Panduan Lengkap Autentikasi Tanpa Kata Sandi di Microsoft 365

By Mirko Peters · 2026-08-27

Selamat datang kembali, para pendengar dan pembaca! Jika Anda mengikuti episode podcast terbaru kami, Anda tahu bahwa kami membahas secara mendalam salah satu topik keamanan siber paling mendesak di zaman kita: penghapusan kata sandi tradisional. Dalam artikel blog pendamping ini, kami akan memperluas pembahasan tersebut dan memberikan cetak biru yang komprehensif serta sangat praktis untuk menghe

Automatically translated with AI from the original post. Read the English original

Titelbild: The Ultimate Guide to Passwordless Authentication in Microsoft 365

Mari kita hadapi kenyataan pahit: kata sandi pada dasarnya sudah tidak aman. Tahun demi tahun, insiden pelanggaran data membuktikan bahwa kredensial yang dicuri, lemah, atau digunakan ulang tetap menjadi vektor utama serangan siber. Kampanye phishing kini semakin canggih sehingga karyawan yang paling peduli keamanan pun terkadang menjadi korban. Inilah era Zero Trust. Dalam arsitektur Zero Trust, kita beroperasi dengan prinsip "jangan pernah percaya, selalu verifikasi". Anda tidak mungkin mencapai postur Zero Trust yang sesungguhnya jika masih mengandalkan rangkaian karakter rahasia yang ditulis pengguna di catatan tempel, digunakan ulang di berbagai situs web, atau dengan mudah diserahkan kepada penyerang cerdik melalui halaman login palsu.

Untungnya, Microsoft 365 menawarkan rangkaian metode autentikasi tanpa kata sandi yang andal. Dengan beralih dari kata sandi, Anda secara drastis mengurangi permukaan serangan, menghilangkan pencurian kredensial, dan—ironisnya—meningkatkan pengalaman pengguna. Tidak ada lagi reset kata sandi yang menyita waktu tim helpdesk Anda, dan tidak ada lagi karyawan yang frustrasi karena akunnya terkunci pada Senin pagi. Mari kita telusuri perangkat yang tersedia dan melihat cara menerapkan perusahaan tanpa kata sandi yang mulus.

Memahami Perangkat Autentikasi Tanpa Kata Sandi di Microsoft 365

Sebelum kita membahas strategi penerapan, mari kita petakan senjata yang kita miliki. Microsoft Azure Active Directory (kini dikenal sebagai Microsoft Entra ID) mendukung beberapa mekanisme utama untuk autentikasi tanpa kata sandi. Masing-masing melayani persona pengguna, kondisi perangkat, dan kasus penggunaan bisnis yang sedikit berbeda.

Pertama, ada Windows Hello for Business. Ini adalah standar emas untuk endpoint Windows perusahaan yang didedikasikan. Windows Hello menggantikan kata sandi dengan autentikasi dua faktor yang kuat, berupa kredensial khusus perangkat yang terikat pada biometrik (seperti sidik jari atau pengenalan wajah) atau PIN. Kunci privat tidak pernah meninggalkan perangkat keras, sehingga kebal terhadap pelanggaran di sisi server.

Kedua, ada Kunci Keamanan FIDO2 dan Passkey. Ini adalah token berbasis perangkat keras (seperti YubiKey) atau passkey berbasis platform yang menggunakan standar terbuka yang dikembangkan oleh FIDO Alliance. Keduanya tahan terhadap phishing secara desain, karena mekanisme tantangan-respons kriptografis memastikan bahwa kredensial hanya dapat digunakan pada domain persis tempat kredensial itu didaftarkan. Jika pengguna mengunjungi situs phishing, kunci akan menolak untuk menandatangani.

Ketiga, ada aplikasi Microsoft Authenticator. Bagi organisasi dengan pekerja yang mengutamakan perangkat seluler, skenario BYOD (Bring Your Own Device), atau lingkungan hibrida, pencocokan angka melalui aplikasi Authenticator memberikan pengalaman notifikasi push yang lancar, yang memaksa pengguna memverifikasi identitas mereka dengan aman dan cepat.

Terakhir, ada Temporary Access Pass (TAP). Meskipun bukan metode login harian, TAP adalah jembatan penting yang memungkinkan Anda menjadikan pengguna baru, memulihkan akun yang terkunci, atau menyediakan perangkat keras baru tanpa harus menerbitkan kata sandi lama yang bersifat sementara dan tidak aman.

Menerapkan Windows Hello for Business untuk Endpoint Perusahaan

Jika organisasi Anda sangat bergantung pada perangkat Windows 10 dan Windows 11, Windows Hello for Business (WHfB) sebaiknya menjadi pilar utama perjalanan tanpa kata sandi Anda. Penerapan WHfB memerlukan perencanaan matang terkait otoritas sertifikat, model cloud trust, atau key trust, tetapi hasilnya sangat besar.

Saat menerapkan WHfB, Anda memiliki dua model penerapan utama untuk dipilih: Cloud Trust dan Hybrid Key Trust. Bagi organisasi modern yang mengutamakan cloud, model Microsoft Entra Cloud Trust merupakan terobosan. Model ini menyederhanakan arsitektur penerapan dengan menghilangkan ketergantungan pada sinkronisasi infrastruktur kunci publik (PKI) ke domain controller. Sebagai gantinya, autentikasi terjadi langsung di cloud dengan memanfaatkan ekstensi protokol Kerberos.

Untuk memulai, konfigurasikan kebijakan Windows Hello for Business melalui Microsoft Intune. Buka kebijakan keamanan endpoint Anda dan pastikan persyaratan kompleksitas PIN sudah diatur, metode biometrik diaktifkan, serta fitur anti-spoofing diaktifkan jika didukung oleh perangkat keras. Anda juga sebaiknya menentukan apakah pengguna wajib menggunakan modul keamanan perangkat keras (TPM 2.0 wajib untuk keamanan kelas enterprise).

Selama proses penerapan, komunikasikan dengan jelas kepada pengguna akhir. Jelaskan bahwa PIN Windows mereka terikat secara ketat pada laptop fisik dan tidak dapat disadap melalui jaringan. Begitu pengguna merasakan sendiri masuk ke perangkat mereka menggunakan pengenalan wajah atau PIN singkat yang membuka enklaf perangkat keras yang aman, mereka tidak akan lagi ingin mengetik kata sandi alfanumerik 16 karakter yang rumit.

Memanfaatkan Kunci Keamanan FIDO2 dan Passkey

Windows Hello for Business sangat bagus untuk endpoint Windows, tetapi bagaimana dengan pengguna Mac, pengembang Linux, workstation bersama, atau pekerja yang berpindah di antara beberapa perangkat? Di sinilah kunci keamanan FIDO2 dan passkey benar-benar unggul.

Kunci FIDO2 merupakan puncak autentikasi tahan phishing. Karena protokol autentikasinya menggunakan kriptografi kunci publik, kredensial yang tersimpan di kunci keamanan tidak dapat di-phishing, dicuri melalui serangan man-in-the-middle, atau diambil dari database yang bocor. Ketika pengguna mencolokkan kunci keamanan USB mereka (atau menempelkannya melalui NFC) dan menyentuh sensornya, sebuah asersi kriptografis dikirim ke Microsoft Entra ID.

Untuk menerapkan kunci FIDO2, Anda perlu mengaktifkan fitur ini di dalam kebijakan metode autentikasi Microsoft Entra. Anda dapat membatasi cakupan kebijakan ini ke grup pilot tertentu, misalnya dimulai dari administrator TI dan pimpinan eksekutif sebelum diperluas ke seluruh organisasi. Penting untuk menerapkan persyaratan pendaftaran, memastikan pengguna mendaftarkan kunci mereka saat masih berada di lingkungan perusahaan yang aman atau melalui proses onboarding yang terverifikasi.

Selain itu, pelajari platform passkey yang terintegrasi dengan sistem operasi seperti iOS, Android, dan macOS. Fitur ini memungkinkan pengguna memanfaatkan sensor biometrik bawaan ponsel mereka (FaceID, TouchID, atau biometrik Android) untuk masuk dengan aman ke layanan Microsoft 365 di berbagai browser dan perangkat. Fitur ini menjembatani kesenjangan antara token perangkat keras dan kenyamanan sehari-hari.

Membuka Akses Mobile-First dengan Microsoft Authenticator

Tidak setiap pekerja di organisasi Anda duduk di meja dengan laptop khusus atau kunci keamanan perangkat keras. Pekerja garis depan, teknisi lapangan, dan staf kontrak sering bekerja di lingkungan yang mengutamakan perangkat seluler. Bagi pengguna ini, aplikasi Microsoft Authenticator adalah sarana tanpa kata sandi yang paling ideal.

Untuk membawa Microsoft Authenticator ke kondisi tanpa kata sandi, Anda harus mengonfigurasi phone sign-in. Ketika phone sign-in diaktifkan, pengguna memasukkan nama pengguna, dan alih-alih diminta kata sandi, notifikasi dikirim ke perangkat seluler mereka. Aplikasi Authenticator meminta pengguna memasukkan angka yang cocok dengan yang ditampilkan di layar masuk, diikuti konfirmasi biometrik (FaceID, sidik jari, atau PIN).

Implementasi ini sepenuhnya menghilangkan risiko serangan push-fatigue, yaitu ketika pelaku kejahatan membanjiri pengguna dengan notifikasi push tanpa henti hingga pengguna secara tidak sengaja menyetujui salah satunya. Dengan menerapkan number matching, pengguna *harus* melihat layar masuk, membaca angkanya, dan memasukkannya ke ponsel mereka. Jika mereka tidak sedang mencoba masuk, mereka cukup mengetuk "It's not me," yang dapat memicu kebijakan risiko otomatis di Microsoft Entra ID untuk memblokir penyerang dan menandai akun tersebut.

Saat menerapkan Microsoft Authenticator untuk akses tanpa kata sandi, pastikan kebijakan keamanan tingkat perangkat diterapkan. Wajibkan app lock di dalam aplikasi Authenticator itu sendiri dan pastikan perangkat seluler yang digunakan dikelola melalui Microsoft Intune atau dilindungi oleh kebijakan akses bersyarat yang mensyaratkan versi sistem operasi yang patuh.

Mengelola Onboarding dan Pemulihan dengan Temporary Access Pass (TAP)

Salah satu keraguan paling umum yang dihadapi organisasi saat mempertimbangkan strategi tanpa kata sandi adalah dilema orientasi "ayam dan telur". Bagaimana cara mengautentikasi karyawan baru yang belum memiliki kunci keamanan, ponsel terdaftar, atau PIN Windows Hello? Secara tradisional, organisasi memberikan kata sandi awal sementara yang mudah ditebak. Namun, cara itu menciptakan celah yang rentan tepat di awal siklus hidup karyawan.

Di sinilah Temporary Access Pass (TAP) berperan. TAP adalah metode autentikasi berbasis kode sandi dengan masa berlaku terbatas yang dapat Anda konfigurasikan di Microsoft Entra ID agar pengguna dapat mendaftarkan metode autentikasi tanpa kata sandi mereka. TAP hanya dapat digunakan satu kali (atau berkali-kali jika dikonfigurasi untuk skenario migrasi tertentu), memiliki masa berlaku ketat mulai dari hitungan menit hingga beberapa jam, dan dapat dibuat secara aman oleh administrator atau meja bantuan.

Mari kita telusuri sebuah skenario orientasi nyata menggunakan TAP:

HR memicu alur kerja karyawan baru, lalu tim IT menyediakan akun pengguna di Microsoft Entra ID.
Seorang administrator membuat Temporary Access Pass dengan waktu kedaluwarsa 1 jam, lalu menyampaikannya secara aman kepada karyawan baru melalui saluran out-of-band (misalnya pesan teks yang aman atau portal orientasi terenkripsi).
Karyawan baru masuk ke laptop atau peramban barunya dengan *hanya* menggunakan TAP.
Karena TAP memenuhi persyaratan autentikasi kuat, pengguna langsung diminta untuk mendaftarkan kredensial tanpa kata sandi yang permanen, misalnya menyiapkan Windows Hello for Business, mendaftarkan kunci FIDO2, atau mendaftarkan aplikasi Microsoft Authenticator.
Setelah pendaftaran selesai, TAP kedaluwarsa, dan pengguna sepenuhnya tanpa kata sandi sejak hari pertama.

TAP juga sama revolusionernya untuk pemulihan akun. Jika karyawan kehilangan kunci keamanan atau mendapatkan ponsel baru, meja bantuan tidak perlu menerbitkan kata sandi cadangan. Mereka cukup membuat TAP, sehingga pengguna dapat mengautentikasi diri secara aman dan menyiapkan sendiri perangkat atau token penggantinya.

Praktik Terbaik untuk Membangun Strategi Tanpa Kata Sandi yang Komprehensif

Memindahkan seluruh perusahaan dari kata sandi bukanlah operasi sekali klik; diperlukan peluncuran bertahap yang terencana. Seperti yang kita bahas di podcast, manajemen perubahan dan penegakan kebijakan sama pentingnya dengan teknologinya sendiri. Berikut adalah praktik terbaik inti agar perjalanan tanpa kata sandi Anda berhasil dengan gemilang.

1. Terapkan Pendekatan Peluncuran Bertahap

Jangan mencoba peluncuran tanpa kata sandi "sekaligus" ke seluruh perusahaan dalam satu akhir pekan. Mulailah dari tim IT dan keamanan. Mereka memahami teknologinya, dapat menangani kasus-kasus khusus, dan berperan sebagai juara internal Anda. Selanjutnya, luncurkan ke jajaran eksekutif dan unit bisnis yang melek teknologi. Setelah kendala operasional teratasi, perluas peluncuran ke karyawan kantor umum, dan terakhir, tangani lingkungan lini depan atau manufaktur khusus.

2. Manfaatkan Kebijakan Akses Bersyarat dengan Bijak

Kebijakan tanpa kata sandi harus terintegrasi erat dengan Akses Bersyarat Microsoft Entra. Buatlah kebijakan yang mewajibkan metode autentikasi tahan phishing untuk mengakses aplikasi cloud yang sensitif, sementara metode lama mungkin tetap diizinkan sementara untuk aplikasi berisiko lebih rendah selama masa transisi. Gunakan kontrol sesi untuk membatasi masa berlaku sesi, sehingga autentikasi ulang dipaksakan saat sinyal risiko meningkat.

3. Berinvestasi Besar-besaran dalam Edukasi Pengguna dan Manajemen Perubahan

Perubahan teknologi gagal ketika manusia dikesampingkan dari persamaan. Pengguna sudah nyaman dengan kata sandi; mereka telah menggunakannya selama puluhan tahun. Anda perlu menjelaskan *mengapa* Anda melakukan pergeseran ini. Bingkailah autentikasi tanpa kata sandi bukan sebagai mandat TI, melainkan sebagai langkah perlindungan yang memudahkan pekerjaan mereka: tidak perlu lagi lupa kata sandi yang rumit, tidak ada lagi penggantian kata sandi wajib setiap kuartal, dan proses masuk yang sangat cepat.

4. Rencanakan Cadangan dan Kasus-kasus Khusus

Selalu antisipasi apa yang terjadi ketika sesuatu berjalan tidak semestinya. Bagaimana jika pengguna merusak ponselnya saat perjalanan dinas? Bagaimana jika kunci keamanan perangkat keras terjatuh ke genangan air? Tetapkan alur kerja yang jelas dan aman dengan memanfaatkan Temporary Access Pass serta protokol verifikasi identitas meja bantuan yang tervalidasi, agar pengguna dapat kembali mengakses sistem dengan cepat tanpa mengorbankan keamanan organisasi.

Dengan mengombinasikan Windows Hello for Business, kunci keamanan FIDO2, Microsoft Authenticator, dan Temporary Access Pass, Anda akhirnya dapat menutup babak era kata sandi yang rentan dan usang. Alat-alatnya sudah siap, arsitekturnya telah terbukti, dan manfaat keamanannya tidak terbantahkan. Saatnya melangkah ke masa depan tanpa kata sandi yang sesungguhnya, di bawah prinsip Zero Trust.

Terima kasih sudah menyimak! Pastikan Anda berlangganan podcast jika belum, bagikan tulisan ini kepada tim keamanan Anda, dan nantikan episode mendalam kami berikutnya yang membahas perburuan ancaman lanjutan di Microsoft Defender!