Mengenal Passkey: Cara Kerja Pengganti Password yang Lebih Aman
Setiap tahun, ratusan juta akun bocor bukan karena sistem yang diretas secara canggih, melainkan karena password yang lemah atau dicuri melalui phishing. Passkey hadir bukan sebagai pembaruan kecil, melainkan sebagai perubahan mendasar pada cara kita membuktikan identitas di internet. Teknologi ini sudah didukung oleh Apple, Google, dan Microsoft secara bersamaan — sesuatu yang jarang terjadi di industri teknologi.
Apa Itu Passkey dan Mengapa Ini Bukan Sekadar Password Baru?
Definisi yang Perlu Kamu Pahami Dulu
Passkey adalah sepasang kunci kriptografi — satu kunci publik yang disimpan di server, dan satu kunci privat yang tersimpan hanya di perangkatmu. Ketika kamu login, perangkatmu membuktikan identitasmu dengan menandatangani sebuah tantangan menggunakan kunci privat, tanpa pernah mengirimkan kunci itu ke mana pun. Server hanya memverifikasi tanda tangan tersebut menggunakan kunci publik yang sudah tersimpan.
Ini berbeda total dari password. Password adalah rahasia bersama antara kamu dan server. Passkey bukan rahasia yang dibagikan — server tidak pernah tahu kunci privatmu, bahkan saat proses login berlangsung.
Standar di Baliknya: FIDO2 dan WebAuthn
Passkey dibangun di atas standar FIDO2 dan protokol WebAuthn yang dikembangkan oleh aliansi industri bernama FIDO Alliance. Standar ini sudah ada beberapa tahun sebelum passkey menjadi nama yang dikenal publik. Yang berubah adalah bagaimana kunci privat kini bisa disinkronkan antar perangkat melalui ekosistem seperti iCloud Keychain atau Google Password Manager — inilah yang membuat passkey benar-benar praktis untuk pengguna biasa.
Bagaimana Cara Kerja Passkey Saat Login?
Proses Login Langkah demi Langkah
Bayangkan kamu membuka aplikasi perbankan dan memilih 'Login dengan Passkey'. Aplikasi mengirimkan sebuah tantangan acak (random challenge) ke perangkatmu. Perangkatmu kemudian meminta verifikasi biometrik — sidik jari atau wajah — untuk membuka kunci privat yang tersimpan di chip keamanan perangkat. Kunci privat menandatangani tantangan itu, dan tanda tangan dikirim kembali ke server untuk diverifikasi.
Seluruh proses ini berlangsung dalam hitungan detik. Tidak ada yang diketik. Tidak ada yang bisa dicuri dari jaringan karena yang dikirim hanya tanda tangan kriptografi, bukan kredensial itu sendiri.
Apa yang Terjadi Jika Perangkatmu Hilang?
Ini pertanyaan yang wajar. Jika passkey disinkronkan melalui iCloud atau Google, kamu bisa mengaksesnya dari perangkat lain setelah verifikasi identitas akun cloud-mu. Jika kamu menggunakan passkey yang tersimpan hanya di satu perangkat (device-bound passkey), kehilangan perangkat berarti kamu perlu menggunakan metode pemulihan akun yang sudah disiapkan sebelumnya.
Passkey tidak bisa di-phishing karena kunci privat tidak pernah meninggalkan perangkatmu — bahkan situsnya sendiri tidak pernah melihatnya.
Mengapa Passkey Jauh Lebih Aman dari Password Biasa?
Kerentanan Password yang Sudah Terlalu Lama Diabaikan
Insiden kebocoran data di LastPass pada tahun 2022 menjadi pengingat keras betapa rentannya sistem berbasis password. Dalam insiden tersebut, vault terenkripsi milik jutaan pengguna berhasil dicuri — artinya penyerang tinggal menunggu waktu untuk memecahkan enkripsinya. Dengan passkey, tidak ada vault berisi password yang bisa dicuri dari sisi server, karena server hanya menyimpan kunci publik yang memang boleh diketahui siapa saja.
Serangan phishing juga menjadi tidak relevan. Situs palsu tidak bisa menggunakan tanda tangan yang dihasilkan untuk domain yang berbeda — protokol WebAuthn mengikat setiap tanda tangan ke origin (domain) yang spesifik. Kamu bisa saja tertipu mengunjungi situs palsu, tapi passkey-mu tidak akan pernah berfungsi di sana.
Tidak Ada Lagi 'Password123'
Salah satu kelemahan terbesar sistem password adalah manusia itu sendiri. Penelitian berulang kali menunjukkan bahwa sebagian besar orang menggunakan password yang lemah atau mengulang password yang sama di banyak akun. Passkey menghilangkan variabel manusia ini sepenuhnya — kunci kriptografi yang dibuat secara acak selalu jauh lebih kuat dari password mana pun yang bisa diingat manusia.
Kekuatan passkey bukan hanya pada kriptografinya — tapi pada fakta bahwa pengguna tidak bisa membuat passkey yang lemah, karena mereka tidak pernah memilihnya.
Di Mana Passkey Sudah Bisa Digunakan Sekarang?
Platform yang Sudah Mendukung Passkey
Google mengizinkan pengguna untuk login ke akun Google menggunakan passkey sejak pertengahan 2023, dan sejak itu terus memperluas dukungannya. Apple mengintegrasikan passkey ke dalam iCloud Keychain mulai dari iOS 16 dan macOS Ventura. Microsoft mendukung passkey di akun Microsoft melalui Windows Hello dan aplikasi Authenticator-nya.
Di luar ekosistem besar ini, layanan seperti GitHub, Shopify, dan sejumlah platform e-commerce global sudah mengimplementasikan passkey sebagai opsi login. Adopsinya memang belum merata, tapi momentumnya jelas.
Hambatan yang Masih Ada
Pengalaman pengguna masih belum sepenuhnya mulus, terutama saat berpindah antar ekosistem. Passkey yang tersimpan di ekosistem Apple tidak bisa langsung digunakan di perangkat Android tanpa langkah tambahan — meskipun standar FIDO sedang mengerjakan solusi lintas platform yang lebih baik. Ini bukan masalah teknis yang tak terpecahkan, tapi lebih ke soal waktu dan koordinasi industri.
(Opinion: Hambatan terbesar passkey bukan teknologinya — melainkan kebiasaan. Orang sudah terbiasa dengan password selama puluhan tahun, dan mengubah kebiasaan itu membutuhkan lebih dari sekadar teknologi yang lebih baik. Perlu ada titik di mana pengalaman passkey terasa jauh lebih mudah dari password, bukan hanya lebih aman — dan kita hampir sampai di sana.)
FAQ
Apakah passkey bisa digunakan tanpa biometrik?
Ya. Biometrik hanya digunakan untuk membuka kunci privat yang tersimpan di perangkatmu — itu adalah lapisan kenyamanan lokal. Jika perangkatmu tidak memiliki sensor biometrik, kamu bisa menggunakan PIN atau pola layar sebagai gantinya. Kriptografi di baliknya tetap sama kuatnya.
Jika situs diretas, apakah passkey-ku ikut bocor?
Tidak. Server hanya menyimpan kunci publikmu, yang memang dirancang untuk diketahui umum. Kunci privat — satu-satunya yang bisa digunakan untuk login — tidak pernah meninggalkan perangkatmu. Peretas yang berhasil mengakses database server hanya mendapatkan kunci publik yang tidak berguna tanpa kunci privatnya.
Apakah passkey dan two-factor authentication (2FA) hal yang sama?
Tidak, tapi passkey sebenarnya sudah menggabungkan dua faktor secara inheren. Faktor pertama adalah 'sesuatu yang kamu miliki' (perangkat dengan kunci privat), dan faktor kedua adalah 'sesuatu yang kamu tahu atau miliki secara fisik' (PIN, sidik jari, atau wajah). Jadi satu langkah login dengan passkey setara keamanannya dengan password ditambah 2FA.
Passkey bukan hanya teknologi yang lebih aman — ini adalah argumen bahwa keamanan dan kemudahan tidak harus saling bertentangan. Selama ini kita menerima begitu saja bahwa login yang aman berarti login yang merepotkan. Jika passkey berhasil diadopsi secara luas, asumsi itu akan runtuh — dan mungkin kita akan bertanya-tanya mengapa kita bertahan dengan sistem password selama ini.
Komentar
Posting Komentar