[Diskusi] Pencurian Kode Aplikasi Google Authenticator

[George0port]

Aplikasi Google Authenticator?

Mungkin kalian sudah faham apa itu Google Authenticator, Jadi saya tidak mungkin panjang lebar menjelaskannya. Saya pengguna Google Authenticator di laptop/PC 2x tapi setelah  Laptop/PC bermasalah lalu pindah di Aplikasi Google Authenticator sejak 2019 dan sampai sekarang tapi, setelah saya membaca artikel saya merasa sedikit ragu tentang Aplikasi Google Authenticator

Tujuan saya membuat thread ini untuk berdiskusi apakah kalian juga pengguna Aplikasi Google Authenticator / pengguna Google Authenticator Website

Pertanyaan saya; apakah saya lakukan jika itu benar?? Dan masih amankah untuk pengguna Aplikasi Google Authenticator??

Sumber

• https://shkspr.mobi/blog/2020/02/googles-abandoned-android-authenticator-app/
• https://www.zdnet.com/article/android-malware-can-steal-google-authenticator-2fa-codes/
• https://www.threatfabric.com/blogs/2020_year_of_the_rat.html

[Husna QA]

Saya pengguna Google Authenticator di laptop/PC 2x tapi setelah  Laptop/PC bermasalah lalu pindah di Aplikasi Google Authenticator sejak 2019 -snip-
saya merasa sedikit ragu tentang Aplikasi Google Authenticator -snip-
apakah kalian juga pengguna Aplikasi Google Authenticator / pengguna Google Authenticator Website

Sebentar.. memangnya Google Authenticator ada untuk versi PC/website? ataukah hanya dijalankan pada VM di PC?
Karena sepengetahuan saya Google Authenticator itu hanya ada untuk versi Android dan iOS.
Kalau agan ragu menggunakan Google Authenticator, ada beberapa pilihan aplikasi Authenticator lainnya dengan fitur yang lebih "lengkap" terutama dalam hal security, backup/restore (file di enkrip) semisal Aegis, Authy.

[blue Snow]

Sebentar.. memangnya Google Authenticator ada untuk versi PC/website? ataukah hanya dijalankan pada VM di PC?

Ada, Ane check di website authy https://authy.com/download/ beberapa versi untuk desktop (Mac, windows dan Linux) sedangkan untuk browser hanya available untuk chrome.

[Husna QA]

-snip-

Coba cek lagi kalimat pertanyaan saya di atas dan digaris bawahi pula pada kutipan kalimat OP nya untuk memperjelas...
Yang saya tanyakan adalah Google Authenticator versi PC sebagaimana yang disebutkan OP.
Kalau Authy memang ada om... dan dulu saya pernah juga menggunakan versi desktop nya.

Saya menggunakan Authy di laptop dan juga di smartphone, -snip-

[blue Snow]

-snip-

Coba cek lagi kalimat pertanyaan saya di atas dan digaris bawahi pula pada kutipan kalimat OP nya untuk memperjelas...
Yang saya tanyakan adalah Google Authenticator versi PC sebagaimana yang disebutkan OP.
Kalau Authy memang ada om... dan dulu saya pernah juga menggunakan versi desktop nya.

Saya menggunakan Authy di laptop dan juga di smartphone, -snip-

Upss, maaf mas, ane tdk membaca secara seksama.
<(_ _)>

[Ifra24]

Saya pengguna Google Authenticator di laptop/PC 2x tapi setelah  Laptop/PC bermasalah lalu pindah di Aplikasi Google Authenticator sejak 2019

Saya sedikit bingung ini om maksudnya pindah ke aplikasi yang diinstal di hp atau bagaimana?

Pengalaman saya juga pernah menggunakan GA selama 2 tahun aman aman saja, tidak bermasalah dari 2015-2017 an. Masalah yang biasa ditemui adalah GA hilang dan recoverinya sedikit ribet. Kemudian karena GA dan yang lainnya ini adalah layanan penyedia jasa, maka saya pikir jika web penyedia sistem keamanannya masih bagus saya pikir tidak ada masalah selain itu Web akun om yang om amankan dengan GA juga aman, itu masih aman. Selain itu kombinasi pasword rumit perlu untuk dukungan GA email registrasi . Sedikit curhat saya saat ini bukan pengguna GA tapi saya pakai AUTHY

Sebentar.. memangnya Google Authenticator ada untuk versi PC/website? ataukah hanya dijalankan pada VM di PC?

Ane agak bingung apakah yang dimaksud OP adalah ini

Sumber gambar: https://chrome.google.com/webstore/detail/authenticator/bhghoamapcdpbohphigoooaddinpkbai/related

Extensi autentikator support di chrome, dan apakah ini sama dengan GA aplikasi HP,"saya tidak begitu memahami.

[joniboini]

^
Itu bukan Google Authenticator. Di bagian deskripsi appsnya juga udah dijelasin kok.

Terlepas dari OP make Google Authenticator di mana, memang ada beberapa malware android seperti yang dilink-kan di OP yang bisa mencuri kode authenticator. Prinsipnya malware" itu mengintersepsi data-data aplikasi yang agan pake jadi akun" lain juga bisa ada dalam bahaya. Tentunya kalau hape ga kena malware ya ga bakal dicuri kodenya. Jadi masalahnya bisa ga agan melindungi diri dari malware.

[Princeofpoetry]

Terlepas dari OP make Google Authenticator di mana, memang ada beberapa malware android seperti yang dilink-kan di OP yang bisa mencuri kode authenticator. Prinsipnya malware" itu mengintersepsi data-data aplikasi yang agan pake jadi akun" lain juga bisa ada dalam bahaya.

Jadi intinya ada aplikasi yang mencuri kode authetic lewat virus/malwer ya gan? Makanya OP mengira bahwa menggunakan GA sudah tidak aman begitu ya?

Saya pengguna GA sudah beberapa tahun aman-aman saja bahkan fb/Twitter saya pakai GA untuk perlindungan.

[joniboini]

^

Iya betul. Sebenarnya ada banyak malware yang berusaha untuk mengintersepsi data aplikasi yang ditunjukan ke pengguna termasuk 2FA dan bisa aja beberapa aplikasi juga tidak lepas dari serangan tersebut. Balik lagi ke pengamanan HP itu sendiri. Kalau pakai 2FA tapi keamanan hape lemah dengan praktik keamanan yang lemah ya sama aja. Tapi bukan berarti agan harus make aplikasi yang out of date juga. Kalau authenticator yang dipake lama ga diperbarui, bukan tidak mungkin ada bug lain yang udah diketahui sebagian kecil orang dan dimanfaatkan untuk hal yang tidak baik.

[masulum]

Aman atau tidaknya suatu perangkat tergantung dari aktivitas dari pemilik device dan saya sepakat dengan apa yang sudah disampaikan oleh mas @joniboini. Jadi, keamanan kode aplikasi 2FA yang Anda miliki tergantung bagaimana cara Anda dalam menggunakan layanan websites/software/aplikasi. Jika asal instal/asal buka bukan tidak mungkin jika Anda menjadi korban malware dan virus lainnya. Sebenarnya, ada beberapa thread serupa yang bisa menjadi pertimbangan untuk mas.

1. [TANYA]Apakah Mengaktifkan 2FA Jaminan Tidak Kena Hack
2. [INFO][TUTORIAL]Selalu amankan data Google Authenticator anda!
3. [GUIDE] BACKUP Google Authenticator Mudah

[George0port]

Saya pengguna Google Authenticator di laptop/PC 2x tapi setelah  Laptop/PC bermasalah lalu pindah di Aplikasi Google Authenticator sejak 2019

Saya sedikit bingung ini om maksudnya pindah ke aplikasi yang diinstal di hp atau bagaimana?

Pengalaman saya juga pernah menggunakan GA selama 2 tahun aman aman saja, tidak bermasalah dari 2015-2017 an. Masalah yang biasa ditemui adalah GA hilang dan recoverinya sedikit ribet. Kemudian karena GA dan yang lainnya ini adalah layanan penyedia jasa, maka saya pikir jika web penyedia sistem keamanannya masih bagus saya pikir tidak ada masalah selain itu Web akun om yang om amankan dengan GA juga aman, itu masih aman. Selain itu kombinasi pasword rumit perlu untuk dukungan GA email registrasi . Sedikit curhat saya saat ini bukan pengguna GA tapi saya pakai AUTHY

Sebentar.. memangnya Google Authenticator ada untuk versi PC/website? ataukah hanya dijalankan pada VM di PC?

Ane agak bingung apakah yang dimaksud OP adalah ini

https://i.ibb.co/RStchc4/ga.jpg

Sumber gambar: https://chrome.google.com/webstore/detail/authenticator/bhghoamapcdpbohphigoooaddinpkbai/related

Extensi autentikator support di chrome, dan apakah ini sama dengan GA aplikasi HP,"saya tidak begitu memahami.

Maaf untuk semuanya. . . . . Yang saya maksud Authenticator di pc/laptop itu versi Google chrome seperti ini

[abhiseshakana]

Maaf untuk semuanya. . . . . Yang saya maksud Authenticator di pc/laptop itu versi Google chrome seperti ini

Klo mau pake browser extension 2FA jangan lupa untuk membaca ulasan terhadap aplikasi tersebut, serta pilihlah extension yang memang sudah banyak digunakan oleh pengguna dan memiliki rating bagus. Dan yang tak kalah penting apapun device yang agan gunakan untuk menjalankan aplikasi 2FA maupun menyimpan data-data penting, pastikan sistemnya memang sudah bersih dan gunakan proteksi tambahan (anti-virus/anti-malware) untuk mengantisipasi berbagai serangan virus/trojan yang bisa masuk kedalam sistem.

[George0port]

Maaf untuk semuanya. . . . . Yang saya maksud Authenticator di pc/laptop itu versi Google chrome seperti ini

Klo mau pake browser extension 2FA jangan lupa untuk membaca ulasan terhadap aplikasi tersebut, serta pilihlah extension yang memang sudah banyak digunakan oleh pengguna dan memiliki rating bagus. Dan yang tak kalah penting apapun device yang agan gunakan untuk menjalankan aplikasi 2FA maupun menyimpan data-data penting, pastikan sistemnya memang sudah bersih dan gunakan proteksi tambahan (anti-virus/anti-malware) untuk mengantisipasi berbagai serangan virus/trojan yang bisa masuk kedalam sistem.

Jujur sejak awal ane selalu menghindar perdagangan yang menggunakan 2FA, dan itu pun sangat terpaksa. Apalagi lagi kalau versi chrome entar takutnya laptop/PC bermasalah jadi modal semuanya. Laaahhh sedangkan versi aplikasi google Authenticator malah kayak begin

[abhiseshakana]

Jujur sejak awal ane selalu menghindar perdagangan yang menggunakan 2FA, dan itu pun sangat terpaksa. Apalagi lagi kalau versi chrome entar takutnya laptop/PC bermasalah jadi modal semuanya. Laaahhh sedangkan versi aplikasi google Authenticator malah kayak begin

Setau saya opsi 2FA pada akun exchange bisa atur, jadi jika agan parno menggunakan aplikasi google Authenticator untuk proses 2FA maka agan bisa menon-aktifkan fitur tersebut atau menggantinya dengan metode Authentication lainnya seperti lewat SMS maupun email (tergantung pada fitur yang disediakan oleh masing-masing exchange).

Btw, klo boleh tau Exchange apa yang saat ini agan gunakan sebagai media trading ??

[Husna QA]

Jujur sejak awal ane selalu menghindar perdagangan yang menggunakan 2FA, dan itu pun sangat terpaksa. Apalagi lagi kalau versi chrome entar takutnya laptop/PC bermasalah jadi modal semuanya.-snip-

Asumsi saya, kalau 2FA dengan Authenticator yang agan pasang saja bisa ditembus, bagaimana pula dengan yang tanpa menggunakan Authenticator? Tentunya pengamanan 1 lapis besar kemungkinan lebih mudah lagi ditembus daripada yang 2 lapis. Yang perlu diperhatikan terlebih dulu disini tentunya perangkat (PC, smartphone, dsm) yang agan gunakan, bisa dengan memasang anti malware, dsm.
Kemudian untuk menggunakan 2FA dalam hal ini aplikasi authenticator, saya lebih cenderung menyarankan aplikasi yang dipasang pada perangkat terpisah, misal aktifitas utama di PC sementara authenticator dipasang di smartphone. Pilih aplikasi authenticator yang ada fitur backup/restore (di enkrip) dan fitur keamanan tambahan lainnya.

[joniboini]

Jujur sejak awal ane selalu menghindar perdagangan yang menggunakan 2FA, dan itu pun sangat terpaksa. Apalagi lagi kalau versi chrome entar takutnya laptop/PC bermasalah jadi modal semuanya. Laaahhh sedangkan versi aplikasi google Authenticator malah kayak begin

Kenapa dihindari? Saran ane lebih baik agan pelajari dulu semua hal yang berkaitan dengan pengamanan akun, risikonya dan penanggulangannya gimana serta plus minusnya, jadi agan ga menghindar karena takut pada sesuatu yang sebenarnya tidak jelas atau peluangnya sangat kecil. Gampangnya begini, brute force password agan itu jauh lebih mudah dibandingkan bruteforce kode 2FA karena 2FA selalu berubah tiap beberapa detik. Tentu ada model serangan lain dan agan harus mempelajarinya juga.

Aplikasi authenticator juga ada banyak, yang kena bug itu ga semuanya. Coba cari" dulu sebelum agan make. Ibaratnya kalau mau beli barang kan agan mesti review dulu biar tahu mana yang paing bagus dan sesuai dengan budget agan, kecuali agan sultan dan bisa beli semua jenis barangnya dengan sekali gesek kartu. Contoh apps authenticator: Aegis, Authy, dkk.

[soconet]

Jujur sejak awal ane selalu menghindar perdagangan yang menggunakan 2FA, dan itu pun sangat terpaksa. Apalagi lagi kalau versi chrome entar takutnya laptop/PC bermasalah jadi modal semuanya. Laaahhh sedangkan versi aplikasi google Authenticator malah kayak begin

Kok malah dihindari om? GA dan aplikasi jenis lainya (yang tentu saja kredibil) adalah aplikasi menambah kemanan ibarat benteng, benteng pertama itu pasword om kemudian masih ditambah benteng kedua adalah GA atau verifikasi 2 langkah lainnya. Kalau dilogika kan semakin kuat mengapa dihindari. Kemudian GA yang agan gunakan bukan Google Authentifikator jadi kredibilitasnya mungkin kurang. Gunakan GA asli di playstore ada, AUTHY juga ada, LastPass Authenticator , micrososft authentifikator dll, tapi yang saya ketahui populer dan banyak digunakan ya GA dan Authy. Disini kita berusaha mencegah tapi kalau masih bisa dicuri ya mungkin om simpan aset di hardwere walet kalau mau trade pindahkan ke exchange ( tapi saya pikir ini juga masih beresiko bisa dicuri). Tapi semua keputusan ada di tangan om. 

[Husna QA]

-snip- tapi yang saya ketahui populer dan banyak digunakan ya GA dan Authy.

Bisa jadi GA populer karena menyandang nama google didepan aplikasinya, cukup lama juga tanpa ada fitur tambahan diaplikasinya dan baru pada update 12 Mei 2020 (versi Android) ada semacam "fitur" backup/restore (transfer akun), meskipun menurut saya sebenarnya ini adalah fitur cloning data GA antar perangkat (device) bukan berupa backup file yang dienkripsi semisal file JSON sebagaimana pada Aegis.
@OP kehati-hatian perlu, tapi kalau boleh saran ya jangan 'terlalu' paranoid juga. Toh agan bisa cari referensi authenticator mana saja yang bagus, plus-minusnya seperti apa.
btw.. diskusi mengenai authenticator ini sudah banyak saya temui thread serupa (bahasa Indonesia), mungkin agan bisa baca-baca lagi diskusi yang sudah pernah dibahas pada thread-thread tersebut sebagai referensi.. (di atas, sebagian link nya sudah ada yang mencantumkan).

[andriyana]

beberapa minggu yang lalu saya menyimpan XLM di lobster untuk di perdagangkan dan menambahkan security Google Authenticator di android tapi entah bagai mana cara nya hecker bisa masuk ke akun lobster saya yang lengkap dengan security Google Authenticator dan mencuri XLM saya? untuk agan2 yang berpengalaman atau percis mengalami hal yang sama dengan saya mohon share apa penyebeb Google Authenticator saya bisa di ketahui orang lain
(hecker)

[abhiseshakana]

beberapa minggu yang lalu saya menyimpan XLM di lobster untuk di perdagangkan dan menambahkan security Google Authenticator di android tapi entah bagai mana cara nya hecker bisa masuk ke akun lobster saya yang lengkap dengan security Google Authenticator dan mencuri XLM saya? untuk agan2 yang berpengalaman atau percis mengalami hal yang sama dengan saya mohon share apa penyebeb Google Authenticator saya bisa di ketahui orang lain
(hecker)

Bisa jadi perangkat yang agan gunakan untuk menjalankan Google Authenticator sudah terjangkiti malware seperti yang telah disebutkan oleh OP diatas (lihat link sumber ke-2). Jadi ada kemungkinan pada saat agan menjalankan aplikasi GA, malware tersebut memonitor (merekam) tampilan dari GA lalu mengirimnya ke pelaku, sehingga pada saat code acak dari GA belum berubah (dalam 30 detik) si pelaku memanfaatkan waktu yang sangat sedikit itu untuk masuk kedalam akun lobstr milik agan.