Passkey adalah teknologi pengganti password. Dalam banyak hal passkey lebih aman dan nyaman dibandingkan password. Kasus di mana seseorang salah mengetik banksaya.com menjadi banksaia.com dan uangnya terkuras, bisa dicegah dengan jika kita menggunakan passkey.
Pembahasan teknis mendalam mengenai passkey ini bisa sangat panjang (cukup untuk jadi buku), jadi di tulisan ini saya hanya akan membahas bagian teknis ringan saja, tidak sampai ke detail coding dan matematikanya. Saya akan fokus ke pengguna dulu, mungkin kali lain saya buat artikel untuk programmer dan pentester.
Passkey itu sederhana
Passkey adalah kunci/key rahasia untuk login website/aplikasi. Passkey bisa jadi pelengkap password (untuk 2FA), bisa juga menggantikan password (bahkan bisa menggantikan username juga).
Pertama akan saya jelaskan dulu kasus sangat sederhana, lalu akan saya jelaskan kenapa passkey yang sederhana ini berkembang jadi agak rumit dan membingungkan bagi user biasa. Saya jelaskan dengan contoh kasus Apple dulu karena Passkey dulu diperkenalkan oleh Apple, tapi passkey ini sekarang bisa dipakai untuk Android, Windows, dan OS Lain.
Kalau kita hanya memiliki sebuah iPhone tanpa software tambahan, passkey ini sangat sederhana. Ketika mendaftar sebuah website atau mengaktifkan fitur passkey pada akun sebuah website (catatan penting: tentunya websitenya harus mendukung login dengan passkey), maka iPhone akan membuat sebuah angka rahasia (key) baru khusus untuk website itu, disimpan di hardware iPhone.
Ketika kita ingin login, website akan mengirimkan sebuah data unik (istilahnya: challenge). iPhone akan mengkonfirmasi bahwa kita memang ingin login, dan meminta face scan atau PIN. Setelah dikonfirmasi, iPhone akan mengirimkan balasan dari challenge, dengan menggunakan key yang sudah kita simpan ketika mendaftarkan passkey. Website akan mengkonfirmasi bahwa nilainya benar, lalu user login.

Ini bisa dianalogikan dengan gembok dan anak kunci, ketika kita register passkey, komputer akan membuat gembok dan anak kunci virtual. Gemboknya dikirim ke server, kuncinya kita yang pegang. Ketika login, servernya akan memasukkan sebuah angka ke dalam kotak, mengunci dengan gembok, lalu dikirim ke kita. Karena kita punya anak kunci, kita bisa buka, lihat isinya, lalu kita bisa mengirimkan angka balasan ke server. Server bisa membandingkan angka itu, kalau sama maka kita boleh login.
Lanjutkan membaca “Passkeys: Solusi Anti-phishing dan Typosquatting”




