Passkey vs FIDO2: Perbandingan Mendalam untuk Autentikasi Tanpa Kata Sandi yang Aman

By Mirko Peters · 2026-04-26 · Updated 2026-09-13

Bandingkan passkey dan kunci keamanan FIDO2 untuk autentikasi tanpa kata sandi yang tahan phishing, mencakup WebAuthn, Microsoft Entra ID, pemulihan, dan penerapan di lingkungan perusahaan.

Automatically translated with AI from the original post. Read the English original

passkey vs FIDO2 memerlukan keputusan yang jelas dan praktis berdasarkan skenario pengguna, kebutuhan keamanan, serta lingkungan Microsoft 365. Mulailah dari hasil yang ingin dicapai, validasi panduan terkini dari Microsoft, uji dengan pengguna yang representatif, dan dokumentasikan kepemilikannya sebelum menerapkan pendekatan ini secara luas.

Daftar periksa praktis passkey vs FIDO2

• Tentukan skenario bisnis dan pemilik yang bertanggung jawab.
• Validasi desain dengan pilot yang representatif.
• Tinjau implikasi keamanan, akses, dan dukungan.

Rujuk Microsoft Learn untuk panduan produk terkini.

Terakhir ditinjau: Juli 2026.

Mengamankan akun digital tanpa repot—atau tanpa risiko—dari kata sandi kini menjadi standar emas yang baru. Jika Anda sedang mengkaji autentikasi modern untuk diri sendiri atau organisasi, hampir mustahil tidak mendengar tentang FIDO2 dan passkey. Kedua istilah ini sering disebut, tetapi apa sebenarnya maknanya, dan bagaimana keduanya benar-benar dibandingkan dari sisi keamanan, kemudahan penggunaan, dan kebutuhan penerapan di dunia nyata—terutama di lingkungan yang sangat bergantung pada Microsoft?

Panduan ini mengupas hal-hal pokok: cara kerja FIDO2 dan passkey, apa yang membedakan keduanya, dan mengapa keduanya mengubah cara kita masuk ke berbagai perangkat dan layanan cloud. Anda akan mendapatkan poin praktis tentang model ancaman, kepatuhan, pengalaman pengguna, dan detail teknis penyiapan autentikasi tanpa kata sandi yang benar-benar andal. Baik Anda mengelola Microsoft 365, memimpin tim TI sendiri, maupun sekadar ingin akun yang sulit diutak-atik oleh pelaku kejahatan, Anda berada di tempat yang tepat.

Apa Itu FIDO2 dan Passkey?

FIDO2 adalah standar terbuka untuk autentikasi tanpa kata sandi, dikembangkan oleh FIDO Alliance dan World Wide Web Consortium (W3C). Tujuan utamanya adalah memungkinkan pengguna masuk secara aman tanpa kata sandi, dengan memanfaatkan kriptografi kunci publik. Inti FIDO2 terdiri dari dua protokol utama: WebAuthn (untuk situs web dan aplikasi) dan CTAP (untuk komunikasi dengan authenticator seperti ponsel atau kunci perangkat keras).

Passkey adalah implementasi FIDO2 yang ramah pengguna. Secara sederhana, “passkey” pada dasarnya adalah kredensial FIDO2 yang dikelola untuk Anda oleh sistem operasi perangkat, seperti iCloud Keychain milik Apple, Google Password Manager, atau Credential Manager milik Microsoft. Passkey menggantikan kata sandi tersendiri, sehingga Anda dapat masuk dengan membuka kunci perangkat atau menggunakan biometrik seperti Face ID, Touch ID, atau Windows Hello.

Inilah poin utamanya: meskipun semua passkey bergantung pada FIDO2 di baliknya, tidak setiap kredensial FIDO2 dipasarkan sebagai “passkey”. Passkey biasanya menghadirkan kemudahan tambahan seperti sinkronisasi antarperangkat atau pemulihan yang mudah, tetapi mekanisme kriptografi yang digunakan—kunci publik dan kunci privat—tetap sama. Jika kata sandi tradisional adalah rahasia yang harus Anda hafal, FIDO2 dan passkey justru menyimpan rahasia (kunci privat) terkunci di perangkat Anda, dan hanya membagikan bukti kepada server, tidak pernah kunci itu sendiri.

Sebagai rangkuman: FIDO2 menyediakan perangkat standar, sedangkan passkey menghadirkan perangkat tersebut di saku, laptop, atau cloud Anda, dengan tetap menjanjikan proses masuk tanpa kata sandi yang tahan phishing.

Menghilangkan Kata Sandi dan Mencapai Ketahanan terhadap Phishing

Inti FIDO2 dan passkey bukan sekadar membuat proses masuk lebih mudah, meskipun itu nilai tambah yang menyenangkan. Yang utama adalah benar-benar menghentikan penggunaan kata sandi, yang terkenal lemah terhadap phishing, serangan penggunaan ulang, dan tebakan brute-force. Dengan FIDO2 dan passkey, autentikasi didasarkan pada kriptografi kunci publik: tidak ada kata sandi yang dikirim atau disimpan sehingga dapat dipancing atau dicuri oleh penyerang.

Anda memulai proses masuk dengan membuka kunci perangkat, misalnya dengan sidik jari, pemindaian wajah, atau PIN perangkat. Perangkat kemudian membuktikan kepemilikan kunci privat secara kriptografis, dengan cara yang hanya berfungsi bersama server yang tepat (disebut relying party), dan kunci Anda tidak pernah dikirim melalui jaringan. Bahkan jika peretas menipu Anda dengan situs web palsu, kunci tersebut tidak akan berfungsi karena terikat pada origin situs yang asli.

Pendekatan ini hampir membuat serangan phishing klasik, seperti pencurian kredensial melalui situs palsu yang mirip, menjadi usang. Tidak ada kata sandi yang bisa dicuri dan dipakai ulang di tempat lain, dan penyerang tidak bisa memutar ulang kredensial yang sudah disadap karena setiap proses masuk menggunakan tantangan (challenge) baru. Credential stuffing, yaitu penyerang memakai kata sandi yang bocor untuk login massal, juga tidak lagi berguna dengan passkey.

Organisasi beramai-ramai beralih ke cara ini bukan hanya demi keamanan teknis, tetapi juga untuk alasan kepatuhan dan bisnis. Dengan menerapkan FIDO2 dan passkey, terutama bersama Microsoft Defender for Office 365 dan Microsoft Purview untuk tata kelola data, perusahaan dapat memblokir seluruh kelas serangan berbasis kredensial tanpa menambah beban bagi penggunanya.

Cara Kerja Autentikasi FIDO2 di Balik Layar

Untuk memahami mengapa FIDO2 jauh lebih aman dibandingkan proses login konvensional, ada baiknya kita melihat ke dalam "kotak hitam" tersebut. Intinya, FIDO2 menggunakan kriptografi kunci publik untuk membuktikan identitas Anda kepada sebuah layanan, tanpa pernah membuka rahasia yang sebenarnya membuka akun Anda.

Saat Anda menyiapkan login FIDO2 (atau mendaftarkan passkey), perangkat Anda membuat sepasang kunci unik: satu kunci publik dan satu kunci privat. Kunci publik dikirim ke layanan yang ingin Anda masuki, sedangkan kunci privat tidak pernah meninggalkan perangkat Anda. Pada setiap proses masuk, server menantang perangkat Anda untuk membuktikan bahwa Anda memiliki kunci privat tersebut, biasanya dengan menandatangani nilai acak, lalu memeriksa hasilnya menggunakan kunci publik yang disimpannya.

Semua ini bergantung pada penyimpanan dan verifikasi pengguna yang dikontrol secara ketat. Artinya, kunci privat Anda tersimpan dalam secure enclave dan hanya dapat diakses ketika Anda membuka kunci perangkat atau memberikan data biometrik. Inilah alasan utama mengapa adopsi FIDO2 dan passkey berkembang pesat di sistem yang mampu menerapkan keamanan berbasis perangkat keras, seperti Microsoft Windows, Apple macOS/iOS, dan Android.

Kita akan membahas secara rinci cara alur registrasi dan autentikasi bekerja, serta bagaimana kredensial Anda dilindungi dan terikat pada perangkat Anda, di bagian-bagian berikutnya.

Penjelasan Alur Registrasi dan Autentikasi FIDO2

1. Registrasi: Saat Anda pertama kali mendaftar ke layanan menggunakan FIDO2, perangkat Anda membuat pasangan kunci kriptografi baru. Kunci publik dikirim ke layanan (relying party), sedangkan kunci privat tetap berada di perangkat Anda.
2. Atestasi: Perangkat dapat membuktikan kepada layanan bahwa ia adalah authenticator yang sah dengan memberikan sertifikat atestasi, yang memastikan kredensial dibuat di dalam perangkat keras yang aman.
3. Autentikasi: Saat login, layanan mengirimkan tantangan (challenge) yang unik. Perangkat Anda menandatangani tantangan tersebut dengan kunci privat setelah verifikasi pengguna melalui PIN, sidik jari, atau metode lainnya.
4. Validasi Server: Tantangan yang sudah ditandatangani dikembalikan ke server, lalu diverifikasi menggunakan kunci publik yang tersimpan. Jika hasilnya cocok, Anda berhasil masuk; tidak ada rahasia yang dipertukarkan, sehingga tidak ada yang bisa di-phishing.

Penyimpanan Aman dan Pengikatan Perangkat untuk Passkey

• Keamanan Berbasis Perangkat Keras: Passkey dan kredensial FIDO2 umumnya disimpan dalam perangkat keras khusus yang aman, seperti Trusted Platform Module (TPM), Secure Enclave (Apple), atau chip Titan M (Google). Hal ini memisahkan kunci Anda dari bagian perangkat lainnya sehingga serangan jauh lebih sulit dilakukan.
• Autentikasi Biometrik atau PIN: Untuk menggunakan passkey, Anda harus membukanya terlebih dahulu, biasanya melalui metode biometrik atau PIN perangkat. Data biometrik itu sendiri tidak pernah meninggalkan perangkat keras atau dikirim ke layanan online, sehingga identitas Anda tetap terjaga kerahasiaannya.
• Pengikatan Perangkat: Pasangan kunci kriptografi terikat pada perangkat fisik Anda, bukan hanya pada akun online Anda. Artinya, calon penyerang harus menguasai perangkat Anda dan menembus proteksi lokal untuk bisa masuk.
• Proteksi Ekspor/Sinkronisasi Kredensial: Untuk platform yang menyinkronkan passkey antarperangkat (seperti iCloud Keychain atau Google Password Manager), kredensial dienkripsi secara end-to-end. Hanya perangkat Anda, dengan autentikasi yang tepat, yang dapat membaca atau menggunakan passkey tersebut.
• Keamanan Siklus Hidup: Perangkat dapat menghapus kredensial secara aman saat Anda mereset atau menonaktifkannya. Organisasi dapat menerapkan akses bersyarat dan tata kelola melalui solusi seperti Microsoft Entra ID dan kebijakan Akses Bersyarat untuk mengendalikan penggunaan kredensial dan menangani kompromi.

Membandingkan Passkey yang Disinkronkan dan Solusi Terikat Perangkat Lunak

Tidak semua passkey dibuat sama. Begitu Anda menyiapkan autentikasi tanpa kata sandi, Anda akan segera melihat perbedaan dalam cara kredensial Anda dikelola, terutama apakah kredensial tersebut disinkronkan ke seluruh perangkat Anda melalui cloud, atau hanya terkunci pada satu perangkat. Pilihan arsitektur ini memiliki konsekuensi nyata bagi kegunaan dan risiko.

Passkey yang disinkronkan, seperti yang Anda dapatkan dari iCloud Keychain di perangkat Apple atau Google Password Manager di Android, memungkinkan Anda mengakses login di ponsel, tablet, dan komputer—sering kali dengan kenyamanan yang mengesankan. Namun, hal ini membawa trade-off keamanan dan keandalannya sendiri, terutama terkait potensi paparan jika penyedia cloud dibobol atau tautan sinkronisasi terputus.

Di sisi lain, passkey terikat perangkat lunak sepenuhnya berada pada satu perangkat. Jika Anda ingin beralih ke perangkat baru, Anda harus mentransfer atau mendaftarkan ulang secara manual. Kadang ini hanya sedikit merepotkan, namun bagi organisasi yang mengelola ribuan pengguna dan pembaruan perangkat yang berjalan tanpa campur tangan, hal ini bisa menjadi penghalang utama.

Selanjutnya, kita akan membahas mengapa model-model ini penting, risiko apa yang dibawa masing-masing pendekatan, dan cara memilih yang tepat untuk lingkungan Anda, baik saat melindungi login pribadi maupun saat menerapkan tanpa kata sandi untuk seluruh perusahaan.

Passkey yang Disinkronkan Lintas Perangkat: Manfaat dan Risiko

• Kenyamanan Multi-Perangkat: Passkey yang disinkronkan (seperti iCloud atau Google Password Manager) memungkinkan Anda masuk dari perangkat apa pun dalam ekosistem Anda secara instan, menciptakan pengalaman yang mulus di seluruh ponsel, tablet, dan laptop.
• Pemulihan Otomatis: Kehilangan perangkat? Passkey Anda tetap aman dan dapat dipulihkan dari perangkat tepercaya lainnya, sehingga mengurangi skenario terkunci dari akun dan beban kerja dukungan teknis.
• Risiko dari Ketergantungan pada Cloud: Karena kredensial melewati cloud—meskipun terenkripsi—risikonya meningkat jika penyedia sinkronisasi dibobol atau mengalami gangguan, sehingga postur keamanan Anda bergantung pada pihak ketiga.
• Ekosistem Tertutup Platform: Sinkronisasi biasanya paling baik bekerja dalam ekosistem yang sama, seperti semua perangkat Apple atau semua perangkat Google, sehingga menimbulkan hambatan saat pengguna berpindah antara iOS, Android, Windows, atau macOS.

Passkey Terikat Perangkat Lunak dan Trade-off Sinkronisasi Perangkat

• Keamanan Khusus Lokal: Passkey ini terikat erat pada satu perangkat, sehingga tidak ada cloud pihak ketiga yang dapat membocorkannya jika diretas. Ini ideal untuk lingkungan yang menuntut isolasi yang lebih ketat.
• Portabilitas Terbatas: Jika Anda berpindah perangkat, Anda harus mengekspor, memigrasikan, atau mereset passkey secara manual. Ini menambah beban kerja, tetapi dapat mengurangi area serangan.
• Pemulihan yang Menantang: Jika perangkat Anda hilang atau rusak, passkey lokal Anda ikut hilang. Merencanakan cadangan yang aman atau protokol pemulihan yang jelas sangat penting untuk menghindari terkunci secara permanen.
• Kesesuaian Kasus Penggunaan: Organisasi dengan kebutuhan jaminan tinggi atau yang diatur regulasi (misalnya sektor keuangan atau pemerintahan) sering kali lebih memilih metode ini untuk akun istimewa dan sistem sensitif, meskipun membutuhkan usaha operasional tambahan.

Kunci Keamanan Perangkat Keras dan Autentikator Eksternal Dijelaskan

Kunci keamanan perangkat keras adalah perangkat fisik khusus yang digunakan untuk autentikasi tanpa kata sandi dengan FIDO2 dan sistem passkey. Perangkat ini hadir dalam berbagai bentuk, biasanya dongle USB, NFC, atau Bluetooth, yang Anda bawa di gantungan kunci atau simpan di dekat stasiun kerja. Model populer mencakup YubiKey, SoloKey, dan Feitian.

Yang membedakan kunci keamanan perangkat keras adalah desainnya yang tahan terhadap rekayasa ulang (tamper resistance). Rahasia kriptografis (kunci privat) dihasilkan di dalam perangkat dan tidak pernah keluar, bahkan jika komputer atau ponsel yang terhubung telah disusupi. Hal ini membuatnya sangat tangguh terhadap serangan phishing maupun malware, sehingga perangkat ini menjadi pilihan untuk akun administrator, root, atau akun bernilai tinggi.

Berbeda dengan passkey yang terikat pada platform, kunci perangkat keras mengandalkan standar industri seperti Client to Authenticator Protocol (CTAP) untuk berinteraksi dengan perangkat dan API browser (seperti WebAuthn). Artinya, kunci ini umumnya dapat digunakan di banyak sistem, tidak terikat pada platform Apple, Google, atau Microsoft, selama aplikasi target mendukung FIDO2.

Beberapa lingkungan, terutama sektor yang diatur ketat atau berisiko tinggi, mewajibkan penggunaan kunci tersebut untuk kepatuhan atau keamanan tingkat AAL3 (tingkat jaminan tertinggi sebagaimana didefinisikan oleh NIST SP 800-63B). Meskipun tidak sepraktis passkey yang disinkronkan ke semua perangkat Anda, kunci ini menawarkan keamanan kelas atas untuk peran yang tidak boleh sampai dikompromikan.

Siklus Hidup Kredensial dan Keamanan di Setiap Tahap

Beralih ke FIDO2 dan passkey bukan hanya soal layar login yang lebih baik, melainkan memperketat keamanan di seluruh siklus hidup kredensial. Setiap langkah, mulai dari saat passkey pertama kali dibuat hingga saat digunakan, disimpan, atau dicabut, menghadirkan tantangan dan permukaan serangan yang berbeda.

Memahami siklus hidup ini membantu organisasi menentukan di mana kontrol dan tata kelola keamanan perlu difokuskan. Misalnya, pembuatan kredensial memerlukan atestasi dan pengikatan yang kuat, sementara penggunaan aktif harus dipantau terhadap upaya phishing atau kompromi perangkat. Penyimpanan dan pencadangan, yang selalu menjadi titik lemah pada kata sandi, dapat menjadi kekuatan dengan kredensial yang terikat perangkat dan enkripsi cloud yang andal.

Pengelolaan siklus hidup juga mencakup aspek yang kurang menarik tetapi krusial: rotasi, pencabutan, dan pemulihan akun. Menjaga kendali atas siapa yang memiliki kunci apa, memastikan pembersihan yang tertib saat karyawan keluar, serta mampu merespons perangkat yang hilang atau disusupi tanpa mengganggu produktivitas, semuanya merupakan bagian dari panduan passwordless yang cerdas.

Untuk lingkungan Microsoft, penerapan praktik siklus hidup kredensial yang kuat terkait erat dengan strategi tata kelola data dan akses yang lebih luas, sebagaimana terlihat pada sumber seperti Microsoft 365 Data Access Governance, di mana kepemilikan, akuntabilitas, dan proses peninjauan sangat penting untuk kolaborasi yang aman.

Pembuatan Kredensial, Serangan, dan Manajemen Status

• Pembuatan Aman: Selalu hasilkan kredensial FIDO2 di keystore yang didukung perangkat keras, dengan atestasi yang kuat untuk memastikan asal perangkat yang autentik.
• Ketahanan terhadap Phishing: Alur autentikasi passkey dan FIDO2 pada dasarnya tahan terhadap phishing, karena rahasia tidak pernah dikirimkan dan tantangan tanda tangan bersifat unik untuk setiap sesi.
• Serangan Replay dan MITM: Tantangan kriptografi yang unik dan sekali pakai mencegah penyerang memutar ulang respons yang disadap atau melancarkan serangan man-in-the-middle.
• Manajemen Status: Tinjau status kredensial secara berkala, cabut kunci yang tidak terpakai atau telah disusupi, dan pelihara inventaris, terutama untuk akun dengan hak istimewa atau akses tinggi.

Pemulihan, Pencabutan, dan Batasan Kredensial

Tidak ada sistem yang sempurna. Bahkan passkey dan kunci keamanan terkuat pun dapat hilang, dicuri, atau rusak. Merencanakan pemulihan dan pencabutan kredensial sangat penting, terutama jika Anda memindahkan tim atau organisasi ke autentikasi tanpa kata sandi dalam skala besar.

Ketika passkey atau kredensial FIDO2 hilang, opsi pemulihannya bergantung pada cara pengelolaannya. Untuk passkey yang disinkronkan (seperti iCloud Keychain milik Apple atau Google Password Manager), Anda biasanya dapat memulihkan kredensial ke perangkat baru setelah melewati autentikasi tingkat perangkat dan langkah pemulihan. Cara ini meminimalkan waktu henti, tetapi menempatkan kepercayaan pada keamanan dan mekanisme pemulihan penyedia cloud.

Kunci keamanan menambah lapisan kompleksitas: kehilangan kunci perangkat keras berarti Anda harus sudah mendaftarkan kunci cadangan atau memiliki prosedur override admin. Jika tidak, Anda bisa benar-benar terkunci dari akun. Pencabutan ditangani oleh server: setelah Anda melaporkan kunci sebagai hilang, kunci publik dihapus dari profil Anda sehingga kredensial yang hilang tidak lagi dapat digunakan.

Di sisi lain, terlalu bergantung pada fitur cadangan dan pemulihan dapat melemahkan keamanan. Proses pemulihan harus diperkuat terhadap rekayasa sosial dan ancaman dari orang dalam. Peninjauan rutin dan otomatisasi melalui alat seperti Microsoft Purview Audit dapat membantu organisasi memantau penggunaan kredensial, peristiwa pencabutan, dan potensi risiko terhadap kepatuhan atau kebutuhan investigasi forensik.

Pada akhirnya, memilih strategi pemulihan dan pencabutan berarti menyeimbangkan kenyamanan pengguna dengan kontrol yang kuat—tidak ada satu pendekatan yang cocok untuk semua. Memetakan skenario kehilangan perangkat dan menerapkan solusi pemulihan akun bertingkat adalah hal yang esensial untuk setiap penerapan tanpa kata sandi yang serius.

Passkey vs. Kunci Keamanan: Memilih Opsi yang Tepat

Saat tiba waktunya memutuskan, pilihan antara passkey dan kunci keamanan perangkat keras bergantung pada kasus penggunaan, kebutuhan kenyamanan pengguna, dan lingkungan ancaman Anda. Keduanya memiliki fondasi yang sama—protokol FIDO2 dan kriptografi kunci publik—tetapi perilakunya sangat berbeda dalam penggunaan sehari-hari.

Passkey unggul di lingkungan tempat pengguna membutuhkan akses yang mulus di berbagai perangkat—misalnya pengguna akhir dengan ponsel, tablet, laptop, dan aplikasi cloud seperti Microsoft 365. Kekuatannya ada pada kemudahan penggunaan: buka kunci perangkat Anda dan Anda langsung masuk, bahkan di antara berbagai perangkat pribadi atau kerja.

Kunci keamanan, di sisi lain, memberikan keamanan tertinggi—sangat penting bagi admin, pengguna dengan hak istimewa, atau siapa pun yang sama sekali tidak boleh berisiko disusupi. Sifatnya yang portabel menjadikannya ideal untuk skenario ketika Anda perlu melakukan autentikasi dari sistem yang tidak dikelola atau sistem publik. Kelemahannya: jika Anda lupa membawanya, kehilangannya, atau merusaknya, proses memulihkan akses bisa lebih merepotkan.

Dalam konteks yang diatur ketat dan berisiko tinggi, menerapkan kunci keamanan sebagai lapisan dalam pendekatan Zero Trust (seperti yang dijelaskan dalam Zero Trust for Microsoft 365) memastikan verifikasi berkelanjutan yang mengikuti model ancaman yang berubah dengan cepat, sekaligus meminimalkan gangguan bagi pengguna.

Aplikasi Perusahaan dan Industri yang Diatur: 1Kosmos 1Key dan Lainnya

1. 1Kosmos 1Key untuk Jaminan Tinggi: Solusi ini menghadirkan autentikasi tanpa kata sandi yang sesuai FIDO2, dirancang untuk memenuhi persyaratan AAL3 yang ketat berdasarkan NIST SP 800-63B. Solusi ini menggabungkan pembuktian biometrik, kepercayaan perangkat, dan faktor autentikasi dinamis bagi pengguna dengan hak istimewa dan akun berisiko tinggi.
2. Integrasi Perusahaan yang Lebih Baik: 1Key terintegrasi dengan lancar ke platform bisnis Microsoft, mengotomatiskan penyediaan identitas, pengelolaan siklus hidup akses, dan pencabutan untuk penerapan cloud yang dapat diskalakan.
3. Kepatuhan Regulasi: Platform ini mendukung pemetaan kepatuhan siap pakai untuk industri yang diatur—keuangan, kesehatan, dan pemerintahan—sehingga memungkinkan verifikasi identitas, pencatatan yang kuat, dan jejak audit yang memenuhi kewajiban pelaporan yang ketat.
4. Akses Warga dan Karyawan yang Aman: Organisasi yang menerapkan aplikasi cloud atau portal yang diakses warga memperoleh akses tanpa kata sandi sambil tetap menjaga pembuktian identitas dan tata kelola, sekaligus mengurangi beban operasional akibat kredensial yang hilang atau reset kata sandi.
5. Sinergi Power Platform dan Tata Kelola: Mengaitkan solusi seperti 1Key dengan kerangka tata kelola yang lebih luas (sebagaimana dibahas dalam Power Platform governance best practices) membantu menyelaraskan keamanan berbasis identitas dengan kebijakan data, konektor, dan lingkungan perusahaan.

Meningkatkan Pengalaman Pengguna dan Autentikasi Multi-Perangkat

Jika ada satu hal yang disepakati pengguna dan admin, itu adalah bahwa kata sandi sangat menyebalkan. Passkey bertujuan memperbaiki hal itu dengan membuat proses masuk menjadi sederhana, intuitif, dan tidak terlalu membuat stres—terutama di berbagai perangkat dan platform cloud. Dengan passkey, tidak perlu lagi mengingat frasa yang rumit atau mengatur ulang kata sandi setelah setiap kampanye "kesadaran keamanan" triwulanan.

Keuntungan besar dari passkey adalah autentikasi multi-perangkat. Setelah disimpan di keychain akun Anda (baik milik Apple, Google, maupun Microsoft), Anda bisa masuk hampir seketika di perangkat yang terhubung dalam ekosistem yang sama. Menyetujui proses masuk hanya dengan pemindaian wajah atau sidik jari tidak hanya mempercepat proses, tetapi juga sangat mengurangi gesekan bagi pengguna yang berpindah-pindah antarperangkat atau lokasi.

Dari sisi adopsi, mengurangi gesekan adalah segalanya. Banyak tim TI khawatir akan muncul penolakan akibat kebijakan kata sandi yang dipaksakan atau lonjakan tiket helpdesk karena akun terkunci. Passkey meminimalkan hal ini—pengguna tidak perlu berurusan dengan kata sandi, kelelahan saat login, atau siklus reset berulang. Hambatan adopsi cenderung lebih berkaitan dengan kompatibilitas ekosistem atau pengaturan awal perangkat, dan keduanya membaik dengan cepat.

Organisasi yang cerdas memprioritaskan strategi rollout dengan menguji passkey terlebih dahulu pada tim kecil, mengumpulkan umpan balik, dan mengotomatisasi pendaftaran perangkat. Dengan cara ini, prosesnya tetap stabil dan ramah pengguna tanpa mengorbankan keamanan.

Pertanyaan Umum, Security Keys vs Passkeys, dan Keamanan Akses Jarak Jauh

• Apakah passkey dan security key itu sama? Tidak sepenuhnya. Passkey adalah kredensial digital FIDO2 yang dikelola oleh perangkat atau layanan cloud Anda; security key adalah perangkat fisik yang Anda colokkan atau sentuhkan untuk melakukan autentikasi. Keduanya memakai fondasi kriptografi yang sama.
• Bisakah saya menggunakan passkey di perangkat Apple, Google, dan Windows? Sampai batas tertentu. Passkey yang disinkronkan paling optimal di dalam satu ekosistem; dukungan lintas platform memang ada, tetapi bisa tidak konsisten, dan kompatibilitas browser terhadap fitur FIDO2 juga bervariasi.
• Apakah passkey saya bisa dicuri dari jarak jauh? Selama perangkat Anda (beserta akun cloud cadangannya) tidak disusupi, pencurian passkey dari jarak jauh sangat tidak mungkin. Kuncinya sendiri tidak pernah meninggalkan perangkat dalam bentuk tidak terenkripsi.
• Apakah passkey aman untuk kerja jarak jauh dan akses cloud? Ya, asalkan dipadukan dengan kebijakan perangkat dan alat seperti Microsoft Defender dan Purview. Passkey memberikan autentikasi jarak jauh yang kuat dan secara signifikan mengurangi risiko dari phishing, malware, dan pencurian identitas.
• Apakah pengelola kata sandi dapat menyimpan passkey? Versi terbaru dari pengelola seperti 1Password, iCloud Keychain, dan Google Password Manager kini mendukung passkey. Namun, selalu periksa kompatibilitas dan dukungan FIDO2/WebAuthn saat mengintegrasikannya dengan alur identitas Anda.

Kesimpulan, Perbandingan Keamanan, dan Rekomendasi Akhir

1. Poin Keamanan: Baik passkey maupun kredensial FIDO2 menghilangkan kata sandi beserta kelemahannya. Passkey unggul dari sisi kemudahan penggunaan bagi sebagian besar pengguna, sementara security key perangkat keras tetap menjadi pilihan utama dalam skenario dengan tingkat jaminan tinggi.
2. Kemudahan Penggunaan vs. Portabilitas: Passkey yang disinkronkan menawarkan login multi-perangkat yang mulus, sehingga cocok untuk pengguna umum maupun armada perangkat perusahaan. Security key perangkat keras menawarkan portabilitas, tetapi mengharuskan Anda selalu membawa token fisik.
3. Strategi Penerapan: Untuk lingkungan yang diatur regulasi, terapkan keamanan berlapis: kombinasikan passkey untuk pengguna umum, security key untuk admin, dan solusi perusahaan seperti 1Kosmos 1Key untuk alur kerja yang memenuhi AAL3.
4. Siklus Hidup dan Pemulihan: Rencanakan alur pemulihan dan pencabutan sebelum migrasi. Cadangan dan audit (lihat Governance for AI and access control) sangat penting untuk menghindari downtime atau penyimpangan kepatuhan.
5. Kesiapan Masa Depan: Pantau perkembangan standar untuk interoperabilitas dan kepatuhan, khususnya di lingkungan Microsoft 365 dan Azure, agar tetap siap menghadapi tantangan identitas dan ancaman baru.

Langkah Selanjutnya dan Pembelajaran Lanjutan tentang Keamanan Identitas

• Dokumentasi Microsoft: Pelajari dokumentasi resmi tentang FIDO2, passkey, dan penerapan tanpa kata sandi di Microsoft 365 dan Azure.
• Podcast Keamanan Identitas: Dengarkan diskusi praktis tentang audit dan tata kelola di M365.fm: Auditing User Activity with Microsoft Purview.
• Panduan Teknis: Tinjau blog teknis tentang pengaturan dan pemecahan masalah autentikasi FIDO2 dan passkey untuk skala enterprise.
• Praktik Terbaik Kepatuhan: Pelajari NIST SP 800-63B dan cara solusi tanpa kata sandi terkemuka selaras dengan tingkat jaminan (IAL, AAL).
• Forum Komunitas: Bergabunglah dengan forum keamanan, Microsoft 365, dan manajemen identitas untuk mengajukan pertanyaan dan berbagi tips implementasi nyata dengan sesama praktisi.

🎧 Anda Juga Sebaiknya Dengarkan

• Identity Governance in Microsoft Entra

  Pelajari praktik kepemilikan dan kontrol akses yang tepat untuk Microsoft 365.

• Microsoft 365 Governance Operating Model

  Telusuri keputusan-keputusan yang membuat adopsi teknologi berkelanjutan.

• AI Agents – Simply Explained

  Pahami konteks tata kelola untuk pekerjaan yang dibantu AI.

Passkeys vs FIDO2: Panduan Praktis Enterprise

Passkey dan kunci keamanan FIDO2 sama-sama menyediakan autentikasi yang tahan terhadap phishing, tetapi keduanya memiliki pertimbangan berbeda terkait portabilitas, pemulihan, kontrol perangkat, dan pengalaman pengguna. Penerapan yang baik mendefinisikan model kredensial, alur pendaftaran, proses pemulihan, persyaratan untuk pengguna dengan hak istimewa, dan pengecualian untuk aplikasi lama.

Daftar Periksa Implementasi

1. Inventarisasi penyedia identitas, browser, perangkat, dan aplikasi yang didukung.
2. Pilih kredensial yang disinkronkan atau terikat perangkat untuk setiap profil risiko.
3. Daftarkan beberapa autentikator sebelum penegakan kebijakan.
4. Lindungi pemulihan dan verifikasi melalui help desk.
5. Uji coba pada pengguna dengan hak istimewa dan ukur kegagalan sebelum peluncuran secara luas.

Kesalahan Umum

• Menerapkan login tanpa kata sandi tanpa jalur pemulihan.
• Menganggap setiap browser dan aplikasi lama mendukung kredensial yang sama.
• Mengizinkan autentikator bersama yang melemahkan akuntabilitas.
• Mengabaikan prosedur siklus hidup perangkat dan autentikator yang hilang.

Pertanyaan Umum

Apa itu passkey?

Passkey adalah kredensial FIDO yang menggunakan kriptografi kunci publik dan dibuka dengan gestur perangkat, biometrik, atau PIN lokal.

Apa itu FIDO2?

FIDO2 adalah standar autentikasi yang dibangun di atas WebAuthn dan Client to Authenticator Protocol, sehingga memungkinkan login yang tahan terhadap phishing.

Apakah passkey dan FIDO2 sama?

Passkey adalah pengalaman kredensial yang ramah pengguna yang dibangun di atas standar FIDO. FIDO2 menjelaskan ekosistem teknis dan protokol autentikasi yang lebih luas.

Apakah passkey lebih aman daripada kata sandi?

Ya. Passkey menggunakan kriptografi kunci publik yang terikat pada origin, sehingga situs web tidak menerima rahasia yang dapat digunakan ulang dan bisa dicuri atau diputar ulang oleh penyerang.

Apakah passkey tahan terhadap phishing?

Ya, jika diimplementasikan dengan benar. Kredensial terikat pada origin situs web yang sah dan tidak memberikan kata sandi kepada halaman phishing.

Apakah YubiKey merupakan passkey FIDO2?

YubiKey dapat menyimpan kredensial FIDO2 dan berfungsi sebagai kunci keamanan. Apakah disebut passkey bergantung pada kredensial dan terminologi produk.

Apakah passkey lebih aman daripada YubiKey?

Tidak ada yang secara universal lebih aman. Passkey yang disinkronkan meningkatkan pemulihan dan kemudahan penggunaan, sedangkan kunci yang terikat perangkat keras memberikan kontrol dan pemisahan perangkat yang kuat.

Apa itu passkey yang disinkronkan?

Passkey yang disinkronkan dicadangkan melalui pengelola kredensial atau ekosistem platform yang disetujui sehingga dapat tersedia di beberapa perangkat.

Apa itu passkey yang terikat perangkat?

Passkey yang terikat perangkat tetap berada pada satu autentikator atau perangkat dan tidak disinkronkan ke platform lain.

Apakah FIDO2 sepenuhnya menggantikan kata sandi?

FIDO2 dapat menggantikan kata sandi untuk aplikasi yang didukung, tetapi organisasi tetap memerlukan strategi pemulihan, autentikasi lama, dan siklus hidup akun.

Apakah Microsoft Entra ID mendukung passkey?

Microsoft Entra ID mendukung kunci keamanan FIDO2 dan opsi autentikasi terkait passkey, bergantung pada konfigurasi penyewa dan kemampuan layanan saat ini.

Bagaimana hubungan WebAuthn dengan passkey?

WebAuthn adalah API browser dan platform yang memungkinkan situs web dan penyedia identitas membuat serta menggunakan kredensial kunci publik.

Apa yang terjadi jika pengguna kehilangan perangkat passkey?

Pengguna memerlukan autentikator lain yang sudah terdaftar atau metode pemulihan yang disetujui. Perusahaan sebaiknya mendaftarkan beberapa autentikator sebelum menerapkan akses tanpa kata sandi.

Apakah passkey dapat digunakan di beberapa perangkat?

Passkey yang disinkronkan dapat tersedia di berbagai perangkat yang didukung, sedangkan kredensial yang terikat perangkat harus didaftarkan di setiap autentikator.

Apakah passkey dapat dibagikan antarpengguna?

Tidak. Kredensial sebaiknya mewakili satu orang atau identitas beban kerja yang disetujui. Autentikator bersama melemahkan akuntabilitas.

Apakah passkey melindungi dari replay kredensial?

Ya. Kunci privat tetap berada di autentikator dan setiap autentikasi menyertakan tantangan (challenge) yang mencegah replay sederhana.

Apakah passkey dapat dicuri?

Penyerang mungkin mencuri perangkat, tetapi kredensial biasanya dilindungi oleh faktor buka kunci lokal dan tidak mengekspos kata sandi yang dapat digunakan ulang.

Apa itu autentikasi tanpa kata sandi?

Autentikasi tanpa kata sandi memverifikasi pengguna dengan autentikator kriptografis, biometrik, PIN, atau kunci keamanan, bukan dengan kata sandi yang dihafal.

Apa kekurangan passkey?

Tantangannya meliputi pemulihan, interoperabilitas platform, skenario perangkat bersama, aplikasi lama, dan pemahaman pengguna selama peluncuran.

Bagaimana perusahaan menangani pemulihan passkey?

Wajibkan beberapa autentikator, tetapkan verifikasi help desk, lindungi metode pemulihan, serta pantau peristiwa pendaftaran dan pengaturan ulang.

Apakah passkey dapat digunakan di perangkat seluler?

Ya. Sistem operasi seluler yang didukung dapat membuat atau menggunakan passkey melalui autentikator platform atau kunci keamanan eksternal.

Apakah passkey dapat berfungsi di berbagai peramban?

Dukungan bergantung pada peramban, sistem operasi, penyedia identitas, dan jenis kredensial. Uji alur kerja pengguna target sebelum peluncuran.

Apakah passkey cocok untuk administrator?

Ya. Passkey sangat bernilai bagi pengguna dengan hak istimewa, yang sebaiknya menggunakan autentikasi tahan phishing dan identitas administratif yang terpisah.

Bagaimana passkey memengaruhi akses bersyarat?

Passkey dapat memenuhi persyaratan autentikasi kuat ketika penyedia identitas mengenali autentikator dan kondisi kebijakan terpenuhi.

Bagaimana passkey sebaiknya diterapkan?

Mulailah dengan pengguna dengan hak istimewa dan berisiko tinggi, siapkan pemulihan, lakukan uji coba dengan perangkat yang representatif, lalu perluas dengan memantau pendaftaran dan metrik dukungan.

Apa yang sebaiknya dipantau setelah penerapan?

Pantau pendaftaran, kegagalan autentikasi, peristiwa pemulihan, pelewatan kebijakan, volume help desk, dan risiko masuk.

Apakah passkey menghapus MFA?

Passkey dapat memberikan pengalaman multi-factor yang tahan phishing ketika menggabungkan kepemilikan autentikator dengan faktor buka kunci lokal.

Dapatkah passkey melindungi akun layanan?

Passkey untuk manusia bukan pengganti identitas beban kerja. Gunakan identitas terkelola, sertifikat, atau kredensial non-manusia lain yang sesuai untuk layanan.

Apa manfaat utama bagi perusahaan?

Manfaat utamanya adalah mengurangi risiko phishing dan reset kata sandi, sekaligus meningkatkan keamanan masuk dan pengalaman pengguna.

Apa langkah implementasi pertama?

Inventarisasi aplikasi dan pengguna, pastikan dukungan penyedia identitas, tentukan pemulihan, dan uji coba pada kelompok kecil sebelum menerapkan masuk tanpa kata sandi secara wajib.

Jelajahi sumber daya M365.fm terkait: M365.fm Learning Hub, Microsoft 365 governance checklist, dan Microsoft Copilot security model.