Passkey semakin banyak digunakan sebagai pengganti password karena dinilai lebih aman dan praktis. Dengan memanfaatkan biometrik atau PIN perangkat, pengguna tidak perlu lagi mengingat kata sandi yang rumit maupun khawatir terhadap serangan phishing.

Namun, baru-baru ini peneliti keamanan siber menemukan teknik serangan baru bernama Pass-ta-key yang menargetkan passkey yang tersimpan di Google Password Manager pada browser Chrome. Meski terdengar mengkhawatirkan, serangan ini tidak berarti passkey menjadi tidak aman. Teknik tersebut hanya dapat dilakukan apabila perangkat korban sudah lebih dulu terinfeksi malware.

Lantas, apa sebenarnya Pass-ta-key dan bagaimana cara melindungi akun Anda? Simak penjelasannya berikut ini.

Apa Itu Pass-ta-key?

Pass-ta-key adalah teknik eksploitasi yang ditemukan oleh tim peneliti keamanan siber Unit 42 untuk menyerang implementasi passkey pada Google Chrome. Teknik ini bekerja dengan memanfaatkan perangkat yang sudah terinfeksi malware sehingga peretas dapat mengambil alih proses autentikasi pengguna.

Beberapa hal yang perlu diketahui tentang Pass-ta-key, antara lain:

• Menargetkan passkey yang disimpan di Google Password Manager.
• Memanfaatkan malware yang telah menginfeksi komputer korban.
• Berusaha membuat situs web menganggap peretas sebagai pengguna yang sah.
• Tidak dapat dijalankan pada perangkat yang masih bersih dari malware.

Baca Juga: Chrome Bisa Update Keamanan Otomatis, Perlukah Pengguna Khawatir?

Mengapa Passkey Chrome Menjadi Target?

Passkey dirancang untuk meningkatkan keamanan akun dengan menggantikan password tradisional. Karena semakin banyak layanan digital mengadopsinya, teknologi ini juga mulai menjadi sasaran penelitian maupun eksploitasi oleh pelaku kejahatan siber.

Dalam kasus Pass-ta-key, yang menjadi target bukan teknologi passkey secara langsung, melainkan proses autentikasi dan penyimpanan data pada perangkat yang telah dikompromikan.

Dengan kata lain, keamanan passkey tetap bergantung pada keamanan perangkat yang digunakan.

Bagaimana Cara Kerja Pass-ta-key?

Peneliti menemukan tiga variasi serangan Pass-ta-key yang memiliki tingkat kompleksitas berbeda, yakni:

1. Pass-ta-key Dasar

Metode pertama memanfaatkan malware untuk melakukan autentikasi tanpa sepengetahuan pengguna. Karakteristiknya meliputi:

• Mengekspor identitas autentikasi dari perangkat.
• Melakukan login tanpa persetujuan pengguna.
• Berhasil pada situs yang tidak memvalidasi proses verifikasi pengguna secara menyeluruh.

2. Silver Pass-ta-key

Teknik ini memanipulasi status autentikasi perangkat agar seolah-olah pengguna telah lolos verifikasi biometrik. Dampaknya, antara lain:

• Malware dapat mendaftarkan passkey baru milik peretas.
• Sistem menganggap passkey tersebut sebagai autentikasi yang valid.
• Risiko pengambilalihan akun menjadi lebih tinggi.

3. Golden Pass-ta-key

Golden Pass-ta-key merupakan metode yang paling berbahaya karena menargetkan Security Domain Secret (SDS). Apabila berhasil, malware dapat:

• Mencuri data rahasia yang digunakan dalam proses enkripsi passkey.
• Mengakses database passkey yang tersinkronisasi.
• Berpotensi membuka passkey yang dibuat setelah serangan terjadi apabila SDS belum diperbarui.

Siapa yang Berisiko Menjadi Korban?

Tidak semua pengguna Google Chrome rentan terhadap serangan ini. Risiko lebih besar dialami oleh pengguna yang:

• Menggunakan komputer Windows yang telah terinfeksi malware.
• Menginstal aplikasi dari sumber yang tidak terpercaya.
• Mengabaikan pembaruan sistem operasi dan browser.
• Tidak memiliki perlindungan antivirus atau antimalware.

Selama perangkat tetap aman, teknik Pass-ta-key tidak dapat dijalankan begitu saja.

Baca Juga: Akun WhatsApp Bisa Diretas Tanpa OTP, Begini Modusnya

Apakah Passkey Masih Aman Digunakan?

Jawabannya, masih aman. Dibandingkan password konvensional, passkey tetap menawarkan berbagai keunggulan, seperti:

• Tidak mudah dicuri melalui phishing.
• Tidak dapat ditebak menggunakan serangan brute force.
• Memanfaatkan autentikasi berbasis perangkat.
• Mendukung verifikasi biometrik untuk meningkatkan keamanan.

Temuan Pass-ta-key menunjukkan bahwa ancaman terbesar justru berasal dari perangkat yang telah dikompromikan oleh malware, bukan dari teknologi passkey itu sendiri.

Cara Melindungi Passkey dari Serangan Siber

Untuk mengurangi risiko eksploitasi seperti Pass-ta-key, Anda dapat menerapkan beberapa langkah berikut:

• Selalu memperbarui sistem operasi dan browser ke versi terbaru.
• Gunakan antivirus atau antimalware yang terpercaya.
• Hindari mengunduh aplikasi dari situs yang tidak resmi.
• Jangan membuka tautan atau lampiran yang mencurigakan.
• Lakukan pemindaian keamanan perangkat secara berkala.
• Aktifkan fitur keamanan tambahan pada akun digital yang digunakan.

Langkah-langkah tersebut membantu mencegah malware masuk ke perangkat sehingga peluang eksploitasi terhadap passkey menjadi jauh lebih kecil.