Setiap kali kita mendaftar ke sebuah layanan, kita dihadapkan pada pilihan yang sama: buat password baru. Kita dipaksa menghafal kombinasi huruf, angka, dan simbol yang semakin panjang dan rumit. Sebagian kita menggunakan password manager, sebagian lain memilih password yang sama untuk semua akun. Kedua pendekatan itu masing-masing punya risiko. Password yang sama bisa bocor dalam satu layanan dan digunakan untuk mengakses akun lain. Password manager lebih aman, tetapi membutuhkan kebiasaan dan biaya.
Passkey adalah alternatif yang dirancang untuk menggantikan password sepenuhnya. Ia tidak lagi membutuhkan kita menghafal apapun, karena kunci akses disimpan secara lokal di perangkat kita. Alih-alih mengetik, kita menggunakan biometrik—sidik jari, wajah, atau PIN—untuk mengonfirmasi identitas. Dengan begitu, bahkan jika layanan yang kita gunakan mengalami kebocoran data, akun kita tetap aman.
Apa Itu Passkey dan Bagaimana Ia Berbeda dari Password?
Secara teknis, passkey adalah sepasang kunci: kunci publik yang disimpan oleh layanan, dan kunci pribadi yang disimpan di perangkat kita. Kunci publik tidak berguna tanpa kunci pribadi, dan kunci pribadi tidak pernah dikirim ke server. Saat kita ingin login, layanan mengirimkan tantangan yang hanya bisa dibuka oleh kunci pribadi kita. Setelah terverifikasi, sesi dibuka.
Perbedaan utama dengan password adalah tidak ada kata sandi yang bisa dicuri. Bahkan jika server layanan disusupi, penyerang hanya mendapatkan kunci publik yang tidak berarti tanpa kunci pribadi. Selain itu, passkey dilindungi oleh perangkat itu sendiri. Misalnya, di iPhone atau Android, kunci pribadi disimpan dalam area aman (secure enclave) yang terisolasi dari sistem operasi.
Keuntungan Nyata untuk Pengguna Awam
Passkey menghilangkan kerumitan yang selama ini dihadapi oleh kebanyakan orang. Tidak perlu lagi khawatir lupa password, tidak perlu reset berulang-ulang, dan tidak perlu mencatat password di catatan atau kertas. Cukup sentuh sidik jari atau wajah, dan kita sudah masuk.
Keuntungan lainnya adalah ketahanan terhadap serangan phishing. Karena passkey terikat pada domain tertentu, ia tidak akan berfungsi di situs penipuan yang meniru tampilan asli. Jadi, jika kita menerima email berisikan link ke situs bank yang terlihat asli, passkey tidak akan mengizinkan kita login di sana.
Keterbatasan yang Perlu Dipahami
Meski menjanjikan, passkey masih memiliki keterbatasan. Tidak semua layanan mendukungnya, dan tidak semua perangkat mendukung sinkronisasi antar perangkat. Jika kita menggunakan passkey di ponsel, kita mungkin perlu membuat passkey baru di laptop.
Yang lebih penting, passkey membutuhkan perangkat yang masih dalam garansi dukungan. Perangkat lama mungkin tidak mampu menjalankan fitur keamanan yang diperlukan. Jadi, kita perlu mempertimbangkan umur perangkat ketika beralih ke passkey.
Yang Bisa Dilakukan Sekarang
Jika kita ingin mulai bereksperimen, kita bisa memeriksa apakah layanan yang kita gunakan sudah mendukung passkey. Banyak layanan besar seperti Google, Apple, dan Microsoft sudah mengaktifkannya. Caranya, buka pengaturan keamanan akun dan cari opsi "Passkey" atau "Kunci Akses".
Saat membuat passkey, kita akan diminta untuk mengonfirmasi identitas melalui biometrik atau PIN. Pastikan kita menggunakan metode yang aman dan tidak mudah ditebak oleh orang lain. Jika kita menggunakan perangkat baru, buat passkey baru di setiap perangkat yang kita gunakan secara teratur.
Yang tidak boleh dilakukan adalah mencoba membagi kunci pribadi ke perangkat lain melalui email atau pesan teks. Kunci pribadi harus tetap berada di perangkat kita, dan sinkronisasi aman hanya dilakukan melalui layanan cloud yang terenkripsi.
Apa Artinya bagi Kita?
Passkey adalah langkah menuju internet yang lebih aman tanpa memerlukan keahlian teknis. Ia menggabarkan keamanan dengan kenyamanan, sesuatu yang selama ini dianggap mustahil. Dengan passkey, kita bisa fokus pada apa yang kita lakukan di internet, bukan pada mengelola kata sandi.
Tetapi kita perlu ingat, passkey bukanlah solusi ajaib. Ia tidak melindungi kita dari semua ancaman, dan kita masih perlu berhati-hati terhadap penipuan dan phishing. Yang dilakukan passkey adalah menghilangkan satu titik lemah yang paling umum: kata sandi yang lemah atau bocor.
Jika kita sudah merasa lelah mengelola password, passkey mungkin adalah waktu yang tepat untuk mencobanya. Coba satu akun dulu, dan lihat bagaimana rasanya login tanpa perlu mengetik apapun.
– Rio Yotto @rioyotto