Passkey vs Password: Mana yang Lebih Aman dan Apakah Password Akan Benar-Benar Hilang?
Selama puluhan tahun, industri teknologi memberikan nasihat keamanan yang kurang lebih berbunyi seperti ini: Buat password yang panjang. Gunakan huruf besar. Gunakan huruf kecil. Tambahkan angka. Tambahkan simbol. Jangan gunakan tanggal lahir. Jangan gunakan nama hewan peliharaan. Jangan gunakan password yang sama di dua tempat. Ganti secara berkala. Jangan menuliskannya. Jangan sampai lupa.
Jadi kita diminta membuat sesuatu yang mustahil ditebak, tetapi harus tetap mudah diingat oleh otak manusia yang kadang masuk ke dapur lalu lupa sedang mencari apa.
Tidak mengejutkan jika akhirnya banyak orang memilih jalan tengah seperti:
Sangat aman. Setidaknya sampai tahun berikutnya, ketika berubah menjadi:
Masalah password bukan hanya karena manusia malas atau ceroboh. Password memang memiliki kelemahan mendasar. Ia merupakan sebuah rahasia yang harus diketahui pengguna, dimasukkan ke website, dikirim melalui jaringan, dan diverifikasi oleh server. Apa pun yang dapat diketahui, diketik, disalin, dan dikirim juga dapat:
Passkey mencoba mengubah model tersebut. Alih-alih meminta kita mengingat sebuah rahasia, passkey menggunakan kriptografi dan perangkat yang sudah kita miliki. Kita cukup membuka kunci perangkat menggunakan sidik jari, wajah, PIN, atau metode lokal lainnya. Tidak ada password yang perlu diketik. Tidak ada password yang dapat diberikan kepada website palsu.
Tidak ada kombinasi NamaAnak+TanggalLahir! yang beredar di dua puluh tiga layanan karena manusia akhirnya menyerah pada beban administratif identitas digital. Namun sebelum menyimpulkan bahwa password sudah resmi meninggal, sebaiknya kita memahami apa sebenarnya passkey, bagaimana cara kerjanya, dan di mana kelemahannya. Karena teknologi keamanan selalu terlihat sempurna sampai bertemu account recovery, perangkat lama, dan pengguna yang lupa akun mana tersimpan di mana.
Apa Itu Password?
Password adalah rahasia yang digunakan untuk membuktikan bahwa seseorang berhak mengakses sebuah akun. Secara sederhana, prosesnya seperti ini:
Pengguna membuat password.
Website menyimpan representasi password dalam bentuk hash.
Ketika login, pengguna memasukkan password.
Server memeriksa apakah password tersebut cocok.
Jika cocok, akses diberikan.
Website yang dikelola dengan benar tidak seharusnya menyimpan password dalam bentuk teks biasa. Password seharusnya diproses menggunakan algoritma hashing yang sesuai, lengkap dengan salt dan konfigurasi biaya komputasi yang memadai. Namun bahkan implementasi server yang benar tidak menyelesaikan seluruh masalah. Password masih dapat dicuri dari sisi pengguna melalui:
Halaman phishing.
Malware.
Keylogger.
Social engineering.
Browser extension berbahaya.
Penggunaan ulang password.
Perangkat bersama.
Database layanan lain yang bocor.
Ketika seseorang menggunakan password yang sama pada beberapa layanan, kebocoran dari satu website dapat dipakai untuk menyerang website lainnya. Serangan tersebut biasa disebut credential stuffing. Penyerang tidak perlu menebak password. Mereka hanya mencoba kombinasi email dan password yang sudah pernah bocor. Dengan kata lain, sistem keamanan sebuah layanan dapat ikut rusak karena layanan lain gagal menjaga database-nya. Internet memang berhasil menciptakan kondisi ketika kesalahan perusahaan yang tidak pernah kita kenal dapat membuka akun yang tidak ada hubungannya dengan mereka.
Apa Itu Passkey?
Passkey adalah pengganti password yang menggunakan kriptografi kunci publik. Ketika passkey dibuat, perangkat menghasilkan sepasang kunci:
Private key, yang disimpan pada perangkat atau passkey provider.
Public key, yang diberikan kepada website atau aplikasi.
Public key tidak perlu dirahasiakan. Private key tidak dikirimkan kepada website. Saat pengguna login, website mengirimkan sebuah tantangan kriptografi. Perangkat menandatangani tantangan tersebut menggunakan private key, lalu website memverifikasinya menggunakan public key.
Jika tanda tangannya valid, pengguna dianggap berhasil diautentikasi. Standar WebAuthn menjelaskan bahwa credential dibuat untuk website tertentu. Public key disimpan oleh layanan, sedangkan private key tetap berada di authenticator dan tidak seharusnya diekspos kepada pihak lain. Credential tersebut juga terikat pada relying party atau domain tempat passkey dibuat.
FIDO Alliance mendefinisikan passkey sebagai teknologi pengganti password yang disimpan pada perangkat dan dibuka menggunakan mekanisme yang sama seperti membuka perangkat, misalnya biometrik, PIN, atau pola.
Versi sederhananya:
Password adalah rahasia yang kita berikan kepada website.
Passkey adalah bukti kriptografi yang dibuat perangkat tanpa menyerahkan rahasianya.
Ini perbedaan yang sangat penting. Pada password, server bertanya:
“Apa rahasianya?”
Pada passkey, server bertanya:
“Bisakah perangkat yang memiliki private key membuktikan kepemilikannya?”
Private key tetap berada di sisi pengguna. Server hanya menerima bukti bahwa proses autentikasi berhasil.
Passkey Bukan Sidik Jari
Ini salah satu kesalahpahaman yang paling umum. Passkey bukan sidik jari.
Passkey juga bukan Face ID. Sidik jari, pemindaian wajah, PIN, atau pola layar hanya digunakan untuk membuka akses ke passkey yang tersimpan pada perangkat. Proses autentikasi ke website tetap dilakukan menggunakan pasangan kunci kriptografi. Biometrik berfungsi seperti penjaga pintu lokal. Ia membuktikan kepada perangkat bahwa orang yang sedang menggunakan perangkat diizinkan memakai private key. Data biometrik tidak dikirimkan ke website. FIDO Alliance menyatakan bahwa informasi dan pemrosesan biometrik tetap berada pada perangkat. Server hanya menerima konfirmasi bahwa pemeriksaan lokal berhasil. Google dan Microsoft juga menjelaskan bahwa materi biometrik tidak meninggalkan perangkat pengguna. Jadi ketika sebuah website meminta kita menggunakan sidik jari untuk login dengan passkey, website tersebut tidak menerima salinan sidik jari. Website tidak menyimpan wajah kita. Website bahkan tidak perlu mengetahui apakah kita menggunakan wajah, sidik jari, PIN, atau metode lokal lain. Ia hanya menerima hasil verifikasi kriptografi. Tentu saja ini dengan asumsi perangkat dan implementasi platform bekerja sebagaimana mestinya. Keamanan digital memang sering membutuhkan kalimat tambahan seperti itu agar kita tetap rendah hati.
Bagaimana Passkey Dibuat?
Ketika kita memilih opsi seperti Create a passkey, proses yang terjadi kurang lebih seperti ini:
Website meminta browser atau sistem operasi membuat credential.
Perangkat menghasilkan pasangan public key dan private key.
Private key disimpan oleh authenticator atau passkey provider.
Public key dikirim ke website.
Website menghubungkan public key tersebut dengan akun pengguna.
Passkey siap digunakan.
Website tidak memperoleh private key. Private key juga tidak menjadi password baru yang dapat kita lihat, salin, dan kirim melalui pesan kepada rekan kerja karena sedang terburu-buru. Private key dikelola oleh perangkat, sistem operasi, hardware security key, atau password manager yang mendukung passkey. Google menjelaskan bahwa passkey dapat digunakan menggunakan biometrik, PIN, atau pola perangkat dan disimpan serta disinkronkan melalui password manager yang mendukungnya.
Bagaimana Login Menggunakan Passkey?
Saat login, alurnya berbeda dari password.
Website mengirimkan challenge acak.
Browser meminta authenticator menggunakan passkey yang sesuai.
Pengguna membuka passkey dengan sidik jari, wajah, PIN, atau metode lokal lainnya.
Private key menandatangani challenge.
Hasil tanda tangan dikirim ke website.
Website memverifikasinya menggunakan public key.
Jika valid, login berhasil.
Challenge berbeda pada setiap proses login. Karena itu, hasil autentikasi lama tidak dapat sekadar direkam lalu digunakan kembali. Private key juga terikat dengan website tempat credential tersebut dibuat. Website palsu dengan domain berbeda tidak dapat meminta passkey yang dibuat untuk domain asli. Inilah alasan utama passkey lebih tahan terhadap phishing.
Mengapa Passkey Tahan Phishing?
Bayangkan kita menerima email palsu yang terlihat berasal dari sebuah layanan. Kita menekan tautan. Halaman login terlihat identik. Logo benar. Warna benar. Animasi loading bahkan mungkin lebih halus daripada website resminya.
Jika menggunakan password
Kita dapat mengetik username dan password ke halaman palsu. Penyerang menerima informasi tersebut. Mereka kemudian menggunakannya pada website asli. Bahkan OTP dapat diteruskan secara real-time melalui serangan phishing yang lebih canggih.
Jika menggunakan passkey
Passkey dibuat untuk domain tertentu. Credential untuk example.com tidak dapat digunakan oleh examp1e.com, meskipun tampilannya sama persis dan perbedaannya hanya sebuah karakter yang sengaja dibuat agar mata manusia menyerah. WebAuthn mengikat credential pada relying party identifier. Browser dan authenticator memastikan credential hanya digunakan untuk website yang sesuai. Halaman palsu tidak memperoleh private key. Ia juga tidak memperoleh tanda tangan yang valid untuk domain asli. Itulah mengapa FIDO menyebut passkey phishing-resistant dan dirancang tanpa shared secret yang dapat dicuri dari server atau diberikan pengguna kepada penyerang. Namun ada catatan penting:
Passkey-nya mungkin tahan phishing. Seluruh sistem akun belum tentu.
Jika sebuah akun masih mengizinkan login menggunakan password, OTP SMS, atau recovery flow yang lemah, penyerang dapat mengabaikan passkey dan menyerang jalur yang lebih mudah.
Keamanan selalu mengikuti titik terlemah. Pintu depan dapat menggunakan pemindai retina, tetapi jika customer support bersedia membuka akun hanya karena penelepon terdengar panik, masalahnya belum selesai.
Passkey vs Password
Aspek | Password | Passkey |
|---|
Bentuk credential | Rahasia yang diketahui pengguna | Pasangan public key dan private key |
Perlu diingat | Ya | Tidak |
Perlu diketik | Ya | Tidak |
Dapat digunakan ulang | Sering terjadi | Unik untuk setiap layanan |
Risiko phishing | Tinggi | Jauh lebih rendah |
Risiko credential stuffing | Ada | Tidak menggunakan rahasia bersama |
Data di server |
Secara teknis, passkey memiliki fondasi yang lebih kuat daripada password. Namun pengalaman pengguna dan keamanan akhir bergantung pada:
Tempat passkey disimpan.
Cara passkey disinkronkan.
Metode recovery.
Keamanan perangkat.
Dukungan lintas platform.
Apakah password lama masih aktif.
Bagaimana layanan menangani perubahan perangkat.
Jadi pertanyaan yang benar bukan hanya:
“Apakah passkey lebih aman?”
Jawabannya adalah ya, secara umum. Pertanyaan berikutnya:
“Apakah seluruh sistem akun dibangun agar keuntungan tersebut tidak dirusak oleh fallback yang lebih lemah?”
Jawabannya jauh lebih sering berbunyi:
“Sedang kami kerjakan.”
Synced Passkey dan Device-Bound Passkey Tidak semua passkey disimpan dengan cara yang sama. Secara umum, kita akan menemukan dua pendekatan.
Synced passkey
Synced passkey dapat tersedia pada beberapa perangkat melalui provider tertentu. Contohnya dapat melibatkan:
Keuntungannya adalah kemudahan. Ketika mengganti perangkat, passkey dapat dipulihkan melalui akun provider tanpa membuat ulang semuanya secara manual. Google menjelaskan bahwa passkey dapat disimpan dan digunakan lintas perangkat melalui Google Password Manager. Apple menggunakan iCloud Keychain untuk menjaga passkey tersedia pada perangkat pengguna yang telah disetujui. Synced passkey lebih praktis untuk pengguna umum. Namun keamanannya juga bergantung pada keamanan akun provider yang menyinkronkannya.
Jika akun utama yang mengelola sinkronisasi diambil alih, dampaknya dapat meluas ke credential yang tersimpan di dalam ekosistem tersebut. Karena itu, akun Google, Apple, Microsoft, atau password manager utama sebaiknya dilindungi sangat serius. Akun tersebut bukan lagi sekadar tempat menyimpan email atau foto liburan. Ia mulai berfungsi seperti pusat distribusi identitas digital.
Device-bound passkey
Device-bound passkey tetap terikat pada perangkat atau hardware authenticator tertentu. Contohnya adalah passkey pada hardware security key. Credential tidak disinkronkan ke perangkat lain. Keuntungannya:
Kekurangannya:
Jika perangkat hilang dan tidak ada backup, recovery menjadi lebih sulit.
Pengguna perlu mendaftarkan authenticator tambahan.
Pengelolaan perangkat lebih rumit.
FIDO menjelaskan bahwa hardware security key dapat membuat device-bound passkey yang tidak meninggalkan perangkat. Kehilangan perangkat tersebut berarti pengguna membutuhkan backup atau proses account recovery. Bagi pengguna umum, synced passkey biasanya lebih nyaman.
Bagi organisasi atau akun bernilai tinggi, device-bound credential dapat memberikan kontrol tambahan. Tidak ada satu pilihan yang sempurna untuk semua orang, karena rupanya bahkan cara masuk ke email sekarang juga membutuhkan keputusan arsitektur.
Apa yang Terjadi Jika Ponsel Hilang?
Pertanyaan ini biasanya muncul segera setelah seseorang memahami bahwa passkey tersimpan pada perangkat. Jawabannya bergantung pada jenis passkey.
Jika passkey disinkronkan
Passkey dapat tersedia kembali setelah kita login ke provider pada perangkat baru dan menyelesaikan proses verifikasi akun. Inilah salah satu tujuan synced passkey: mengurangi risiko kehilangan seluruh akses hanya karena satu perangkat rusak atau hilang. FIDO menjelaskan bahwa synced passkey dapat bertahan melewati kehilangan atau penghapusan perangkat dengan dipulihkan melalui provider, sehingga kebutuhan melakukan account recovery dapat berkurang.
Jika passkey hanya tersimpan pada satu perangkat
Kita membutuhkan salah satu dari berikut:
Passkey lain yang sudah didaftarkan.
Hardware security key cadangan.
Perangkat lain yang masih memiliki akses.
Recovery code.
Account recovery dari layanan.
Karena itu, untuk akun penting saya tidak akan bergantung pada satu passkey di satu perangkat. Saya akan memastikan tersedia:
Lebih dari satu authenticator.
Recovery method yang aman.
Recovery code yang disimpan offline.
Perangkat lama tidak langsung dihapus sebelum perangkat baru berhasil diuji.
Migrasi perangkat seharusnya dilakukan seperti migrasi server. Jangan menghancurkan yang lama sebelum yang baru benar-benar bekerja. Manusia sering mempelajari prinsip tersebut setelah reset factory, biasanya pada waktu yang kurang ideal.
Bisakah Passkey Digunakan pada Perangkat Lain?
Bisa. Ada beberapa skenario.
Passkey sudah disinkronkan
Passkey langsung tersedia melalui provider pada perangkat lain yang terhubung dengan akun yang sama.
Login menggunakan ponsel pada komputer lain
Website dapat menampilkan QR code. Kita memindainya dengan ponsel yang memiliki passkey, lalu menyelesaikan autentikasi pada ponsel tersebut. Proses lintas perangkat dapat menggunakan koneksi jarak dekat, termasuk Bluetooth, untuk membantu memastikan ponsel berada di sekitar perangkat yang sedang melakukan login. Implementasi persisnya bergantung pada platform dan layanan. Dokumentasi Microsoft, misalnya, menjelaskan penggunaan cross-device registration dan persyaratan konektivitas tertentu untuk skenario passkey lintas perangkat.
Menggunakan hardware security key
Passkey dapat disimpan pada security key yang mendukung FIDO2. Perangkat tersebut kemudian digunakan melalui USB, NFC, atau metode koneksi yang didukung. Ini berguna ketika:
Kita menggunakan banyak komputer.
Tidak ingin bergantung pada satu ekosistem.
Membutuhkan credential fisik.
Mengelola akun dengan risiko tinggi.
Apakah PIN Perangkat Menjadi Password Baru?
Tidak persis. PIN perangkat digunakan untuk membuka akses ke authenticator lokal. PIN tersebut tidak dikirim ke website. Perbedaannya dengan password akun adalah ruang lingkupnya. Password akun dapat dimasukkan dari perangkat mana pun dan dikirimkan untuk diverifikasi oleh layanan. PIN perangkat biasanya:
Terikat pada perangkat.
Diverifikasi secara lokal.
Tidak dikirim ke server layanan.
Dilindungi oleh mekanisme keamanan perangkat.
Memiliki pembatasan percobaan.
Microsoft menjelaskan bahwa PIN dan data biometrik Windows Hello tetap berada pada perangkat dan tidak dapat diakses secara eksternal. Tentu saja PIN seperti 1234 tetap bukan karya terbaik manusia. Namun penyerang jarak jauh tidak dapat sekadar memasukkan PIN tersebut pada website dari negara lain. Mereka biasanya membutuhkan akses ke perangkat yang terkait.
Apakah Passkey Sama dengan Two-Factor Authentication?
Tidak selalu, tetapi passkey dapat memenuhi lebih dari satu faktor. Autentikasi biasanya dikelompokkan menjadi:
Sesuatu yang kita tahu, seperti password atau PIN.
Sesuatu yang kita miliki, seperti perangkat atau security key.
Sesuatu yang menjadi bagian dari diri kita, seperti biometrik.
Passkey membuktikan kepemilikan terhadap authenticator atau perangkat yang menyimpan credential. Ketika pengguna juga melakukan verifikasi lokal menggunakan PIN atau biometrik, passkey dapat memberikan autentikasi kuat yang menggabungkan possession dengan user verification. Microsoft menjelaskan bahwa passkey FIDO2 merupakan credential tahan phishing dan dapat berfungsi sebagai metode multifactor authentication ketika dipadukan dengan biometrik atau PIN perangkat. Karena itu, pada beberapa layanan, login dengan passkey tidak lagi meminta OTP tambahan. Google juga menjelaskan bahwa passkey dapat melewati langkah verifikasi kedua karena prosesnya sudah membuktikan kepemilikan perangkat dan kemampuan membuka perangkat tersebut. Namun kebijakan setiap layanan dapat berbeda. Jangan menganggap semua implementasi passkey otomatis memenuhi seluruh kebutuhan compliance atau tingkat assurance organisasi. Keamanan tidak hanya ditentukan oleh nama teknologinya, tetapi oleh konfigurasi dan proses enrollment-nya.
Apakah Password Manager Masih Dibutuhkan?
Masih. Password tidak akan menghilang dalam satu malam. Banyak layanan belum mendukung passkey. Beberapa layanan mendukung passkey tetapi tetap mempertahankan password sebagai fallback. Selain itu, password manager modern mulai berfungsi sebagai passkey manager. Jadi perannya berubah dari sekadar menyimpan teks rahasia menjadi pengelola credential digital. Password manager tetap berguna untuk:
Menyimpan password layanan lama.
Membuat password unik.
Menyimpan recovery code.
Menyimpan passkey.
Mengisi identitas dan informasi login.
Membantu migrasi antarperangkat.
Mengurangi ketergantungan pada satu perangkat.
Saya tidak akan berhenti menggunakan password manager hanya karena beberapa akun sudah memakai passkey. Saya justru akan memastikan password manager utama memiliki:
Master password yang kuat.
Multifactor authentication.
Recovery method yang aman.
Perangkat tepercaya yang terkendali.
Backup atau emergency access bila diperlukan.
Satu tempat yang menyimpan seluruh akses memang nyaman. Ia juga menjadi satu tempat yang pantas memperoleh perhatian keamanan lebih dari aplikasi pencatat belanja.
Kelebihan Passkey
1. Tidak perlu mengingat password
Tidak ada kombinasi karakter yang harus dihafalkan. Pengguna cukup membuka perangkat.
2. Tidak dapat digunakan ulang antarwebsite
Setiap layanan memiliki credential sendiri. Kebocoran pada satu layanan tidak menghasilkan password yang dapat dicoba pada layanan lain.
3. Lebih tahan phishing
Credential terikat dengan domain asli. Website palsu tidak dapat meminta credential milik website lain.
4. Server tidak menyimpan shared secret
Server menyimpan public key. Kebocoran public key tidak memberikan kemampuan langsung untuk login sebagai pengguna.
5. Tidak dapat ditebak
Private key dihasilkan secara kriptografis.Tidak ada masalah password pendek, nama hewan, tanggal lahir, atau pola keyboard.
6. Pengalaman login lebih cepat
Pengguna dapat login menggunakan mekanisme yang sudah dipakai untuk membuka perangkat.
FIDO Alliance melaporkan bahwa passkey dapat meningkatkan kecepatan dan keberhasilan login dibandingkan password atau password yang dikombinasikan dengan faktor kedua. Angka tersebut berasal dari laporan dan implementasi industri, sehingga hasil tiap layanan tetap dapat berbeda.
7. Mengurangi credential stuffing
Tidak ada password yang dapat digunakan ulang pada website lain. Database public key yang bocor tidak dapat dipakai seperti daftar email dan password.
Kekurangan dan Masalah Passkey
Passkey lebih baik daripada password pada banyak aspek. Namun bukan berarti pengalaman dan ekosistemnya sudah sempurna.
1. Pengalaman pengguna masih berbeda-beda
Tampilan dan istilah dapat berbeda berdasarkan:
Sistem operasi.
Browser.
Password manager.
Website.
Perangkat.
Jenis passkey.
Pengguna dapat melihat pilihan seperti:
Use a passkey.
Use another device.
Scan QR code.
Windows Hello.
Security key.
iPhone, iPad, or Android device.
Save in password manager.
Bagi orang yang memahami sistemnya, ini masuk akal. Bagi pengguna biasa, layar tersebut dapat terasa seperti perangkat sedang meminta mereka memilih salah satu ritual keamanan dari peradaban berbeda.
2. Ketergantungan pada ekosistem
Synced passkey sering terhubung dengan provider tertentu. Berpindah ekosistem dapat menimbulkan friksi, walaupun interoperabilitas dan mekanisme transfer terus berkembang.
Karena itu, sebelum menggunakan passkey secara luas, pahami tempat credential akan disimpan.
3. Account recovery tetap menjadi titik lemah
Passkey dapat sangat aman, tetapi pengguna tetap bisa kehilangan perangkat, kehilangan akun provider, atau gagal mengakses authenticator. Layanan perlu menyediakan recovery. Masalahnya, recovery yang terlalu mudah dapat menjadi jalur serangan. FIDO menekankan bahwa tingkat perlindungan phishing pada akun dipengaruhi oleh metode login dan account recovery yang masih tersedia. Keberadaan fallback yang lebih lemah dapat mengurangi manfaat passkey.
4. Password lama mungkin masih aktif
Banyak layanan menambahkan passkey sebagai pilihan tambahan, bukan pengganti penuh.
Artinya, penyerang masih dapat mencoba mencuri password. Pengguna merasa sudah aman karena menggunakan passkey, tetapi akun masih memiliki pintu masuk lama. Ini bukan kesalahan passkey. Ini masalah transisi. Namun penyerang tidak terlalu peduli departemen mana yang harus disalahkan.
5. Perangkat bersama membutuhkan perhatian
Perangkat keluarga, komputer kantor, atau perangkat publik tidak selalu cocok untuk menyimpan passkey permanen. Pastikan memahami akun sistem operasi, profile browser, dan siapa yang dapat membuka perangkat tersebut.
6. Kehilangan perangkat dapat merepotkan
Terutama untuk device-bound passkey tanpa cadangan.
7. Tidak semua layanan mendukungnya
Password masih memiliki keunggulan terbesar: hampir semua sistem memahaminya. Teknologi buruk yang digunakan seluruh dunia sering bertahan lebih lama daripada teknologi baik yang membutuhkan migrasi. Fax sempat membuktikannya dengan dedikasi yang mengagumkan.
Apakah Passkey Benar-Benar Lebih Aman?
Secara umum, ya. Passkey menghilangkan beberapa kelas masalah password:
Password lemah.
Password reuse.
Credential stuffing.
Pencurian database password.
Pengetikan password ke halaman phishing.
Pembagian password secara sengaja atau tidak sengaja.
Brute force terhadap password pengguna.
Passkey menggunakan public-key cryptography dan credential yang terikat dengan layanan tertentu. FIDO, Google, Apple, Microsoft, dan standar WebAuthn secara konsisten menempatkannya sebagai alternatif password yang lebih aman dan tahan phishing. Namun keamanan akun secara keseluruhan masih bergantung pada:
Passkey bukan kekebalan digital. Ia hanya mengganti fondasi autentikasi yang rapuh dengan fondasi yang lebih masuk akal. Rumahnya tetap bisa memiliki masalah lain.
Apakah Passkey Bisa Diretas?
Tidak ada teknologi yang pantas diberi label “tidak bisa diretas”. Passkey dapat mengurangi serangan jarak jauh berbasis credential, tetapi penyerang masih dapat mencoba:
Mengambil alih akun provider sinkronisasi.
Menguasai perangkat yang sudah terbuka.
Menggunakan malware pada endpoint.
Mencuri session cookie setelah login.
Menipu account recovery.
Menyalahgunakan perangkat yang dibagikan.
Memanfaatkan vulnerability pada aplikasi atau sistem operasi.
Menambahkan passkey baru setelah berhasil masuk melalui metode lain.
Menyerang administrator atau customer support.
Perhatikan bahwa banyak serangan tersebut tidak “memecahkan passkey”. Penyerang melewati passkey dan menyerang lingkungan di sekitarnya. Ini pola umum dalam keamanan. Ketika satu komponen menjadi lebih kuat, serangan berpindah ke komponen yang masih lebih murah untuk dikalahkan. Pencuri tidak memiliki kewajiban profesional untuk menyerang pintu terkuat.
Apakah Password Akan Hilang?
Tidak dalam waktu dekat. Pada Mei 2026, FIDO Alliance melaporkan sekitar lima miliar passkey aktif. Dalam surveinya, 90 persen konsumen menyatakan familiar dengan passkey dan 75 persen telah mengaktifkannya pada setidaknya sebagian akun. Namun laporan yang sama juga menunjukkan bahwa adopsi organisasi belum sepenuhnya menggantikan password. Angka tersebut menunjukkan passkey sudah memasuki penggunaan besar. Tetapi menggantikan password secara penuh membutuhkan:
Dukungan dari seluruh layanan.
Pengalaman lintas platform yang konsisten.
Migrasi akun lama.
Recovery yang tahan phishing.
Edukasi pengguna.
Dukungan perangkat lama.
Kebijakan perusahaan.
Integrasi pada aplikasi internal.
Perubahan proses customer support.
Waktu.
Password kemungkinan akan mengalami nasib seperti teknologi lama lainnya. Ia tidak langsung mati. Ia perlahan dipindahkan dari metode utama menjadi fallback, lalu menjadi legacy option, lalu tetap hidup di satu sistem internal yang tidak boleh dimatikan karena tidak ada yang tahu siapa pembuatnya. Jadi saya tidak percaya password akan hilang sepenuhnya dalam beberapa tahun. Namun saya percaya posisinya akan berubah. Untuk layanan modern, passkey akan semakin menjadi pilihan utama. Password akan tetap ada di belakang, menunggu saat transisi gagal atau seseorang menggunakan scanner industri dari tahun 2009.
Haruskah Saya Mulai Menggunakan Passkey?
Ya, terutama untuk akun yang mendukungnya dengan implementasi yang jelas. Prioritaskan akun berikut:
Akun email utama.
Akun Google, Apple, atau Microsoft.
Password manager.
GitHub dan layanan developer.
Cloud provider.
Akun bisnis.
Financial account yang mendukung passkey.
Social media bernilai tinggi.
Admin panel.
Layanan penyimpanan data.
Namun jangan hanya menekan tombol Create passkey lalu menganggap pekerjaan selesai. Periksa juga:
Di mana passkey disimpan.
Apakah tersinkronisasi.
Perangkat apa saja yang memilikinya.
Apakah password lama masih aktif.
Recovery method apa yang tersedia.
Apakah ada passkey cadangan.
Apakah session lama perlu dicabut.
Apakah akun provider utama sudah diamankan.
Untuk akun bernilai tinggi, pertimbangkan mendaftarkan lebih dari satu authenticator. Misalnya:
Synced passkey untuk penggunaan harian.
Hardware security key sebagai cadangan.
Recovery code tersimpan offline.
Redundansi bukan paranoia. Redundansi adalah pengakuan bahwa perangkat elektronik memiliki kecenderungan memilih waktu terburuk untuk rusak.
Rekomendasi untuk Developer
Mengimplementasikan passkey bukan hanya menambahkan tombol baru di halaman login. Beberapa prinsip yang perlu diperhatikan:
Jadikan passkey mudah ditemukan
Jangan menyembunyikannya di empat tingkat menu security.
Jelaskan tempat penyimpanannya
Pengguna perlu memahami apakah passkey disimpan pada perangkat, password manager, atau security key.
Izinkan lebih dari satu passkey
Pengguna dapat memiliki beberapa perangkat dan authenticator.
Tampilkan daftar credential
Berikan informasi:
Lindungi penambahan passkey baru
Menambahkan authenticator baru adalah tindakan sensitif. Minta autentikasi ulang atau verifikasi yang sesuai.
Perkuat recovery
Jangan membangun passkey yang tahan phishing lalu menyediakan reset akun melalui pertanyaan:
“Apa nama sekolah dasar Anda?”
Informasi tersebut mungkin sudah ada pada Facebook sejak 2011.
Audit seluruh autentikasi
Catat:
Pertahankan fallback secara sadar
Fallback mungkin diperlukan selama masa transisi. Namun ia harus diperlakukan sebagai risiko, bukan sekadar fitur kenyamanan.
Jangan menyimpan biometrik
Website tidak membutuhkan dan tidak seharusnya menerima data biometrik pengguna untuk menjalankan passkey.
WebAuthn memiliki banyak detail yang mudah salah jika diimplementasikan sendiri. Authentication bukan tempat ideal untuk menunjukkan bahwa tim mampu menulis semuanya dari nol.
Kesimpulan
Password meminta kita menyimpan dan menyerahkan sebuah rahasia. Passkey meminta perangkat membuktikan bahwa ia memiliki private key yang benar. Perbedaan tersebut membuat passkey lebih tahan terhadap:
Passkey tidak mengirim sidik jari atau wajah ke website. Biometrik dan PIN hanya membuka credential secara lokal. Private key tetap berada pada authenticator atau passkey provider.
Website hanya menyimpan public key dan memverifikasi bukti kriptografi. Jadi, dalam perbandingan langsung:
Passkey lebih aman daripada password.
Namun passkey tidak otomatis membuat seluruh akun aman. Recovery yang lemah, fallback password, session theft, malware, dan pengambilalihan perangkat masih dapat menjadi masalah.
Karena itu, passkey sebaiknya dipahami bukan sebagai mantra keamanan, tetapi sebagai penggantian fondasi autentikasi. Fondasinya lebih kuat. Penggunaannya lebih sederhana.
Risiko phishing berkurang secara signifikan. Dan untuk pertama kalinya setelah puluhan tahun, industri keamanan akhirnya menawarkan solusi yang tidak dimulai dengan menyuruh manusia mengingat kombinasi karakter yang semakin tidak masuk akal. Password belum akan hilang besok.
Namun masa ketika password menjadi satu-satunya pintu masuk mulai berakhir. Dan jujur, ia sudah bekerja cukup lama. Mungkin sudah waktunya pensiun sebelum kita semua diminta menambahkan satu simbol lagi.
Pertanyaan yang Sering Diajukan
Apa itu passkey?
Passkey adalah credential login berbasis kriptografi kunci publik. Private key disimpan pada perangkat atau passkey provider, sedangkan website menyimpan public key untuk memverifikasi proses login.
Apakah passkey lebih aman daripada password?
Secara umum, ya. Passkey tahan terhadap phishing, tidak dapat digunakan ulang pada website lain, tidak dapat ditebak, dan tidak memberikan shared secret kepada server.
Apakah passkey sama dengan sidik jari?
Tidak. Sidik jari hanya digunakan untuk membuka akses ke passkey secara lokal. Data sidik jari tidak dikirim ke website.
Apakah Face ID dikirim ke website ketika menggunakan passkey?
Tidak. Website hanya menerima bukti bahwa verifikasi lokal berhasil dan tanda tangan kriptografi valid. Data Face ID tetap berada pada perangkat.
Apa yang terjadi jika ponsel yang menyimpan passkey hilang?
Jika passkey disinkronkan melalui provider, passkey dapat dipulihkan pada perangkat baru setelah akun provider diverifikasi. Untuk device-bound passkey, pengguna memerlukan credential cadangan atau account recovery.
Apakah passkey membutuhkan internet?
Login ke layanan online tetap membutuhkan koneksi internet. Namun proses verifikasi biometrik atau PIN berlangsung secara lokal pada perangkat.
Apakah passkey menggantikan two-factor authentication?
Passkey dapat memberikan autentikasi multifaktor ketika membuktikan kepemilikan perangkat dan menggunakan verifikasi lokal seperti biometrik atau PIN. Kebijakan akhirnya bergantung pada layanan dan implementasinya.
Apakah saya masih membutuhkan password manager?
Ya. Banyak layanan masih menggunakan password, dan password manager modern juga dapat menyimpan passkey serta recovery code.
Apakah passkey bisa dipakai pada komputer orang lain?
Bisa. Beberapa layanan memungkinkan login lintas perangkat dengan memindai QR code menggunakan ponsel yang memiliki passkey. Jangan menyimpan passkey secara permanen pada perangkat publik atau milik orang lain.
Apakah hacker dapat mencuri passkey dari database website?
Website hanya menyimpan public key, bukan private key. Kebocoran public key tidak memberikan kemampuan langsung untuk login sebagai pengguna.
Apakah password akan benar-benar hilang?
Tidak dalam waktu dekat. Passkey terus berkembang, tetapi banyak layanan, perangkat lama, sistem perusahaan, dan recovery flow masih bergantung pada password.
Apakah semua website sudah mendukung passkey?
Belum. Dukungan terus meningkat, tetapi implementasinya masih berbeda-beda antarwebsite, platform, browser, dan password manager.
Rekomendasi Internal Link
Tambahkan internal link setelah artikel terkait tersedia:
Cara Memeriksa Apakah Email dan Password Pernah Bocor
Apa Itu Phishing dan Bagaimana Cara Mengenalinya
Mengapa OTP SMS Tidak Cukup Aman
Cara Memilih Password Manager yang Aman
Apa Itu Hardware Security Key
Cara Mengamankan Akun Google dan Email Utama
Mengenal WebAuthn dan FIDO2
Referensi Utama
W3C Web Authentication Specification mengenai public-key credential dan relying party binding.
FIDO Alliance mengenai definisi, keamanan, dan adopsi passkey.
Google Identity mengenai penggunaan, penyimpanan, dan privasi passkey.
Apple Platform Security mengenai keamanan passkey dan biometrik perangkat.
Microsoft mengenai WebAuthn, FIDO2, passkey, dan passwordless authentication.
