Malam Ini Kami Matikan Password VPS Kami — Diganti Kunci Digital

Malam ini, 22 Oktober 2026, kami mematikan sesuatu di server kami sendiri yang selama ini kami anggap biasa: login pakai password. Mulai malam ini, satu-satunya cara masuk ke server kami adalah dengan kunci digital. Ini ceritanya, ditulis segampang mungkin.

Semua berawal dari kabar yang kami terbitkan kemarin: lebih dari 300 pintu keluar jaringan Tor dibajak penjahat siber. Cara mereka mencuri password adalah dengan menyusupkan program jahat bernama Ebury ke server korban, lalu mengintip setiap password yang diketik. (Baca artikel lengkapnya di sini.)

Begitu membaca kabar itu, kami langsung memeriksa server kami sendiri. Hasilnya melegakan sekaligus bikin was-was: server kami BERSIH, tidak ada jejak Ebury. Tapi ada satu celah yang persis sama dengan yang dimanfaatkan penjahat di kasus Tor: login pakai password di server kami masih menyala.

Kenapa password berbahaya? Karena password itu sesuatu yang 'diketik dan dikirim'. Kalau sebuah server kena program jahat, password yang diketik bisa diintip. Dan kalau passwordnya dipakai ulang di banyak tempat, satu kebocoran bisa merembet ke mana-mana — persis seperti yang terjadi di kasus Tor kemarin.

Solusinya: kunci SSH. Bayangkan sepasang gembok dan anak kunci digital. Kunci 'publik'-nya dipasang di server, kunci 'privat'-nya disimpan aman di HP kami. Tidak ada lagi yang perlu diketik — server mengenali HP kami dari pasangannya, bukan dari tebakan. Tidak bisa ditebak, tidak bisa diintip.

Langkah yang kami lakukan semalam, berurutan dan hati-hati: (1) membuat kunci digital baru di HP, (2) memasang kunci publiknya di server, (3) mencoba masuk pakai kunci — berhasil, (4) BARU setelah itu mematikan login password dan membatasi akses root. Urutannya penting: jangan matikan password sebelum kuncinya terbukti jalan, atau kamu bisa terkunci di luar servermu sendiri.

Sekarang server kami hanya bisa dimasuki pakai kunci digital. Penjaga otomatis (fail2ban) tetap siaga mengusir percobaan login yang mencurigakan.

Pelajaran buat kita semua: kalau kamu punya VPS atau server, pindah ke kunci SSH adalah salah satu peningkatan keamanan terbesar yang bisa dilakukan dalam satu malam. Dan untuk akun sehari-hari: jangan pakai satu password untuk semua — pakai pengelola password (password manager) supaya tiap akun punya password yang beda.

Kunci kami sudah diganti. Server kami tidur lebih nyenyak malam ini. Giliranmu — kapan terakhir kamu mengganti 'kunci' digitalmu?