Selama bertahun-tahun, password menjadi bagian penting dari aktivitas digital. Mulai dari membuka email, masuk ke media sosial, mengakses layanan perbankan, hingga mengelola website, hampir semua layanan membutuhkan kombinasi username dan kata sandi.
Namun, metode ini memiliki sejumlah kelemahan. Pengguna sering memakai password yang sama di beberapa layanan, memilih kombinasi yang mudah ditebak, atau menyimpan kata sandi di tempat yang kurang aman. Di sisi lain, serangan phishing terus memanfaatkan kelengahan pengguna untuk mencuri informasi login.
Situasi tersebut mendorong munculnya metode autentikasi yang lebih praktis, salah satunya adalah passkeys.
Teknologi ini memungkinkan pengguna masuk ke akun tanpa harus mengetik password. Sebagai gantinya, proses autentikasi dapat menggunakan sidik jari, pemindaian wajah, PIN perangkat, atau metode pembukaan kunci lain yang didukung perangkat.
Bagi pengguna, proses login terasa lebih sederhana. Bagi pengembang software, passkeys membuka peluang untuk membangun sistem autentikasi yang lebih tahan terhadap sejumlah serangan berbasis pencurian kredensial.
Apa Itu Passkeys dan Bagaimana Cara Kerjanya?
Passkeys merupakan metode autentikasi berbasis kriptografi kunci publik. Teknologi ini dikembangkan melalui standar Web Authentication atau WebAuthn dan ekosistem FIDO.
Ketika pengguna mendaftarkan passkey pada suatu layanan, sistem membuat sepasang kunci kriptografi. Kunci publik disimpan oleh layanan, sedangkan kunci privat tetap berada di perangkat atau pengelola kredensial yang digunakan.
Saat pengguna mencoba login, layanan mengirimkan tantangan kriptografi yang harus ditandatangani menggunakan kunci privat. Perangkat kemudian meminta pengguna melakukan verifikasi, misalnya melalui sidik jari, wajah, atau PIN.
Layanan memeriksa tanda tangan tersebut menggunakan kunci publik yang tersimpan sebelumnya. Jika valid, pengguna dapat masuk ke akun tanpa perlu mengirimkan password.
Hal yang penting untuk dipahami, sidik jari atau wajah bukanlah password yang dikirimkan ke website. Data biometrik digunakan secara lokal untuk mengizinkan penggunaan kunci autentikasi.
Pendekatan ini membuat passkeys berbeda dari sistem login tradisional yang mengandalkan kombinasi username dan password.
Mengapa Passkeys Dianggap Lebih Aman?
Salah satu keunggulan passkeys adalah ketahanannya terhadap phishing. Passkey terikat pada identitas layanan tempat passkey tersebut didaftarkan. Karena itu, halaman login palsu pada domain berbeda tidak dapat begitu saja menggunakan passkey tersebut untuk mengautentikasi pengguna ke layanan aslinya.
Passkeys juga mengurangi risiko yang muncul ketika password digunakan berulang kali. Jika sebuah website mengalami kebocoran database password, penyerang tidak otomatis memperoleh kunci privat yang dibutuhkan untuk menggunakan passkey milik pengguna.
Selain itu, pengguna tidak perlu mengingat banyak kata sandi yang rumit. Proses autentikasi dapat dilakukan melalui mekanisme yang sudah tersedia di perangkat sehari-hari.
Meski demikian, passkeys bukan berarti semua risiko keamanan langsung hilang. Pengambilalihan akun, perangkat yang sudah dikompromikan, rekayasa sosial, dan proses pemulihan akun yang lemah tetap dapat menjadi celah.
Keamanan tetap bergantung pada keseluruhan sistem, bukan hanya metode login yang digunakan.
Apa Keuntungan Passkeys bagi Developer?
Bagi developer, penerapan passkeys bukan sekadar mengikuti tren teknologi. Metode ini dapat menjadi bagian dari strategi untuk meningkatkan keamanan autentikasi sekaligus memperbaiki pengalaman pengguna.
Sistem login berbasis passkeys dapat mengurangi ketergantungan pada pengelolaan password, termasuk proses reset kata sandi yang sering menambah beban dukungan teknis.
Namun, implementasinya membutuhkan perencanaan yang matang. Developer perlu mempertimbangkan dukungan browser dan perangkat, pengelolaan kredensial, proses pendaftaran, serta mekanisme pemulihan akun ketika pengguna kehilangan akses ke perangkatnya.
Untuk aplikasi web, WebAuthn menyediakan antarmuka standar yang dapat digunakan untuk membangun autentikasi berbasis kunci publik. Developer juga perlu memastikan bahwa proses autentikasi dilakukan melalui koneksi yang aman dan bahwa validasi tantangan, origin, serta informasi kredensial diterapkan dengan benar.
Passkeys sebaiknya tidak dipasang sebagai fitur tambahan tanpa mengevaluasi keseluruhan alur keamanan aplikasi. Proses pemulihan akun, misalnya, harus sama kuatnya dengan proses login agar tidak menjadi jalan pintas bagi penyerang.
Apakah Passkeys Sudah Bisa Digunakan di Semua Layanan?
Belum tentu. Dukungan passkeys bergantung pada layanan, browser, sistem operasi, serta pengelola kredensial yang digunakan.
Sebagian layanan memungkinkan passkey disinkronkan melalui ekosistem perangkat tertentu. Ada pula yang mendukung penggunaan perangkat lain untuk melakukan autentikasi. Namun, pengalaman pengguna dapat berbeda sesuai konfigurasi dan kompatibilitas masing-masing sistem.
Karena itu, password masih dapat ditemukan sebagai metode login utama maupun alternatif di banyak platform. Dalam masa transisi, sejumlah layanan menggabungkan passkeys dengan metode autentikasi lainnya.
Bagi pengguna, langkah paling sederhana adalah memeriksa pengaturan keamanan akun untuk mengetahui apakah opsi passkeys sudah tersedia. Jika tersedia, pastikan akun memiliki metode pemulihan yang aman sebelum mengaktifkannya.
Sementara itu, developer sebaiknya menguji implementasi pada berbagai perangkat dan menyediakan alur alternatif yang tidak mudah dieksploitasi.
Apakah Password Akan Benar-Benar Hilang?
Perubahan menuju autentikasi tanpa password kemungkinan berlangsung secara bertahap. Infrastruktur lama, kebutuhan kompatibilitas, kebiasaan pengguna, dan proses pemulihan akun membuat peralihan menyeluruh tidak dapat terjadi dalam waktu singkat.
Namun, passkeys menunjukkan arah perkembangan sistem autentikasi modern: mengurangi ketergantungan pada rahasia yang harus diingat pengguna dan menggantinya dengan mekanisme kriptografi yang lebih sesuai untuk menghadapi ancaman digital saat ini.
Bagi pengguna, teknologi ini menawarkan pengalaman login yang lebih praktis tanpa harus mengorbankan keamanan. Bagi developer, passkeys menjadi salah satu pilihan yang layak dipertimbangkan ketika merancang sistem autentikasi baru atau memperbarui aplikasi yang sudah berjalan.
Pada akhirnya, masa depan login bukan hanya tentang menghilangkan password, melainkan membangun sistem yang aman, mudah digunakan, dan memiliki mekanisme pemulihan yang dapat diandalkan.
