Pengantar
Kunci sandi adalah alternatif yang lebih aman dan lebih mudah untuk sandi. Dengan kunci sandi, pengguna dapat login ke aplikasi dan situs dengan sensor biometrik (seperti sidik jari atau pengenalan wajah), PIN, atau pola, sehingga mereka tidak perlu mengingat dan mengelola sandi.
Developer dan pengguna tidak menyukai sandi: keduanya memberikan pengalaman pengguna yang buruk, mereka menambah hambatan konversi, dan menciptakan kewajiban keamanan bagi pengguna dan developer. Pengelola Sandi Google di Android dan Chrome mengurangi hambatan melalui isi otomatis. Bagi developer yang mencari peningkatan konversi dan keamanan yang lebih jauh, kunci sandi dan penggabungan identitas adalah pendekatan modern di industri ini.
Kunci sandi dapat memenuhi persyaratan autentikasi multi-faktor dalam satu langkah, dengan mengganti sandi dan OTP (misalnya, kode SMS 6 digit) untuk memberikan perlindungan yang kuat dari serangan phishing dan menghindari kesulitan UX SMS atau sandi sekali pakai berbasis aplikasi. Karena kunci sandi distandardisasi, satu penerapan memungkinkan pengalaman tanpa sandi di semua perangkat pengguna, di berbagai browser dan sistem operasi.
Kunci sandi lebih mudah:
- Pengguna dapat memilih akun yang akan digunakan untuk login. Tidak perlu mengetikkan nama pengguna.
- Pengguna dapat melakukan autentikasi menggunakan kunci layar perangkat seperti sensor sidik jari, pengenalan wajah, atau PIN.
- Setelah kunci sandi dibuat dan didaftarkan, pengguna dapat beralih dengan lancar ke perangkat baru dan langsung menggunakannya tanpa perlu mendaftar ulang (tidak seperti autentikasi biometrik tradisional, yang memerlukan penyiapan di setiap perangkat).
Kunci sandi lebih aman:
- Developer hanya menyimpan kunci publik ke server, bukan sandi, artinya ada nilai yang jauh lebih rendah bagi pelaku kejahatan untuk meretas server, dan jauh lebih sedikit kebersihan jika terjadi pelanggaran.
- Kunci sandi melindungi pengguna dari serangan phishing. Kunci sandi hanya berfungsi di situs dan aplikasi mereka yang terdaftar; pengguna tidak dapat ditipu untuk mengautentikasi di situs yang menipu karena browser atau OS menangani verifikasi.
- Kunci sandi mengurangi biaya untuk mengirim SMS, menjadikannya sebagai cara yang lebih aman dan lebih hemat biaya untuk autentikasi 2 langkah.
Apa yang dimaksud dengan kunci sandi?
Kunci sandi adalah kredensial digital, yang terkait dengan akun pengguna dan situs atau aplikasi. Kunci sandi memungkinkan pengguna melakukan autentikasi tanpa harus memasukkan nama pengguna atau sandi, atau memberikan faktor autentikasi tambahan apa pun. Teknologi ini bertujuan untuk mengganti mekanisme autentikasi lama seperti sandi.
Saat pengguna ingin login ke layanan yang menggunakan kunci sandi, browser atau sistem operasi mereka akan membantu mereka memilih dan menggunakan kunci sandi yang tepat. Pengalamannya mirip dengan cara kerja sandi tersimpan saat ini. Untuk memastikan hanya pemilik sah yang dapat menggunakan kunci sandi, sistem akan meminta mereka untuk membuka kunci perangkat. Hal ini dapat dilakukan dengan sensor biometrik (seperti pengenalan sidik jari atau wajah), PIN, atau pola.
Agar dapat membuat kunci sandi untuk situs atau aplikasi, pengguna harus mendaftar terlebih dahulu dengan situs atau aplikasi tersebut.
- Buka aplikasi dan login menggunakan metode login yang ada.
- Klik tombol Buat kunci sandi.
- Periksa informasi yang disimpan dengan kunci sandi baru.
- Gunakan kunci layar perangkat untuk membuat kunci sandi.
Saat kembali ke situs atau aplikasi tersebut untuk login, mereka dapat melakukan langkah-langkah berikut:
- Buka aplikasi.
- Ketuk kolom nama akun untuk menampilkan daftar kunci sandi dalam dialog isi otomatis.
- Pilih kunci sandi.
- Gunakan fitur buka kunci layar perangkat untuk menyelesaikan login.
Perangkat pengguna menghasilkan tanda tangan berdasarkan kunci sandi. Tanda tangan ini digunakan untuk memverifikasi kredensial login antara origin dan kunci sandi.
Pengguna dapat login ke layanan pada perangkat apa pun menggunakan kunci sandi, di mana pun kunci sandi disimpan. Misalnya, kunci sandi yang dibuat di ponsel dapat digunakan untuk login ke situs di laptop terpisah.
Bagaimana cara kerja kunci sandi?
Kunci sandi dimaksudkan untuk digunakan melalui infrastruktur sistem operasi yang memungkinkan pengelola kunci sandi membuat, mencadangkan, dan menyediakan kunci sandi untuk aplikasi yang berjalan pada sistem operasi tersebut. Di Android, kunci sandi dapat disimpan di Pengelola Sandi Google, yang menyinkronkan kunci sandi antara perangkat Android pengguna yang login ke Akun Google yang sama. Kunci sandi dienkripsi dengan aman di perangkat sebelum disinkronkan, dan memerlukan dekripsi pada perangkat baru. Pengguna dengan Android OS 14 atau yang lebih baru dapat memilih untuk menyimpan kunci sandi mereka di pengelola sandi pihak ketiga yang kompatibel.
Pengguna tidak dibatasi untuk menggunakan kunci sandi hanya di perangkat tempatnya tersedia—kunci sandi yang tersedia di ponsel dapat digunakan saat login ke laptop, meskipun kunci sandi tidak disinkronkan ke laptop, selama ponsel berada di dekat laptop dan pengguna menyetujui proses login di ponsel. Karena kunci sandi dibuat berdasarkan standar FIDO, semua browser dapat mengadopsinya.
Misalnya, pengguna mengunjungi example.com di browser Chrome di komputer
Windows. Pengguna ini sebelumnya telah login ke example.com di perangkat
Android-nya dan membuat kunci sandi. Di komputer Windows, pengguna memilih untuk
login dengan kunci sandi dari perangkat lain. Kedua perangkat akan terhubung dan pengguna
akan diminta untuk menyetujui penggunaan kunci sandi di perangkat Android, misalnya, dengan sensor sidik jari. Setelah melakukannya, mereka akan login di
komputer Windows. Perhatikan bahwa kunci sandi itu sendiri tidak ditransfer ke komputer
Windows, jadi biasanya example.com akan menawarkan untuk membuat kunci sandi baru di sana.
Dengan begitu, ponsel tidak diperlukan lagi saat pengguna ingin login. Baca Login dengan ponsel untuk mempelajari lebih lanjut.
Siapa yang menggunakan kunci sandi?
Sejumlah layanan sudah menggunakan kunci sandi di sistem mereka.
- DocuSign
- Kayak
- Mercari
- Docomo NTT
- PayPal
- Shopify
- Yahoo! JEPANG
Cobalah sendiri
Anda dapat mencoba kunci sandi dalam demo ini: https://passkeys-demo.appspot.com/
Pertimbangan privasi
- Karena login dengan biometrik dapat memberi pengguna kesan palsu bahwa hal ini mengirimkan informasi sensitif ke server. Pada kenyataannya, materi biometrik tidak pernah dikirim ke perangkat pribadi pengguna.
- Kunci sandi sendiri tidak mengizinkan pelacakan pengguna atau perangkat antar-situs. Kunci sandi yang sama tidak pernah digunakan di lebih dari satu situs. Protokol kunci sandi dirancang dengan cermat sehingga tidak ada informasi yang dibagikan dengan situs yang dapat digunakan sebagai vektor pelacakan.
- Pengelola kunci sandi melindungi kunci sandi dari akses dan penggunaan yang tidak sah. Misalnya, Pengelola Sandi Google mengenkripsi rahasia kunci sandi dari menyeluruh. Hanya pengguna yang dapat mengakses dan menggunakannya, meskipun dicadangkan ke server Google, Google tidak dapat menggunakannya untuk meniru identitas pengguna.
Pertimbangan keamanan
- Kunci sandi menggunakan kriptografi kunci publik. Kriptografi kunci publik mengurangi ancaman dari potensi pelanggaran data. Saat pengguna membuat kunci sandi dengan situs atau aplikasi, tindakan ini akan membuat pasangan kunci publik–pribadi di perangkat pengguna. Hanya kunci publik yang disimpan oleh situs, tetapi tidak berguna bagi penyerang. Penyerang tidak dapat memperoleh kunci pribadi pengguna dari data yang tersimpan di server, yang diperlukan untuk menyelesaikan autentikasi.
- Karena kunci sandi terikat dengan identitas situs atau aplikasi, kunci sandi aman dari serangan phishing. Browser dan sistem operasi memastikan bahwa kunci sandi hanya dapat digunakan dengan situs atau aplikasi yang membuatnya. Dengan demikian, pengguna tidak bertanggung jawab login ke situs atau aplikasi asli.
Dapatkan notifikasi
Berlangganan ke newsletter developer kunci sandi Google untuk mendapatkan notifikasi tentang update kunci sandi.