Tiga penelitian keamanan terpisah yang baru-baru ini dipublikasikan telah mengungkap metode baru untuk mengakali perlindungan passkey, tanpa harus memecahkan kriptografi dasarnya. Temuan ini menyoroti kerentanan dalam implementasi passkey, termasuk dalam sistem operasi Windows, Google Password Manager, dan Windows Hello for Business, yang berpotensi membahayakan keamanan autentikasi yang dirancang untuk menggantikan kata sandi tradisional dan menahan serangan _phishing_.
Passkey, sebagai teknologi autentikasi tanpa kata sandi, dirancang untuk menawarkan tingkat keamanan yang lebih tinggi dengan menghilangkan kebutuhan akan kata sandi yang mudah ditebak atau dicuri. Berbeda dengan kata sandi yang disimpan di server dan rentan terhadap pelanggaran data massal, passkey disimpan secara lokal di perangkat pengguna dan menggunakan kriptografi kunci publik-privat. Kunci publik disimpan di server layanan, sementara kunci privat tetap di perangkat pengguna. Proses autentikasi melibatkan perangkat pengguna menandatangani tantangan kriptografi yang dikirim oleh server, dan server memverifikasi tanda tangan tersebut menggunakan kunci publik yang tersimpan. Mekanisme ini secara inheren lebih tahan terhadap serangan _phishing_ karena penyerang tidak dapat mencuri kredensial yang dapat digunakan ulang.
Namun, penelitian ini menunjukkan bahwa meskipun kriptografi inti passkey tetap kuat, implementasi dan integrasinya dengan sistem lain dapat menciptakan celah yang dimanfaatkan oleh penyerang. Dampak dari setiap metode serangan ini bervariasi, mulai dari peniruan identitas pengguna istimewa hingga pencurian kunci pribadi passkey yang tersinkronisasi. Kerentanan ini menggarisbawahi bahwa keamanan suatu sistem tidak hanya bergantung pada kekuatan algoritma dasarnya, tetapi juga pada bagaimana sistem tersebut diimplementasikan, dikelola, dan berinteraksi dengan komponen lain.
Salah satu penelitian yang dilakukan oleh SpecterOps menunjukkan adanya rantai serangan pada Windows dan Microsoft Entra ID. Rantai ini memungkinkan penyerang meniru pengguna istimewa dan bahkan memenuhi persyaratan autentikasi multifaktor (MFA) yang tahan _phishing_. Metode ini tidak mencuri kunci pribadi autentikator, melainkan menggunakan materi autentikasi yang sudah ditandatangani dan diekspos oleh Windows. Serangan ini memanfaatkan kelemahan dalam bagaimana Windows menangani _assertion_ (pernyataan autentikasi) yang dihasilkan oleh passkey. Dalam skenario ini, jika penyerang berhasil mendapatkan akses ke sistem Windows yang sedang aktif, mereka dapat mengekstrak _assertion_ yang telah ditandatangani dan menggunakannya untuk meniru pengguna ke layanan Microsoft Entra ID. Kerentanan ini, yang dilacak sebagai CVE-2026-34348, merupakan masalah pengungkapan informasi dalam Windows Event Logging Service dan telah ditambal oleh Microsoft. Penting untuk dicatat bahwa serangan ini memerlukan akses awal ke sistem korban, yang seringkali dicapai melalui _malware_ atau eksploitasi lainnya. Namun, begitu akses diperoleh, serangan ini memungkinkan bypass MFA yang seharusnya kuat, memberikan penyerang kendali penuh atas akun pengguna istimewa.
Penelitian kedua, dari Unit 42 (tim riset Palo Alto Networks), menargetkan Google Password Manager di Chrome. Mereka menemukan cara untuk memulihkan kunci pribadi dari passkey yang tersinkronisasi. Serangan ini dimulai dengan _malware_ yang sudah berjalan di _endpoint_ korban. _Malware_ ini dirancang untuk mencari dan mengeksploitasi kelemahan dalam penyimpanan dan manajemen passkey di lingkungan Chrome. Salah satu varian paling berbahaya, yang disebut Golden Pass-ta-key, menargetkan _Security Domain Secret_, kunci utama 32-byte yang digunakan untuk melindungi passkey yang tersinkronisasi di Google Password Manager. _Security Domain Secret_ ini bertindak sebagai master key yang mengenkripsi semua passkey yang disimpan dan disinkronkan di seluruh perangkat pengguna. Dengan kunci ini, penyerang dapat mendekripsi dan memulihkan kunci pribadi passkey korban, yang kemudian dapat digunakan untuk mengakses berbagai akun online yang dilindungi oleh passkey tersebut. Ini adalah serangan yang sangat serius karena memungkinkan penyerang untuk secara efektif mencuri identitas digital korban secara luas.
Sementara itu, peneliti independen Dirk-jan Mollema mengungkap kerentanan pada Windows Hello for Business. Penelitiannya menunjukkan bahwa _malware_ yang sudah berjalan dalam sesi Windows yang _login_ dapat menggunakan kunci Windows Hello for Business yang terikat perangkat keras tanpa meminta pengguna untuk membuka kuncinya lagi, bahkan jika kunci tersebut dilindungi oleh Trusted Platform Module (TPM) dan tidak dapat diekspor. Windows Hello for Business dirancang untuk menyediakan autentikasi tanpa kata sandi yang kuat dengan mengikat kredensial ke perangkat keras fisik melalui TPM. TPM adalah chip keamanan yang dirancang untuk menyimpan kunci kriptografi dan data sensitif lainnya dengan aman, sehingga tidak dapat diakses bahkan oleh sistem operasi. Meskipun kunci yang dilindungi TPM tidak dapat diekspor, Mollema menemukan bahwa jika penyerang sudah memiliki akses ke sesi Windows yang aktif, mereka dapat memanipulasi proses autentikasi untuk menggunakan kunci Hello for Business yang sudah ada tanpa otorisasi ulang dari pengguna. Ini berarti penyerang dapat memanfaatkan sesi yang sudah ada untuk melewati perlindungan yang seharusnya kuat, membuka pintu bagi akses tidak sah ke sumber daya yang dilindungi oleh Windows Hello for Business.
Microsoft telah merespons temuan SpecterOps dengan mengeluarkan pembaruan keamanan untuk CVE-2026-34348 dan menerapkan mitigasi untuk masalah yang melibatkan _passkey relay assertions_. Meskipun panduan migrasi Entra Microsoft masih mengklaim passkey tahan terhadap serangan _replay_, perusahaan telah mengambil langkah-langkah untuk mengatasi kerentanan yang dilaporkan. Seorang juru bicara Microsoft menekankan pentingnya adopsi pendekatan akses dengan hak istimewa terkecil (Least Privilege), penggunaan metode autentikasi yang tahan _phishing_, dan pemeliharaan perlindungan _endpoint_ melalui model keamanan _Zero Trust_. Ini mencerminkan pemahaman bahwa keamanan adalah upaya berkelanjutan yang memerlukan pendekatan holistik, bukan hanya bergantung pada satu teknologi.
Temuan dari Unit 42 dan Mollema juga menggarisbawahi mengapa tidak ada satu pun pilihan antara passkey yang tersinkronisasi dan yang terikat perangkat yang sepenuhnya menutup celah serangan yang lebih luas. Passkey yang tersinkronisasi, meskipun sangat nyaman karena memungkinkan pengguna mengakses akun dari berbagai perangkat tanpa konfigurasi ulang, dapat menjadi target jika _master key_ yang melindunginya terkompromi, seperti yang ditunjukkan oleh serangan Golden Pass-ta-key. Di sisi lain, passkey yang terikat perangkat, meskipun lebih aman dari pencurian kunci pribadi karena tidak dapat diekspor dan terikat pada perangkat keras spesifik, masih bisa dimanfaatkan jika sesi pengguna yang sah telah dikompromikan, seperti yang ditunjukkan oleh penelitian Mollema. Ini menciptakan dilema antara kenyamanan dan keamanan absolut, dan menunjukkan bahwa pengguna perlu memahami risiko yang melekat pada setiap pilihan.
Dampak dari kerentanan ini sangat signifikan. Bagi individu, pencurian passkey berarti akses tidak sah ke akun finansial, email, media sosial, dan data pribadi lainnya, yang dapat menyebabkan kerugian finansial, pencurian identitas, dan kerusakan reputasi. Bagi organisasi, kompromi passkey pengguna istimewa dapat mengakibatkan akses tidak sah ke sistem internal, pencurian data sensitif perusahaan, gangguan operasional, dan kerugian finansial yang besar. Kerentanan ini juga dapat merusak kepercayaan publik terhadap teknologi passkey, yang sedang dipromosikan sebagai solusi masa depan untuk keamanan autentikasi.
Sebagai rekomendasi praktis, pengguna disarankan untuk selalu menjaga sistem operasi dan perangkat lunak mereka tetap mutakhir dengan pembaruan keamanan terbaru. Penggunaan antivirus dan anti-malware yang andal sangat penting untuk mendeteksi dan mencegah _malware_ yang menjadi titik awal banyak serangan ini. Organisasi harus menerapkan kebijakan keamanan yang ketat, termasuk prinsip hak istimewa terkecil, autentikasi multifaktor yang kuat (MFA), dan pemantauan aktivitas pengguna secara terus-menerus. Selain itu, edukasi pengguna tentang praktik keamanan siber yang baik, seperti mengenali upaya _phishing_ dan tidak mengunduh lampiran atau mengklik tautan yang mencurigakan, tetap menjadi garis pertahanan pertama yang krusial.
Penelitian ini menyoroti pentingnya pendekatan keamanan berlapis dan terus-menerus meninjau implementasi teknologi keamanan baru. Meskipun passkey menjanjikan masa depan tanpa kata sandi yang lebih aman, kerentanan yang ditemukan menunjukkan bahwa detail implementasi dan interaksi dengan sistem lain sangat krusial. Pengembang dan penyedia layanan perlu terus berinovasi dan memperbaiki sistem mereka untuk memastikan passkey benar-benar dapat memenuhi janji keamanannya di tengah lanskap ancaman siber yang terus berkembang. Ini termasuk melakukan audit keamanan yang rutin, berkolaborasi dengan komunitas peneliti keamanan, dan merespons temuan kerentanan dengan cepat dan transparan. Hanya dengan demikian, passkey dapat berkembang menjadi solusi autentikasi yang benar-benar aman dan dapat diandalkan untuk masa depan digital kita.
