Belajar Keycloak - Multi-Factor Authentication (MFA)

#Pendahuluan

Di episode 22 kalian merekam dan mengaudit aktivitas. Episode 23 ini menutup celah terbesar dalam keamanan login: Multi-Factor Authentication (MFA). Password saja tidak lagi cukup — kombinasi faktor membuat serangan phishing atau pencurian password kehilangan banyak nilainya. Kalian akan melihat OTP (TOTP/HOTP), WebAuthn dan passkey, SMS, conditional OTP, hingga recovery codes dan kebijakan keamanannya.

#Konsep Dasar MFA

Faktor autentikasi dibagi menjadi tiga kategori:

MFA adalah menggabungkan minimal dua kategori yang berbeda. Password ditambah security question tidak dihitung MFA karena keduanya termasuk "pengetahuan". Kombinasi password dan OTP adalah pola paling umum dan paling mudah diterapkan di Keycloak.

#OTP (One-Time Password)

#TOTP vs HOTP

TOTP adalah standar untuk aplikasi mobile authenticator; HOTP lebih umum di token hardware era lama.

#Konfigurasi OTP di Keycloak

Kebijakan OTP diatur di Realm Settings → Authentication → OTP Policy: pilih tipe (TOTP atau HOTP), jumlah digit, periode, dan algoritma (SHA1, SHA256, SHA512). Semakin modern algoritmanya, semakin baik. Kebijakan yang sama bisa disetel lewat admin CLI:

kcadm.sh update realms/myrealm -r myrealm \
  -s otpPolicyType=totp \
  -s otpPolicyAlgorithm=HmacSHA256 \
  -s otpPolicyDigits=6 \
  -s otpPolicyPeriod=30

User mengaktifkan OTP lewat required action Configure OTP — mereka memindai QR code dengan Google Authenticator atau FreeOTP. Setelah itu setiap login melewati langkah OTP.

#WebAuthn / FIDO2

#Hardware Security Keys

YubiKey dan sejenisnya memakai protokol WebAuthn/FIDO2. Autentikasi dilakukan dengan menekan tombol pada perangkat — sesuatu yang "kalian miliki" secara fisik.

#Platform Authenticators

Windows Hello, Touch ID, dan biometric sensor perangkat adalah contoh authenticator bawaan platform. Tanpa hardware tambahan, user tetap bisa memakai passkey.

#Passwordless Authentication

WebAuthn juga membuka jalur passwordless: user login hanya dengan passkey, tanpa password sama sekali. Ini pilihan yang kuat selama recovery-nya direncanakan dengan baik.

#Konfigurasi di Keycloak

Keycloak menyediakan Webauthn Policy dan Webauthn Passwordless Policy di Realm Settings → Authentication: atur reliance party, attestation, dan user verification. Registrasi perangkat dilakukan lewat required action WebAuthn Register.

#SMS Authentication

#SMS OTP

Kode sekali pakai dikirim via SMS. Praktis karena hampir semua orang punya ponsel.

#SMS Gateway Integration

Keycloak inti tidak menyertakan gateway SMS bawaan. Untuk SMS OTP, kalian perlu custom authenticator (SPI) yang memanggil layanan SMS seperti Twilio atau aggregator lokal. Lihat kembali mekanisme custom provider dari episode 21.

#Security Considerations

SMS bisa dicegat lewat SIM swapping atau celah jaringan operator. Perlakukan SMS sebagai lapisan kedua, bukan satu-satunya faktor, dan pertimbangkan risiko ini saat memilih kebijakan.

#Required Actions & Conditional OTP

Required action adalah langkah yang wajib diselesaikan user, seperti Configure OTP. Kebijakan MFA bisa dibuat wajib untuk semua user atau hanya kondisi tertentu.

Conditional OTP memungkinkan OTP diminta hanya saat kondisi terpenuhi — misalnya akses dari IP yang tidak dikenal — sehingga user yang biasanya login dari tempat yang sama tidak diganggu tiap kali. Di Keycloak, aturan ini disusun dengan menambahkan kondisi pada authentication flow. Untuk memeriksa langkah-langkah flow, gunakan kcadm.sh get authentication/flows/browser/executions -r myrealm.

#Recovery Codes

MFA memperkuat keamanan, tapi menambah satu masalah: apa yang terjadi jika perangkat hilang? Karena Keycloak inti belum menyediakan recovery codes built-in, kalian biasanya memakai ekstensi komunitas atau alur pemulihan manual:

• Backup codes — kode sekali pakai yang dicetak saat setup; simpan di tempat aman, bukan di ponsel yang sama.
• Recovery flow — jika perangkat hilang, admin mereset MFA user lewat admin console (tercatat sebagai admin event, lihat episode 22).
• Code management — buat ulang kode baru dan cabut kode lama setelah dipakai atau dibocorkan.

Putuskan strategi recovery sebelum produksi — menunggu user terkunci di hari ke-1 adalah cara yang buruk untuk belajar.

#Alur MFA yang Lengkap

Saat semua lapisan dipasang, alur login MFA di Keycloak berjalan seperti ini:

1. User memasukkan username dan password (faktor "pengetahuan").
2. Jika conditional OTP aktif, flow mengecek kondisi — misalnya IP baru atau device tidak dikenal.
3. Saat kondisi terpenuhi, user diminta kode TOTP dari aplikasi authenticator atau passkey dari perangkat (faktor "kepemilikan").
4. Setelah sukses, event LOGIN tercatat bersama detail auth method — bukti audit untuk episode 22.

Jika salah satu faktor gagal, event LOGIN_ERROR tersimpan dan hitungan untuk brute force detection (episode 24) ikut bertambah.

#Security Policies

Beberapa kebijakan yang direkomendasikan untuk MFA:

• Wajibkan MFA untuk peran sensitif atau semua user lewat required action.
• Terapkan conditional OTP untuk menyeimbangkan keamanan dan kenyamanan.
• Pakai algoritma OTP modern (SHA256/SHA512) dan periode wajar.
• Gabungkan dengan password policy episode 20 dan pantau lewat event episode 22.

#Penutup

Pada episode 23, kalian memahami MFA di Keycloak: konsep faktor (pengetahuan, kepemilikan, biometrik), OTP TOTP dan HOTP, WebAuthn dengan hardware key dan platform authenticator, SMS OTP beserta risikonya, required actions dan conditional OTP, recovery codes, serta kebijakan keamanannya.

Inti yang harus dibawa pulang:

• MFA berarti minimal dua faktor dari kategori berbeda — password plus pertanyaan rahasia bukan MFA.
• TOTP lewat Google Authenticator atau FreeOTP adalah opsi bawaan yang paling mudah.
• WebAuthn membuka jalur passkey dan passwordless dengan keamanan fisik.
• Rencanakan recovery codes sebelum produksi — perangkat hilang adalah saat yang paling tidak tepat untuk berimprovisasi.

Di episode 24 berikutnya, kalian melengkapi pertahanan dari sisi lain: Brute Force Protection & Security — lockout, CAPTCHA, security headers, dan keamanan sesi serta token.