Serangan 'Pass-ta-key' Ancam Keamanan Passkey di Google Password Manager

Selama bertahun-tahun, kita diminta percaya bahwa masa depan keamanan digital adalah dunia tanpa kata sandi. Kini, keyakinan itu mulai retak. Sekelompok peneliti keamanan berhasil mendemonstrasikan metode serangan baru yang mereka beri nama 'Pass-ta-key', yang mampu menerobos perlindungan passkey berbasis Chrome yang tersimpan di Google Password Manager. Bagi ratusan juta pengguna Android dan Chrome di seluruh dunia — termasuk Indonesia yang merupakan salah satu pasar Android terbesar — temuan ini bukan sekadar berita teknis, melainkan peringatan langsung tentang keamanan akun bank, email, dan layanan digital yang dipakai setiap hari.

Passkey sendiri adalah teknologi autentikasi yang dikembangkan oleh FIDO Alliance (Fast Identity Online), sebuah konsorsium yang beranggotakan Google, Apple, dan Microsoft. Teknologi ini menggantikan kata sandi tradisional dengan pasangan kriptografi kunci publik dan kunci privat. Ibarat seperti gembok dan anak kunci: kunci publik disimpan di server layanan, sementara kunci privat tersimpan di perangkat pengguna dan hanya bisa diaktifkan lewat sidik jari, pemindaian wajah, atau PIN. Karena kunci privat tidak pernah meninggalkan perangkat, passkey secara teori tahan terhadap phishing (pencurian data lewat situs palsu) — kelemahan utama kata sandi konvensional.

Retakan Pertama pada Benteng Tanpa Kata Sandi

Google mulai menggelar dukungan passkey secara luas pada Mei 2023, dan sejak itu ratusan juta akun Google telah mengadopsinya dengan miliaran proses autentikasi tercatat. Namun, popularitas yang meroket justru membuat teknologi ini menjadi target menarik bagi peneliti maupun pelaku kejahatan siber. Dalam demonstrasi 'Pass-ta-key', tim peneliti menunjukkan bahwa passkey yang disinkronkan melalui Google Password Manager di peramban Chrome bisa ditembus, membuka kemungkinan pihak tak berwenang memanfaatkan kredensial tersebut untuk kepentingan mereka.

Yang perlu digarisbawahi: serangan ini tidak merusak algoritma kriptografi di balik passkey itu sendiri. Standar WebAuthn (Web Authentication) — protokol yang menjadi fondasi passkey — tetap kokoh. Celah justru muncul di lapisan implementasi, yakni cara passkey disimpan, disinkronkan, dan diakses melalui ekosistem akun Google di Chrome. Ini ibarat brankas dengan kunci terkuat di dunia, tetapi pintu ruang penyimpanannya ternyata bisa dibobol lewat jalur lain.

Mengapa Lapisan Sinkronisasi Menjadi Titik Lemah

Google Password Manager bekerja dengan menyimpan passkey di cloud (komputasi awan) dan menyinkronkannya antarperangkat yang terhubung ke satu akun Google. Desain ini memberi kenyamanan luar biasa: pengguna bisa masuk ke layanan apa pun dari ponsel, laptop, atau tablet tanpa perlu mendaftarkan ulang kunci. Namun, kenyamanan itu membawa konsekuensi — keamanan seluruh passkey kini bertumpu pada satu titik, yaitu keamanan akun Google dan perangkat yang digunakan.

Para ahli keamanan telah lama mengingatkan adanya trade-off (timbal balik) antara kenyamanan dan proteksi. Passkey yang terikat pada satu perangkat keras — misalnya kunci keamanan fisik berbasis USB atau NFC (Near Field Communication/komunikasi jarak dekat) — jauh lebih sulit dicuri karena tidak berpindah ke mana-mana. Sebaliknya, passkey yang disinkronkan berpindah lintas perangkat, sehingga permukaan serangannya lebih luas. Jika penyerang berhasil menguasai sesi login atau perangkat korban, seluruh brankas kredensial berpotensi ikut terbuka.

Apa Artinya bagi Pengguna di Indonesia

Apakah Anda harus berhenti menggunakan passkey? Jawaban singkatnya: tidak. Temuan semacam ini justru bagian penting dari pengembangan teknologi yang sehat — celah ditemukan lebih dulu oleh pihak yang bertanggung jawab sebelum dieksploitasi secara massal oleh penjahat siber. Dibandingkan kata sandi yang bisa ditebak, bocor dalam peretasan basis data, atau dicuri lewat phishing, passkey tetap jauh lebih aman untuk kebutuhan sehari-hari.

Meski demikian, ada beberapa langkah yang bisa dilakukan pengguna untuk memperkuat pertahanan. Pertama, aktifkan verifikasi dua langkah (two-factor authentication/2FA) pada akun Google, idealnya menggunakan aplikasi autentikator atau kunci keamanan fisik, bukan SMS. Kedua, pastikan perangkat selalu menjalankan pembaruan keamanan terbaru, karena banyak serangan memanfaatkan celah lama yang sebenarnya sudah ditambal. Ketiga, untuk akun-akun sangat sensitif seperti perbankan, pertimbangkan passkey yang tersimpan di perangkat keras khusus atau setidaknya di platform dengan enkripsi ujung-ke-ujung (end-to-end encryption), di mana data hanya bisa dibaca oleh pemiliknya.

Google sendiri secara berkala memperbarui mekanisme perlindungan Password Manager, termasuk enkripsi pada perangkat (on-device encryption) yang membuat passkey tidak bisa dibaca bahkan oleh Google sekalipun. Temuan 'Pass-ta-key' kemungkinan besar akan mempercepat implementasi perlindungan tambahan pada ekosistem tersebut.

Masa Depan Autentikasi: Evolusi, Bukan Kegagalan

Kasus ini mengingatkan kita pada satu hukum klasik keamanan siber: tidak ada sistem yang 100 persen kebal. Disrupsi dari kata sandi ke passkey tetap merupakan lompatan besar, tetapi perjalanan menuju dunia tanpa kata sandi akan terus diwarnai penelitian, penemuan celah, dan perbaikan berkelanjutan. Bagi pengguna awam, pelajaran terpentingnya sederhana: teknologi secanggih apa pun tetap membutuhkan kebiasaan digital yang sehat — dari memperbarui perangkat hingga waspada terhadap tautan mencurigakan. Inovasi boleh berlari cepat, tetapi kewaspadaan tidak boleh tertinggal.