Apa Itu Passkey dan Mengapa Mulai Menggantikan Password?

fin.co.id - Masuk ke akun digital selama ini identik dengan mengetik kombinasi nama pengguna dan password. Cara tersebut tampak sederhana, tetapi menyisakan persoalan lama: password dapat mudah ditebak, dipakai berulang pada banyak layanan, dicuri lewat kebocoran data, atau dimasukkan pengguna ke situs phishing yang meniru halaman asli.

Passkey hadir sebagai pendekatan baru untuk mengurangi masalah tersebut. Teknologi ini memungkinkan seseorang masuk ke website atau aplikasi dengan metode buka kunci perangkat, seperti sidik jari, pengenalan wajah, PIN, atau pola layar. Pengguna tidak perlu membuat dan menghafal password baru untuk setiap akun yang mendukungnya.

Apa Itu Passkey?

Passkey adalah kredensial digital yang dihubungkan dengan satu akun serta satu website atau aplikasi. Ketika layanan menyediakan opsi passkey, pengguna dapat membuatnya setelah lebih dahulu masuk memakai metode yang tersedia. Selanjutnya, saat akan login, sistem meminta pengguna memilih akun lalu mengonfirmasi identitas dengan pengunci layar perangkat.

Hal penting yang sering disalahpahami adalah sidik jari atau data wajah tidak dikirimkan ke website. Biometrik hanya dipakai secara lokal oleh perangkat untuk membuktikan bahwa orang yang sedang memegang perangkat memang berhak memakai passkey tersebut. Apabila sensor biometrik tidak dapat digunakan, proses autentikasi umumnya dapat dilanjutkan memakai PIN, pola, kode sandi perangkat, atau metode buka kunci yang tersedia.

Dengan demikian, passkey bukan sekadar password yang digantikan oleh sidik jari. Passkey adalah sistem autentikasi berbeda yang memanfaatkan keamanan perangkat untuk menyetujui proses masuk ke suatu layanan.

Cara Kerja Passkey Saat Login

Di balik proses yang singkat, passkey memakai kriptografi kunci publik. Ketika passkey dibuat, perangkat menghasilkan sepasang kunci yang saling berhubungan, yakni kunci privat dan kunci publik. Kunci privat tetap tersimpan secara aman di perangkat atau pengelola kredensial pengguna. Sementara itu, website atau aplikasi menyimpan kunci publik.

Saat pengguna ingin masuk, layanan mengirimkan tantangan digital. Perangkat kemudian memakai kunci privat untuk menandatangani respons setelah pengguna membuka kunci perangkat. Server memeriksa tanda tangan tersebut dengan kunci publik yang sudah tersimpan. Jika cocok, login disetujui.

Model ini berbeda dari password. Pada sistem password, pengguna memberikan rahasia yang harus dicocokkan oleh layanan. Pada passkey, layanan tidak menerima kunci privat pengguna. Server hanya memiliki kunci publik yang tidak dapat digunakan sendiri untuk masuk ke akun. Karena itu, kebocoran basis data layanan tidak serta-merta memberi pelaku data rahasia yang dapat dipakai untuk meniru login pengguna.

Mengapa Passkey Lebih Sulit Dipakai untuk Phishing?

Phishing bekerja dengan memancing korban mengetik password, kode OTP, atau data pribadi pada halaman palsu. Password dapat dicuri karena pengguna sendiri memasukkannya ke situs yang keliru. Passkey dirancang dengan perlindungan berbeda: kredensial ini terikat pada identitas website atau aplikasi yang sah.

Browser dan sistem operasi akan memeriksa kecocokan layanan yang meminta passkey. Passkey yang dibuat untuk sebuah domain tidak semestinya dapat dipakai pada situs tiruan yang alamatnya berbeda. Itulah sebabnya passkey disebut lebih tahan terhadap phishing, bukan karena pengguna harus lebih teliti, melainkan karena perangkat ikut memverifikasi konteks login.

Namun, perlindungan ini bukan alasan untuk mengabaikan keamanan lain. Pengguna tetap perlu menjaga PIN perangkat, tidak memberikan kode pemulihan kepada siapa pun, serta waspada terhadap rekayasa sosial. Penipu masih dapat mencoba membujuk korban agar menyetujui tindakan tertentu atau mengambil alih akun melalui jalur pemulihan yang lemah.

Keuntungan Passkey bagi Pengguna