JAKARTA, Terdepan.id — Lanskap keamanan siber kembali diguncang oleh temuan yang menggoyahkan

Munculnya Pass-ta-key dan Reaksi Publik

Olshtein merinci serangan tersebut dalam laporan Unit 42 yang dipublikasikan pekan lalu. Nama Pass-ta-key sendiri merupakan permainan kata dari passkey, frasa pass the key, dan sekaligus referensi ke pasta—makanan ikonik Italia. Meski namanya terdengar unik, serangan yang didemonstrasikan ini ternyata bukanlah hal yang sepenuhnya baru maupun eksklusif untuk ekosistem passkey. Distingsi ini sangat penting karena banyak pihak yang langsung mempertanyakan apakah mekanisme autentikasi tanpa kata sandi ini benar-benar aman untuk digunakan sehari-hari.

1. Minggu lalu: Arie Olshtein merilis laporan teknis yang mendetailkan celah pada Google Password Manager versi Windows.
2. Reaksi awal: Komunitas keamanan dan pengguna akhir terkejut lantaran diyakini bahwa passkey selalu disimpan secara eksklusif dalam Trusted Platform Module (TPM), chip silikon khusus yang dirancang untuk mengamankan kunci kriptografi dan data sensitif.
3. Klarifikasi teknis: Praktik penyimpanan passkey pada GPM di Windows ternyata berbeda dengan platform lainnya, sehingga memungkinkan ekstraksi oleh malware lokal.
4. Penilaian risiko: Beberapa pakar menegaskan bahwa serangan ini sebenarnya tidak novel dan sebagian besar bergantung pada kompromi mesin lokal terlebih dahulu.

Mitos TPM dan Realitas Penyimpanan di Windows

Keraguan terbesar berasal dari asumsi umum bahwa passkey secara otomatis disimpan dalam TPM (Trusted Platform Module), enklave terkunci dalam chip silikon yang dihardening khusus untuk menyimpan kunci kriptografi di mesin Windows. Jika passkey memang berada dalam TPM, banyak yang bertanya-tanya bagaimana Pass-ta-key bisa mengekstrak seluruh set passkey yang tersimpan aplikasi tersebut. Jawabannya terletak pada perlakuan berbeda yang diterapkan sistem operasi Windows terhadap aplikasi pengelola passkey.

Berbeda dengan ekosistem mobile seperti iOS atau Android yang mengintegrasikan passkey ke dalam secure enclave perangkat keras dengan kebijakan akses yang ketat, implementasi Google Password Manager pada Windows tampaknya tidak selalu memanfaatkan TPM secara eksklusif untuk seluruh datanya. Akibatnya, dalam skenario di mana mesin Windows telah dikompromikan oleh malware dengan hak akses yang memadai, ekstraksi passkey menjadi teknis mungkin. Namun demikian, kondisi ini bukanlah kelemahan fundamental pada spesifikasi passkey itu sendiri, melainkan lebih kepada cara platform dan aplikasi pengelola mengimplementasikan standar tersebut.

Penilaian Bahaya dan Rekomendasi

Meski temuan Pass-ta-key berhasil mengungkap aspek teknis yang sebelumnya jarang diketahui publik, para analis menekankan bahwa tingkat ancaman sebaiknya dipandang secara proporsional. Serangan ini memerlukan prasyarat kompromi total terhadap mesin target melalui malware lokal. Artinya, pengguna yang menjaga kebersihan perangkat—dengan antivirus terbaru, pembaruan sistem rutin, dan kehati-hatian terhadap unduhan—memiliki lapisan pertahanan yang kuat. Lebih jauh, serangan semacam ini pada dasarnya dapat pula menargetkan vault kata sandi tradisional, sehingga risikonya tidak unik bagi passkey.

Kejadian ini sekaligus menjadi pengingat bahwa transisi dari kata sandi ke passkey bukanlah solusi ajaib yang kebal total dari segala bentuk eksploitasi. Faktor kunci terletak pada bagaimana vendor—dalam hal ini Google dan Microsoft—menyelaraskan implementasi penyimpanan kriptografi dengan karakteristik keamanan perangkat keras yang dimiliki pengguna. Hingga saat ini, Google belum memberikan pernyataan resmi mengenai rencana perubahan arsitektur penyimpanan GPM di Windows, namun tekanan dari komunitas keamanan diperkirakan akan mendorong pembaruan dalam waktu dekat.

Bagi pengguna yang mengandalkan passkey sebagai metode utama masuk ke akun-akun penting, disarankan untuk mengaktifkan lapisan autentikasi tambahan, memastikan sistem operasi Windows dalam kondisi terpatch, dan mempertimbangkan penggunaan perangkat keras khusus seperti security key FIDO2 jika ketersediaan memungkinkan. Keamanan autentikasi modern tetap bergantung pada kombinasi teknologi yang kuat dan praktik kebersihan digital yang disiplin.