Serangan Pass-ta-key Buka Celah Keamanan Passkey Google Chrome

Selama beberapa tahun terakhir, passkey digadang-gadang sebagai masa depan keamanan digital — teknologi yang disebut-sebut akan mengakhiri era kata sandi yang mudah diretas. Namun, kabar terbaru dari dunia keamanan siber memaksa kita berpikir ulang. Sekelompok peneliti keamanan berhasil menembus sistem passkey berbasis Chrome yang dikelola Google Password Manager melalui metode serangan yang mereka namai "Pass-ta-key". Bagi ratusan juta pengguna Android dan Chrome — termasuk di Indonesia yang merupakan salah satu pasar pengguna Google terbesar di dunia — temuan ini bukan sekadar berita teknis, melainkan peringatan langsung tentang keamanan akun yang kita pakai setiap hari.

Apa Itu Passkey? Ibarat Kunci Rumah yang Tak Bisa Digandakan

Untuk memahami mengapa temuan ini penting, kita perlu memahami dulu apa itu passkey. Passkey adalah kredensial digital pengganti kata sandi yang dibangun di atas standar FIDO2 (Fast Identity Online) dan protokol WebAuthn (Web Authentication). Alih-alih mengetik kombinasi huruf dan angka, pengguna cukup memverifikasi diri dengan sidik jari, pemindaian wajah, atau PIN perangkat.

Ibarat seperti kunci rumah: kata sandi adalah kunci yang bisa digandakan siapa saja jika mereka tahu bentuknya, sedangkan passkey adalah kunci yang hanya bisa dipakai oleh pemilik aslinya karena tersimpan terkunci di dalam perangkat. Secara teknis, passkey menggunakan kriptografi kunci publik — sepasang kunci digital di mana kunci privat tersimpan aman di perangkat pengguna, sementara kunci publik disimpan di server layanan. Karena kunci privat tidak pernah meninggalkan perangkat, peretas yang membobol server tidak akan mendapatkan apa pun yang berguna.

Inovasi inilah yang membuat Google, Apple, dan Microsoft berlomba mengimplementasikan passkey sejak 2022. Google sendiri mulai mengaktifkan passkey secara default untuk akun pribadi pada Oktober 2023, dan mengklaim lebih dari 400 juta akun Google telah menggunakannya dengan lebih dari 1 miliar proses autentikasi hingga awal 2024.

Serangan Pass-ta-key: Retakan di Tembok yang Dikira Kokoh

Namun, sekokoh-kokohnya tembok, selalu ada celah yang bisa ditemukan. Tim peneliti keamanan mendemonstrasikan bahwa passkey yang tersimpan dan disinkronkan melalui Google Password Manager di Chrome bisa dilewati menggunakan teknik yang mereka sebut Pass-ta-key. Alih-alih membobol enkripsi passkey itu sendiri — yang secara matematis nyaris mustahil — serangan semacam ini umumnya menargetkan implementasi dan alur autentikasi di sekitarnya.

Dalam penelitian keamanan siber, pola serangan terhadap passkey biasanya berfokus pada tiga titik lemah: pertama, memanipulasi proses sinkronisasi kredensial antarperangkat; kedua, menipu browser agar menurunkan metode login ke opsi yang lebih lemah; dan ketiga, menyusupkan perangkat lunak jahat (malware) yang beroperasi di dalam browser untuk mencegat proses verifikasi. Pendekatan seperti ini menegaskan satu prinsip lama di dunia keamanan: rantai keamanan hanya sekuat mata rantai terlemahnya.

Yang perlu digarisbawahi, keberhasilan peneliti menembus sistem ini bukan berarti passkey kini menjadi tidak aman. Temuan semacam ini justru bagian dari ekosistem penelitian keamanan yang sehat — lebih baik celah ditemukan oleh peneliti yang bertanggung jawab daripada oleh pelaku kejahatan siber yang memanfaatkannya secara diam-diam.

Mengapa Ini Penting bagi Pengguna di Indonesia?

Indonesia adalah salah satu negara dengan pengguna Android terbesar di dunia, dengan lebih dari 180 juta pengguna internet. Mayoritas mengandalkan akun Google sebagai pintu masuk ke email, perbankan digital, dompet digital, hingga layanan pemerintahan. Jika implementasi passkey di ekosistem Google memiliki celah, maka risiko potensialnya menyentuh hampir seluruh aktivitas digital masyarakat.

Disrupsi kecil pada lapisan keamanan bisa berdampak besar. Bayangkan seseorang yang telah meninggalkan kata sandi sepenuhnya dan hanya bergantung pada passkey — jika satu-satunya kunci itu bisa dilewati, tidak ada lagi lapisan cadangan yang melindungi akunnya dari penyalahgunaan.

Apa yang Bisa Dilakukan Pengguna Saat Ini?

Para pakar keamanan menyarankan beberapa langkah praktis. Pertama, jangan meninggalkan autentikasi dua faktor atau 2FA (verifikasi dua langkah) meski sudah memakai passkey — perlindungan berlapis tetap lebih aman. Kedua, selalu perbarui browser Chrome dan sistem operasi ke versi terbaru, karena tambalan keamanan biasanya dirilis cepat setelah celah dilaporkan. Ketiga, waspadai tautan mencurigakan, karena sebagus apa pun teknologinya, rekayasa sosial (phishing) tetap menjadi pintu masuk favorit peretas. Keempat, aktifkan fitur pemeriksaan keamanan bawaan Google untuk memantau aktivitas login yang tidak dikenal.

Google sendiri memiliki program bug bounty — imbalan bagi peneliti yang menemukan dan melaporkan celah keamanan — sehingga temuan seperti ini umumnya berujung pada perbaikan cepat. Hingga artikel ini ditulis, pengguna disarankan tetap tenang namun waspada: passkey masih jauh lebih aman dibanding kata sandi biasa, tetapi tidak ada teknologi yang benar-benar kebal serangan.

Kasus Pass-ta-key adalah pengingat bahwa dalam pengembangan teknologi keamanan, perlombaan antara pelindung dan penyerang tidak pernah benar-benar selesai. Yang bisa kita lakukan sebagai pengguna adalah memahami risikonya, mengikuti perkembangan penelitian terbaru, dan menerapkan langkah perlindungan berlapis di setiap akun penting yang kita miliki.