Cara menjadi sepenuhnya tanpa password

1. Pengantar: Mengapa penerapan kunci sandi bukan garis akhir#

Menerapkan kunci sandi (passkeys) mewakili lompatan maju yang monumental dalam keamanan otentikasi, namun itu bukan keseluruhan perjalanan. Jika Anda telah menerapkan kunci sandi, Anda kemungkinan merayakan peningkatan metrik keamanan, tetapi bagaimana Anda benar-benar beralih dari memiliki kunci sandi hingga mencapai otentikasi tanpa password sepenuhnya?

Kunci sandi menawarkan keuntungan keamanan yang sangat penting melalui desainnya yang tahan phishing yang menggunakan kriptografi kunci publik yang terikat ke domain spesifik, membuatnya tidak mungkin bagi penyerang untuk menipu pengguna agar mengotentikasi ke situs palsu. Mereka meniadakan penggunaan ulang kredensial karena setiap kunci sandi unik untuk layanan tertentu, artinya kompromi satu layanan tidak memengaruhi yang lain. Terlebih lagi, mereka memberikan kekebalan terhadap serangan brute-force dengan mengganti rahasia yang dihafal dengan kunci kriptografi yang tidak dapat ditebak atau dibongkar.

Namun keuntungan kuat ini menguap saat pengguna dapat melewati otentikasi kunci sandi dan login menggunakan password sebagai gantinya. Hal ini menimbulkan pertanyaan penting: Mengapa kunci sandi saja tidak cukup untuk keamanan penuh? Jawabannya terletak pada pemahaman bahwa selama pintu password tetap terbuka, penyerang akan mencoba untuk melewatinya. Yang lebih penting adalah pertanyaan, apa yang menjadikan pemulihan akun kerentanan tersembunyi yang dapat merusak seluruh implementasi kunci sandi Anda? Pelanggaran besar baru-baru ini menunjukkan bahwa penyerang semakin menargetkan alur pemulihan daripada otentikasi primer.

Artikel ini akan memandu Anda melalui perjalanan lengkap dari mengimplementasikan kunci sandi untuk mencapai keamanan tanpa password yang sesungguhnya, menjawab masing-masing dari pertanyaan penting ini dengan solusi praktis dan contoh di dunia nyata.

Apa arti "Tanpa Password" sebenarnya?#

Otentikasi tanpa password yang sesungguhnya berarti sepenuhnya menghilangkan password dari arsitektur keamanan Anda. Dalam sistem tanpa password, pengguna tidak dapat menetapkan, menyetel ulang, atau menggunakan password kapan pun dalam perjalanan otentikasi mereka. Sebaliknya, otentikasi sepenuhnya bergantung pada metode kriptografi seperti kunci sandi.

Banyak organisasi mengklaim "tanpa password" sambil tetap mempertahankan password di latar belakang sebagai opsi cadangan. Ini bukan tanpa password yang sesungguhnya, melainkan hanya opsi password opsional. Perbedaannya penting karena selama password ada di mana saja dalam sistem Anda, termasuk alur pemulihan, password tetap menjadi kerentanan yang dapat dieksploitasi dan akan ditargetkan oleh penyerang.

2. Dua pintu belakang yang merusak keamanan kunci sandi#

Keamanan tanpa password yang sesungguhnya mengharuskan keduanya menghilangkan password dari otentikasi primer DAN memastikan proses pemulihan sama-sama tahan phishing.

2.1 Mengapa password sebagai opsi cadangan menimbulkan risiko keamanan yang signifikan#

Mempertahankan password sebagai opsi cadangan (fallback) melestarikan setiap vektor serangan yang dirancang untuk dihilangkan oleh kunci sandi. Penyerang hanya memutar kampanye phishing mereka untuk menargetkan entri password, sementara credential stuffing dan serangan password spraying berlanjut menggunakan kredensial curian dari pelanggaran lain. Rekayasa sosial tetap efektif karena pengguna masih dapat tertipu untuk mengungkapkan password kepada agen dukungan palsu.

Selama password ada, itu tetap menjadi tautan terlemah, satu titik masuk yang sepenuhnya menghindari keamanan tahan phishing dari kunci sandi.

2.2 Pintu belakang pemulihan akun#

Melihat dari sisi pengalaman login saja tidak cukup. Sebuah vektor serangan yang kritis tapi sering diabaikan adalah alur pemulihan akun. Bahkan organisasi yang telah mengimplementasikan kunci sandi dapat tetap rentan jika proses pemulihan mereka bergantung pada metode phishable (dapat di-phishing) seperti SMS OTP atau email magic link.

Pertimbangkan pelanggaran MGM Resorts yang terkenal pada tahun 2023, di mana penyerang tidak menargetkan sistem otentikasi primer tetapi mengeksploitasi proses pemulihan akun melalui rekayasa sosial, mengabaikan semua tindakan keamanan primer. Demikian pula, pelanggaran sistem dukungan Okta menunjukkan bagaimana alur pemulihan dapat menjadi mata rantai yang paling lemah, yang memungkinkan penyerang mereset kredensial dan mendapatkan akses tidak sah ke lingkungan pelanggan.

Insiden ini menggarisbawahi kebenaran krusial: mengimplementasikan kunci sandi tanpa mengamankan alur pemulihan ibarat memasang pintu baja sambil membiarkan jendela terbuka.

3. Perjalanan tanpa password#

Mencapai otentikasi tanpa password sesungguhnya bukanlah satu langkah - ini adalah perjalanan strategis yang membutuhkan perencanaan yang cermat, desain dan strategi produk yang matang, implementasi bertahap dan pengoptimalan yang berkelanjutan:

3.1 Fase 1: Tambahkan Kunci Sandi#

Fase pertama berfokus pada memperkenalkan kunci sandi sebagai metode otentikasi tambahan selagi memelihara opsi-opsi yang ada sebagai cadangan. Tahap membangun pondasi ini memberikan waktu kepada pengguna untuk memahami dan memercayai teknologi baru tersebut sambil menjaga metode yang tidak asing tersedia untuk mengurangi friksi.

Langkah Implementasi Utama:

• Integrasikan otentikasi kunci sandi ke dalam alur otentikasi Anda yang sudah ada
• Aktifkan pembuatan kunci sandi bagi pengguna baru dan yang sudah ada
• Pertahankan password dan metode otentikasi lainnya sebagai alternatif
• Lacak tingkat pembuatan kunci sandi dan pola penggunaan

Metrik Keberhasilan:

• Persentase pengguna yang telah membuat sedikitnya satu kunci sandi di atas 50%
• Tingkat keberhasilan pembuatan kunci sandi di atas 95%
• Penggunaan awal kunci sandi untuk otentikasi mencapai 20-30%

3.2 Fase 2: Tingkatkan adopsi kunci sandi#

Setelah kunci sandi tersedia, fokusnya bergeser ke mendorong adopsi dan menjadikan kunci sandi sebagai metode otentikasi yang disukai. Fase ini mengubah kunci sandi dari opsi alternatif menjadi pilihan otentikasi primer melalui pelibatan (engagement) pengguna dan pengoptimalan yang strategis.

Langkah Implementasi Utama:

• Jadikan otentikasi kunci sandi sebagai opsi bawaan di alur login
• Implementasikan perintah cerdas yang mendorong pembuatan kunci sandi setelah berhasil login menggunakan password
• Mengedukasi pengguna tentang manfaat keamanan dan kenyamanan melalui pesan dalam aplikasi (in-app messaging)
• Berikan insentif untuk adopsi kunci sandi (checkout lebih cepat, fitur eksklusif)
• Lakukan A/B testing berbagai pendekatan pengiriman pesan dan antarmuka pengguna (UI) untuk memaksimalkan konversi
• Terapkan kebijakan akses bersyarat yang mewajibkan kunci sandi untuk operasi-operasi sensitif

Metrik Keberhasilan:

• 60%+ pengguna aktif dengan setidaknya satu kunci sandi
• 80%+ login menggunakan kunci sandi untuk akun yang memungkinkan kunci sandi
• Kegagalan pembuatan kunci sandi kurang dari 2%

3.3 Fase 3: Menjadi tanpa password#

Di sinilah transformasi keamanan yang nyata terjadi: menghapus password sepenuhnya bagi pengguna yang secara konsisten menggunakan kunci sandi. Fase ini menghilangkan vektor serangan utama dengan menonaktifkan password bagi pengguna yang telah menunjukkan adopsi kunci sandi yang berhasil.

Langkah Implementasi Utama:

• Analisis pola otentikasi pengguna dengan menggunakan sistem pemantauan cerdas
• Identifikasi pengguna yang secara eksklusif menggunakan kunci sandi dengan beberapa perangkat yang siap menggunakan kunci sandi
• Tawarkan penonaktifan password dengan pesan manfaat keamanan yang jelas
• Verifikasi ketersediaan kunci sandi cadangan (tersinkronisasi dengan cloud atau multi-perangkat)

Metrik Keberhasilan:

• 30%+ pengguna yang memenuhi syarat secara sukarela menghapus password
• Tidak ada peningkatan tingkat penguncian (lockout) akun
• Skor kepuasan pengguna yang dipertahankan atau ditingkatkan

3.4 Fase 4: Pemulihan tahan phishing#

Fase terakhir mengatasi kerentanan terakhir: mengubah pemulihan akun menjadi proses yang tahan phishing. Fase ini memastikan bahwa alur pemulihan setara dengan tingkat keamanan otentikasi primer, mencegah serangan backdoor.

Langkah Implementasi Utama:

• Terapkan otentikasi multi-faktor dengan setidaknya satu faktor yang tahan phishing
• Faktor tahan phishing yang tersedia:
  • Kunci Sandi Cadangan: Kunci sandi pemulihan yang tersimpan di perangkat sekunder atau layanan cloud yang memberikan bukti identitas secara kriptografi (opsi yang paling banyak tersedia)
  • Digital Credentials API: Standar W3C untuk asersi identitas yang diverifikasi secara kriptografi dari penyedia terpercaya (teknologi yang sedang berkembang, belum meluas)
  • Kunci Keamanan Perangkat Keras: Token FIDO2 fisik yang terdaftar sebagai faktor pemulihan yang tidak dapat di-phishing atau diduplikasi (membutuhkan pengguna untuk membeli dan memelihara perangkat fisik)
  • Verifikasi Dokumen Identitas dengan Deteksi Keaktifan: Pemindaian ID Pemerintah yang dikombinasikan dengan aksi biometrik real-time untuk membuktikan kehadiran fisik

Catatan tentang opsi pemulihan: Walaupun Digital Credentials API dan Kunci Keamanan Perangkat Keras menawarkan keamanan yang kuat, keduanya belum diadopsi secara luas, yang pertama masih berupa teknologi yang sedang berkembang dan yang terakhir mengharuskan pengguna membeli perangkat fisik.

Ketika kunci sandi cadangan tidak tersedia, verifikasi dokumen identitas dengan deteksi keaktifan (liveness detection) menjadi alternatif yang memungkinkan. Meskipun potensi jalan pintas (workaround) dapat melewati pemeriksaan liveness tanpa kepemilikan fisik dari sebuah ID, metode ini masih memberikan keamanan yang jauh lebih kuat daripada OTP tradisional, yang dapat dengan mudah diintersep melalui phishing, SIM swapping atau serangan man-in-the-middle.

Metrik Keberhasilan:

• 100% alur pemulihan mencakup faktor tahan phishing
• Nol keberhasilan pengambilalihan akun melalui proses pemulihan
• Tingkat penyelesaian pemulihan dipertahankan di atas 90%

4. Contoh perusahaan yang mulai menghapus password#

Gerakan tanpa password mendapatkan momentum di seluruh industri teknologi, dengan perusahaan-perusahaan terkemuka yang mulai beralih dari password.

4.1 Organisasi yang sepenuhnya tanpa password#

Beberapa perusahaan telah mencapai penghapusan password sepenuhnya untuk operasi internal mereka. Okta, Yubico dan Cloudflare secara efektif telah mencapai tanpa penggunaan password (zero password) secara internal dan alur masuk mereka sama sekali tidak akan menerima password.

4.2 Perusahaan dalam masa transisi aktif#

Raksasa teknologi Google, Apple, Microsoft dan X secara aktif menghentikan (deprecating) penggunaan password tetapi belum menghilangkannya sama sekali. Pendekatan mereka menyeimbangkan perbaikan keamanan dengan pilihan pengguna selama masa transisi.

Google telah mengambil sikap agresif dengan mengalihkan ke "Skip password when possible" secara default pada status ON untuk seluruh akun, membuat kunci sandi sebagai metode otentikasi yang disukai sambil tetap memungkinkan pengguna untuk membatalkannya (opt-out) jika diperlukan. Pendekatan opt-out ini menciptakan momentum yang kuat ke arah tanpa password sambil mempertahankan fleksibilitas bagi pengguna yang belum siap untuk beralih.

Microsoft melangkah lebih jauh dengan mengizinkan pengguna untuk benar-benar menghapus password mereka dari akun saat ini, dengan rencana untuk "akhirnya menghapus dukungan password sepenuhnya" di masa mendatang. Peta jalan (roadmap) yang jelas ini memberi tanda kepada pengguna bahwa password berpacu dengan waktu, mendorong pengadopsian lebih dini terhadap metode tanpa password.

Apple telah mengintegrasikan kunci sandi di seluruh ekosistemnya dan secara aktif mempromosikan penggunaannya, meskipun password Apple ID tetap tersedia sebagai opsi cadangan. Pendekatan mereka memanfaatkan sinkronisasi tanpa batas di seluruh perangkat Apple untuk membuat pengadopsian kunci sandi sebisa mungkin tanpa friksi.

Perusahaan-perusahaan ini tidak memaksakan perubahan secepatnya tetapi mengirim pesan yang jelas: password akan menghilang setelah adopsinya mencapai titik krusial (critical mass). Strategi mereka melibatkan dengan menjadikan kunci sandi sebagai default (opsi bawaan), mengedukasi pengguna tentang manfaatnya dan secara bertahap mengurangi fungsionalitas password.

5. Kapan Anda harus mulai menghapus password?#

Keputusan menghapus password hendaknya tidak terburu-buru atau diberlakukan secara universal. Melainkan, terapkan pendekatan berbasis data dan bertahap yang mempertimbangkan perilaku pengguna, kemampuan perangkat dan profil risiko.

5.1 Siapa yang harus segera memulai perjalanan tanpa password mereka#

Sektor risiko tinggi yang mengalami serangan phishing yang parah saat ini harus segera memulai transisi tanpa password, namun tetap mengikuti peluncuran strategis yang bertahap:

• Bank & Lembaga Keuangan: Sasaran utama pencurian kredensial. Untuk bank di Eropa, kunci sandi juga selaras dengan persyaratan PSD2 Strong Customer Authentication (SCA), menghadirkan MFA tahan phishing yang memenuhi kepatuhan regulasi sambil meningkatkan pengalaman pengguna
• Penyedia Pembayaran & Fintech: Akses langsung ke dana pelanggan membuat mereka menarik bagi kejahatan siber yang terorganisir
• Bursa Kripto: Transaksi tak dapat dibatalkan berarti kredensial yang dicuri mengarah kepada kerugian permanen
• Perawatan Kesehatan & Asuransi: Menghadapi keduanya persyaratan kepatuhan dan risiko keselamatan pasien dari pencurian identitas medis
• Pemerintah & Infrastruktur Kritis: Ditargetkan oleh aktor nation-state dengan kampanye spear-phishing yang canggih

Bagi organisasi ini, tindakan segera sangat penting, namun kesuksesan tetap membutuhkan pendekatan peluncuran bertahap dan metodis. Mulailah hari ini, namun luncurkan secara strategis untuk memastikan adopsi yang tinggi dan mencegah pengguna terkunci di luar (lockout).

5.2 Strategi peluncuran bertahap#

Mulai dengan Subgrup (kelompok yang lebih kecil): Awali transisi tanpa password dengan pengguna yang menunjukkan penggunaan kunci sandi yang konsisten. Pengadopsi awal ini akan membantu Anda mengidentifikasi potensi masalah sebelum penerapan yang lebih luas.

Analisis pola perilaku pengguna:

• Frekuensi masuk (login) dan metode yang dipakai
• Tipe perangkat dan kompatibilitas kunci sandi
• Upaya otentikasi yang gagal
• Penggunaan alur pemulihan
• Pola otentikasi lintas perangkat

Pengguna yang memenuhi syarat untuk penonaktifan password berdasarkan pola-pola ini:

• Secara konsisten melakukan otentikasi via kunci sandi - menunjukkan bahwa mereka nyaman dengan teknologi ini
• Menggunakan kunci sandi di berbagai perangkat - mengindikasikan mereka mempunyai metode akses cadangan
• Belum pernah memakai password atau alur pemulihan dalam kurun 30-60 hari terakhir - menunjukkan mereka tidak bergantung dengan otentikasi berbasis password

6. Bagaimana Corbado dapat membantu#

Corbado menyediakan platform yang komprehensif untuk memandu organisasi melewati seluruh empat fase perjalanan tanpa password yang diuraikan di atas. Dari penerapan kunci sandi awal untuk mencapai penghapusan password seutuhnya, solusi Corbado menangani kerumitan teknis serta memberikan instrumen yang dibutuhkan agar pengguna mengadopsi hal tersebut secara sukses.

Dukungan Fase 1 & 2: Corbado menawarkan integrasi kunci sandi yang mulus dengan stack otentikasi yang ada, perintah cerdas yang memaksimalkan tingkat adopsi serta analitik yang mendetail untuk melacak pembentukan kunci sandi dan pola penggunaan. Fitur Passkey Intelligence platform ini otomatis mengoptimalkan pengalaman pengguna berdasarkan kemampuan perangkat serta perilaku pengguna, yang memastikan orientasi (onboarding) yang mulus.

Implementasi Fase 3 & 4: Untuk organisasi yang siap menyingkirkan password sepenuhnya, Corbado memungkinkan penonaktifan password bertahap berdasarkan kesiapan pengguna sambil mempertahakan alur pemulihan yang aman serta tahan phishing.

Dengan menangani kompatibilitas lintas platform, mekanisme cadangan dan pengoptimalan pengalaman pengguna, Corbado mempercepat transformasi tanpa password dari butuh waktu bertahun-tahun jadi dalam hitungan bulan, menjadikan organisasi dapat lebih berfokus kepada bisnis utama mereka selagi mencapai otentikasi yang tahan phishing.

Kesimpulan#

Perjalanan menuju otentikasi yang tanpa password seutuhnya menjawab dua pertanyaan mendasar yang kami sampaikan di permulaan:

Mengapa kunci sandi saja tidak cukup untuk keamanan penuh? Karena keamanan hanyalah sekuat rantai yang terlemahnya. Selama password tetap tersedia, bahkan sebagai cadangan, penyerang hanya akan beralih dan menjadikannya sasaran lewat phishing, credential stuffing, ataupun serangan penurunan versi (downgrade attacks). Setiap password dalam sistem Anda melemahkan keunggulan dari kunci sandi yang tahan phishing.

Apa yang menjadikan pemulihan akun kerentanan yang tersembunyi? Alur pemulihan acap kali menjadi pintu belakang (backdoor) yang dilupakan. Saat hal itu didemonstrasikan dalam peretasan MGM Resorts beserta Okta, para penyerang lebih sering mengabaikan penerapan kunci sandi yang kuat lewat eksploitasi pada metode pemulihan dengan sistem yang lebih lemah misal melalui SMS OTP ataupun email magic link. Hal itu layaknya memasang pintu baja dan membiarkan jendela terbuka.

Otentikasi tanpa password yang sesungguhnya mengharuskan seluruh perjalanannya tuntas diselesaikan: penerapan kunci sandi, mendorong adopsinya, sepenuhnya meniadakan password, dan mengamankan alur pemulihan memanfaatkan cara yang tahan terhadap phishing. Hanya dengan menutup seluruh pintu password termasuk yang disembunyikan pada proses pemulihan, organisasi akan mampu mendapati otentikasi yang sungguh-sungguh aman.

Tentang Corbado

Corbado adalah Passkey Intelligence Platform untuk tim CIAM yang menjalankan autentikasi consumer dalam skala besar. Kami membantu Anda melihat apa yang tidak bisa ditunjukkan oleh log IDP dan tool analytics generik: device, versi OS, browser, dan credential manager mana yang mendukung passkey; mengapa enrollment tidak menjadi login; di mana flow WebAuthn gagal; dan kapan update OS atau browser diam-diam merusak login — semuanya tanpa mengganti Okta, Auth0, Ping, Cognito, atau IDP internal Anda. Dua produk: Corbado Observe menambah observability untuk passkey dan metode login lainnya. Corbado Connect menghadirkan managed passkey dengan analytics terintegrasi (berdampingan dengan IDP Anda). VicRoads menjalankan passkey untuk 5M+ pengguna dengan Corbado (aktivasi passkey +80%). Bicara dengan pakar Passkey →

Pertanyaan yang Sering Diajukan#

Sinyal apa yang menunjukkan pengguna siap untuk penonaktifan password dalam peluncuran tanpa password?#

Pengguna memenuhi syarat untuk penonaktifan password ketika mereka secara konsisten melakukan otentikasi melalui kunci sandi di berbagai perangkat dan belum menggunakan password atau alur pemulihan dalam 30 hingga 60 hari terakhir. Memulai penonaktifan dengan kelompok ini akan mengurangi risiko dan membantu menemukan masalah sebelum penerapan yang lebih luas. Fase 3 menargetkan 30% atau lebih pengguna yang memenuhi syarat secara sukarela menghapus password.

Opsi tahan phishing apa yang ada untuk pemulihan akun saat kunci sandi cadangan tidak tersedia?#

Ada empat faktor pemulihan yang tahan phishing: kunci sandi cadangan pada perangkat sekunder, kunci keamanan perangkat keras (token FIDO2 fisik), Digital Credentials API (standar W3C yang masih berkembang), dan verifikasi dokumen identitas dengan deteksi keaktifan (liveness detection). SMS OTP tradisional dan magic link email masih rentan terhadap phishing, pertukaran SIM (SIM swapping), dan serangan man-in-the-middle, menjadikannya tidak memadai untuk alur pemulihan yang aman.

Mengapa pelanggaran MGM Resorts berhasil meskipun ada otentikasi primer yang kuat?#

Pelanggaran MGM Resorts tahun 2023 berhasil dengan menargetkan proses pemulihan akun melalui rekayasa sosial alih-alih sistem login primer, melewati semua tindakan keamanan primer sepenuhnya. Ini menunjukkan bahwa menerapkan kunci sandi tanpa mengamankan alur pemulihan meninggalkan pintu belakang yang kritis terbuka, setara dengan memasang pintu baja sambil membiarkan jendela terbuka.

Metrik adopsi apa yang harus dicapai tim sebelum maju dari opsional kunci sandi ke menghapus password sepenuhnya?#

Sebelum memasuki Fase 3, tim harus mencapai 60% atau lebih dari pengguna aktif dengan setidaknya satu kunci sandi, 80% atau lebih login menggunakan kunci sandi untuk akun yang mengaktifkan kunci sandi dan tingkat kegagalan pembuatan kunci sandi di bawah 2%. Keberhasilan Fase 3 diukur dari 30% atau lebih pengguna yang memenuhi syarat secara sukarela menghapus password dengan nol peningkatan tingkat penguncian akun.