Passkey vs Kata Sandi: Bagaimana Login Tanpa Password Bekerja

Passkey adalah bentuk verifikasi login baru yang menghilangkan kebutuhan mengetik kata sandi panjang. Alih-alih mengingat kombinasi karakter rumit, pengguna membuka kunci akun mereka dengan wajah, sidik jari, atau PIN perangkat. Teknologi ini dibangun atas standar FIDO2 dan WebAuthn, yang dikembangkan oleh FIDO Alliance dan World Wide Web Consortium (W3C) sejak 2018-2019.

Perbedaan mendasar antara passkey dan kata sandi terletak pada cara kerja autentikasi. Kata sandi adalah sesuatu yang anda hafal dan ketikkan. Passkey adalah sesuatu yang ada di perangkat anda dan diproteksi oleh biometrik atau PIN. Ketika anda login dengan passkey, perangkat memverifikasi identitas anda secara lokal melalui wajah atau sidik jari, kemudian mengirimkan kunci kriptografi ke server, bukan password teks biasa.

Bagaimana Passkey Bekerja di Tingkat Teknis

Passkey menggunakan kriptografi kunci publik. Setiap passkey terdiri dari dua bagian: kunci pribadi yang tersimpan di perangkat anda dan tidak pernah meninggalkan perangkat, serta kunci publik yang disimpan di server layanan seperti Google, Apple, atau bank anda. Ketika anda login, perangkat memecahkan tantangan kriptografi menggunakan kunci pribadi anda, membuktikan bahwa anda memiliki passkey tanpa pernah mengungkapkan kunci itu sendiri.

Peran Biometrik dan PIN

Biometrik seperti sidik jari atau pengenalan wajah berfungsi sebagai lapisan keamanan lokal. Saat anda mencoba login, perangkat meminta verifikasi biometrik sebelum mengizinkan akses ke passkey. Jika pengguna tidak memiliki biometrik yang diaktifkan, passkey dilindungi oleh PIN perangkat. PIN ini hanya dikenal oleh pemilik perangkat dan tidak pernah dikirim ke server manapun.

Sinkronisasi Lintas Perangkat

Passkey dapat disinkronkan di beberapa perangkat melalui cloud. Apple menyimpan passkey di iCloud Keychain, yang menyinkronkannya di antara iPhone, iPad, dan Mac. Google menyimpan passkey di akun Google, sehingga tersedia di semua perangkat Android dan browser Chrome yang masuk dengan akun yang sama. Microsoft menggunakan pendekatan serupa melalui Authenticator. Sinkronisasi cloud ini sepenuhnya terenkripsi, artinya bahkan penyedia cloud tidak bisa membaca passkey anda.

Kunci Keamanan Fisik

Pengguna yang menginginkan kontrol maksimum dapat menggunakan kunci keamanan fisik seperti YubiKey dari Yubico atau Titan dari Google. YubiKey 5 Series dijual dengan harga sekitar 500 ribu hingga 2 juta rupiah, tergantung model dan saluran distribusi. Kunci fisik ini menggunakan standar FIDO2 dan tidak pernah menyinkronkan data ke cloud, memberikan perlindungan offline total.

Platform dan Layanan yang Mendukung Passkey

Apple memulai rol-out passkey dengan iOS 16 dan macOS Ventura di September 2022. Pengguna dapat membuat dan menggunakan passkey di Safari untuk login ke aplikasi dan website. Fitur ini sekarang tersedia di seluruh ekosistem Apple, termasuk tvOS dan watchOS.

Google mengaktifkan passkey untuk akun Google di pertengahan 2023, memungkinkan pengguna Android dan desktop untuk mengamankan akun mereka tanpa kata sandi. GitHub, Shopify, dan layanan lainnya telah menambahkan dukungan passkey. Di Indonesia, beberapa bank seperti BRI dan Mandiri mulai bereksperimen dengan WebAuthn, meskipun adopsi masih terbatas dibandingkan dengan solusi OTP tradisional.

Mengapa Passkey Lebih Aman Daripada Kata Sandi

Passkey tahan terhadap serangan phishing karena tidak ada kata sandi yang dapat dicuri atau ditipu untuk diberikan kepada penyerang. Jika seseorang mengirimkan email atau tautan palsu yang meniru login bank anda, mereka tidak dapat mengekstrak passkey anda. Kunci pribadi anda tidak pernah meninggalkan perangkat anda, dan verifikasi biometrik memastikan bahwa hanya pemilik perangkat yang sah yang dapat menggunakannya.

Passkey juga mengalahkan serangan brute force. Tidak seperti kata sandi yang dapat diterka atau diujicoba ribuan kali per detik, passkey menggunakan kriptografi yang membutuhkan perhitungan matematis yang tidak praktis untuk dipatahkan dengan kekuatan komputasi saat ini.

Perlindungan terhadap Data Breach

Jika server layanan diretas dan databasenya bocor, penyerang hanya mendapat akses ke kunci publik passkey anda, bukan kunci pribadi. Kunci publik saja tidak cukup untuk membuka akun anda. Sebaliknya, jika basis data kata sandi bocor, penyerang dapat mencoba menebak kata sandi melalui dictionary attack atau rainbow table, terutama jika password tersebut lemah.

Tantangan dan Batasan Adopsi Passkey

Terlepas dari keunggulan keamanannya, passkey belum mencapai adopsi massal di Indonesia. Salah satu hambatan adalah ketergantungan pada perangkat modern dengan biometrik. Tidak semua pengguna memiliki smartphone flagship dengan sensor sidik jari atau kamera inframerah untuk pengenalan wajah. Pengguna dengan perangkat lama atau anggaran terbatas mungkin hanya memiliki PIN perangkat sebagai perlindungan, yang lebih lemah daripada biometrik.

Kepercayaan dan Kesadaran Pengguna

Banyak pengguna Indonesia masih tidak percaya dengan login tanpa kata sandi. Kekhawatiran tentang sinkronisasi cloud, kehilangan perangkat, atau tidak dapat login jika smartphone rusak membuat mereka ragu untuk beralih. Edukasi diperlukan untuk menjelaskan bahwa passkey dapat disinkronkan dan bahkan dapat di-backup secara aman.

Dukungan Layanan Terbatas

Meskipun layanan besar seperti Google dan Apple mendukung passkey, banyak layanan kecil dan lokal di Indonesia masih mengandalkan OTP atau kata sandi. Bank tradisional, situs belanja, dan portal pemerintah belum merangkul WebAuthn pada skala besar. Migrasi membutuhkan investasi dalam infrastruktur dan pelatihan tim dukungan pelanggan.

Panduan Praktis Menggunakan Passkey di Indonesia

Untuk pengguna yang ingin mencoba passkey, langkah pertama adalah memverifikasi bahwa perangkat anda mendukungnya. iPhone atau iPad dengan iOS 16 atau lebih baru, Android 9 atau lebih baru dengan Google Play Services, atau Mac dengan macOS Ventura memiliki dukungan bawaan. Verifikasi juga bahwa layanan yang ingin anda login, seperti Gmail, iCloud, atau situs web tertentu, menawarkan opsi passkey di pengaturan keamanan.

Saat membuat passkey, pastikan biometrik anda sudah diatur di perangkat. Untuk iPhone, aktifkan Face ID atau Touch ID. Untuk Android, daftarkan sidik jari atau wajah di pengaturan keamanan. Ketika diminta untuk membuat passkey di situs web atau aplikasi, layanan akan membimbing anda melalui proses verifikasi biometrik, kemudian menyimpan passkey di keychain cloud anda.

Jika anda mencemaskan kehilangan perangkat, ingat bahwa passkey di-backup ke cloud Apple atau Google anda secara otomatis. Jika perangkat anda hilang atau rusak, anda dapat menandatangani perangkat baru dengan akun yang sama dan passkey anda akan tersedia kembali. Untuk lapisan keamanan ekstra, khususnya untuk akun sensitif seperti email atau perbankan, pertimbangkan menggunakan kunci keamanan fisik sebagai opsi login cadangan. Banyak layanan besar memungkinkan anda mendaftarkan beberapa metode autentikasi, jadi anda dapat memiliki passkey sebagai pilihan utama dan kunci fisik sebagai backup.