Apa itu passkey, bagaimana cara kerjanya, dan mengapa lebih baik daripada kata sandi?

Pusat Keamanan Siber Nasional (NCSC) Inggris Raya telah mengakhiri masa berlaku kata sandi – mulai sekarang, Anda harus menggunakan passkey.

NCSC mengatakan minggu ini bahwa mereka tidak lagi merekomendasikan penggunaan kata sandi di mana passkey tersedia. Mereka harus menjadi pilihan pertama konsumen untuk masuk ke semua layanan digital karena kata sandi tidak cukup aman untuk menghadapi ancaman dunia maya modern.

Apa itu passkey? Pejabat keamanan menggambarkan passkey sebagai “stempel digital” yang memungkinkan Anda masuk ke aplikasi dan situs web dan disimpan di perangkat Anda.

Ini adalah bentuk masuk tanpa kata sandi. Tidak seperti kata sandi, tidak dapat dicuri dalam serangan phishing, di mana orang-orang tertipu untuk menyerahkan kredensial mereka, yang kemudian dapat muncul di dark web.

Ini hanya memerlukan ponsel cerdas atau perangkat Anda untuk mengonfirmasi bahwa Anda yang mencoba masuk, dengan menggunakan metode biometrik seperti pengenalan wajah atau pin ponsel Anda. Itu memicu “stempel” – atau passkey yang aman – yang mengonfirmasi ke aplikasi atau situs web bahwa Anda adalah orang yang Anda katakan. Setiap akun yang Anda daftarkan akan memiliki passkey yang berbeda.

Bahkan jika aplikasi atau situs web yang menggunakan passkey diretas, itu tidak berguna bagi penyerang karena perangkat memegang “passkey” pribadi yang dibutuhkan untuk menyelesaikan login.

Passkey juga dapat disinkronkan di seluruh perangkat.

Bagaimana cara menyiapkan passkey? NCSC mengatakan Anda dapat pergi ke pengaturan keamanan atau privasi akun pada aplikasi dan situs web yang sudah Anda gunakan, atau mencari prompt dari layanan yang meminta Anda untuk meningkatkan ke passkey. Anda juga mungkin ditawari untuk menyiapkan salah satunya saat membuat akun baru untuk aplikasi atau situs web.

Google mengatakan sedikit lebih dari 50% pengguna layanannya di Inggris Raya memiliki passkey yang terdaftar.

Mengapa passkey itu bagus? Mereka bukan kata sandi, yang dapat diakali atau ditipu dari pengguna melalui email phishing atau dapat ditemukan di dark web.

Tahun lalu, para peneliti di Cybernews, publikasi teknologi online, mengatakan mereka telah menemukan miliaran kredensial login. Dataset tersebut dalam format URL, diikuti dengan detail login dan kata sandi. Para ahli skeptis terhadap laporan tersebut, dengan mengatakan bahwa data tersebut mungkin sudah beredar di internet dan banyak detailnya bisa duplikat. Meskipun demikian, mereka mengatakan hal itu menekankan perlunya memperbarui kata sandi secara teratur dan mengadopsi langkah-langkah keamanan yang kuat seperti autentikasi dua faktor, di mana pengguna diminta untuk memberikan bentuk verifikasi lain selain kata sandi mereka.

“Kata sandi tidak pernah menjadi solusi yang sempurna dari sudut pandang pengguna karena kita perlu menambahkan hal-hal untuk mencoba membuatnya lebih aman,” kata Dave Chismon, seorang ahli teknologi senior di NCSC. “Namun, mereka masih dapat di-phishing dan keamanan tambahan membuat kehidupan pengguna lebih sulit.

“Meskipun teknologinya rumit, bagi pengguna passkey lebih cepat dan lebih sederhana daripada mengingat kata sandi atau melalui autentikasi dua faktor.”

Apakah pengenalan wajah rentan? Melewati pemeriksaan biometrik pada perangkat itu sulit. Alan Woodward, seorang profesor keamanan dunia maya di Surrey University, mengatakan pengenalan wajah telah meningkat secara signifikan.

“Tidak hanya algoritma pengenalan yang menjadi lebih baik tetapi perangkat sekarang menyertakan ‘bukti kehidupan’ untuk menghentikan gambar digunakan. Seperti halnya semua keamanan dunia maya, ini adalah permainan whack-a-mole. Taktik peretas meningkat dan tindakan balasan juga meningkat,” katanya.

Mungkin ada masalah dengan, misalnya, anggota keluarga atau pasangan yang mengetahui pin ponsel Anda. Para ahli mengatakan pertahanan yang jelas terhadap hal ini adalah menjaga pin Anda tetap pribadi – bahkan dari anggota keluarga.

Tindakan pencegahan lain apa yang harus diikuti orang? Ancaman utama terhadap keamanan dunia maya pribadi adalah perilaku mereka sendiri. “Sebagian besar serangan terhadap individu masih terjadi karena kurangnya kebersihan dunia maya dasar – mendapatkan hal-hal mendasar benar benar berhasil,” kata Chismon.

Beberapa rekomendasi dasar adalah untuk mendapatkan passkey atau, jika Anda menggunakan kata sandi, untuk menggunakan autentikasi dua faktor. Yang lain adalah selalu menggunakan kata sandi yang kuat, terutama kata sandi yang kuat dan terpisah untuk akun email Anda. Dan gunakan pengelola kata sandi, yang membuat dan menyimpan kata sandi dengan aman.

Anda harus memperbarui aplikasi dan perangkat lunak sistem operasi pada perangkat Anda secara teratur. Serangan phishing, di mana penyerang mencoba mengakses detail login Anda atau menipu Anda untuk mengunduh perangkat lunak berbahaya, dapat dihindari dengan mencari (dan tidak mengklik) email, tautan, dan lampiran yang mencurigakan.

Kata sandi yang paling umum di dunia tampak seperti berkat bagi peretas. Menurut Nordpass, aplikasi pengelola kata sandi yang menyimpan kata sandi dengan aman, kata sandi yang paling banyak digunakan – berdasarkan analisis pelanggaran data publik dan tumpukan data dark web – adalah “123456”. Yang lain dalam 10 teratas adalah “admin”, “password”, dan “admin123”. Jika itu kata sandi Anda, maka passkey sangat cocok untuk Anda.