Apa Benar Passkey Lebih Aman dari Password? Let's Find Out

fin.co.id - Password telah digunakan selama puluhan tahun sebagai pelindung utama akun digital. Namun, sistem ini semakin kewalahan menghadapi kebocoran data, phishing, program pencuri informasi, dan kebiasaan pengguna memakai kata sandi yang sama pada banyak layanan. Sebagai penggantinya, perusahaan teknologi mulai memperkenalkan passkey.

Passkey memungkinkan pengguna masuk ke akun dengan sidik jari, pemindaian wajah, PIN, atau metode pembukaan kunci perangkat. Pengguna tidak perlu mengetikkan rangkaian kata sandi yang rumit. Google, Apple, Microsoft, serta berbagai layanan keuangan dan perdagangan elektronik telah mendukung sistem tersebut.

Lantas, apa benar passkey lebih aman dari password? Jawaban singkatnya adalah ya. Passkey secara teknis lebih kuat dalam menghadapi beberapa jenis serangan yang paling sering digunakan untuk membajak akun. Namun, teknologi ini bukan berarti membuat pengguna kebal dari seluruh ancaman digital.

Apa Itu Passkey dan Bagaimana Cara Kerjanya?

Passkey merupakan metode masuk ke akun yang menggunakan teknologi kriptografi kunci publik. Ketika passkey dibuat, perangkat menghasilkan sepasang kunci digital yang saling berhubungan, yaitu kunci publik dan kunci privat.

Kunci publik diberikan kepada situs atau aplikasi yang digunakan. Sementara itu, kunci privat tetap disimpan di perangkat atau pengelola kredensial milik pengguna. Kunci privat inilah yang digunakan untuk membuktikan bahwa pengguna berhak masuk ke akun tersebut.

Saat proses login berlangsung, situs akan mengirimkan tantangan kriptografi ke perangkat. Perangkat kemudian menandatangani tantangan tersebut menggunakan kunci privat setelah pengguna memberikan persetujuan melalui sidik jari, pemindaian wajah, atau PIN.

Server hanya perlu memeriksa tanda tangan digital menggunakan kunci publik. Kunci privat tidak perlu dikirimkan melalui internet. Karena itu, informasi rahasia yang dapat digunakan untuk masuk ke akun tidak berpindah dari perangkat ke server.

Sidik jari dan data wajah juga tidak dikirimkan kepada situs. Data biometrik umumnya hanya digunakan secara lokal untuk membuka akses terhadap kunci privat yang tersimpan di perangkat.

Mengapa Password Lebih Mudah Dicuri?

Password merupakan rahasia bersama antara pengguna dan penyedia layanan. Pengguna mengetahui password tersebut, sedangkan server harus menyimpan data yang dapat digunakan untuk memverifikasinya.

Layanan digital yang menerapkan keamanan dengan benar tidak menyimpan password dalam bentuk teks biasa. Password diubah menjadi nilai matematis melalui proses hashing dan biasanya ditambahkan data acak yang disebut salt. Namun, basis data hasil hashing masih dapat menjadi sasaran pencurian.

Jika algoritma perlindungannya lemah atau password pengguna mudah ditebak, penyerang dapat mencoba miliaran kombinasi secara otomatis. Risiko menjadi lebih besar apabila satu password digunakan untuk beberapa akun. Password yang bocor dari satu situs dapat dicoba pada layanan lain melalui serangan credential stuffing.

Password juga dapat diberikan tanpa sengaja kepada penipu. Pengguna mungkin memasukkan alamat surel dan password ke situs palsu yang tampilannya dibuat menyerupai halaman resmi. Penipu kemudian menggunakan informasi tersebut untuk masuk ke situs yang sebenarnya.