“Passkey” adalah nama untuk proses masuk yang disederhanakan ke situs web yang tiba dengan kejayaannya akhir tahun ini dengan macOS 13 Ventura, iOS 16, dan iPadOS 16. Kunci sandi bergantung pada standar industri yang didukung secara luas untuk memungkinkan Anda melakukan login terenkripsi dengan hampir tidak ada usaha dari Anda setelah penyiapan awal.
Anda dapat mencoba kunci sandi tanpa menginstal beta publik dari sistem operasi yang akan datang ini, karena Apple membuat dukungan kunci sandi dalam bentuk pratinjau ke Safari di semua sistem operasinya di iOS 15, iPadOS 15, dan Safari 15 dengan macOS 12 Monterey. Dengan rilis penuh kunci sandi dalam beberapa minggu atau bulan, dan Google dan Microsoft mengumumkan dukungan untuk teknologi yang kompatibel, Anda mungkin akan melihat opsi untuk menambahkan login kata sandi di banyak situs web pada musim gugur ini.
Beginilah proses kerjanya.
ID Apple
Dimulai dengan iOS 17 Dan macOS 14 Sonoma, ID Apple Anda akan mendukung otentikasi kata sandi. Di mana pun Anda perlu masuk dengan ID Apple Anda, termasuk situs web dan icloud.com, Anda akan memiliki dua opsi untuk masuk: dengan kata sandi standar atau dengan menekan tombol “Lanjutkan dengan Apple” yang akan menampilkan kode QR yang dapat dipindai dengan kamera iPhone Anda untuk membuat kode unik.
Daftar di situs web
Kunci sandi terdiri dari sepasang kunci enkripsi, yang umumnya dikenal sebagai kriptografi kunci publik. Saat Anda mengunjungi server yang mendukung WebAuthn (teknologi yang diperlukan untuk menerima, menyimpan, dan berinteraksi dengan kunci sandi), browser Anda akan menampilkan kunci publik pasangan enkripsi. Kunci publik tidak dapat digunakan untuk masuk tetapi untuk membuktikan identitas Anda: Anda memiliki kunci pribadi, yang dibuat di perangkat Anda dan tidak pernah meninggalkannya untuk masuk.
Untuk mendaftar, Anda mengunjungi situs web yang menawarkan dukungan kunci sandi. Sebuah situs mungkin menyatakan mendukung kunci sandi secara umum, mengatakan bahwa situs tersebut memiliki dukungan WebAuthn, atau menyatakan bahwa situs tersebut kompatibel dengan FIDO2, CTAP, atau “kredensial FIDO multi-perangkat”. Semua istilah tersebut berarti Anda dapat menggunakan kunci sandi Apple (atau Google atau Microsoft) sebagai kredensial login Anda. (FIDO2 adalah nama yang diberikan oleh Aliansi FIDO grup perdagangan, bagian penting untuk mewujudkan kunci sandi dan WebAuthn, dan di mana Apple, Microsoft, dan Google menjadi anggotanya.)
Prosesnya akan bekerja sangat mirip dengan saat Anda mendaftar di situs untuk autentikasi dua faktor (2FA) atau jika sebelumnya Anda telah menggunakan kunci perangkat keras untuk WebAuthn, seperti yang dibuat oleh Yubico:
- Masuk menggunakan nama pengguna dan kata sandi Anda yang ada.
- Situs mungkin meminta Anda untuk verifikasi tambahan. Ini mungkin berupa tautan yang dikirim melalui email, kode teks, atau permintaan untuk pengakuan 2FA dengan kode atau melalui aplikasi yang sudah Anda instal di iPhone atau iPad.
- Bagian keamanan situs memungkinkan Anda memilih untuk menggunakan kunci sandi atau salah satu nama alternatif di atas.
- Server web mendorong permintaan ke browser Anda untuk memberikan informasi enkripsi.
- Anda diminta untuk menyetujui permintaan ini dengan Touch ID, Face ID, atau kata sandi perangkat Anda, bergantung pada apa yang tersedia dan diaktifkan.
- Jika Anda berhasil memvalidasi identitas Anda, perangkat Anda menghasilkan pasangan kunci publik/pribadi. Kunci pribadi disimpan di perangkat Anda dan tidak pernah dikirim ke situs jarak jauh.
- Browser Anda mengirimkan kunci publik bersama dengan pesan yang ditandatangani secara kriptografis yang dapat divalidasi oleh server menggunakan kunci publik yang disediakan: hanya seseorang yang perangkatnya memegang kunci privat yang dapat menghasilkan pesan yang dapat diverifikasi.
- Server web menyimpan kunci publik Anda untuk login Anda di masa mendatang.
Menyiapkan login kunci sandi dapat menonaktifkan 2FA di akun Anda atau memungkinkan Anda memilih login kunci sandi alih-alih jalur 2FA. Kunci sandi memberikan bukti kepemilikan rahasia dan perangkat penyimpanannya, secara efektif dua faktor. (Beberapa situs dan layanan dengan keamanan lebih tinggi mungkin masih memerlukan 2FA, bukan atau sebagai tambahan, kunci sandi.)
Anda dapat melihat proses kunci sandi bekerja dengan beberapa bagian teknis yang mendasarinya diekspos Webauthn.me, sebuah situs yang dibuat oleh Auth0, penyedia layanan autentikasi. Beberapa situs produksi saat ini menawarkan login yang kompatibel dengan kunci sandi, tetapi saat ini jumlahnya cukup sedikit. Anda dapat menyetel akun Google atau Dropbox untuk menggunakan “kunci keamanan” dan menggunakan kunci sandi sebagai gantinya. Lihat di bawah untuk pengalaman saya dengan itu.
Masuk dengan kunci sandi
Di situs yang terdaftar, Anda dapat menggunakan kunci pas yang tersimpan saat Anda harus masuk lagi. Anda mungkin telah memperhatikan bahwa banyak situs web telah mulai memisahkan pengiriman email nama pengguna atau akun dari pengiriman kata sandi–yang tampaknya merupakan persiapan untuk kunci sandi .
Dengan situs yang sepenuhnya siap untuk kunci sandi, Anda akan mengetuk atau mengklik nama pengguna atau kolom email akun dan diminta oleh Safari untuk memvalidasi login kunci sandi. Dalam beberapa kasus, Safari mungkin menanyakan terlebih dahulu apakah Anda ingin mengizinkan login Touch ID atau “kunci keamanan” di situs; klik Mengizinkan untuk melanjutkan. Kemudian Anda dapat mengautentikasi melalui Touch ID, Face ID, atau kata sandi perangkat Anda seperti saat pendaftaran. Itu dia! Menggunakan Webauthn.me situs yang disebutkan di atas, Anda dapat menguji ini di Langkah 4 dari prosesnya.
Dengan beberapa situs yang memiliki dukungan WebAuthn tetapi belum sepenuhnya selaras dengan proses kunci sandi yang disederhanakan, Anda mungkin diminta untuk melakukan login nama pengguna dan sandi normal sebelum situs memulai urutan yang meminta kunci sandi browser Anda.
Saya dapat mendaftar dengan kunci sandi di Dropbox dengan memilih opsi Kunci Keamanan dan mengikuti petunjuk dalam Safari untuk macOS. (Saat masuk ke Dropbox melalui Safari, klik avatar Anda di pojok kanan atas, klik Keamanan tautan, dan klik Menambahkan di samping “Kunci keamanan”. Ketika ditanya apakah Anda telah memasukkan kunci, pastikan Anda sudah melakukannya.)
Login selanjutnya berfungsi di Safari untuk macOS tetapi tidak di Safari untuk iOS, mungkin karena kurangnya dukungan sinkronisasi Rantai Kunci iCloud sebelum rilis sistem operasi baru. Di iOS 16, iPadOS 15, dan Ventura, dengan Rantai Kunci iCloud diaktifkan, kunci sandi akan disinkronkan dan dicantumkan di Pengaturan > Kata sandi di iOS/iPadOS dan Pengaturan sistem > Kata sandi di Ventura.
Apple akan mengizinkan Anda berbagi kunci sandi dengan pengguna Apple lainnya dengan mengirimkannya secara aman melalui AirDrop. Ini akan membagikan kunci publik dan pribadi dan memberi orang tingkat akses akun yang sama seperti jika Anda memberi mereka nama pengguna, kata sandi, dan token dua faktor untuk akun Anda.
Masuk dari perangkat lain
Beberapa situs akan membiarkan Anda menentukan login passkey sebagai satu-satunya metode Anda untuk mendapatkan akses. Jadi bagaimana jika Anda mencoba masuk dari perangkat yang tidak menyimpan kunci sandi Anda, seperti komputer komunal atau keluarga, perangkat di tempat kerja, atau perangkat yang dapat Anda akses saat bepergian? Atau Anda perlu menggunakan sistem Windows atau ponsel Android untuk mengakses situs karena fitur khusus untuk platform tersebut? Apple menunjukkan pendekatan yang cerdas dalam pengenalannya tentang kunci sandi di Worldwide Developer Conference 2022 yang membutuhkan kode QR dan Bluetooth.
Prosesnya bekerja seperti ini:
- Di perangkat dengan sistem operasi atau browser yang cukup baru untuk mendukung login WebAuthn, saat Anda memasukkan nama akun di situs web yang menggunakan kunci sandi.
- Situs tersebut akan menanyakan browser untuk kunci sandi, dan browser akan menemukan bahwa tidak ada kunci sandi. Anda kemudian dapat mengklik untuk memberikan kunci sandi melalui proxy, seperti dengan mengklik “Tambahkan telepon baru”.
- Situs mengirimkan kueri yang menyebabkan browser menampilkan Kode QR.
- Di iPhone atau iPad, Anda memindai Kode QR dan mengetuk perintah “Masuk dengan kunci sandi”.
- Di perangkat Anda, klik Melanjutkan lalu setujui login dengan Touch ID, Face ID, atau kata sandi perangkat Anda.
- Browser menunjukkan bahwa Anda sedang login.
apel
Selama proses ini, perangkat tempat Kode QR ditampilkan dan iPhone atau iPad Anda secara diam-diam membuat koneksi melalui Bluetooth dan bertukar informasi kunci. Hal ini memungkinkan perangkat Anda mendapatkan jaminan bahwa login terjadi menggunakan perangkat yang ada di dekatnya untuk mencegah serangan jarak jauh, dan Bluetooth backchannel saluran terenkripsi yang terpisah dari koneksi browser, menghindari serangan phishing yang menghadirkan login palsu.
Setelah Anda mengautentikasi login Anda di perangkat lain itu, sesi Anda berjalan seperti biasa. Pastikan dan logout setelah selesai untuk menghapus status.
Masa depan adalah kunci sandi
Kesederhanaan kunci sandi menyembunyikan kecanggihan. Untuk kali ini, kami mendapatkan kemudahan, tanpa biaya tambahan untuk mengelola proses, dan tingkat keamanan setinggi mungkin. Setiap info masuk unik, disimpan untuk Anda, dan diverifikasi di kedua arah—oleh perangkat Anda dan situs—untuk memastikan hanya orang yang memiliki akses ke perangkat Anda yang dapat masuk ke situs.
