Era Password Mulai Berakhir, Passkey Hadir sebagai Pengaman Akun yang Lebih Kuat

fin.co.id - Password selama bertahun-tahun menjadi pintu utama untuk mengakses email, media sosial, aplikasi belanja, layanan perbankan, hingga ruang kerja digital. Namun, cara masuk ini memiliki masalah mendasar: password harus diingat, diketik, dan sering kali digunakan ulang pada banyak akun. Kebiasaan tersebut membuat pengguna mudah menjadi sasaran pencurian data, phishing, credential stuffing, serta pembobolan akun setelah terjadi kebocoran basis data.

Kini, passkey mulai diperkenalkan sebagai cara login yang lebih modern. Pengguna tidak lagi perlu membuat kombinasi huruf, angka, dan simbol yang rumit. Sebagai gantinya, proses masuk akun dapat disetujui melalui sidik jari, pemindaian wajah, PIN, atau pola kunci yang telah digunakan untuk membuka perangkat.

Passkey bukan sekadar password yang dibuat lebih sederhana. Teknologi ini mengubah cara sistem membuktikan bahwa orang yang sedang masuk benar-benar pemilik akun.

Password Memiliki Titik Lemah yang Sulit Dihindari

Password bekerja dengan mengandalkan sebuah rahasia yang diketahui pengguna. Saat seseorang mengetik password pada sebuah situs, sistem akan memeriksa apakah informasi itu cocok dengan data akun yang tersimpan. Masalahnya, rahasia tersebut bisa dicuri atau diperoleh melalui berbagai cara.

Pelaku dapat membuat halaman login palsu yang sangat mirip dengan situs asli, lalu menipu pengguna agar memasukkan email dan password. Metode ini dikenal sebagai phishing. Password juga dapat bocor apabila pengguna memasukkannya ke perangkat yang terinfeksi malware atau memakai kombinasi yang sama pada layanan lain yang telah mengalami kebocoran data.

National Institute of Standards and Technology atau NIST menyatakan password tidak tahan terhadap phishing. NIST juga menjelaskan bahwa password tidak memiliki perlindungan kuat terhadap serangan pengulangan, karena nilai password yang sama dikirimkan setiap kali pengguna melakukan autentikasi.

Kondisi ini membuat password yang panjang sekalipun belum tentu sepenuhnya aman. Password kuat memang lebih sulit ditebak, tetapi tetap dapat dicuri jika pengguna menyerahkannya sendiri ke situs palsu.

Cara Kerja Passkey untuk Mengamankan Login

Passkey menggunakan sistem kriptografi kunci publik. Saat sebuah passkey dibuat, perangkat menghasilkan sepasang kunci digital yang saling berkaitan. Kunci privat tetap tersimpan dan dilindungi di perangkat atau ekosistem pengguna, sedangkan kunci publik diberikan kepada layanan tempat akun dibuat.

Ketika pengguna ingin masuk, situs atau aplikasi mengirimkan tantangan digital. Perangkat kemudian membuktikan kepemilikan passkey dengan tanda tangan kriptografis. Sistem dapat memverifikasi tanda tangan tersebut memakai kunci publik yang tersimpan di layanan, tanpa perlu mengetahui atau menerima kunci privat pengguna.

Artinya, tidak ada password yang diketik dan tidak ada rahasia login yang dapat disalin pelaku dari halaman palsu. FIDO Alliance menjelaskan bahwa passkey merupakan kredensial berbasis standar FIDO yang dapat disimpan pada ponsel, komputer, atau kunci keamanan perangkat keras. Pengguna menyetujui login memakai mekanisme yang sama seperti membuka perangkat, misalnya biometrik, PIN, atau pola.

Sidik jari dan wajah dalam proses ini bukanlah password yang dikirimkan ke situs. Keduanya berfungsi sebagai verifikasi lokal untuk mengizinkan perangkat memakai passkey yang tersimpan dengan aman.

Lebih Sulit Dipakai untuk Phishing

Keunggulan utama passkey terdapat pada kaitannya dengan alamat situs atau domain yang benar. Passkey yang dibuat untuk sebuah layanan tidak seharusnya dapat digunakan untuk membuktikan login di situs tiruan dengan nama domain lain.