Materi
Passkey adalah pengganti kata sandi yang dibangun di atas standar WebAuthn dan kriptografi kunci publik. Apple menjelaskan cara kerjanya: saat mendaftar, perangkat membuat sepasang kunci khusus untuk akun itu. Kunci publik disimpan di server dan tidak rahasia; kunci privat tetap di perangkat dan tidak pernah diketahui server. Untuk memakainya, kamu membuka kunci perangkat dengan sidik jari, wajah, atau PIN.
Karena tidak ada rahasia bersama yang dikirim, tidak ada yang bisa diketik ke situs palsu. Google menulis bahwa passkey tidak bisa dibagikan, disalin, dicatat, atau tidak sengaja diberikan kepada orang lain, sehingga lebih aman terhadap phishing.
NIST SP 800-63B-4 membedakan metode yang tahan phishing dan yang tidak. Kata sandi, OTP, kode lewat saluran lain seperti SMS, dan kode cadangan dinyatakan tidak tahan phishing, karena semuanya bisa diketik korban ke halaman tiruan. Autentikasi kriptografis seperti passkey dan kunci keamanan FIDO tahan phishing, karena kuncinya hanya bisa dipakai di domain tempat ia dibuat.
Contoh: Andi masuk ke surelnya dengan passkey di ponsel. Kalau ia tertipu membuka halaman tiruan di domain penipu, ponselnya tidak menemukan passkey untuk domain itu, jadi tidak ada yang bisa diserahkan. Google juga mencatat kode lewat SMS atau telepon rentan terhadap pembajakan nomor telepon, dan menganjurkan notifikasi Google atau passkey sebagai langkah kedua.
