Daftar Isi

 

Ensiklopedia Passkeys: Standar Autentikasi Bebas Kata Sandi Berbasis FIDO2

Kata sandi sudah menjadi bagian penting dari kehidupan digital selama puluhan tahun. Hampir setiap aktivitas di internet, mulai dari membuka email, mengakses media sosial, berbelanja online, hingga mengelola rekening bank, membutuhkan proses autentikasi untuk memastikan identitas pengguna. Namun, di balik fungsinya sebagai lapisan keamanan, kata sandi juga menyimpan berbagai kelemahan yang sulit diatasi.

Pengguna sering kali membuat kata sandi yang mudah ditebak, menggunakan kombinasi yang sama untuk beberapa akun, atau tanpa sadar memasukkan kredensial mereka ke situs palsu. Pengelola layanan pun menghadapi risiko kebocoran basis data yang menyimpan informasi autentikasi pelanggan. Bahkan, penggunaan kata sandi yang rumit tidak selalu cukup untuk menghadapi serangan phishing yang semakin meyakinkan.

Sebagai alternatif, industri teknologi mulai mengadopsi passkeys, sebuah metode autentikasi yang memungkinkan pengguna masuk ke akun tanpa harus mengetikkan kata sandi. Teknologi ini memanfaatkan kriptografi kunci publik, autentikasi lokal pada perangkat, serta standar FIDO2 untuk menghadirkan proses login yang lebih praktis sekaligus lebih tahan terhadap pencurian kredensial.

Lantas, bagaimana sebenarnya passkeys bekerja, dan mengapa teknologi ini dianggap sebagai salah satu fondasi penting keamanan digital masa depan?

1. Apa Itu Passkeys dan Hubungannya dengan FIDO2?

Passkey merupakan kredensial digital yang memungkinkan seseorang mengakses akun menggunakan mekanisme autentikasi pada perangkat, seperti sidik jari, pemindaian wajah, PIN, atau metode pembukaan kunci lain yang didukung.

Berbeda dengan kata sandi tradisional, passkey tidak mengharuskan pengguna mengingat dan mengetikkan rangkaian karakter untuk setiap akun. Proses autentikasi dilakukan menggunakan pasangan kunci kriptografi yang dibuat untuk layanan tertentu.

Teknologi ini berlandaskan standar FIDO Alliance, terutama FIDO2, yang terdiri dari dua komponen utama, yakni WebAuthn dan CTAP.

WebAuthn merupakan standar yang memungkinkan situs web dan aplikasi berkomunikasi dengan mekanisme autentikasi yang didukung perangkat. Sementara itu, CTAP atau Client to Authenticator Protocol memungkinkan perangkat pengguna berinteraksi dengan autentikator eksternal, misalnya kunci keamanan fisik, maupun autentikator yang terintegrasi dalam perangkat tertentu.

Passkeys adalah bentuk kredensial yang memanfaatkan pendekatan FIDO tersebut. Teknologi ini didukung oleh berbagai perusahaan teknologi, termasuk Apple, Google, dan Microsoft, sehingga pengguna dapat menemukannya pada beragam layanan digital.

Meski demikian, dukungan passkey bergantung pada layanan, sistem operasi, browser, dan perangkat yang digunakan. Artinya, belum semua situs atau aplikasi menyediakan metode autentikasi ini.

2. Kriptografi Asimetris: Fondasi Utama Keamanan Passkeys

Untuk memahami keunggulan passkeys, pengguna perlu mengenal konsep kriptografi asimetris. Berbeda dari metode autentikasi berbasis kata sandi, sistem ini menggunakan sepasang kunci yang memiliki fungsi berbeda, yaitu public key dan private key.

Public key atau kunci publik merupakan bagian yang dapat diberikan kepada layanan untuk keperluan verifikasi. Sementara itu, private key atau kunci privat merupakan rahasia kriptografi yang digunakan perangkat untuk membuktikan kepemilikan kredensial.

Kedua kunci tersebut saling berhubungan secara matematis, tetapi private key dirancang agar tidak dapat diturunkan secara praktis dari public key menggunakan kemampuan komputasi yang tersedia saat ini.

Ketika pengguna membuat passkey untuk sebuah layanan, perangkat menghasilkan pasangan kunci tersebut. Public key kemudian didaftarkan ke server layanan, sedangkan private key tetap berada dalam kendali mekanisme penyimpanan kredensial pada perangkat atau ekosistem passkey yang digunakan.

Perbedaan ini sangat penting. Dalam sistem kata sandi tradisional, server biasanya perlu menyimpan representasi kata sandi yang dapat digunakan untuk memverifikasi proses login. Jika basis data autentikasi bocor, penyerang berpotensi mencoba memecahkan kata sandi atau menggunakan kredensial yang dicuri pada layanan lain.

Pada passkeys, server menyimpan public key, bukan private key pengguna. Informasi publik tersebut tidak cukup untuk menghasilkan tanda tangan digital yang diperlukan dalam proses autentikasi.

Dengan demikian, pencurian basis data yang hanya berisi public key tidak secara langsung memberikan penyerang kemampuan untuk menyamar sebagai pemilik passkey.

Baca juga : Mengenal SASE, Teknologi Keamanan Jaringan Berbasis Cloud untuk Bisnis Modern

3. Bagaimana Proses Login Passkeys Berlangsung?

Proses autentikasi passkey melibatkan beberapa tahap yang bekerja di belakang layar. Walaupun terlihat sederhana bagi pengguna, terdapat pertukaran informasi kriptografi antara perangkat dan server.

Pertama, pengguna memilih opsi login menggunakan passkey pada situs atau aplikasi yang mendukungnya. Server kemudian mengirimkan tantangan autentikasi atau challenge yang bersifat unik untuk sesi tersebut.

Perangkat pengguna meminta verifikasi lokal, misalnya melalui sidik jari, pemindaian wajah, atau PIN perangkat. Setelah verifikasi berhasil, autentikator menggunakan private key untuk membuat tanda tangan digital atas data autentikasi yang relevan, termasuk challenge dari server.

Tanda tangan tersebut dikirimkan kembali kepada layanan. Server kemudian memverifikasinya menggunakan public key yang sebelumnya telah terdaftar.

Jika tanda tangan valid dan pemeriksaan lain berhasil, seperti kecocokan identitas layanan serta parameter autentikasi, pengguna dapat memperoleh akses ke akun.

Hal penting yang perlu dipahami adalah bahwa server tidak menerima private key dan tidak perlu menerima data sidik jari atau wajah pengguna untuk memverifikasi login. Server memeriksa bukti kriptografis bahwa autentikator memiliki akses ke private key yang sesuai.

Sistem ini juga menggunakan challenge untuk membantu mencegah serangan pengulangan atau replay attack, yakni ketika penyerang mencoba menggunakan kembali bukti autentikasi lama. Challenge baru membuat bukti autentikasi harus dibuat untuk sesi yang sedang berlangsung.

4. Peran Biometrik dan Keamanan Lokal pada Perangkat

Salah satu alasan passkeys terasa praktis adalah dukungannya terhadap autentikasi biometrik. Pengguna cukup menempelkan jari pada sensor, melihat kamera untuk pengenalan wajah, atau memasukkan PIN perangkat.

Namun, ada kesalahpahaman yang perlu diluruskan. Sidik jari dan wajah bukanlah private key passkey. Keduanya berfungsi sebagai metode verifikasi lokal yang membantu memastikan bahwa orang yang menggunakan autentikator memang diizinkan mengakses kredensial tersebut.

Pada banyak perangkat modern, data biometrik diproses dan dilindungi secara lokal melalui komponen keamanan perangkat. Sistem operasi atau perangkat keras keamanan dapat membatasi akses ke kredensial sehingga pengguna harus melewati proses verifikasi sebelum autentikator menggunakannya.

Sebagai contoh, seseorang yang memiliki akun pada sebuah layanan dapat menggunakan passkey yang tersimpan pada perangkatnya. Ketika ingin masuk, ia melakukan pemindaian wajah. Jika pemeriksaan berhasil, perangkat mengizinkan penggunaan kredensial untuk menandatangani challenge autentikasi.

Layanan yang diakses hanya menerima bukti kriptografis, bukan salinan wajah atau sidik jari pengguna.

Meski demikian, mekanisme penyimpanan dan verifikasi dapat berbeda antarperangkat. Tidak semua passkey selalu tersimpan secara eksklusif dalam satu perangkat. Sebagian dapat disinkronkan secara aman melalui pengelola kredensial, bergantung pada ekosistem yang digunakan.

Karena itu, keamanan passkey juga bergantung pada perlindungan perangkat, akun penyinkronan, mekanisme pemulihan, serta pengamanan akses fisik.

5. Mengapa Passkeys Sangat Efektif Menghadapi Phishing?

Phishing merupakan salah satu ancaman keamanan digital yang paling umum. Dalam serangan ini, pelaku membuat situs atau halaman login palsu yang menyerupai layanan asli untuk mencuri nama pengguna, kata sandi, atau kode autentikasi korban.

Bahkan, pengguna yang sudah menerapkan kata sandi kuat dan autentikasi dua faktor berbasis kode masih dapat menghadapi risiko tertentu. Misalnya, kode sekali pakai dapat diminta oleh situs palsu dan diteruskan secara langsung kepada layanan asli melalui serangan perantara.

Passkeys menawarkan pendekatan berbeda karena autentikasinya terikat pada identitas layanan atau domain yang telah diverifikasi oleh browser dan mekanisme autentikasi.

Ketika pengguna membuka situs palsu dengan domain berbeda, browser tidak akan menggunakan passkey milik situs asli untuk menyelesaikan autentikasi pada domain tersebut. Akibatnya, penyerang tidak dapat dengan mudah membuat halaman tiruan yang meminta pengguna menyerahkan passkey dalam bentuk teks, seperti yang terjadi pada kata sandi.

Inilah alasan passkeys disebut tahan terhadap phishing atau phishing-resistant.

Perlindungan tersebut bukan berarti semua serangan siber otomatis menjadi mustahil. Penyerang masih dapat mencoba mengambil alih perangkat, membajak akun email, mengeksploitasi kelemahan layanan, atau menipu pengguna agar menyetujui proses pemulihan akun yang tidak sah.

Namun, terhadap skenario phishing yang bertujuan mencuri kredensial login, passkeys menghilangkan salah satu kelemahan mendasar sistem kata sandi: rahasia autentikasi yang dapat disalin dan digunakan kembali oleh penyerang.

6. Apakah Passkeys Benar-Benar Menghapus Risiko Kata Sandi?

Passkeys dapat mengurangi ketergantungan pada kata sandi secara signifikan, tetapi penerapannya tidak selalu menghapus kata sandi dari seluruh sistem.

Sebagian layanan masih menyediakan kata sandi sebagai metode login alternatif. Ada pula layanan yang menggunakan kata sandi untuk proses pemulihan, verifikasi tambahan, atau akses melalui perangkat yang belum mendukung passkeys.

Situasi tersebut menciptakan kemungkinan bahwa akun tetap rentan apabila metode alternatifnya lemah. Sebagai contoh, akun dengan passkey yang kuat masih dapat menghadapi risiko jika penyerang berhasil mengambil alih email pemulihan dan memanfaatkan prosedur pemulihan akun yang tidak memadai.

Risiko lain berkaitan dengan rekayasa sosial, malware, pencurian perangkat, dan penyalahgunaan sesi yang telah berhasil masuk. Passkeys melindungi proses autentikasi, tetapi tidak otomatis melindungi seluruh aktivitas setelah pengguna masuk ke akun.

Karena itu, pernyataan bahwa passkeys mematikan phishing secara permanen perlu dipahami secara tepat. Passkeys memberikan perlindungan yang sangat kuat terhadap pencurian kredensial melalui phishing, tetapi bukan solusi yang membuat seluruh bentuk phishing dan pengambilalihan akun mustahil terjadi.

Keamanan tetap membutuhkan desain pemulihan akun yang baik, perlindungan perangkat, pembaruan perangkat lunak, serta pengawasan terhadap aktivitas yang mencurigakan.

7. Passkeys yang Disinkronkan dan Passkeys Berbasis Perangkat

Passkeys dapat digunakan melalui dua pendekatan umum, yaitu kredensial yang terikat pada perangkat tertentu dan kredensial yang dapat disinkronkan melalui ekosistem pengelola kredensial.

Passkey yang terikat pada perangkat biasanya dirancang agar tetap berada pada autentikator tertentu, seperti kunci keamanan fisik. Pendekatan ini berguna untuk kebutuhan yang mengutamakan kontrol perangkat secara ketat.

Sementara itu, passkey yang dapat disinkronkan memungkinkan kredensial tersedia pada beberapa perangkat melalui sistem sinkronisasi yang didukung penyedia. Pengguna dapat masuk menggunakan ponsel baru tanpa harus mendaftarkan kredensial dari awal, selama proses pemulihan dan sinkronisasi tersedia.

Keduanya memiliki kelebihan dan pertimbangan keamanan masing-masing. Passkey berbasis perangkat memberikan kontrol yang lebih langsung terhadap lokasi kredensial, tetapi kehilangan perangkat dapat mempersulit akses jika tidak tersedia metode pemulihan.

Passkey tersinkronisasi menawarkan kemudahan penggunaan, tetapi keamanan akun pengelola kredensial dan mekanisme pemulihannya menjadi semakin penting.

Untuk akun yang sangat sensitif, pengguna dapat mempertimbangkan penggunaan kunci keamanan fisik atau metode autentikasi tambahan yang didukung layanan. Pilihan terbaik bergantung pada kebutuhan keamanan, kenyamanan, serta kemampuan pemulihan yang tersedia.

8. Cara Mulai Menggunakan Passkeys dengan Aman

Pengguna yang ingin beralih dari kata sandi dapat memulai dengan memeriksa pengaturan keamanan pada layanan yang digunakan. Jika tersedia, cari menu seperti Passkeys, Kunci Sandi, atau Metode Login.

Setelah itu, buat passkey melalui situs atau aplikasi resmi dan ikuti petunjuk perangkat. Hindari membuat kredensial melalui tautan mencurigakan yang diterima melalui email atau pesan.

Pastikan perangkat memiliki kunci layar yang kuat, sistem operasi yang diperbarui, serta perlindungan memadai terhadap akses tidak sah. Jika menggunakan passkey yang disinkronkan, lindungi akun pengelola kredensial dengan metode autentikasi yang kuat.

Pengguna juga sebaiknya meninjau daftar perangkat dan metode pemulihan yang terhubung ke akun. Hapus perangkat lama yang sudah tidak digunakan dan pastikan informasi pemulihan tetap dapat diakses ketika diperlukan.

Terakhir, jangan mengabaikan keamanan email utama. Email sering menjadi jalur pemulihan berbagai akun digital sehingga pengambilalihan email dapat berdampak luas, bahkan ketika akun lain telah menggunakan passkeys.

Kesimpulan

Passkeys merupakan perkembangan penting dalam autentikasi digital karena menggabungkan kriptografi kunci publik, verifikasi lokal pada perangkat, dan perlindungan terhadap phishing melalui pengikatan autentikasi pada identitas layanan.

Dengan menyimpan private key di bawah kendali mekanisme keamanan autentikator dan menggunakan public key untuk verifikasi server, teknologi ini mengurangi risiko pencurian kredensial akibat kebocoran basis data maupun penipuan halaman login.

Dukungan biometrik juga membuat proses masuk menjadi lebih praktis tanpa harus mengirimkan data wajah atau sidik jari kepada layanan yang diakses.

Meski begitu, passkeys bukan jaminan keamanan mutlak. Kualitas implementasi layanan, perlindungan perangkat, sinkronisasi kredensial, dan prosedur pemulihan akun tetap memegang peranan penting.

Ke depan, semakin luasnya adopsi standar FIDO2 dapat membantu mengurangi ketergantungan pada kata sandi yang rentan dicuri. Bagi pengguna maupun pengelola layanan digital, memahami passkeys bukan lagi sekadar mengikuti tren teknologi, melainkan langkah nyata menuju autentikasi yang lebih aman, nyaman, dan tahan terhadap serangan siber modern.