Banyak orang masih memakai password yang sama di beberapa akun karena sulit mengingat semuanya. Masalahnya, satu password yang bocor dapat menjadi jalan masuk ke email, media sosial, penyimpanan cloud, bahkan layanan keuangan.
Passkey menawarkan cara login yang berbeda. Alih-alih mengetik password, kita cukup membuka kunci perangkat dengan sidik jari, pemindaian wajah, PIN, pola, atau metode keamanan lain yang tersedia. Teknologi ini mulai muncul di berbagai layanan besar, tetapi masih sering disalahpahami sebagai sekadar nama baru untuk password.
Apa sebenarnya passkey?
Passkey adalah kredensial login berbasis standar FIDO yang dibuat khusus untuk akun tertentu. Saat mendaftarkan passkey, perangkat membuat pasangan kunci kriptografi: satu bagian disimpan oleh layanan, sementara bagian rahasianya tetap berada di perangkat atau pengelola password yang dipilih.
Ketika login, situs tidak meminta kita mengirimkan password. Perangkat hanya membuktikan bahwa kita memiliki kunci yang benar setelah perangkat berhasil dibuka. FIDO Alliance menjelaskan bahwa passkey dirancang untuk menggantikan password dan menggunakan metode pembukaan perangkat seperti biometrik, PIN, atau pola.
Dalam praktik sehari-hari, prosesnya terasa sederhana: buka halaman login, pilih opsi passkey, lalu konfirmasi dengan sidik jari atau PIN. Tidak ada password panjang yang harus diketik atau disalin ke catatan.
Mengapa passkey lebih sulit dipancing lewat phishing?
Phishing bekerja dengan membuat korban memasukkan username, password, atau kode verifikasi ke situs palsu. Data itu kemudian dapat dipakai penipu untuk masuk ke situs asli.
Passkey tidak bekerja seperti rahasia yang bisa dibaca lalu diketik ulang. Kredensialnya terikat pada situs atau aplikasi yang benar. Karena itu, ketika kita membuka halaman palsu dengan alamat berbeda, perangkat tidak seharusnya memberikan bukti login untuk situs asli.
Google menyebut passkey sebagai metode yang lebih tahan terhadap phishing karena tidak dapat dibagikan, disalin, atau ditulis seperti password biasa. CISA juga memasukkan autentikasi berbasis FIDO sebagai bentuk autentikasi yang tahan phishing dan merekomendasikan pengguna memakainya jika tersedia.
Namun, “lebih tahan phishing” bukan berarti akun menjadi kebal terhadap semua serangan. Penipu masih dapat membajak email pemulihan, mengambil alih perangkat, menipu korban agar memasang aplikasi berbahaya, atau memanfaatkan akun yang sudah telanjur login di perangkat orang lain.
Passkey bukan berarti biometrik dikirim ke perusahaan
Salah satu kekhawatiran yang sering muncul adalah soal sidik jari dan wajah. Pada penggunaan normal, data biometrik dipakai di perangkat untuk memastikan bahwa orang yang mencoba login adalah pemilik perangkat. Data tersebut tidak perlu dikirim ke situs tempat kita login.
Apple, misalnya, menjelaskan bahwa passkey disimpan secara terenkripsi di iCloud Keychain dan tidak dapat dilihat oleh Apple. Pada perangkat lain, passkey dapat dikelola oleh pengelola password yang mendukung standar tersebut.
Meski begitu, keamanan tetap bergantung pada kunci layar. Jika PIN perangkat mudah ditebak, atau seseorang mengetahui PIN tersebut, orang itu berpotensi membuka perangkat dan memakai akun yang sudah terhubung. Karena itu, passkey sebaiknya dipandang sebagai bagian dari sistem keamanan perangkat, bukan pengganti semua kebiasaan keamanan.
Bagaimana cara mulai menggunakan passkey?
- Mulai dari akun penting. Dahulukan email utama, akun Google atau Apple, media sosial yang sering dipakai, dan layanan yang menyimpan dokumen pribadi.
- Perbarui sistem operasi dan browser. Dukungan passkey bergantung pada perangkat, browser, dan layanan. Google mencantumkan dukungan pada perangkat modern seperti Android 9 ke atas, iOS 16 ke atas, macOS Ventura, Windows 10, serta browser versi tertentu.
- Periksa pengaturan keamanan akun. Cari menu seperti “Passkeys”, “Kunci sandi”, “Login tanpa password”, atau “Security”. Letaknya berbeda-beda di setiap layanan.
- Buat passkey hanya di perangkat pribadi. Jangan menyimpan passkey pada komputer umum, perangkat pinjaman, atau perangkat milik orang lain.
- Siapkan metode pemulihan. Pastikan email pemulihan, nomor telepon, kode cadangan, atau kunci keamanan masih dapat digunakan sebelum menghapus metode login lama.
Pada akun Google, passkey dapat dibuat dari halaman pengaturan metode login. Google juga mengingatkan bahwa passkey sebaiknya hanya dibuat pada perangkat yang benar-benar dimiliki dan digunakan sendiri. Pada iPhone, passkey biasanya tersimpan melalui iCloud Keychain jika fitur tersebut aktif.
Apakah password harus langsung dihapus?
Tidak selalu. Dukungan passkey belum seragam di semua aplikasi dan situs. Sebagian layanan masih memerlukan password untuk pemulihan, perubahan pengaturan penting, atau login dari perangkat yang belum dikenali.
Untuk sementara, simpan password yang masih diperlukan di pengelola password tepercaya, bukan di aplikasi catatan biasa atau percakapan pribadi. Gunakan password yang berbeda untuk setiap akun, lalu aktifkan autentikasi tambahan jika tersedia.
Perlu diingat juga bahwa passkey yang tersinkronisasi melalui akun cloud memiliki konsekuensi tersendiri. Jika akun utama pengelola password atau cloud bermasalah, proses pemulihan harus disiapkan dengan serius. Membuat passkey di lebih dari satu perangkat pribadi bisa membantu, selama setiap perangkat dilindungi dengan kunci layar yang kuat.
Kesalahan yang perlu dihindari
- Menganggap passkey sebagai alasan untuk mengabaikan pembaruan perangkat. Sistem operasi dan browser yang usang dapat menimbulkan masalah kompatibilitas dan keamanan.
- Menyimpan passkey di perangkat bersama. Siapa pun yang dapat membuka perangkat tersebut mungkin dapat mengakses akun yang terhubung.
- Menghapus semua metode pemulihan terlalu cepat. Pastikan kita masih memiliki jalan masuk jika ponsel hilang atau rusak.
- Mengabaikan perangkat yang hilang. Jika ponsel atau laptop hilang, segera buka pengaturan akun dari perangkat lain dan hapus passkey yang tersimpan pada perangkat tersebut.
- Mengklik tautan login dari pesan mencurigakan. Walaupun passkey lebih tahan phishing, kebiasaan mengunjungi situs palsu tetap bisa membuat kita tertipu dalam proses lain, seperti pemulihan akun atau pemasangan aplikasi.
Apa artinya bagi kita?
Passkey bukan solusi ajaib, tetapi ia mengurangi satu sumber masalah terbesar dalam keamanan akun: password yang dicuri atau dipakai ulang. Bagi pengguna awam, manfaat terbesarnya adalah login menjadi lebih sederhana tanpa harus menghafal banyak kombinasi. Bagi pengguna teknis, passkey menawarkan fondasi autentikasi yang lebih kuat karena proses pembuktian identitas tidak bergantung pada rahasia yang diketik ke halaman web.
Langkah paling masuk akal adalah mencobanya pada satu akun penting terlebih dahulu. Pastikan perangkat memiliki kunci layar yang kuat, metode pemulihan sudah diperiksa, dan passkey hanya dibuat pada perangkat pribadi. Setelah memahami alurnya, barulah pindahkan akun lain secara bertahap.
Perubahan kecil ini tidak menghapus kebutuhan untuk waspada. Kita tetap harus menjaga perangkat, memperbarui aplikasi, memeriksa alamat situs, dan tidak memberikan kode atau akses kepada siapa pun. Passkey membantu memperkuat pertahanan, tetapi keamanan akun tetap merupakan gabungan antara teknologi dan kebiasaan sehari-hari.
Sumber & bacaan lebih lanjut
- FIDO Alliance — Passkeys
- Google Account Help — Sign in with a passkey instead of a password
- CISA — Mobile Communications Best Practice Guidance
- Apple Support — Use passkeys to sign in to websites and apps on iPhone
– Rio Yotto @rioyotto