Passkey dan WebAuthn: Mengakhiri Era Kata Sandi pada Aplikasi Web Modern

Kata sandi memiliki cacat yang tidak dapat diperbaiki dengan aturan kerumitan atau penggantian berkala: ia adalah rahasia bersama yang harus dikirimkan untuk dapat diverifikasi. Setiap pengiriman adalah peluang pencurian. Passkey menghapus persoalan itu dari akarnya.

Mengapa phishing menjadi mustahil secara struktural

Passkey menggunakan pasangan kunci kriptografi. Kunci privat tidak pernah meninggalkan perangkat pengguna; yang dikirim ke server hanyalah tanda tangan atas tantangan acak. Tidak ada rahasia yang dapat dicuri di tengah jalan karena tidak ada rahasia yang dikirimkan.

Bagian yang paling menentukan justru sering luput dibahas: kunci terikat pada nama domain tempat ia dibuat. Peramban menolak menggunakan passkey milik satu domain pada domain lain, sekalipun tampilannya identik. Pengguna yang tertipu membuka situs palsu tetap tidak dapat menyerahkan kredensialnya, karena peramban tidak akan menawarkannya sama sekali.

Apa yang berubah bagi pengembang

Alur pendaftaran mengganti penyimpanan hash kata sandi dengan penyimpanan kunci publik beserta pengenal kredensial. Alur masuk mengganti perbandingan hash dengan verifikasi tanda tangan atas tantangan yang dihasilkan server.

Beberapa hal wajib diperhatikan. Tantangan harus benar-benar acak dan hanya berlaku sekali. Nilai origin pada respons wajib diverifikasi terhadap domain yang diharapkan. Penghitung tanda tangan, bila disediakan perangkat, membantu mendeteksi penggandaan kredensial.

Satu akun sebaiknya dapat memiliki beberapa passkey sekaligus. Pengguna yang memakai ponsel dan laptop akan mendaftarkan keduanya, dan memaksa hanya satu kredensial menciptakan persoalan pemulihan yang tidak perlu.

Bagian tersulit adalah pemulihan

Inilah yang menentukan berhasil tidaknya penerapan. Pengguna yang kehilangan seluruh perangkatnya kehilangan seluruh passkey-nya, dan tidak ada "lupa kata sandi" yang dapat diklik.

Passkey yang tersinkronisasi melalui penyedia sistem operasi mengurangi risiko ini secara signifikan, karena kredensial dipulihkan bersama akun perangkat. Namun sistem tetap harus menyediakan jalan bagi pengguna yang tidak memakai sinkronisasi.

Pilihan yang umum adalah menyimpan beberapa metode: passkey pada lebih dari satu perangkat, kode pemulihan sekali pakai yang disimpan dalam bentuk hash, atau surel terverifikasi sebagai jalur cadangan. Perlu disadari bahwa jalur cadangan menentukan batas keamanan sesungguhnya — sistem passkey dengan pemulihan berbasis kode SMS hanya seaman SMS itu sendiri.

Transisi yang realistis

Mematikan kata sandi secara mendadak jarang berjalan mulus. Pendekatan bertahap yang terbukti: tawarkan passkey sebagai tambahan, dorong pendaftarannya saat pengguna masuk, dan setelah sebagian besar pengguna aktif memilikinya, hentikan pendaftaran kata sandi baru.

Ukur adopsinya, bukan ketersediaannya. Fitur yang tersedia tetapi tidak dipakai tidak menghapus satu pun serangan, dan seluruh manfaat passkey baru terwujud ketika kata sandi benar-benar tidak lagi menjadi jalan masuk yang sah.