Serangan 'Pass-ta-key' Ancam Keamanan Passkey Google Password Manager

Selama beberapa tahun terakhir, passkey digadang-gadang sebagai pengganti kata sandi yang lebih aman sekaligus lebih praktis. Namun, kabar terbaru dari dunia keamanan siber menunjukkan bahwa teknologi ini tidak sepenuhnya kebal serangan. Sekelompok peneliti keamanan berhasil menembus passkey yang dikelola melalui Google Password Manager di browser Chrome menggunakan metode yang mereka beri nama "Pass-ta-key". Temuan ini penting bagi siapa pun yang sudah beralih dari kata sandi ke passkey, karena membuktikan bahwa lapisan perlindungan baru pun tetap menyimpan celah yang bisa dieksploitasi.

Apa Itu Passkey dan Mengapa Dianggap Lebih Aman

Passkey adalah kredensial digital berbasis kriptografi (ilmu pengamanan data dengan teknik matematika) yang dirancang untuk menggantikan kata sandi tradisional. Ibarat seperti kunci rumah pintar: Anda tidak lagi perlu menghafal kombinasi angka, cukup menempelkan jari atau memindai wajah, dan pintu pun terbuka. Dalam konteks digital, "pintu" itu adalah akun Anda, sedangkan "kuncinya" berupa sepasang kunci kriptografis — satu kunci publik disimpan di server layanan, satu kunci privat tersimpan aman di perangkat pengguna.

Teknologi ini dibangun di atas standar FIDO2 (Fast Identity Online) dan WebAuthn (Web Authentication), yakni kerangka kerja otentikasi yang dikembangkan oleh FIDO Alliance bersama World Wide Web Consortium (W3C). Karena kunci privat tidak pernah meninggalkan perangkat dan tidak bisa diketik ulang oleh pengguna, passkey secara teori tahan terhadap phishing (pencurian data lewat situs palsu) — serangan yang selama ini menjadi momok utama kata sandi.

Google mulai menggelar dukungan passkey secara luas sejak 2023 dan mengintegrasikannya ke dalam Google Password Manager di ekosistem Android serta browser Chrome. Data industri menunjukkan adopsi passkey terus menanjak, dengan platform besar seperti Google, Apple, dan Microsoft menjadi motor penggeraknya. Kini, miliaran akun di seluruh dunia sudah bisa menggunakan metode login tanpa kata sandi ini.

Serangan 'Pass-ta-key' Menembus Pertahanan Chrome

Nama "Pass-ta-key" mungkin terdengar jenaka — pelesetan dari kata "pasta" — tetapi implikasinya serius. Para peneliti mendemonstrasikan bahwa passkey berbasis Chrome bisa dilewati, membuka peluang bagi penyerang untuk mengakses akun tanpa harus memiliki perangkat asli milik korban.

Secara umum, serangan terhadap implementasi passkey biasanya menyasar titik lemah di luar kriptografi intinya. Algoritma kunci publik-privat itu sendiri hingga kini belum terbukti jebol; yang kerap menjadi sasaran adalah lapisan di sekitarnya, misalnya mekanisme sinkronisasi antarperangkat, proses pemulihan akun, atau cara aplikasi memverifikasi dari perangkat mana permintaan login berasal. Ibarat brankas dengan kunci terkuat di dunia, pencuri tidak perlu membobol bajanya jika berhasil menipu penjaga pintunya.

Temuan ini menggarisbawahi perbedaan penting antara keamanan standar di atas kertas dan keamanan implementasi di dunia nyata. Standar WebAuthn mungkin kokoh, tetapi setiap platform menerjemahkannya dengan cara berbeda — dan justru di situlah celah keamanan bisa muncul.

Mengapa Ini Penting bagi Jutaan Pengguna

Google Chrome adalah browser paling populer di dunia dengan pangsa pasar di atas 60 persen menurut data StatCounter. Artinya, jika ada celah pada implementasi passkey di Chrome, potensi korbannya mencapai skala ratusan juta pengguna. Banyak di antara mereka adalah pengguna awam yang beralih ke passkey justru karena dijanjikan keamanan lebih tinggi tanpa kerumitan.

Situasi ini juga menjadi pengingat bagi perusahaan dan pengembang aplikasi. Disrupsi dari kata sandi ke passkey memang membawa lompatan keamanan, tetapi migrasi besar-besaran tanpa audit menyeluruh bisa menciptakan rasa aman semu. Bagi layanan perbankan, kesehatan, dan pemerintahan yang mulai mengadopsi passkey, temuan semacam ini seharusnya memicu evaluasi ulang terhadap arsitektur otentikasi mereka.

Apa yang Bisa Dilakukan Pengguna

Pertama, tidak perlu panik lalu kembali ke kata sandi. Passkey tetap jauh lebih aman dibanding kata sandi biasa, terutama dalam menahan serangan phishing massal. Kedua, aktifkan perlindungan berlapis: gunakan autentikasi dua faktor (2FA) atau verifikasi dua langkah sebagai cadangan, dan pastikan akun Google Anda dilindungi kata sandi kuat. Pengguna berisiko tinggi bisa mempertimbangkan fitur keamanan lanjutan seperti Advanced Protection Program.

Ketiga, biasakan memperbarui browser Chrome dan sistem operasi perangkat ke versi terbaru, karena perbaikan keamanan umumnya disalurkan lewat pembaruan. Keempat, waspadai permintaan login yang tidak biasa — sebagian besar serangan modern tetap mengandalkan rekayasa sosial (manipulasi psikologis korban) daripada menembus enkripsi secara langsung.

Bagi industri, publikasi metode seperti "Pass-ta-key" justru membawa manfaat. Penelitian keamanan yang bertanggung jawab memaksa platform memperbaiki celah sebelum dieksploitasi luas oleh penjahat siber. Ekosistem keamanan digital selalu bergerak dalam siklus serang dan bertahan, dan transparansi penelitian adalah bahan bakar inovasi pertahanan di masa depan.