Apa Itu Kunci Rahasia 2FA? Penjelasan Base32, TOTP, dan URI otpauth

Kunci rahasia 2FA adalah rangkaian pendek huruf dan angka yang diubah aplikasi autentikator menjadi kode enam digit yang Anda ketik saat login. Jika pengiriman pesanan Anda menyertakannya, kunci ini adalah kolom terpenting di dalam baris setelah kata sandi, namun juga kolom yang paling sering salah diketik atau tertukar dengan hal lain oleh pembeli. Panduan ini menjelaskan apa itu rangkaian tersebut, seperti apa bentuk Base32, dan bagaimana kunci rahasia berbeda dari kode cadangan dan isi kode QR.

Anda juga akan belajar cara mengenali kunci di dalam baris pengiriman dan memastikan dalam hitungan detik bahwa kunci itu berfungsi, sehingga untuk string apa pun di file Anda, Anda bisa tahu apakah itu kunci rahasia, kode cadangan, atau hal lain.

Apa itu kunci rahasia 2FA dan bagaimana ia menghasilkan kode enam digit

Kata sandi sekali pakai berbasis waktu (TOTP, didefinisikan dalam RFC 6238) dibangun dari dua bahan: rahasia bersama dan waktu saat ini. Saat 2FA diatur, platform membuat kunci rahasia dan menyimpan salinannya, sementara aplikasi autentikator Anda menyimpan salinan yang lain. Setiap 30 detik, kedua pihak menjalankan perhitungan yang sama pada kunci dan jam, lalu sampai pada enam digit yang sama.

Ini punya tiga konsekuensi praktis:

• Kunci rahasia adalah kunci kedua akun. Siapa pun yang memegangnya bisa menghasilkan kode valid dari perangkat mana pun selama pengaturan 2FA itu masih aktif.
• Kode tidak disimpan di mana pun. Setiap kode dihitung ulang setiap 30 detik, jadi tangkapan layar kode lama tidak berguna.
• Jam itu penting. Jika perangkat yang menghasilkan kode meleset satu menit atau lebih dari waktu sebenarnya, kunci yang benar pun tetap menghasilkan kode yang ditolak.

Base32: seperti apa karakternya dan kesalahan ketik yang umum

Kunci rahasia ditulis dalam Base32, alfabet yang terdiri dari 26 huruf kapital A sampai Z dan angka 2 sampai 7. Hanya itu alfabetnya. Angka 0, 1, 8, dan 9 tidak pernah muncul, begitu pula tanda baca. Contoh ilustrasi (bukan kunci akun sungguhan) tampak seperti ini: JBSWY3DPEHPK3PXP. Kunci asli biasanya sepanjang 16 sampai 32 karakter.

Karena hanya 32 karakter yang valid, sebagian besar kesalahan ketik mudah dikenali:

• Angka 0, 1, atau 8 di tengah kunci berarti ada karakter yang salah terbaca. Angka 0 biasanya huruf O, angka 1 biasanya huruf I atau L, dan angka 8 biasanya huruf B.
• Huruf kecil biasanya tidak masalah, karena kebanyakan aplikasi mengubahnya.
• Satu atau lebih tanda "=" di akhir adalah padding. Banyak aplikasi menerima kunci dengan atau tanpa tanda tersebut.
• Karakter tak terlihat, seperti spasi atau baris baru di akhir yang tersalin dari file teks, sering menimbulkan pesan "kunci tidak valid".

URI otpauth, kode QR, dan kunci teks biasa

Kunci rahasia yang sama bisa sampai ke Anda dalam tiga bentuk, dan mencampuradukkannya menimbulkan banyak kebingungan:

• Kunci teks biasa. String Base32 saja. Aplikasi autentikator menyebutnya kunci penyiapan atau kunci entri manual.
• Kode QR. Gambar yang mengodekan URI otpauth agar ponsel bisa memindainya, bukan Anda yang mengetik kuncinya.
• URI otpauth. Satu baris teks seperti otpauth://totp/Example:user?secret=JBSWY3DPEHPK3PXP&issuer=Example. Nilai setelah secret= adalah kunci Base32. Sisanya adalah label dan pengaturan seperti issuer, algorithm, digits, dan period.

Jika Anda hanya punya gambar QR atau tautan otpauth, kunci rahasianya adalah teks setelah secret= dan sebelum tanda & berikutnya. Pengaturan standar memakai SHA-1, enam digit, dan periode 30 detik, dan aplikasi menganggap nilai default itu saat Anda hanya mengetik kuncinya. Memindai kode QR atau mengimpor URI lengkap juga menerapkan pengaturan non-default yang terkandung di dalamnya.

Kunci rahasia 2FA, kode cadangan, dan email pemulihan

Ketiga hal ini melindungi akun yang sama tetapi punya tugas yang sama sekali berbeda:

• Kunci rahasia 2FA. String Base32 berumur panjang yang menghasilkan kode baru setiap 30 detik. Hanya berubah saat 2FA direset atau diatur ulang.
• Kode cadangan. Kode sekali pakai yang mungkin ditawarkan platform untuk hari ketika Anda tidak bisa mengakses autentikator. Masing-masing hanya berlaku sekali. Ini bukan kunci Base32, sehingga aplikasi autentikator atau alat TOTP tidak dapat memakainya.
• Email pemulihan. Berupa kotak masuk, bukan kode. Menerima konfirmasi login dan tautan reset. Di baris pengiriman, ia muncul sebagai alamat email, biasanya diikuti kata sandi kotak surat itu sendiri.

Kunci rahasia menghasilkan kode harian Anda, kode cadangan adalah ban serep, dan email pemulihan adalah jalan kembali ketika ada hal lain yang bermasalah. Beri label masing-masing secara terpisah di catatan Anda.

Menemukan kunci rahasia di baris pengiriman dan mengujinya

Pengiriman datang sebagai file TXT dengan baris seperti username:password:email:email_password:auth_token, dan kolom persisnya bervariasi menurut kategori. Jika suatu kategori menyertakan kunci 2FA, kunci itu menjadi satu kolom lagi di baris tersebut. Jangan menghitung posisi secara membabi buta: baca deskripsi kategori, lalu bandingkan dengan baris pertama file Anda.

Anda juga bisa mengenali kolom dari bentuknya:

• Kunci rahasia panjangnya 16 karakter atau lebih, terdiri dari huruf kapital dan angka 2 sampai 7, tanpa tanda baca.
• auth_token adalah string heksadesimal yang panjang. Ini token sesi, bukan pembuat kode, dan tidak bisa menggantikan kunci rahasia. Untuk alur itu, lihat cara login ke Twitter dengan auth token.
• Kata sandi bisa mengandung titik dua, itulah sebabnya memecah baris secara asal dengan ":" kadang merusak baris tersebut.

Untuk memastikan setiap baris memakai susunan yang sama, tempel sampel ke pengenal format. Untuk mengambil hanya kolom yang berisi kunci rahasia, gunakan alat pemisah berdasarkan pembatas.

Lalu uji kunci dalam hitungan detik. Buka generator kode 2FA gratis, tempel kuncinya, dan kode enam digit akan muncul beserta hitung mundur. Jika alat melaporkan kunci tidak valid, kembali ke daftar kesalahan ketik di atas. Jika kode muncul tetapi login menolaknya, periksa jam perangkat dan ikuti apa yang harus dilakukan saat kode 2FA tidak berfungsi.

Menyimpan kunci rahasia dengan aman saat mengelola banyak akun

Satu baris pengiriman sering memuat kata sandi dan kunci rahasia 2FA sekaligus, sehingga siapa pun yang membuka file memegang kedua faktor. Lindungi file secara keseluruhan, bukan setiap kolom secara terpisah:

• Simpan file di satu folder pribadi dengan akses terbatas, dan hindari aplikasi chat, dokumen bersama, atau tangkapan layar.
• Uji setiap kunci tak lama setelah pengiriman dan catat tanggalnya di samping akun, agar masalah terlihat sejak dini.
• Beri label tiap string, supaya kode cadangan sekali pakai tidak pernah masuk ke aplikasi autentikator.
• Hitung salinan Anda. Memasukkan kunci yang sama ke aplikasi autentikator kedua adalah cadangan yang wajar, tetapi setiap salinan adalah satu tempat lagi tempat kunci bisa bocor.

Untuk rencana yang lebih luas, baca autentikasi dua faktor dan perencanaan pemulihan, dan untuk istilah di daftar produk lihat glosarium akun. Saat membandingkan kategori seperti Akun Lama Terverifikasi Telepon, baca deskripsinya untuk mengetahui isi file pengiriman. Jika Anda mengandalkan kunci 2FA, pastikan hal itu sebelum memesan, atau tanyakan ke dukungan di Telegram.

Pertanyaan yang sering diajukan

Seperti apa bentuk kunci rahasia 2FA?

Berupa string huruf kapital A sampai Z dan angka 2 sampai 7, biasanya sepanjang 16 sampai 32 karakter, misalnya JBSWY3DPEHPK3PXP dalam contoh dokumentasi. Beberapa platform menampilkannya dalam kelompok yang dipisah spasi atau tanda hubung.

Apakah kunci rahasia 2FA sama dengan kode cadangan?

Tidak. Kunci rahasia menghasilkan kode baru setiap 30 detik selama pengaturan 2FA itu masih aktif. Kode cadangan adalah kode sekali pakai yang hanya berlaku sekali dan tidak bisa dipakai di aplikasi autentikator.

Bisakah saya mengubah kode QR menjadi kunci rahasia?

Bisa. Kode QR penyiapan mengodekan URI otpauth, dan kunci rahasianya adalah nilai setelah secret= pada teks itu. Jaga kerahasiaan teks tersebut, karena sama sensitifnya dengan kunci itu sendiri.

Mengapa sebagian kunci rahasia memiliki spasi atau tanda hubung?

Pemisahan itu hanya untuk keterbacaan, biasanya dalam kelompok empat karakter. Jika sebuah aplikasi menolak kunci, hapus spasi dan tanda hubungnya; generator kode 2FA gratis menerimanya apa adanya.

Bisakah kunci rahasia yang sama dipakai di dua aplikasi sekaligus?

Bisa. Aplikasi atau perangkat mana pun yang memegang kunci yang sama dengan jam yang benar akan menampilkan kode yang sama. Ini praktis sebagai cadangan, tetapi setiap salinan adalah satu tempat lagi tempat kunci bisa terekspos.