VICTOR HABBICK VISIONS/SCIENCE PHOTO LIBRARY/Science Photo Library melalui Getty Images
Ikuti ZDNET: Tambahkan kami sebagai sumber pilihan di Google.
**Poin Penting ZDNET**
* Dibandingkan kata sandi, passkey lebih aman untuk autentikasi dengan akun daring.
* Penggunaan passkey membutuhkan sebuah *authenticator* dan teknologi pendukung lainnya.
* *Roaming authenticator* bisa jadi merupakan jenis *authenticator* yang paling rumit — dan paling aman.
Mari kita hadapi kenyataan. Dalam hal kata sandi, kita adalah musuh terbesar diri kita sendiri. Terlalu keras? Saya kira tidak. Kita melakukan segala hal untuk mempermudah para pelaku ancaman melakukan hal terburuk mereka — mulai dari pengambilan dan penyebaran informasi sensitif kita hingga pengosongan rekening bank kita. Mengingat betapa seringnya pengguna akhir tak sengaja memfasilitasi para peretas ini, kita hampir bisa dibilang bergabung dengan pihak lawan.
Bahkan, sebuah penelitian kini menunjukkan bahwa, meskipun telah menerima pelatihan keamanan siber yang cukup mendalam dan komprehensif, 98% dari kita masih tetap terkecoh oleh para pelaku *phishing*, *smishing*, *quishing*, dan ancaman lainnya yang berusaha menipu kita untuk membocorkan kata sandi rahasia kita secara tidak sengaja.
**Juga:** Cara mempersiapkan perusahaan Anda untuk masa depan tanpa kata sandi – dalam 5 langkah
Menyadari bahwa pelatihan dan edukasi ternyata sia-sia, industri teknologi memutuskan pendekatan alternatif: hapuskan kata sandi sama sekali. Alih-alih kredensial masuk yang mengharuskan kita memasukkan (alias “membagikan”) rahasia kita ke dalam aplikasi atau situs web (yang secara kolektif disebut sebagai “*relying party*”), bagaimana jika ada standar tanpa kata sandi di seluruh industri yang masih melibatkan sebuah rahasia, tetapi rahasia yang tidak perlu dibagikan kepada siapa pun? Bahkan kepada *relying party* yang sah sekalipun, apalagi kepada para pelaku ancaman? Bahkan, bukankah lebih baik jika kita, pengguna akhir, juga tidak tahu apa rahasia itu?
Singkatnya, itulah premis dari sebuah *passkey*. Tiga ide besar di balik *passkey* adalah:
* Mereka tidak bisa ditebak (seperti halnya kata sandi — dan sering kali begitu).
* *Passkey* yang sama tidak dapat digunakan ulang di berbagai situs web dan aplikasi (seperti halnya kata sandi).
* Anda tidak bisa ditipu untuk membocorkan *passkey* Anda kepada pelaku jahat (seperti halnya kata sandi).
Mudah sekali, bukan? Tunggu dulu. Sementara 99% alur kerja ID pengguna dan kata sandi saat ini mudah dipahami, dan Anda tidak memerlukan teknologi khusus tambahan untuk menyelesaikan prosesnya, hal yang sama tidak dapat dikatakan untuk *passkey*.
Dengan *passkey*, seperti halnya segala sesuatu yang terkait dengan keamanan siber, Anda harus menukar sedikit kenyamanan demi peningkatan keamanan. Seperti yang telah saya jelaskan secara rinci sebelumnya, *trade-off* itu sepadan. Namun, bagian dari *trade-off* tersebut adalah beberapa kompleksitas yang perlu dibiasakan.
Di Balik Layar dengan Passkey
Setiap kali Anda membuat *passkey* baru atau menggunakannya untuk masuk ke sebuah *relying party*, Anda akan berinteraksi dengan berbagai teknologi — perangkat keras perangkat Anda, sistem operasi yang dijalankannya, peramban web native sistem operasi, *relying party*, dan *authenticator* — yang dirancang untuk saling beroperasi guna menghasilkan pengalaman pengguna akhir yang mulus. Beberapa teknologi ini tumpang tindih dengan cara yang mengaburkan batasan di antara mereka.
**Juga:** Cara kerja passkey: Panduan lengkap untuk masa depan tanpa kata sandi Anda yang tak terelakkan
Kata “*passkey*” sebenarnya adalah nama julukan untuk spesifikasi kredensial FIDO2 dari FIDO Alliance, yang pada dasarnya merupakan penggabungan dari dua standar terbuka lainnya: standar WebAuthn Konsorsium World Wide Web (W3) untuk autentikasi tanpa kata sandi berbasis Web (HTTP) dengan *relying party* dan Protokol Client-ke-Authenticator (CTAP) FIDO Alliance. Adapun “*Authenticator*” dalam “*Client-to-Authenticator Protocol*,” WebAuthn membedakan antara tiga jenis *authenticator* yang berbeda: *platform*, *virtual*, dan *roaming*.
Subyek dari bagian keempat dan terakhir seri ZDNET tentang teknologi *authenticator passkey* ini adalah *roaming authenticator*.
Keterbatasan Roaming Authenticator
Seperti namanya, *roaming authenticator* adalah perangkat fisik, seperti stik USB (biasa disebut sebagai *security key*), yang dapat dibawa dalam saku. YubiKey dari Yubico dan Titan milik Google adalah dua contoh umum dari *roaming authenticators*. Namun, *roaming authenticators* dapat hadir dalam bentuk perangkat lain, termasuk ponsel cerdas dan kartu pintar.
Yubico menawarkan beragam *roaming authenticators*, yang sebagian besar berbeda berdasarkan kemampuannya untuk terhubung ke suatu perangkat. Misalnya, YubiKey 5C NFC dapat terhubung secara fisik ke perangkat melalui USB-C atau nirkabel melalui *Near Field Communication* (NFC). Tetapi *roaming authenticators* juga berukuran kecil dan mudah salah tempat atau hilang, itulah mengapa Anda membutuhkan setidaknya dua — satu untuk cadangan.
Saat ini, ketika Anda menggunakan *roaming authenticator* tertentu untuk mendukung upacara pendaftaran *passkey* untuk suatu *relying party*, *passkey* dibuat dan disimpan dalam bentuk terenkripsi pada *roaming authenticator* sedemikian rupa sehingga tidak dapat dipisahkan dari perangkat fisik. Oleh karena itu, *passkey* yang dibuat dengan *roaming authenticators* dianggap “*device-bound*”. Dengan kata lain, tidak seperti iCloud Keychain milik Apple, pengelola kata sandi di Google Chrome, dan sebagian besar pengelola kata sandi virtual, sebuah *passkey* yang dibuat dan disimpan pada *roaming authenticator* juga merupakan *passkey* yang tidak dapat disinkronkan. Ia tidak dapat dilepaskan dari perangkat keras yang mendasarinya, disinkronkan ke *cloud*, dan dari sana disinkronkan ke perangkat lain pengguna.
**Juga:** Kunci keamanan terbaik: Diuji oleh ahli
Keterbatasan *roaming authenticators* ini juga mencerminkan keadaan saat ini dengan Windows Hello, di mana pengguna memiliki opsi untuk membuat *passkey* yang terikat ke sistem Windows yang mendasarinya. Dalam kasus seperti itu, *passkey* yang dihasilkan terikat secara kriptografi ke perangkat keras keamanan sistem, juga dikenal sebagai *Trusted Platform Module* (TPM). Setiap sistem modern memiliki TPM yang unik secara kriptografi yang berfungsi sebagai *root of trust* berbasis perangkat keras tempat *passkey* dan rahasia lainnya dapat diikat secara tak terpisahkan.
Dengan pemikiran itu, sebuah *roaming authenticator* dapat, dalam beberapa hal, dianggap sebagai *roaming root of trust*; pada dasarnya merupakan TPM yang portabel. Sementara *passkey* yang terikat pada TPM yang tertanam di sirkuit komputer atau perangkat seluler tidak akan pernah dapat dipisahkan dari perangkat, sebuah *passkey* yang disimpan ke *roaming authenticator* masih terikat secara kriptografi ke *root of trust* berbasis perangkat keras tetapi kemudian dapat dibagikan ke beberapa perangkat tempat *roaming authenticator* dapat terhubung. Misalnya, sebuah *passkey* yang disimpan ke YubiKey berbasis USB dapat digunakan untuk mendukung upacara autentikasi berbasis *passkey* pada perangkat apa pun di mana YubiKey tersebut dapat dimasukkan (mis., komputer desktop, ponsel cerdas, tablet, atau konsol game).
Passkey yang Dapat Disinkronkan
Manfaat utama dari pendekatan ini adalah Anda menerima manfaat multi-perangkat dari *passkey* berbasis perangkat lunak yang dapat disinkronkan, tanpa *passkey* tersebut disimpan di mana pun kecuali di *roaming authenticator* itu sendiri. Ia tidak disimpan ke perangkat komputasi Anda mana pun, juga tidak melewati *cloud* daring mana pun untuk disinkronkan dan digunakan dari perangkat lain Anda. Alih-alih menyinkronkan *passkey* melalui *cloud*, Anda cukup menghubungkan *roaming authenticator* ke perangkat mana pun yang membutuhkannya untuk upacara autentikasi dengan *relying party*.
Namun, *roaming authenticators* sangat berbeda dari rekan *platform* dan *virtual*-nya karena tidak dilengkapi dengan kemampuan manajemen kata sandi apa pun. Anda tidak dapat menyimpan ID pengguna atau kata sandi ke *roaming authenticator* dengan cara yang sama seperti *passkey* dapat disimpan ke sana. Hal ini menimbulkan sedikit teka-teki karena pengelola kata sandi masih berguna untuk kemampuan mereka yang tidak terkait dengan *passkey*, seperti membuat kata sandi unik dan kompleks untuk setiap *relying party* dan kemudian mengisinya secara otomatis ke formulir login ketika diperlukan. Jika strategi manajemen kredensial Anda melibatkan baik pengelola kata sandi maupun *roaming authenticator*, pada dasarnya Anda akan memiliki dua *authenticator* — satu *virtual* (sebagai bagian integral dari pengelola kata sandi) dan yang lainnya *roaming*, yang pada gilirannya akan mengharuskan Anda untuk memutuskan dan kemudian mengingat *authenticator* mana yang akan digunakan untuk *relying party* mana.
Untungnya, ada satu *use case* yang jelas di mana sangat masuk akal untuk memiliki *roaming authenticator* selain *authenticator platform* atau *virtual*. Seperti yang dijelaskan dalam laporan ini tentang kemitraan baru-baru ini antara Dashlane dan Yubico, pengelola kata sandi melibatkan sedikit paradoks: Jika Anda perlu masuk ke pengelola kata sandi Anda untuk dapat masuk ke yang lainnya, lalu bagaimana cara Anda masuk ke pengelola kata sandi Anda?
Strategi terbaik adalah melakukannya dengan *roaming authenticator*. Bagaimanapun juga, pengelola kata sandi Anda memegang kunci ke seluruh kerajaan Anda. Gagasan seorang peretas menyusup ke pengelola kata sandi Anda seharusnya menimbulkan rasa takut yang wajar di hati siapa pun. Tetapi ketika satu-satunya cara untuk mengautentikasi dengan pengelola kata sandi Anda adalah dengan sesuatu yang secara fisik Anda miliki — seperti *roaming authenticator* — maka tidak ada cara bagi seorang peretas jahat untuk merekayasa sosial Anda untuk mendapatkan kredensial ke pengelola kata sandi Anda. Mungkin poin terpenting dari berita Dashlane itu adalah bagaimana Anda dapat sepenuhnya menghilangkan ID pengguna dan kata sandi sebagai cara untuk masuk ke akun Dashlane Anda.
Tapi begitu Anda mengikuti jalan ini, komplikasi berikutnya muncul