Penjelasan passkey: cara passkey menggantikan kata sandi dan tahan terhadap phishing

Kata sandi harus diketahui oleh Anda dan situs web, dan itulah yang membuatnya bisa dicuri. Passkey dirancang untuk menghindari hal tersebut: tidak ada yang perlu diketik atau diingat, dan tidak ada yang bisa dikumpulkan lalu digunakan kembali oleh situs palsu.

Berikut penjelasan tentang passkey, cara masuk menggunakan passkey, alasan passkey tahan terhadap phishing, dan hal-hal yang tetap bergantung pada Anda.

Apa itu passkey

Menurut FIDO Alliance, kelompok industri di balik standar ini, passkey adalah kredensial yang memungkinkan Anda masuk ke aplikasi atau situs web melalui proses yang sama dengan yang Anda gunakan untuk membuka kunci perangkat, seperti sidik jari, pemindaian wajah, PIN, atau pola. Passkey terhubung ke akun Anda di situs tertentu dan menggantikan kata sandi serta, dalam kebanyakan kasus, kode tambahan.

Di balik cara kerjanya, passkey adalah sepasang kunci kriptografis. Situs web menyimpan kunci publik, yang tidak berguna jika berdiri sendiri, sementara kunci privat tetap berada di perangkat Anda. Sepasang kunci baru dibuat untuk setiap situs, sehingga passkey tidak dapat digunakan kembali di berbagai layanan seperti kata sandi.

Cara masuk menggunakan passkey

Saat Anda masuk, situs web mengirimkan tantangan sekali pakai ke perangkat Anda. Perangkat meminta Anda membukanya dengan biometrik atau PIN, lalu menggunakan kunci privat untuk menandatangani tantangan tersebut dan mengirimkan kembali respons yang sudah ditandatangani. Situs web memeriksa tanda tangan itu dengan kunci publik yang tersimpan, lalu mengizinkan Anda masuk. NCSC, badan keamanan siber nasional Inggris, menjelaskan urutan yang sama, di mana kunci privat tidak pernah dibagikan kepada situs web maupun browser.

FIDO menyatakan bahwa tidak ada data pribadi atau biometrik yang dikirimkan selama proses masuk. Sidik jari atau pemindaian wajah hanya digunakan secara lokal untuk membuka kunci di perangkat Anda.

Alasan passkey tahan terhadap phishing

Perbedaan utamanya adalah passkey terikat pada domain situs yang asli. NCSC menjelaskan bahwa autentikator FIDO hanya menawarkan kredensial yang cocok dengan situs yang sedang Anda kunjungi, dan pemeriksaan ini dilakukan oleh browser atau aplikasi tepercaya Anda, sehingga halaman palsu tidak dapat memengaruhinya. Tidak ada kata sandi atau kode yang bisa dicuri oleh situs tiruan.

NCSC membandingkannya dengan faktor autentikasi kedua tradisional dan menyimpulkan bahwa semuanya, termasuk kode dari aplikasi autentikator, rentan terhadap penyerang yang meneruskan proses masuk melalui halaman palsu secara langsung, sedangkan kredensial FIDO2 tidak rentan. NCSC juga melaporkan bahwa, pada saat tulisan ini dibuat, belum ada serangan terhadap autentikasi FIDO2 itu sendiri yang terlihat di dunia nyata, meskipun penyerang berupaya mengarahkan akun ke metode cadangan yang lebih lemah. Karena itu, opsi masuk paling lemah yang masih diaktifkan pada akun tetap penting.

Passkey tersinkronisasi dan passkey yang terikat ke perangkat

Passkey hadir dalam dua bentuk. Passkey tersinkronisasi dicadangkan melalui layanan sinkronisasi dan tersedia di perangkat Anda yang lain, sehingga kehilangan satu perangkat tidak membuat Anda kehilangan akses. Passkey yang terikat ke perangkat, seperti passkey yang disimpan di kunci keamanan fisik, tetap berada di satu perangkat tersebut dan tidak dapat disalin.

Masing-masing memiliki kompromi. NCSC menyarankan agar akun di balik layanan sinkronisasi dilindungi dari phishing dan memiliki cara pemulihan yang aman. NCSC juga mencatat bahwa tinjauannya terhadap layanan sinkronisasi pihak pertama utama pada 2025 menemukan bahwa layanan-layanan tersebut mewajibkan autentikasi dua faktor untuk menyimpan passkey, sementara layanan pihak ketiga memiliki ketentuan yang beragam. Untuk passkey yang terikat ke perangkat, NCSC menyarankan pengguna mendaftarkan kunci cadangan karena kunci yang hilang tidak dapat dipulihkan.

Hal yang tidak dapat dilakukan passkey

Passkey melindungi proses masuk, bukan semua hal di sekitarnya. Passkey tidak dapat membantu jika seseorang memiliki perangkat Anda dan mengetahui PIN yang lemah. NCSC juga mencatat bahwa pemulihan akun sering kali lebih lemah daripada proses masuk itu sendiri dan menjadi sasaran penyerang. Passkey juga bukan kunci dompet kripto. Passkey digunakan untuk masuk ke akun, sedangkan frasa seed atau kunci privat dompet mengendalikan dana di dompet self-custody. Passkey tidak dapat melindungi ataupun menggantikan keduanya.

Pengingat WEEX: passkey bukan frasa seed

WEEX mengingatkan pengguna bahwa passkey digunakan untuk masuk ke akun, sedangkan frasa seed atau kunci privat mengendalikan dompet self-custody. Jangan pernah mengetikkan frasa seed ke halaman mana pun yang memintanya untuk “memverifikasi” atau “memulihkan” passkey, dan jangan pernah membagikannya kepada siapa pun, termasuk orang yang mengaku berasal dari tim dukungan. Gunakan PIN yang kuat di perangkat Anda, pastikan opsi pemulihan akun selalu diperbarui, dan periksa alamat situs sebelum masuk. Informasi ini bukan nasihat keuangan.

Kesimpulan

Passkey menggantikan rahasia bersama dengan sepasang kunci, sehingga situs web tidak pernah menyimpan apa pun yang bisa dicuri dan digunakan kembali, dan situs palsu tidak memiliki apa pun untuk dikumpulkan. Karena itu, passkey merupakan salah satu metode masuk terkuat yang tersedia untuk akun pribadi. Namun, passkey tetap bergantung pada perangkat yang aman, akun sinkronisasi yang terlindungi, dan cara pemulihan yang baik, serta tidak melindungi frasa seed dompet.

FAQ

1. Apa itu passkey?
Passkey adalah kredensial FIDO yang memungkinkan Anda masuk ke aplikasi atau situs web menggunakan biometrik, PIN, atau pola yang sama dengan yang digunakan untuk membuka kunci perangkat, sebagai pengganti kata sandi.

2. Apa perbedaan passkey dan kata sandi?
Kata sandi adalah rahasia bersama yang Anda ketik dan disimpan oleh situs. Passkey adalah sepasang kunci: hanya kunci publik yang disimpan di situs, sepasang kunci dibuat secara terpisah untuk setiap akun, dan kunci dibuka di perangkat Anda.

3. Apakah passkey merupakan autentikasi dua faktor?
Jika proses masuk memerlukan biometrik atau PIN, passkey menggabungkan sesuatu yang Anda miliki, yaitu kunci di perangkat, dengan sesuatu dari diri Anda atau sesuatu yang Anda ketahui. FIDO menyatakan bahwa passkey dapat menggantikan kode terpisah, dan NCSC menilainya setara dengan autentikasi dua faktor.

4. Bisakah passkey menjadi sasaran phishing?
Passkey dirancang untuk tahan terhadap phishing karena terikat pada domain situs yang asli. Penyerang mungkin tetap mencoba mengarahkan akun ke metode cadangan yang lebih lemah, sehingga opsi masuk lain di akun juga penting.

5. Apa yang terjadi jika saya kehilangan perangkat yang menyimpan passkey?
Passkey tersinkronisasi tersedia di perangkat lain dalam akun sinkronisasi yang sama, atau dapat dipulihkan dengan memulihkan akun tersebut di perangkat baru. Passkey yang terikat ke perangkat tidak dapat disalin, jadi Anda memerlukan kunci cadangan atau metode pemulihan lainnya.