Passkeys dan WebAuthn: Cara Kerja Login Tanpa Kata Sandi

Kata sandi yang panjang belum tentu cukup melindungi akun. Pengguna masih bisa tertipu halaman login palsu, memakai ulang kata sandi, atau kehilangan akses ketika metode pemulihan tidak tersedia. Passkeys menawarkan pendekatan berbeda: autentikasi menggunakan pasangan kunci kriptografi, sementara pengguna biasanya mengonfirmasi login dengan PIN perangkat, sidik jari, atau pengenalan wajah.

Teknologi ini dibangun di atas standar WebAuthn dan FIDO. Passkey dapat membuat login lebih tahan terhadap phishing, tetapi manfaatnya bergantung pada cara layanan menerapkannya, bagaimana kredensial disimpan, dan apakah pemulihan akun dirancang dengan aman.

Apa Itu Passkey dan WebAuthn?

Passkey adalah kredensial digital yang memungkinkan pengguna membuktikan kepemilikan kunci privat tanpa mengetik kata sandi. WebAuthn merupakan standar web yang memungkinkan situs berkomunikasi dengan autentikator—misalnya pengelola kredensial di ponsel, komputer, atau kunci keamanan fisik. FIDO menyediakan kerangka kerja interoperabel yang mendasari pengalaman tersebut.

Saat membuat passkey, perangkat menghasilkan pasangan kunci publik dan privat. Kunci publik dikirim ke layanan dan disimpan bersama akun, sedangkan kunci privat tetap berada dalam sistem penyimpanan kredensial. Pada login berikutnya, server mengirim tantangan kriptografis. Perangkat menandatangani tantangan itu dengan kunci privat, lalu server memverifikasi tanda tangan memakai kunci publik.

Karena proses tersebut terikat pada domain layanan yang benar, passkey dirancang untuk mengurangi risiko phishing. Situs tiruan tidak semestinya dapat menggunakan kredensial untuk domain yang berbeda, seperti yang kerap terjadi saat pengguna mengetik kata sandi ke halaman palsu.

Bagaimana Proses Login Berlangsung?

1. Registrasi: pengguna memilih membuat passkey pada layanan yang mendukungnya. Perangkat membuat kredensial dan mengirim informasi kunci publik ke server.
2. Permintaan login: layanan mengirim tantangan acak dan informasi konteks yang diperlukan oleh browser serta autentikator.
3. Persetujuan pengguna: pengguna membuka kunci autentikator dengan biometrik, PIN, atau metode lokal lain yang didukung perangkat.
4. Verifikasi server: autentikator menghasilkan respons bertanda tangan. Server memeriksa tanda tangan, tantangan, dan konteks permintaan sebelum memberi akses.

Data sidik jari atau wajah umumnya digunakan secara lokal untuk membuka autentikator; layanan web biasanya menerima bukti kriptografis, bukan salinan biometrik pengguna. Detail implementasi dapat berbeda antarperangkat dan pengelola passkey, sehingga dokumentasi platform tetap perlu diperiksa.

Passkey Tersinkronisasi dan Device-Bound

Tidak semua passkey disimpan dengan cara yang sama. Passkey tersinkronisasi dapat tersedia pada beberapa perangkat melalui pengelola kredensial yang terhubung ke akun pengguna. Pendekatan ini memudahkan pergantian ponsel atau penggunaan laptop baru, selama pengguna masih dapat mengakses akun pengelola dan mekanisme sinkronisasinya.

Passkey yang terikat pada satu perangkat atau autentikator tidak dirancang untuk disinkronkan dengan cara yang sama. Contohnya dapat berupa kredensial pada kunci keamanan fisik atau implementasi khusus perangkat. Model ini bisa cocok untuk akun berisiko tinggi, tetapi pengguna harus menyiapkan autentikator cadangan atau prosedur pemulihan yang aman agar tidak terkunci dari akun.

Pilihan terbaik bukan selalu salah satu model. Akun sehari-hari mungkin lebih praktis dengan sinkronisasi, sedangkan organisasi dapat mewajibkan kunci keamanan fisik untuk administrator. Pertimbangkan risiko akun, perangkat yang tersedia, kebijakan organisasi, dan kemampuan pemulihan sebelum menetapkan kebijakan.

Cara Mengaktifkan Passkey dengan Aman

1. Buka situs atau aplikasi resmi secara langsung, lalu cari menu keamanan atau metode login. Pastikan domain benar sebelum membuat kredensial.
2. Pilih opsi untuk membuat passkey dan ikuti petunjuk sistem operasi atau pengelola kredensial. Jangan memasang aplikasi tambahan dari tautan pesan yang tidak diminta.
3. Jika layanan mendukungnya, daftarkan metode cadangan yang independen—misalnya kunci keamanan kedua—dan simpan dengan aman.
4. Uji login pada perangkat lain atau setelah keluar dari akun. Pastikan alur pemulihan dapat digunakan tanpa mengandalkan perangkat yang sedang dipakai saja.
5. Periksa daftar perangkat, passkey, sesi aktif, dan metode pemulihan secara berkala. Hapus kredensial yang terkait perangkat hilang atau sudah tidak digunakan.

Batasan dan Risiko yang Tetap Perlu Diperhatikan

Passkey tidak otomatis menghilangkan semua risiko akun. Penyerang masih dapat menargetkan sesi yang sudah aktif, perangkat yang telah dibuka kuncinya, malware, proses dukungan pelanggan, atau alur pemulihan yang lemah. Jika akun pengelola passkey diambil alih, kredensial tersinkronisasi juga perlu dinilai berdasarkan perlindungan akun tersebut.

Implementasi layanan pun penting. Pengguna mungkin masih dapat masuk melalui kata sandi atau kode sekali pakai; jalur alternatif yang lemah bisa menjadi titik serang. Organisasi sebaiknya meninjau kebijakan fallback, membatasi perubahan faktor autentikasi yang berisiko, memberi notifikasi atas perubahan kredensial, dan menyediakan prosedur pencabutan untuk perangkat yang hilang.

Biometrik juga bukan pengganti seluruh kontrol keamanan. Gunakan kunci layar yang kuat, pembaruan sistem, enkripsi perangkat, serta perlindungan akun pengelola kredensial. Untuk akun kerja, ikuti kebijakan perangkat dan autentikasi yang ditetapkan tim keamanan.

Checklist Singkat untuk Pengguna dan Admin

• Pastikan layanan benar-benar mendukung passkey dan gunakan domain resmi.
• Pahami apakah passkey tersinkronisasi atau terikat pada perangkat.
• Siapkan metode cadangan yang aman, bukan hanya satu ponsel.
• Amankan akun pengelola kredensial dengan autentikasi kuat.
• Audit sesi, perangkat, dan jalur pemulihan; cabut akses perangkat yang hilang.
• Untuk organisasi, uji prosedur pemulihan dan tinjau metode login alternatif.

Kesimpulan

Passkeys dan WebAuthn memindahkan autentikasi dari rahasia yang diketik menuju bukti kriptografis yang terikat pada layanan. Pendekatan ini dapat membuat serangan phishing jauh lebih sulit, sekaligus menyederhanakan pengalaman login. Agar manfaatnya nyata, pilih model penyimpanan sesuai kebutuhan, amankan perangkat dan akun sinkronisasi, serta siapkan pemulihan yang tidak menjadi celah baru.

Untuk penjelasan standar lebih lanjut, baca dokumentasi FIDO Alliance tentang passkeys dan spesifikasi WebAuthn W3C.