Bitcointalk Sekarang ada OTP -2FA

[blue Snow]

Kalau boleh saran, informasi mengenai Shared secret (Base32) dan QR Code pada screenshot diatas sebaiknya di sensor (dan kalau bisa dihapus di image hosting-nya juga), karena itu termasuk informasi rahasia milik agan.

Terima kasih atas sarannya. Saat ini ane belum mau mencoba dan di Saat bersamaan ane nulis thread ini, ane juga sudah ubah semua detil dan refresh page ke code yang baru untuk mencobanya, namun ane disable lagi, takut report nanti jika login di hp harus buka aplikasi secara bersamaan.

Kalau aku sih belum nyoba karena selalu pakai perangkat dan jaringan pribadi dan jarang buka website aneh aneh, dan phising. Kalau buat yang sering pakai perangkat umum atau kantor, atau pakai wifi di fasilitas umum mungkin bakal merasa perlu buat pencegahan aja.

Ane juga belum nyoba gan, sejauh ini ane merasa aman-aman saja tidak pakai OTP. toh kalau memang bermasalah, ane juga sudah sign message yang bisa ane buktikan kalau akun ane kena hack.

[Luzin]

Setahu saya fitur tambahan ini hanya untuk 2fa saja, sedangkan untuk logout secara otomatis jika membuka akun di web lain itu tentu akan berbeda lagi update-annya. Namun jika sampeyan cukup risih akan keamanan ini, bisa diseting di browser dengan meng-enable-kan "Clear cookies and site data when you quit the browser", jadi ketika sampeyan tutup browser akan diminta login lagi dengan providing 2fa kembali, hal ini berlaku untuk browser lain jika diaktifkan juga.

Ternyata memang ketika kemaren saya belum coba log out salah satu device yang lain masih tetap posisi sig in. Hari ini coba log out salah satu dan coba sig in dengan fitur sudah ada OTP ternyata device lain otomatis log out juga.
 

Pakai cara logout (opsi husna di atas) setiap selesai nge-forum juga bagus, nanti di setiap browser yang masih terbuka akan terlogout semua. Namun, kalau untuk yang mudah lupa seperti saya ini (langsung main tutup browser saja), ya gak bisa. Jadi, kalau saya, ya pakai opsi dengan men-seting "Clear cookies and site data when you quit the browser" di opsi browser yang saya pakai sekarang.

Ya om, selama ini saya fitur clear cookies nya manual saja. Jadi ini mungkin bisa jadi alternatif baru clear otomatis dan untuk keamanan juga.

[bayu7adi]

Ane juga belum nyoba gan, sejauh ini ane merasa aman-aman saja tidak pakai OTP. toh kalau memang bermasalah, ane juga sudah sign message yang bisa ane buktikan kalau akun ane kena hack.

Staking address BTC yang udah di sign dan ter-verified oleh member lain sepertinya jadi kunci keamanan tertinggi disini. Itu artinya meskipun akun kita di retas, dan 2FA nya sudah diaktifkan peretas, kemungkinan kita masih bisa recover akun menggunakan address BTC yang sudah kita sign message.

Buat yang belum sign message bisa ke mari : Stake your Bitcoin address here

Untuk fitur 2FA ini ane lebih menganggapnya sebagai lapisan lain untuk memastikan yang bisa login ke akun kita masing-masing adalah diri kita sendiri (asalkan device yang berisi kode autentifikasinya masih ada ditangan kita). Ane ngerasa ini update yang bagus, karena selama ini ane belum pernah kejadian peretasan akun ane yang udah diaktifkan 2FA nya.

Meski belum mencoba mengaktifkannya hingga tulisan ini ane buat, tapi sepertinya fitur ini bakal ane aktifkan sebelum tahun baru 2024.

[yudi09]

Sejauh ini ane belum mencobanya. Tapi kelihatannya menarik sebagai security tambahan akun forum kita.

selamat mencoba

Penerapan 2FA pada akun bitcointalk sangat berguna. Saya sudah menerapkannya untuk akun saya. Penerapan 2FA ini akan membuat akun kita mendapatkan keamanan ekstra dari kejadian peretasan akun.
Diantara teman yang berpendapat akan merepotkan saat kehilangan shared secret kode (Base 32), menurut saya ini dapat disimpan dengan baik seperti menjaga seed phrase atau private key alamat wallet Bitcoin ditempat yang bisa kita jangkau.

[Husna QA]

-snip-
Diantara teman yang berpendapat akan merepotkan saat kehilangan shared secret kode (Base 32), menurut saya ini dapat disimpan dengan baik seperti menjaga seed phrase atau private key alamat wallet Bitcoin ditempat yang bisa kita jangkau.

Ya bisa juga diperlakukan sama dengan menyimpan private key;
Dan pada aplikasi authenticator-nya juga cari yang sudah support backup*. Jadi ketika kehilangan kode Shared secret ataupun bahkan kehilangan aplikasi authenticator, masih bisa di-restore. Setelah aplikasi 2FA nya pulih, tinggal di disable fitur 2FA di Bitcointalk untuk me-reset dan mendapatkan kembali QR code Share secret yang baru.

*Contoh, Google authenticator juga sekarang sudah dilengkapi fitur backup "Cloud syncing":

[yudi09]

-snip-

Ya bisa juga diperlakukan sama dengan menyimpan private key;
Dan pada aplikasi authenticator-nya juga cari yang sudah support backup*. Jadi ketika kehilangan kode Shared secret ataupun bahkan kehilangan aplikasi authenticator, masih bisa di-restore. Setelah aplikasi 2FA nya pulih, tinggal di disable fitur 2FA di Bitcointalk untuk me-reset dan mendapatkan kembali QR code Share secret yang baru.

*Contoh, Google authenticator juga sekarang sudah dilengkapi fitur backup "Cloud syncing":

Benar. Synchronize dengan akun gmail aktif untuk jaga-jaga ketika lupa diperlukan untuk dilakukan bagi yang belum melakukannya.
Bagi teman yang masih memikirkan kehilangan shared secret kode (Base 32), melakukan sinkronisasi kode 2FA yang sudah terpasang di aplikasi authenticator menjadi pilihan dan alternatif sebelum nanti melakukan langkah yang telah disampaikan menurut saya sudah sangat tepat selain menyimpan kode base32 di tempat yang terjangkau.

[blue Snow]

Benar. Synchronize dengan akun gmail aktif untuk jaga-jaga ketika lupa diperlukan untuk dilakukan bagi yang belum melakukannya.
Bagi teman yang masih memikirkan kehilangan shared secret kode (Base 32), melakukan sinkronisasi kode 2FA yang sudah terpasang di aplikasi authenticator menjadi pilihan dan alternatif sebelum nanti melakukan langkah yang telah disampaikan menurut saya sudah sangat tepat selain menyimpan kode base32 di tempat yang terjangkau.

Kalau ane sampai sekarang masih pakai aplikasi 2fa yang back up-nya pakai nomor telepon (Authy), disamping cukup efektif (bisa digunakan tanpa internet, lewat SMS), Authy juga cukup mudah ketika mau ganti HP atau jika kita kehilangan akses gadget. Sedangkan back up email, kalau di ane jelas tidak bisa, soalnya semua email ane perlu 2fa ketika login, jadi ya nanti jelas bingung kalau back up emailnya pakai gmail, tapi gmailnya pakai 2fa jika nanti hp hilang atau ke reset.

[Husna QA]

-snip- Sedangkan back up email, kalau di ane jelas tidak bisa, soalnya semua email ane perlu 2fa ketika login, jadi ya nanti jelas bingung kalau back up emailnya pakai gmail, tapi gmailnya pakai 2fa jika nanti hp hilang atau ke reset.

Pada pengaturan security gmail setahu saya ada beberapa opsi untuk sign in yang bisa digunakan selain menggunakan authenticator (semisal HP dan nomor SIM Card-nya hilang atau aplikasi 2FA-nya ke reset).



Jadi kalaupun aplikasi Authenticator seperti keluaran Google backupnya ke Google Cloud, sementara akses ke Cloud tersebut tidak bisa karena aplikasi authenticator-nya hilang, maka agan bisa sign in menggunakan cara lain seperti opsi di atas.

Dan mungkin ini juga jadi saran agar pengamanan akun Google nya tidak dibatasi hanya dengan satu 2FA saja, tapi juga ditambahkan dengan opsi sign in/recovery lain.

Intinya 2FA dari akun Bitcointalk bisa di backup entah itu dengan cara menyimpan manual kode Shared secret/QR Code atau otomatis melalui fitur yang disediakan aplikasi authenticator.

[abhiseshakana]

-snip- Sedangkan back up email, kalau di ane jelas tidak bisa, soalnya semua email ane perlu 2fa ketika login, jadi ya nanti jelas bingung kalau back up emailnya pakai gmail, tapi gmailnya pakai 2fa jika nanti hp hilang atau ke reset.

Pada pengaturan security gmail setahu saya ada beberapa opsi untuk sign in yang bisa digunakan selain menggunakan authenticator (semisal HP dan nomor SIM Card-nya hilang atau aplikasi 2FA-nya ke reset).



Jadi kalaupun aplikasi Authenticator seperti keluaran Google backupnya ke Google Cloud, sementara akses ke Cloud tersebut tidak bisa karena aplikasi authenticator-nya hilang, maka agan bisa sign in menggunakan cara lain seperti opsi di atas.

Dan mungkin ini juga jadi saran agar pengamanan akun Google nya tidak dibatasi hanya dengan satu 2FA saja, tapi juga ditambahkan dengan opsi sign in/recovery lain.

Kalo memang hanya menggunakan 1 device saja (smartphone) memang agak riskan menyimpan semua data-data penting termasuk back-up email dan 2FA dalam device tersebut. Kekhawatiran paling utama adalah kehilangan atau rusak. Untuk pengamanan ekstra saran dari agan Husna saya kira cukup efektif untuk mengantisipasi hal-hal yang tidak diinginkan, namun kalo agan memiliki PC ada baiknya juga menyimpan back-up pada PC tersebut. Selain itu agan juga bisa meng-install 2FA App pada PC sebagai opsi alternatif (Contoh : https://chromewebstore.google.com/search/Authenticator)

[TopT3ns]

-snip-

~Snip

Kalo memang hanya menggunakan 1 device saja (smartphone) memang agak riskan menyimpan semua data-data penting termasuk back-up email dan 2FA dalam device tersebut. Kekhawatiran paling utama adalah kehilangan atau rusak. Untuk pengamanan ekstra saran dari agan Husna saya kira cukup efektif untuk mengantisipasi hal-hal yang tidak diinginkan, namun kalo agan memiliki PC ada baiknya juga menyimpan back-up pada PC tersebut. Selain itu agan juga bisa meng-install 2FA App pada PC sebagai opsi alternatif (Contoh : https://chromewebstore.google.com/search/Authenticator)

Sepertinya namanya file digital pasti akan rentan terhadap virus atau mungkin juga ketika instal ulang dan lain sebagainya yang menyebabkan file tersebut hilang, karena sejauh ini PC terkadang masih bisa di tembus dengan mudah tanpa sepengetahuan pemiliknya, saya lebih menyarankan untuk mencetak lalu di laminasi dan di simpan jadi satu di tempat penyimpanan berharga seperti sertifikat dan lainnya, memang cara ini sangat kuno namun cukup efektif ketika kejahatan digital lebih tinggi dan mudah menyerang dan saya lebih menyukai cara ini karena lebih simple dan tentu saja ketika ada sesuatu yang terjadi kepada kita maka orang terdekat kita masih bisa akses dan paham dengan cara menggunakannya, Percaya tidak percaya banyak aset yang di simpan dalam bentuk digital setelah pemiliknya meninggal tidak ada yang bisa akses dan akhirnya aset tersebut tidak bisa digunakan sama sekali.

[Husna QA]

-snip-

Sepertinya namanya file digital pasti akan rentan terhadap virus atau mungkin juga ketika instal ulang dan lain sebagainya yang menyebabkan file tersebut hilang, karena sejauh ini PC terkadang masih bisa di tembus dengan mudah tanpa sepengetahuan pemiliknya, saya lebih menyarankan untuk mencetak lalu di laminasi dan di simpan jadi satu di tempat penyimpanan berharga seperti sertifikat dan lainnya, memang cara ini sangat kuno namun cukup efektif ketika kejahatan digital lebih tinggi dan mudah menyerang dan saya lebih menyukai cara ini karena lebih simple dan tentu saja ketika ada sesuatu yang terjadi kepada kita maka orang terdekat kita masih bisa akses dan paham dengan cara menggunakannya, Percaya tidak percaya banyak aset yang di simpan dalam bentuk digital setelah pemiliknya meninggal tidak ada yang bisa akses dan akhirnya aset tersebut tidak bisa digunakan sama sekali.

Perihal pilihan metode penyimpanan backup mana yang sekiranya lebih aman, entah itu menggunakan media elektronik dalam bentuk file digital ataupun manual, menurut opini saya bahasannya sudah lebih spesifik dari tema thread ini yang lebih ke fitur baru berupa 2FA di akun Bitcointalk.

Oh ya, Shared secret/QR code yang tertera di settingan profile akun Bitcointalk bisa berganti ketika page website di reload/refresh. Jadi jika OP belum mengaktifkan fitur 2FA, maka screenshot kode yang ada di post pertama bisa diganti ketika browser di refresh, dengan kata lain kode yang tertera tersebut sudah tidak berlaku.

[erep]

-snip- Sedangkan back up email, kalau di ane jelas tidak bisa, soalnya semua email ane perlu 2fa ketika login, jadi ya nanti jelas bingung kalau back up emailnya pakai gmail, tapi gmailnya pakai 2fa jika nanti hp hilang atau ke reset.

Pada pengaturan security gmail setahu saya ada beberapa opsi untuk sign in yang bisa digunakan selain menggunakan authenticator (semisal HP dan nomor SIM Card-nya hilang atau aplikasi 2FA-nya ke reset).

Jadi kalaupun aplikasi Authenticator seperti keluaran Google backupnya ke Google Cloud, sementara akses ke Cloud tersebut tidak bisa karena aplikasi authenticator-nya hilang, maka agan bisa sign in menggunakan cara lain seperti opsi di atas.

Dan mungkin ini juga jadi saran agar pengamanan akun Google nya tidak dibatasi hanya dengan satu 2FA saja, tapi juga ditambahkan dengan opsi sign in/recovery

Dari beberapa solusi yang telah dijelaskan agan @Husna di atas, solusi paling efektif menurut saya yaitu recovery menggunakan email/akun utama yang tidak status login di device manapun karena penggunaan email tersebut hanya diprioritaskan untuk segala pemulihan gmail, jadi jika terjadi kasus diatas seperti kehilangan hp, simcard hilang, 2FA kode private tidak tersimpan secara manual serta tidak ada file digital tersimpan pada PC maka dapat dipulihkan menggunakan dengan cara recovery email ke akun utama. Saya pernah mengalami hal yang sama beberapa tahun lalu karena ponsel lama saya hilang dan menyebabkan kehilangan semua data, tapi setelah saya melakukan recovery dengan email pemulihan maka semua data saya telah kembali, tapi dengan catatan semua data harus tersinkron otomatis ke backup seperti data 2FA, data chrome (pass, bookmark, history) dan data lainnya.

[yudi09]

Benar. Synchronize dengan akun gmail aktif untuk jaga-jaga ketika lupa diperlukan untuk dilakukan bagi yang belum melakukannya.
Bagi teman yang masih memikirkan kehilangan shared secret kode (Base 32), melakukan sinkronisasi kode 2FA yang sudah terpasang di aplikasi authenticator menjadi pilihan dan alternatif sebelum nanti melakukan langkah yang telah disampaikan menurut saya sudah sangat tepat selain menyimpan kode base32 di tempat yang terjangkau.

Kalau ane sampai sekarang masih pakai aplikasi 2fa yang back up-nya pakai nomor telepon (Authy), disamping cukup efektif (bisa digunakan tanpa internet, lewat SMS), Authy juga cukup mudah ketika mau ganti HP atau jika kita kehilangan akses gadget. Sedangkan back up email, kalau di ane jelas tidak bisa, soalnya semua email ane perlu 2fa ketika login, jadi ya nanti jelas bingung kalau back up emailnya pakai gmail, tapi gmailnya pakai 2fa jika nanti hp hilang atau ke reset.

Tidak masalah juga sih gan jika mau backup 2FA pakai nomor telepon bila masih bisa dioperasikan dengan cara yang efektif. Mau backup menggunakan email juga efektif. Dapat disimpulkan keduanya punya kelebihan dan kekurangan, tergantung pada kita yang menggunakan yang mana antara keduanya.

Kalau ane pribadi lebih efektif backup pakai email meski ada koneksi internet dengan penjelasan yang sulit untuk ane jelaskan, tapi pada intinya nyaman pakai email ketimbang nomor hape.

Kalau ane katakan pengguna yang backupnya pakek nomor telepon, versi ane kekurangannya terletak saat lupa isi ulang pulsa secara rutin bisa tidak dapat digunakan lagi itu kartu. Ane akui kebiasaan kita yang sering online dengan koneksi wifi.
Kembali lagi bagaimana nyaman kita saja dalam memilih keduanya.

[Husna QA]

Dari beberapa solusi yang telah dijelaskan agan @Husna di atas, solusi paling efektif menurut saya yaitu recovery menggunakan email/akun utama yang tidak status login di device manapun karena penggunaan email tersebut hanya diprioritaskan untuk segala pemulihan gmail, jadi jika terjadi kasus diatas seperti kehilangan hp, simcard hilang, 2FA kode private tidak tersimpan secara manual serta tidak ada file digital tersimpan pada PC maka dapat dipulihkan menggunakan dengan cara recovery email ke akun utama. Saya pernah mengalami hal yang sama beberapa tahun lalu karena ponsel lama saya hilang dan menyebabkan kehilangan semua data, tapi setelah saya melakukan recovery dengan email pemulihan maka semua data saya telah kembali, tapi dengan catatan semua data harus tersinkron otomatis ke backup seperti data 2FA, data chrome (pass, bookmark, history) dan data lainnya.

Nah, cara yang digunakan agan erep di atas saya kira bisa dilakukan dengan menggunakan satu email utama untuk proses recovery dari email lainnya.
Saya juga menggunakan email utama untuk recovery namun email tersebut juga digunakan untuk daftar ke berbagai situs website; Sebaiknya seperti diatas tidak digunakan untuk sign up di aplikasi lain.

Namun perlu sedikit menjadi catatan terutama untuk pengguna GMail, harus rajin-rajin dibuka; Karena setahu saya beberapa waktu lalu ada kebijakan penghapusan akun yang tidak aktif selama kurun waktu tertentu.

Btw, untuk aplikasi authenticator, saya pribadi menggunakan Authy (utama) karena selain di versi mobile ada juga versi desktop-nya dan Google Authenticator (alternatif).

Untuk akun Bitcointalk barusan sudah saya setting enable fitur 2FA melalui PC (pada test sebelumnya sudah di disable sehingga kali ini menggunakan code yang baru); Dan sebagaimana yang disebutkan sebelumnya maka status login akun pada perangkat lain menjadi otomatis logout.

[merekamo]

Fitur yang sangat membantu sekali saya rasa agar ke depan tidak ada lagi kasus hack akun, cuman untuk OTP 2FA apakah bisa direset via email jika nantinya Hp yang kita gunakan hilang akses dengan 2FA. Banyak hal yang perlu dipersiapkan bagi siapapun yang ingin mencoba fitur ini dan pastikan harus benar-benar menyimpan semua data back up nya karena belum ada rule atau solusi saat applokasi 2FA kereset apakah bisa mencoba via fitur email atau tidak?

Biasanya di exchange market baik lokal ataupun luar saat fiture akses 2FA hilang kita diwajibkan untuk sinkron data dengan cara melakukan KYC ulang, apakah ada update sekaligus dengan pengumuman 2FA dan cara mengatasinya jika suatu saat nanti akses ke aplikasi 2FA yang kita gunakan hilang baik aplikasinya terhapus atau Hp rusak.

Bener memang 2fa itu terutama di exchange bagus buat security. Apalagi untuk akun btt, mungkin ada banyak kasus hack akun. Tapi buat saya saya fitur ini tidak perlu juga karena cukup dengan email dan kalaupun saya pasang contoh kasus hape mati bisa recovery lewat email mungkin. Karena pada pemakaian pun kadang saya sering pake lewat hape juga buat postingan. Yang penting emailnya akun jangan dipakai buat yang lain cukup buat akun forum aja, jadi aman. 

[yudi09]

-snip- ... Tapi buat saya saya fitur ini tidak perlu juga karena cukup dengan email dan kalaupun saya pasang contoh kasus hape mati bisa recovery lewat email mungkin. Karena pada pemakaian pun kadang saya sering pake lewat hape juga buat postingan. Yang penting emailnya akun jangan dipakai buat yang lain cukup buat akun forum aja, jadi aman. 

Saya menganggap tingkat keamanan yang lebih pada akun bitcointalk sangat penting implementasinya gan. 2FA pada akun bitcointalk diakui sangat penting oleh mayoritas bitcoiner forum dengan pengetahuan yang lebih mumpuni dibandingkan agan dan saya.
Menyamakan kegunaan 2FA pada exchage dengan 2FA pada akun bitcointalk rasanya beda menurut saya.

Melakukan recovery lewat email bisa tapi peduli apa pihak exchange dengan keamaan akun pengguna.
Keamanan terletak pada kita masing-masing sih dalam menjaganya, tapi tidak boleh disepelekan juga termasuk keamanan akun bitcointalk.

[bayu7adi]

Adakah yang tau solusinya jika aplikasi authenticator yang kita gunakan untuk mengaktifkan 2FA untuk login akun Bitcointalk tidak bisa diakses lagi?
Kebetulan saya mengalami hal tersebut, sehingga kalau misalkan akun saya log out, kemungkinan saya tidak bisa login lagi karena tidak bisa menunjukkan kode OTP dari aplikasi Authenticator.

[Husna QA]

Adakah yang tau solusinya jika aplikasi authenticator yang kita gunakan untuk mengaktifkan 2FA untuk login akun Bitcointalk tidak bisa diakses lagi?
Kebetulan saya mengalami hal tersebut, sehingga kalau misalkan akun saya log out, kemungkinan saya tidak bisa login lagi karena tidak bisa menunjukkan kode OTP dari aplikasi Authenticator.

Memangnya agan tidak menyimpan barcode yang digunakan ketika mengaktifkan fitur 2FA di Bitcointalk?
Untuk men-disable fitur 2FA ketika saat ini agan masih dalam keadaan login juga perlu kode OTP.

Untuk beberapa aplikasi authenticator semisal Authy, setahu saya masih bisa di restore dengan menggunakan no HP yang di daftarkan.
https://help.twilio.com/articles/19752864972955-Reinstalling-Authy-and-Restoring-Access-to-your-Account
https://authy.com/phones/reset/?proceed=true

Sementara Google Authenticator saat ini bisa backup/restore melalui google drive

Solusi lain kalau memang tidak menyimpan backup sama sekali adalah dengan menggunakan fitur:
https://bitcointalk.org/index.php?action=reminder

Pastikan agan sudah memiliki backup Bitcoin address sign message yang sudah pernah di posting untuk jaga-jaga jika diminta pembuktian kepemilikan akun menggunakan sign message.

[Chikito]

Adakah yang tau solusinya jika aplikasi authenticator yang kita gunakan untuk mengaktifkan 2FA untuk login akun Bitcointalk tidak bisa diakses lagi?
Kebetulan saya mengalami hal tersebut, sehingga kalau misalkan akun saya log out, kemungkinan saya tidak bisa login lagi karena tidak bisa menunjukkan kode OTP dari aplikasi Authenticator.

Yups, senada dengan apa yang mas husna katakan di atas, sampeyan bisa menggunakan fitur Password reminder, hal ini pernah dikatakan theymos di threadnya tersebut.

If you use the forgotten-password function, then there's an option to remove the 2FA. So 2FA does not provide any protection in case of a compromised email. Make sure that your email address is secure.

Namun kalau emailnya pakai aplikasi 2fa yang sama dengan bitcointalk, ya wasalam.

[abhiseshakana]

Adakah yang tau solusinya jika aplikasi authenticator yang kita gunakan untuk mengaktifkan 2FA untuk login akun Bitcointalk tidak bisa diakses lagi?
Kebetulan saya mengalami hal tersebut, sehingga kalau misalkan akun saya log out, kemungkinan saya tidak bisa login lagi karena tidak bisa menunjukkan kode OTP dari aplikasi Authenticator.

Solusinya agan harus menonaktifkan fitur 2FA tersebut terlebih dahulu, yakni dengan cara melakukan proses "Forgot your password?", lalu setelah menerima email untuk mengganti password maka agan akan mendapatkan opsi untuk melakukan penonaktifan fitur 2FA. Namun perlu diingat agan harus memiliki akses terhadap email yang terkorelasi dengan akun Bitcointalk milik agan.