Password sering menjadi titik lemah sebuah akun. Kita bisa memakai password yang sama di beberapa layanan, memasukkannya ke situs palsu, atau membuatnya terlalu sederhana agar mudah diingat. Passkey hadir untuk mengurangi masalah tersebut, tetapi bukan berarti kita bisa berhenti memperhatikan keamanan akun.
Secara sederhana, passkey adalah kredensial login yang menggunakan perangkat dan kunci kriptografi, bukan rangkaian karakter yang perlu diketik. Saat masuk ke sebuah layanan, kita biasanya cukup membuka kunci ponsel atau komputer dengan PIN, sidik jari, atau pemindai wajah.
Teknologi ini mulai tersedia di banyak akun populer, termasuk layanan email, pengelola password, dan platform kerja. Yang penting, kita memahami apa yang dilindungi passkey, apa yang belum, dan bagaimana menyiapkannya tanpa membuat diri sendiri terkunci dari akun.
Mengapa passkey lebih sulit dipancing?
Phishing bekerja dengan cara membuat kita menyerahkan informasi login ke tempat yang salah. Misalnya, kita menerima pesan yang mengaku berasal dari bank, membuka tautan, lalu memasukkan email dan password pada halaman tiruan.
Passkey tidak bekerja seperti password yang bisa disalin dan diketik ulang di situs mana pun. Perangkat akan memeriksa identitas situs sebelum memberikan bukti login. Karena itu, passkey dirancang agar tahan terhadap phishing pada situs palsu.
Menurut CISA, autentikasi berbasis FIDO atau WebAuthn merupakan bentuk autentikasi tahan phishing yang tersedia secara luas. Passkey dibangun di atas standar tersebut. Artinya, perlindungan utamanya bukan karena passkey terdengar modern, melainkan karena proses login mengikat kredensial pada situs yang benar.
Passkey bukan foto sidik jari yang dikirim ke server
Salah satu kekhawatiran umum adalah apakah sidik jari atau wajah kita dikirim ke perusahaan saat memakai passkey. Dalam penggunaan normal, data biometrik dipakai secara lokal untuk membuka kunci perangkat. Layanan online menerima bukti kriptografis bahwa perangkat telah mengizinkan login, bukan gambar sidik jari atau wajah kita.
Google menjelaskan bahwa data biometrik untuk membuka passkey tetap berada di perangkat. Meski demikian, detail penyimpanan bisa berbeda tergantung sistem operasi, browser, dan penyedia pengelola passkey.
Di sinilah pentingnya membedakan passkey dari password. Password adalah rahasia yang biasanya dikirim untuk diverifikasi oleh layanan. Passkey memakai pasangan kunci kriptografi: satu bagian disimpan oleh layanan, sementara bagian penting lainnya berada di perangkat atau pengelola kredensial.
Apa yang tetap bisa menjadi masalah?
Passkey mengurangi risiko pencurian password, tetapi tidak menghapus semua risiko keamanan. Jika seseorang bisa membuka ponsel atau komputer kita, ia mungkin dapat memakai akun yang sudah tersimpan di perangkat tersebut. Karena itu, PIN layar dan kunci perangkat tetap penting.
Masalah lain adalah pemulihan akun. Saat perangkat hilang, rusak, atau berganti, kita membutuhkan cara untuk masuk kembali. Beberapa layanan dapat menyinkronkan passkey melalui akun pengelola kredensial, sementara layanan lain mungkin meminta metode pemulihan tambahan.
Jangan menganggap email pemulihan, nomor telepon, atau metode login cadangan sebagai bagian yang tidak penting. Jika jalur tersebut lemah, penyerang bisa mencoba mengambil alih akun melalui jalur pemulihan meskipun login utamanya sudah memakai passkey.
Cara mulai memakai passkey
- Amankan perangkat terlebih dahulu. Gunakan PIN atau password layar yang tidak mudah ditebak. Hindari PIN seperti tanggal lahir atau angka berulang.
- Mulai dari akun paling penting. Prioritaskan email utama, akun penyimpanan cloud, akun keuangan, dan akun yang menjadi pusat pemulihan layanan lain.
- Masuk dari aplikasi atau situs resmi. Jangan membuat passkey melalui tautan yang dikirim lewat pesan mendadak. Buka aplikasi atau ketik alamat situs secara manual.
- Cari menu keamanan akun. Biasanya pilihan ini berada di bagian Security, Login, Sign-in options, atau Passkeys.
- Periksa perangkat yang terdaftar. Setelah membuat passkey, lihat daftar perangkat atau sesi aktif. Hapus perangkat lama yang sudah tidak digunakan.
- Siapkan setidaknya satu cara pemulihan. Pastikan email pemulihan masih bisa diakses dan nomor telepon tidak lagi terhubung ke perangkat yang hilang.
Jangan buru-buru mematikan semua metode lain
Setelah membuat passkey, sebagian orang langsung ingin menghapus password, kode SMS, dan semua metode pemulihan. Langkah tersebut tidak selalu tepat. Setiap layanan memiliki aturan berbeda, dan menghapus semua jalur cadangan bisa membuat kita kehilangan akses saat perangkat bermasalah.
Mulailah dengan menambahkan passkey, lalu menguji proses login dan pemulihan. Jika layanan menyediakan beberapa passkey, pertimbangkan mendaftarkan perangkat cadangan yang memang kita kendalikan. Jangan membuat passkey di perangkat milik teman, komputer umum, atau perangkat kantor yang akan segera dikembalikan.
Untuk akun yang masih membutuhkan autentikasi multifaktor, gunakan aplikasi autentikator atau kunci keamanan fisik bila tersedia. Kode SMS masih lebih baik daripada tidak ada perlindungan tambahan, tetapi perlindungannya lebih lemah dibanding metode yang tahan phishing. CISA juga mendorong penggunaan autentikasi tahan phishing dan pengurangan ketergantungan pada SMS bila memungkinkan.
Checklist lima menit hari ini
- Perbarui sistem operasi dan browser pada ponsel serta komputer.
- Aktifkan kunci layar dengan PIN atau password yang kuat.
- Buka pengaturan keamanan email utama dan cek apakah passkey tersedia.
- Hapus perangkat lama dari daftar sesi aktif.
- Periksa email dan nomor pemulihan.
- Simpan informasi pemulihan di tempat yang aman, bukan di catatan publik atau chat yang mudah diteruskan.
Passkey paling berguna jika dipahami sebagai salah satu lapisan keamanan, bukan tombol ajaib. Ia membuat password lebih sulit dicuri melalui phishing, tetapi perangkat, jalur pemulihan, dan kewaspadaan saat membuka tautan tetap berada di tangan kita.
Sumber & bacaan lebih lanjut
- More than a Password — CISA
- Sign in with a passkey instead of a password — Google Account Help
- FIDO Passkeys: Passwordless Authentication — FIDO Alliance
– Rio Yotto @rioyotto