Passkey adalah metode masuk ke akun digital tanpa harus mengetik kata sandi setiap kali login. Pengguna biasanya cukup memilih akun, lalu menyetujui permintaan menggunakan sidik jari, pengenalan wajah, PIN perangkat, atau metode pembuka kunci lain yang didukung. Teknologi ini dirancang agar proses masuk lebih praktis sekaligus mengurangi risiko pencurian kata sandi.
Passkey kini didukung oleh berbagai platform dan layanan, tetapi ketersediaannya tetap bergantung pada situs, aplikasi, perangkat, serta pengelola kredensial yang digunakan. Sebelum mengaktifkannya, ada baiknya memahami cara kerja dan cara memulihkan akses jika perangkat hilang.
Apa Itu Passkey?
Passkey adalah kredensial autentikasi berbasis kriptografi kunci publik. Ketika passkey dibuat untuk sebuah situs atau aplikasi, perangkat atau pengelola kredensial menghasilkan sepasang kunci: kunci publik dan kunci privat. Layanan menyimpan kunci publik, sedangkan kunci privat tetap berada di perangkat atau penyimpanan kredensial yang mengelolanya.
Berbeda dari kata sandi yang dapat diketik ulang pada situs palsu, passkey terikat pada identitas situs atau aplikasi tempat passkey dibuat. Karena itu, browser dan sistem operasi dapat menolak penggunaan passkey pada domain tiruan. Mekanisme ini membuat passkey sangat tahan terhadap banyak serangan phishing.
Bagaimana Passkey Bekerja?
Saat pengguna memilih masuk dengan passkey, layanan mengirimkan tantangan kriptografis. Perangkat menggunakan kunci privat untuk membuktikan bahwa pengguna memiliki kredensial yang benar, setelah pengguna menyetujui permintaan dengan metode verifikasi perangkat. Server memeriksa bukti tersebut menggunakan kunci publik yang tersimpan.
Kunci privat tidak dikirim ke situs. Data biometrik, seperti sidik jari atau wajah, juga tidak dikirim ke situs sebagai bagian dari proses autentikasi; biometrik hanya membantu membuka akses ke kredensial di perangkat. Pada perangkat yang tidak memiliki sensor biometrik, PIN atau metode lain yang didukung dapat digunakan.
Passkey vs Password: Apa Bedanya?
| Aspek | Password | Passkey |
|---|---|---|
| Cara login | Mengetik kata sandi | Menyetujui login di perangkat atau pengelola kredensial |
| Risiko phishing | Kata sandi bisa dicuri di situs tiruan | Passkey terikat pada situs atau aplikasi yang benar |
| Data di server | Layanan menyimpan verifikasi kata sandi | Layanan menyimpan kunci publik, bukan kunci privat |
| Kemudahan penggunaan | Perlu mengingat atau mengelola kata sandi | Biasanya dapat menggunakan PIN atau biometrik perangkat |
| Pemulihan akun | Bergantung pada prosedur reset kata sandi | Bergantung pada sinkronisasi, perangkat lain, kunci keamanan, atau prosedur pemulihan layanan |
Passkey bukan jaminan bahwa sebuah akun kebal terhadap semua serangan. Penipu masih dapat menargetkan perangkat, akun pengelola kredensial, atau proses pemulihan akun. Layanan juga mungkin masih menyediakan kata sandi sebagai metode cadangan, sehingga keamanan akun tetap bergantung pada seluruh opsi login yang diaktifkan.
Manfaat Utama Passkey
- Lebih tahan terhadap phishing: passkey tidak dapat digunakan begitu saja pada domain tiruan yang berbeda.
- Mengurangi penggunaan ulang kata sandi: setiap layanan dapat memiliki kredensial tersendiri tanpa pengguna harus membuat dan mengingat kata sandi baru.
- Login lebih praktis: pengguna cukup menyetujui permintaan dengan mekanisme pembuka kunci perangkat yang sudah digunakan sehari-hari.
- Mengurangi dampak kebocoran server: kunci publik yang disimpan layanan tidak dapat digunakan sendirian untuk menyamar sebagai pengguna.
Cara Mulai Menggunakan Passkey
- Buka situs atau aplikasi resmi yang mendukung passkey dan masuk ke pengaturan keamanan akun.
- Cari opsi seperti “Passkeys”, “Kunci sandi”, atau “Masuk tanpa kata sandi”. Nama menu berbeda-beda menurut layanan.
- Pilih buat passkey, lalu ikuti instruksi sistem operasi atau pengelola kredensial. Verifikasi menggunakan PIN, sidik jari, wajah, atau metode yang didukung.
- Jika tersedia, siapkan passkey pada perangkat tepercaya lain atau pastikan sinkronisasi pengelola kredensial sudah aktif.
- Uji proses login sebelum menghapus metode lama. Periksa juga pilihan pemulihan akun dan simpan kode pemulihan jika layanan menyediakannya.
Jangan membuat passkey melalui tautan dari pesan yang mencurigakan. Buka situs resmi secara langsung, pastikan alamat domain benar, dan gunakan perangkat yang sudah diperbarui.
Apa yang Terjadi Jika Ponsel Hilang?
Jawabannya bergantung pada tempat passkey disimpan. Passkey yang tersinkronisasi melalui pengelola kredensial tepercaya mungkin dapat dipulihkan setelah pengguna mengakses akun pengelola tersebut pada perangkat baru. Passkey yang hanya terikat pada satu perangkat atau kunci keamanan fisik memerlukan perangkat tersebut atau metode pemulihan lain yang didukung layanan.
Karena itu, jangan hanya mengandalkan satu perangkat untuk akun penting. Pastikan alamat email pemulihan dan nomor kontak masih aktif, lindungi akun pengelola kredensial dengan autentikasi yang kuat, dan pelajari prosedur pemulihan sebelum terjadi kehilangan perangkat.
Apakah Passkey Perlu Menggantikan Semua Kata Sandi?
Jika layanan yang digunakan mendukung passkey, metode ini layak dipertimbangkan terutama untuk email utama, akun penyimpanan cloud, dan akun penting lain. Namun, lakukan perpindahan secara bertahap. Pastikan metode pemulihan tersedia dan pahami apakah layanan masih mengizinkan login menggunakan kata sandi. Untuk memahami perlindungan koneksi saat berselancar, baca juga panduan Nazuaf tentang cara kerja dan keamanan VPN; VPN dan passkey melindungi aspek yang berbeda, sehingga keduanya bukan pengganti satu sama lain.
Kesimpulan
Passkey menawarkan cara login yang praktis dan lebih tahan terhadap phishing dengan menggunakan kriptografi kunci publik, bukan kata sandi yang perlu diketik. Manfaatnya paling terasa ketika passkey digunakan bersama perangkat yang aman dan opsi pemulihan yang telah disiapkan. Sebelum mengaktifkannya pada akun penting, pastikan layanan mendukung passkey, periksa tempat penyimpanannya, dan siapkan cara mendapatkan kembali akses jika perangkat utama tidak lagi tersedia.
Kredit ilustrasi
Ilustrasi alur autentikasi WebAuthn: Trscavo dan VulcanSphere, melalui Wikimedia Commons, berlisensi Creative Commons Attribution-ShareAlike 4.0 (CC BY-SA 4.0).