Cara Kerja Token Mandiri Internet

Penggunaan teknologi informasi dan komunikasi di perbankan nasional relatif lebih maju dibandingkan sektor lainnya. Berbagai jenis teknologi diantaranya meliputi Automated Teller Machine, Banking Application System, Real Time Gross Settlement System, Sistem Kliring Elektronik, dan internet banking.

Electronic banking mencakup wilayah yang luas dari teknologi yang berkembang pesat. Beberapa diantaranya terkait dengan layanan perbankan di “garis depan” atau front end, seperti ATM dan komputerisiasi (sistem) Perbankan, dan beberapa kelompok lainnya bersifat ”back end”, yaitu teknologi-teknologi yang digunakan oleh lembaga keuangan, merchant, atau penyedia jasa transaksi, misalnya electronic check conversion.

Selain itu, beberapa jenis E-banking terkait langsung dengan rekening bank. Jenis E-Banking yang tidak terkait rekening biasanya berbentuk nilai moneter yang tersimpan dalam basis data atau dalam sebuah kartu (chip dalam smart card). Dengan semakin berkembangnya teknologi dan kompleksitas transaksi, berbagai jenis E-banking semakin sulit dibedakan karena fungsi dan fiturnya semakin terintegrasi atau mengalami konvergensi.

Kali ini kita akan bahas mengenai mandiri internet yang dapat kita akses melalui situs web www.bankmandiri.co.id. Beberapa keuntungan dapat dirasakan dari layanan internet mandiri termasuk memudahkan transaksi perbankan, fitur lengkap dan gratis, keamanan berlapis:

• Menggunakan sistem keamanan standard international dengan enkripsi SSL 128 bit (Secure Socket
• Layer 128 bit Encryption) yang akan mengacak data transaksi
• Pengamanan pintu akses dengan Firewall (ISP>Web Server>Data Server>Host)
• Proses pendaftaran melalui ATM Mandiri atau Cabang Bank Mandiri
• Proses aktivasi di www.bankmandiri.co.id dengan Access ID & Access Code
• Mouse over Warning Access, pada saat login untuk mengingatkan web site palsu
• Verifikasi user dengan User ID & PIN Internet Banking pada saat login
• Auto Logoff (Session Time Out ) jika Nasabah lupa log-out
• Seluruh aktifitas nasabah di Mandiri internet akan tercatat oleh sistem
• Nasabah dapat melihat seluruh aktifitas yang dilakukan pada Mandiri internet selama jangka waktu
• tertentu
• Notifikasi melalui e-mail dan SMS* untuk setiap transaksi yang dilakukan
• Limit transaksi per hari hingga Rp. 10.000.000,-
• Verifikasi transaksi dengan Token PIN Mandiri, serta tidak memerlukan perangkat khusus. Syarat pendaftaran-pun mudah cukup menyerahkan bukti kepemilikan rekening kita dapat mengkases internet mandiri.

Token PIN Mandiri (lihat gambar) adalah adalah alat pengaman tambahan untuk transaksi finansial di Elektronik Banking Bank Mandiri (Saat ini baru digunakan di Mandiri internet). Token Pin Mandiri berfungsi untuk menghasilkan PIN yang selalu berganti (PIN Dinamis) untuk setiap kali nasabah melakukan transaksi finansial. PIN Mandiri digunakan sebagai otentikasi transaksi pada saat nasabah meng-eksekusi transaksi, sedangkan untuk login tetap menggunakan USER ID dan PIN Internet Banking. Satu nomor ID Nasabah hanya link ke satu nomor serial Token PIN Mandiri, sehingga sangat unique dan bisa digunakan di semua Channel e-Banking.

Pada umumnya ada dua mode pemakaian token internet banking:

1. Mode Challenge/Response (C/R) Ini adalah mode yang paling sering dipakai ketika bertransaksi. Dalam mode ini server memberikan challenge berupa sederetan angka. Angka tersebut harus dimasukkan kedalam mesin token untuk mendapatkan jawaban (response). Kemudian pengguna memasukkan angka yang muncul pada tokennya ke dalam form di situs internet banking. Token akan mengeluarkan kode yang berbeda-beda walaupun dengan challenge code yang sama secara periodik tergantung waktu ketika challenge dimasukkan ke dalam token.
2. Mode Self Generated (Response Only)Dalam mode ini server tidak memberikan tantangan (challenge) apapun. Token pengguna bisa langsung mengeluarkan sederetan angka tanpa harus memasukkan challenge. Seperti mode C/R, token juga mengeluarkan kode yang berbeda-beda secara periodik tergantung waktu ketika token diminta untuk menghasilkan kode self generated.

Sebenarnya jawaban yang diberikan oleh token baik dalam mode C/R maupun Self Generated(resopnse only) tidak lain adalah password juga. Namun berbeda dengan password yang anda pakai untuk login, password yang dihasilkan token ini memiliki keterbatasan untuk alasan keamanan, yaitu:

1. Hanya boleh dipakai 1 kaliIni disebut dengan OTP (One Time Password). Setelah suatu password dipakai, maka password yang sama tidak bisa lagi dipakai untuk kedua kalinya. Dengan cara ini tidak ada gunanya menyadap password yang dihasilkan token karena password tersebut tidak bisa dipakai lagi. Namun bila password tersebut di-intercept sehingga tidak pernah sampai ke server, maka password tersebut masih berharga karena di mata server, password itu belum pernah dipakai.
2. Hanya boleh dipakai dalam rentang waktu yang terbatas Password yang dihasilkan token memiliki umur yang sangat terbatas, mungkin antara 3-6 menit bila umurnya habis maka password itu tidak bisa dipakai, walaupun belum pernah dipakai. Nanti akan saya jelaskan mengapa password token memerlukan umur, waktu merupakan unsur yang sangat kritikal dalam sistem ini.
3. Hanya boleh dipakai dalam konteks sempitBila password/PIN yang dipakai untuk login adalah password yang bebas konteks, dalam arti dengan berbekal password itu, anda bisa melakukan banyak hal, mulai dari melihat saldo, mengecek transaksi dan sebagainya. Namun password yang dihasilkan token, hanya bisa dipakai dalam konteks sempit, contohnya password yang dipakai untuk mengisi pulsa ke nomor 08123456789, tidak bisa dipakai untuk melakukan transfer dana. Terbatasnya konteks ini disebabkan karena untuk melakukan transaksi dibutuhkan password yang diikat oleh challenge dari server, sehingga password tersebut tidak bisa dipakai untuk transaksi lain yang membutuhkan challenge code yang berbeda. Contohnya bila challenge yang diberikan server adalah 3 digit terakhir dari nomor handphone (untuk transaksi isi pulsa), atau 3 digit terakhir nomor rekening tujuan (untuk transaksi transfer). Maka password yang dihasilkan token untuk transaksi isi pulsa ke nomor 0812555111222, akan valid juga untuk transaksi transfer uang ke rekening 155887723120222. Sebab kebetulan kedua transaksi tersebut membutuhkan password yang diikat oleh challenge code yang sama, yaitu 222 (diambil dari 3 digit terakhir). Konteks ini hanya berlaku bila password dihasilkan dalam mode C/R. Password yang dihasilkan dalam mode Self Generated, bisa dipakai dalam transaksi apa saja yang tidak meminta password dengan challenge code.

Jadi bisa disimpulkan bahwa password yang dikeluarkan token bersifat:

1. Selalu berubah-ubah secara periodik
2. Memiliki umur yang singkat
3. Hanya bisa dipakai 1 kali
4. Terbagi dalam ada dua jenis, yaitu:

• Password kontekstual yang terikat oleh challenge code dalam mode challenge/response.
• Password bebas konteks yang dihasilkan dalam mode self generated.

Proses Otentikasi
Seperti password pada umumnya, syarat agar otentikasi berhasil adalah:

password yang dikirimkan client = password yang disimpan di server. Dengan alasan keamanan jarang sekali server menyimpan password user dalam bentuk plain-text. Biasanya server menyimpan password user dalam bentuk hash sehingga tidak bisa dikembalikan dalam bentuk plain-text. Jadi syarat otentikasi berhasil di atas bisa diartikan sebagai hasil penghitungan hash dari password yang dikirim klien harus sama dengan nilai hash yang disimpan dalam server.   Sumber: buku panduan internet banking mandiri,  www.bankmandiri.co.id, syahmei.blogspot.com, simple-magazine.blogspot.com