepon untuk keadaan darurat.

Metode mana yang aktif dikendalikan dari dashboard Duo dan pengaturan perangkat pengguna, bukan dari Authelia. Authelia cukup meminta Duo melakukan autentikasi terhadap perangkat yang sudah di-enroll.

#Enrollment Perangkat Pengguna

Untuk memakai Duo Push, setiap pengguna harus memiliki perangkat yang terdaftar di Duo. Dua pendekatan:

• Self enrollment: aktifkan enable_self_enrollment: true. Pengguna memilih Duo sebagai metode kedua di portal, lalu mengikuti panduan pemasangan Duo Mobile dan mendaftarkan perangkatnya sendiri.
• Enrollment admin: admin menyiapkan perangkat untuk pengguna dari dashboard Duo, lalu device ID-nya tercatat saat Authelia berkomunikasi dengan Duo.

Saat pengguna login dengan metode Duo pertama kali, Authelia menyimpan device ID di storage. Data inilah yang dipakai Authelia pada login berikutnya untuk memicu push ke perangkat yang benar.

#Strategi Fallback: Jangan Bergantung pada Satu Layanan

Duo Push nyaman, tetapi jangan pernah menjadikannya satu-satunya metode kedua. Tiga alasan utama:

• Ketergantungan pihak ketiga: jika Duo bermasalah atau koneksi ke infrastrukturnya terputus, Authelia tidak bisa memverifikasi siapa pun yang hanya memakai Duo.
• Perangkat hilang: ponsel hilang berarti metode kedua lenyap seketika.
• Ketersediaan layanan: layanan cloud bisa mengalami gangguan di luar kendali kalian.

Kebijakan yang sehat: jadikan Duo Push sebagai metode utama karena kemudahannya, pastikan setiap pengguna juga punya TOTP terdaftar, dan simpan kredensial Duo (IKey dan SKey) di tempat aman agar saat integrasi bermasalah kalian bisa mematikannya dengan cepat.

#Penutup

Poin kunci episode ini:

• Duo Push memindahkan verifikasi faktor kedua ke layanan Duo via API; Authelia hanya menyimpan device ID.
• API key dari dashboard Duo: integration key, secret key, dan hostname, dimasukkan ke section duo_api.
• Duo Mobile menawarkan push, passcode, SMS, dan phone call sebagai metode perangkat.
• Enrollment bisa dilakukan sendiri oleh pengguna atau diatur admin lewat dashboard Duo.
• Duo adalah pihak ketiga: selalu sediakan fallback TOTP atau WebAuthn.

Dengan Duo Push, fase MFA Authelia lengkap: TOTP untuk yang praktis, WebAuthn untuk yang ketat, Duo untuk yang paling nyaman. Tiga metode kedua siap digunakan untuk two_factor. Di episode 12, kalian akan berbalik dari sisi login ke sisi operasional: password reset, konfigurasi SMTP untuk email, serta manajemen pengguna dan perangkat — bagian yang menentukan apakah Authelia kalian nyaman dikelola jangka panjang.