• 

Selama beberapa dekade, kata sandi (password) telah menjadi metode tunggal untuk memverifikasi identitas pengguna di internet. Namun, ketergantungan industri terhadap kata sandi membawa kerentanan keamanan siber yang sangat besar. Pengguna cenderung menggunakan kata sandi yang lemah, mudah ditebak, dan memakainya berulang kali di berbagai situs yang berbeda (credential stuffing). Selain itu, taktik rekayasa sosial seperti phishing yang semakin canggih dapat dengan mudah mengelabui pengguna untuk menyerahkan kata sandi mereka secara cuma-cuma kepada peretas.

Untuk memutus rantai kerentanan ini, aliansi FIDO (Fast IDentity Online) bersama W3C merumuskan standar autentikasi baru yang revolusioner: FIDO2 dan WebAuthn (Web Authentication), atau yang lebih populer dikenal di tingkat konsumen dengan nama Passkeys. Passkeys memungkinkan pengguna untuk masuk (login) ke akun digital mereka dengan sangat aman tanpa perlu mengetikkan sebaris kata sandi pun, melainkan menggunakan verifikasi biometrik lokal (sidik jari atau pemindaian wajah) atau kunci keamanan fisik.

Bagaimana Kriptografi Kunci Asimetris Mengamankan Passkeys?

Berbeda dengan sistem kata sandi tradisional di mana server menyimpan teks kata sandi Anda yang di-hash di dalam database (yang rentan bocor jika server diretas), Passkeys bekerja berdasarkan prinsip Kriptografi Kunci Asimetris (Asymmetric Cryptography).

[ PERANGKAT KLIEN / USER ]                           [ SERVER AUTENTIKASI ]
(Menyimpan Kunci Privat / Private Key)               (Menyimpan Kunci Publik / Public Key)
           │                                                    │
           ├──────────── 1. Kirim Tantangan (Challenge) ────────┤
           │                                                    │
    [ Tanda Tangani ]                                           │
[ Challenge dengan Private Key ]                                │
           │                                                    │
           ├──────────── 2. Kirim Tanda Tangan (Assertion) ─────►
                                                        [ Verifikasi Tanda Tangan ]
                                                        - COCOK: Akses Diberikan -

Ketika Anda mendaftarkan Passkey pada sebuah website:

1. Perangkat Anda (misal: ponsel atau laptop) menghasilkan sepasang kunci kriptografi yang unik dan saling terhubung secara matematis: Kunci Publik (Public Key) dan Kunci Privat (Private Key).
2. Perangkat Anda mengirimkan Kunci Publik ke server website untuk disimpan secara aman di database. Kunci publik ini bersifat tidak sensitif; siapa pun boleh mengetahuinya karena kunci ini hanya bisa digunakan untuk memverifikasi, bukan untuk meretas.
3. Kunci Privat tetap disimpan secara offline di dalam cip keamanan khusus (Secure Enclave atau TPM) di dalam perangkat fisik Anda. Kunci privat ini tidak pernah dikirimkan ke internet, server, atau pihak ketiga mana pun.
4. Saat Anda ingin login kembali, server mengirimkan sebuah string acak (Challenge). Perangkat Anda menandatangani tantangan tersebut menggunakan kunci privat setelah Anda memverifikasi biometrik sidik jari Anda secara lokal. Server kemudian mencocokkan tanda tangan tersebut menggunakan kunci publik Anda. Jika perhitungan matematisnya valid, akses masuk langsung diberikan.

Rumus Keamanan Kriptografis WebAuthn

Keamanan tanda tangan digital pada WebAuthn didasarkan pada tingkat kesulitan pemecahan algoritma matematika kurva eliptik (Elliptic Curve Cryptography / ECC), seperti algoritma ES256 (ECDSA using P-256 and SHA-256).

Beban komputasi teoretis untuk memecahkan kunci privat dari kunci publik $P$ yang terdaftar pada kurva eliptik didefinisikan oleh rumus masalah logaritma diskret kurva eliptik (Elliptic Curve Discrete Logarithm Problem):

$$P = d \times G$$

Di mana:

• $P$ = Kunci Publik (Point on the Elliptic Curve).
• $d$ = Kunci Privat (sebuah angka integer acak berukuran sangat besar yang harus dijaga kerahasiaannya).
• $G$ = Titik Generator dasar (Base Point) yang disepakati secara global pada kurva eliptik.
• $\times$ = Operasi perkalian titik (Scalar Multiplication) pada kurva eliptik yang bersifat satu arah (one-way function).

Dampak Teknis: Menghitung $P$ dari $d$ dan $G$ sangat mudah bagi komputer, namun melakukan kalkulasi terbalik untuk mencari nilai kunci privat $d$ dari nilai $P$ dan $G$ yang terekspos di publik membutuhkan daya komputasi superkomputer selama miliaran tahun, membuat enkripsi Passkeys mustahil ditembus secara brute force.

Perbandingan Keamanan: Passwords vs MFA vs Passkeys

Berikut adalah tabel matriks perbandingan antara metode login konvensional dengan infrastruktur Passkeys modern:

Parameter Evaluasi	Kata Sandi Tradisional (Passwords)	Autentikasi Dua Faktor (MFA – SMS/OTP)	Autentikasi Passkeys (FIDO2/WebAuthn)
Ketahanan Phishing	Nol (Pengguna bisa ditipu untuk memasukkan sandi di situs palsu).	Rendah (Peretas bisa membuat halaman OTP palsu secara real-time).	Mutlak (100% Kebal) (Browser dan OS memvalidasi domain secara kriptografis).
Keamanan Database	Rentan (Jika database server bocor, kredensial pengguna terancam).	Sedang (Server menyimpan nomor telepon atau kunci rahasia OTP).	Sangat Aman (Server hanya menyimpan kunci publik yang tidak berguna bagi peretas).
Kenyamanan Pengguna	Buruk (Harus mengingat, mengetik, dan mengganti sandi berkala).	Sedang (Harus menunggu SMS atau membuka aplikasi autentikator).	Sangat Tinggi (Cukup gunakan sidik jari atau wajah dalam $1$ detik).
Kerentanan Sim Swap	Tidak Ada.	Sangat Tinggi (Peretas bisa menduplikasi nomor kartu SIM korban).	Nol (Tidak menggunakan SMS/jaringan seluler).
Biaya Operasional	Rendah (Hanya setup basis data user biasa).	Tinggi (Membutuhkan biaya pengiriman SMS OTP harian).	Sangat Rendah (Menggunakan Web API browser gratis bawaan).

Panduan Taktis: Registrasi Passkeys Menggunakan JavaScript WebAuthn API

Berikut adalah contoh implementasi kode JavaScript sederhana di sisi frontend browser untuk memulai proses pendaftaran (registration) Passkeys baru bagi pengguna:

// Memeriksa apakah browser mendukung teknologi WebAuthn
if (window.PublicKeyCredential) {
  console.log("Browser ini mendukung teknologi Passkeys (WebAuthn)!");
}

async function daftarkanPasskeyBaru() {
  // 1. Dapatkan parameter tantangan (challenge) dari server backend Anda terlebih dahulu
  const responServer = await fetch("/api/auth/register-challenge");
  const opsiTantangan = await responServer.json();

  // Konversikan string challenge berformat base64 menjadi array biner (ArrayBuffer)
  const challengeBuffer = Uint8Array.from(atob(opsiTantangan.challenge), c => c.charCodeAt(0));
  const userIdBuffer = Uint8Array.from(atob(opsiTantangan.user.id), c => c.charCodeAt(0));

  // 2. Buat objek konfigurasi kredensial PublicKey
  const opsiKredensialPublicKey = {
    challenge: challengeBuffer,
    rp: {
      name: "Fixproject Official",
      id: "fixproject.net" // Domain wajib berupa HTTPS yang valid
    },
    user: {
      id: userIdBuffer,
      name: "user@fixproject.net",
      displayName: "User Fixproject"
    },
    pubKeyCredParams: [
      { type: "public-key", alg: -7 },   // Algoritma ES256 (ECDSA SHA-256)
      { type: "public-key", alg: -257 }  // Algoritma RS256 (RSA SHA-256)
    ],
    authenticatorSelection: {
      authenticatorAttachment: "platform", // Gunakan biometrik lokal bawaan perangkat (wajah/sidik jari)
      userVerification: "required"         // Wajibkan verifikasi pengguna
    },
    timeout: 60000
  };

  try {
    // 3. Panggil API browser untuk membuat kredensial baru (Memicu pop-up TouchID/FaceID)
    const kredensialBaru = await navigator.credentials.create({
      publicKey: opsiKredensialPublicKey
    });

    console.log("Pendaftaran Passkey Sukses! Mengirimkan kunci publik ke server...");
    
    // Kirim objek kredensialBaru ke backend untuk memvalidasi tanda tangan awal dan menyimpan Kunci Publik
    await kirimKunciPublikKeBackend(kredensialBaru);
    alert("Passkey berhasil didaftarkan dan aktif!");
    
  } catch (error) {
    console.error("Proses registrasi Passkey dibatalkan oleh pengguna atau gagal.", error);
  }
}

FAQ: Tanya Jawab Seputar Passkeys

Apakah saya akan kehilangan akses ke akun jika ponsel saya yang menyimpan Passkeys hilang? Tidak perlu khawatir. Ekosistem Passkeys modern dirancang untuk terintegrasi dengan manajer kata sandi bawaan sistem operasi cloud Anda (Cloud Keychain seperti Apple iCloud Keychain, Google Password Manager, atau Microsoft Credentials). Ketika Anda mendaftarkan Passkey di iPhone Anda, kunci tersebut akan disinkronkan secara aman ke akun cloud Anda, sehingga jika ponsel Anda hilang, Anda dapat memulihkannya secara otomatis pada ponsel baru Anda saat login menggunakan akun iCloud/Google yang sama.

Mengapa Passkeys dikatakan 100% kebal terhadap serangan phishing? Pada serangan phishing konvensional, peretas membuat website palsu dengan domain yang mirip (misalnya fixpr0ject.net) untuk menipu pengguna agar memasukkan kredensial mereka. Pada sistem Passkeys, API WebAuthn browser secara otomatis mengikat pembuatan kunci kriptografi ke domain asal (origin domain) yang terverifikasi secara eksak. Ketika Anda berada di situs palsu fixpr0ject.net, browser Anda mendeteksi bahwa domain tersebut tidak cocok dengan domain fixproject.net tempat kunci privat didaftarkan, sehingga browser menolak mengirimkan tanda tangan kriptografis, melenyapkan risiko penipuan secara mutlak.

Bagaimana cara mendukung pengguna yang komputernya tidak memiliki sensor biometrik sidik jari? Mekanisme WebAuthn mendukung fitur Cross-Device Authentication (Autentikasi Lintas Perangkat). Jika komputer desktop pengguna tidak memiliki sensor biometrik, browser akan menampilkan kode QR di layar komputer. Pengguna cukup memindai kode QR tersebut menggunakan kamera ponsel pintar mereka yang memiliki sensor FaceID/sidik jari untuk menyelesaikan proses login dengan aman secara nirkabel via bluetooth terenkripsi.