mengungkap fitur passkey atau kunci sandi yang digunakan bisa jadi belaka memangkas birokrasi login ke akun Google atau WhatsApp punya kelemahan meskipun dapat melawan upaya pencurian (phishing).
Sebelumnya, Google kemudian WhatsApp baru-baru ini mengumumkan penerapan fitur passkey yang mana bisa saja jadi mempermudah login tanpa perlu ribet password atau 2 faktor autentikasi.
“Kunci sandi (passkeys) mendapatkan perhatian sebagai teknologi yang tahan terhadap peretasan kemudian juga dirancang untuk melawan ancaman siber tertentu,” kata Igor Kuznetsov, Direktur Tim Riset kemudian Analisis Global (Global Research and Analysis Team GReAT) di area dalam Kaspersky, dalam siaran pers.
“Baru-baru ini, Google mengumumkan bahwa kunci sandi menjadi metode masuk default, namun penting bagi pengguna untuk menyadari bahwa risiko tertentu masih ada,” lanjutnya.
Menurut Kuznetsov, “kunci sandi memang menawarkan perlindungan yang dimaksud digunakan kuat terhadap upaya phishing.”
Teknologi ini dikembangkan sebagai alternatif kata sandi tradisional, dengan mengikuti standar yang tersebut ditetapkan oleh aliansi Fast Identity Online (FIDO). Setiap kunci sandi ditautkan ke situs web tertentu, sehingga mencegah penggunaannya pada area situs palsu.
“Terlepas dari langkah-langkah keamanan ini, kunci sandi rentan terhadap ancaman yang dimaksud digunakan sebanding yang hal tersebut mempengaruhi metode otentikasi apa pun,” tukasnya.
Apa kelemahannya?
“Jika perangkat yang tersebut digunakan untuk login (baik komputer atau ponsel) disusupi, pelaku kejahatan siber dapat menggunakan rekayasa sosial untuk mengelabui pengguna agar login ke aplikasi palsu atau melakukan pencurian data setelah login berhasil,” bongkar Kuznetsov.
Selain itu, perlu dicatat bahwa, secara default, kunci sandi disinkronkan dengan layanan cloud penyedia, seperti Google atau Apple, keduanya merupakan anggota aliansi FIDO.
“Jika akun penyedia disusupi (misalnya akun Google atau ID Apple), keamanan kunci sandi akan menjadi rentan,” imbuh dia.
Kaspersky pun menyarankan untuk melengkapi pemakaian kunci sandi dengan praktik keamanan tradisional terbaik, seperti solusi keamanan siber, memperbarui perangkat lunak secara berkala, lalu “berhati-hati ketika menemukan sumber daya, email, atau panggilan yang mana mana mencurigakan.”