Password sering menjadi titik lemah yang paling merepotkan dalam keamanan akun. Kita diminta membuat kombinasi panjang, tidak mengulang kata sandi, lalu tetap harus waspada terhadap situs palsu dan kebocoran data. Passkey menawarkan pendekatan berbeda: bukan mengingat rahasia, melainkan membuktikan bahwa kita memegang perangkat yang sudah dipercaya.
Di banyak layanan modern, passkey bisa dipakai untuk masuk hanya dengan sidik jari, pemindaian wajah, atau PIN pembuka layar. Prosesnya terasa seperti membuka HP, tetapi di belakang layar bekerja sistem kriptografi yang dirancang agar kredensial login tidak mudah dicuri melalui phishing.
Apa sebenarnya passkey?
Passkey adalah kredensial login berbasis standar FIDO yang menggunakan sepasang kunci kriptografi. Satu bagian disimpan pada perangkat atau pengelola password, sedangkan bagian lainnya digunakan oleh layanan untuk mengenali akun.
Perbedaan pentingnya ada pada apa yang tidak terjadi. Saat login, pengguna tidak mengetik password yang bisa disalin atau dikirim ke situs palsu. Sidik jari, wajah, atau PIN dipakai untuk membuka akses ke passkey di perangkat. Data biometrik itu sendiri tetap berada di perangkat dan tidak dikirim ke layanan seperti Google.
Analogi sederhananya seperti kunci rumah. Website memiliki mekanisme untuk memeriksa kunci yang benar, tetapi tidak menyimpan salinan kunci pribadi yang bisa langsung dipakai penyerang. Karena passkey terikat pada layanan dan proses login yang sah, trik mengarahkan korban ke halaman login palsu menjadi jauh lebih sulit dilakukan.
Mengapa passkey lebih tahan terhadap phishing?
Dalam serangan phishing biasa, korban diarahkan ke halaman yang tampak seperti layanan asli. Jika korban mengetik username dan password, informasi itu bisa langsung dicuri. Kode OTP pun dapat diminta oleh penipu melalui halaman palsu atau percakapan yang meyakinkan.
Passkey bekerja dengan cara berbeda. Perangkat memeriksa identitas website sebelum menghasilkan bukti login. Karena itu, passkey tidak dirancang untuk bekerja begitu saja di domain palsu. Penyerang mungkin masih bisa menipu seseorang agar mengklik tautan, tetapi mereka tidak mudah mendapatkan kredensial yang dapat dipakai ulang.
Ini bukan berarti semua risiko hilang. Jika seseorang berhasil membuka HP Anda, memiliki akses ke akun pengelola passkey, atau membujuk Anda memasang passkey pada perangkat milik orang lain, masalah baru bisa muncul. Keamanan passkey tetap bergantung pada keamanan perangkat dan akun utama yang menyimpan atau menyinkronkannya.
Manfaat praktis yang terasa sehari-hari
- Login lebih cepat. Tidak perlu mengetik password panjang atau mencari kode OTP di aplikasi pesan.
- Mengurangi kebiasaan memakai password yang sama. Jika suatu layanan mengalami kebocoran, password yang sama tidak otomatis membuka akun lain.
- Lebih sulit dicuri melalui screenshot atau catatan. Tidak ada kombinasi password yang perlu ditulis atau dikirim kepada orang lain.
- Bisa digunakan lintas perangkat. Passkey tertentu dapat disinkronkan melalui pengelola password, sehingga bisa dipakai saat berpindah dari satu HP ke perangkat lain.
- Mengurangi gangguan saat login. Bagi pengguna yang sering lupa password, proses dengan kunci layar biasanya lebih mudah dipahami.
Bagian yang perlu dipahami sebelum mengaktifkannya
Passkey bukan tombol ajaib yang otomatis menyelesaikan semua persoalan keamanan. Pertama, tidak semua aplikasi dan website sudah mendukungnya. Karena itu, password atau metode pemulihan mungkin tetap diperlukan.
Kedua, passkey harus dibuat hanya pada perangkat pribadi yang benar-benar Anda kendalikan. Jangan mendaftarkannya pada komputer kantor bersama, HP pinjaman, atau perangkat keluarga yang bisa dibuka banyak orang. Pada beberapa layanan, siapa pun yang dapat membuka perangkat tersebut berpotensi memakai passkey untuk masuk.
Ketiga, rencana pemulihan tetap penting. Jika HP hilang, rusak, atau diganti, Anda perlu memiliki perangkat lain yang sudah dipercaya, pengelola passkey yang bisa dipulihkan, atau metode recovery resmi. Jangan menghapus satu-satunya perangkat lama sebelum memastikan passkey sudah tersedia di perangkat baru.
Ada juga perbedaan antara synced passkey dan device-bound passkey. Synced passkey dapat dicadangkan dan digunakan di beberapa perangkat melalui pengelola tertentu. Device-bound passkey tetap melekat pada satu perangkat, sehingga biasanya memberikan kontrol lebih ketat, tetapi proses pemulihannya bisa lebih merepotkan.
Yang bisa dilakukan sekarang
- Perbarui sistem operasi dan browser. Dukungan passkey bergantung pada perangkat lunak yang digunakan. Android, iPhone, Windows, macOS, dan browser modern umumnya sudah menyediakan dukungan, tetapi versi lama bisa memiliki keterbatasan.
- Periksa pengelola password. Pastikan Anda tahu passkey akan disimpan di mana, misalnya pengelola bawaan perangkat atau layanan password manager yang Anda gunakan.
- Mulai dari akun yang paling penting. Email utama, akun penyimpanan cloud, dan layanan keuangan lebih layak diprioritaskan daripada membuat passkey di semua layanan sekaligus.
- Tambahkan metode pemulihan. Pastikan nomor pemulihan, email cadangan, atau perangkat cadangan masih bisa diakses. Simpan juga kode pemulihan di tempat yang aman jika layanan menyediakannya.
- Uji login dari perangkat lain. Jangan menunggu sampai HP rusak untuk mengetahui bahwa passkey Anda tidak tersinkron atau tidak bisa dipulihkan.
- Hapus passkey yang tidak lagi digunakan. Jika perangkat hilang atau dijual, buka pengaturan keamanan akun dan cabut passkey dari perangkat tersebut.
Apakah password akan segera hilang?
Belum tentu. Passkey sedang berkembang, tetapi dukungan tiap layanan masih berbeda. Sebagian website menawarkan passkey sebagai pilihan tambahan, sementara yang lain memungkinkan login tanpa password setelah passkey dibuat.
Untuk pengguna, pendekatan paling masuk akal adalah menganggap passkey sebagai lapisan login yang lebih kuat, bukan alasan untuk mengabaikan keamanan dasar. Kunci layar HP tetap harus kuat, sistem operasi harus diperbarui, dan akun email utama perlu memiliki jalur pemulihan yang jelas.
Jika digunakan dengan benar, passkey mengubah kebiasaan keamanan dari “mengingat rahasia” menjadi “melindungi perangkat yang memegang kredensial”. Perubahan itu mungkin terdengar kecil, tetapi dapat mengurangi salah satu masalah terbesar dalam keamanan digital: password yang mudah ditebak, dipakai ulang, atau diberikan tanpa sadar kepada penipu.
Sumber & bacaan lebih lanjut
- FIDO Alliance: Passkeys
- Google Account Help: Sign in with a passkey instead of a password
- Android Help: Sign-in to your applications and websites with passkeys
- Google Password Manager Help
– Rio Yotto @rioyotto