Technology
▲ SEDANG
Passwordless Authentication: Era Tanpa Password dengan Passkeys, FIDO2, dan Biometrik
13 Juli 2026 • Seraphim News • 30 mnt baca
Daftar Isi 12 bagian
Ringkasan Eksekutif
Password telah menjadi fondasi keamanan digital selama lebih dari enam dekade. Ironisnya, selama itu pula password menjadi sumber utama kebocoran keamanan. Angkanya berbicara sendiri: 81% kebocoran data melibatkan password yang lemah atau dicuri, 61% pengguna menggunakan kembali password yang sama di berbagai layanan, dan rata-rata pengguna harus mengingat lebih dari 100 password.
Passwordless authentication hadir untuk menyelesaikan masalah yang tidak bisa diselesaikan oleh password: phishing. Sepintar apapun pengguna membuat password, jika halaman login palsu bisa mencurinya, password itu tidak ada gunanya. Dengan kombinasi kriptografi kunci publik, biometrik, dan hardware security keys, passwordless menawarkan pendekatan yang berbeda secara fundamental — tidak ada shared secret yang bisa dicuri dari server atau pengguna.
Masalah dengan Password
MENGAPA PASSWORD ADALAH MASALAH
1. HUMAN FACTOR — MANUSIA BUKAN PASSWORD MANAGER
├── Password harus panjang, unik, kompleks — untuk 100+ akun
├── Otak manusia tidak dirancang untuk ini
├── Akibat: reuse password, password sederhana, password di sticky note
└── "Password123!" masih menjadi salah satu password paling populer di 2026
2. PHISHING — PASSWORD BISA DICURI
├── Seberapa kuat pun password Anda, phishing bisa mencurinya
├── Attacker buat fake login page — user masukkan password
├── Man-in-the-Middle: attacker meneruskan password ke real service
├── Bahkan MFA tradisional (SMS, TOTP) masih bisa di-phishing
└── Satu-satunya yang kebal: phishing-resistant authentication (FIDO2)
3. DATABASE BREACHES
├── Password disimpan di server — server dibobol — password bocor
├── Hashing membantu, tapi tidak sempurna:
│ ├── MD5/SHA1: sudah broken — bisa di-reverse
│ ├── bcrypt/scrypt: aman, tapi user pakai password sederhana → bisa di-brute force
│ └── Jika salt bocor bersama hash, brute force lebih mudah
├── 59 miliar kredensial bocor di dark web (2026)
└── Password tidak bisa "ditarik kembali" — sekali bocor, selamanya berbahaya
4. CREDENTIAL STUFFING
├── Attacker menggunakan database password bocor
├── Coba kombinasi email + password ke berbagai layanan
├── Karena password reuse: berhasil login ke layanan lain
├── Skala: miliaran percobaan login otomatis per tahun
└── Mitigasi tradisional: rate limiting, CAPTCHA — tidak cukup
5. BIAYA BISNIS
├── 20-50% help desk calls adalah reset password
├── Rata-rata biaya: $70 per reset
├── Produktivitas hilang: pengguna tidak bisa login
├── Customer churn: pengguna frustrasi → tidak kembali
└── Security risk: pengguna memilih password lemah agar mudah diingat
6. PASSWORD COMPLEXITY RULES YANG KONTRAPRODUKTIF
├── "Harus 8+ karakter, 1 uppercase, 1 angka, 1 simbol"
├── Hasil: P@ssw0rd! — "memenuhi aturan" tapi mudah ditebak
├── NIST 800-63B (2024): batalkan aturan kompleksitas
│ ├── Panjang > kompleksitas — minimal 8, rekomendasi 15+
│ ├── Jangan wajibkan karakter khusus
│ ├── Jangan wajibkan rotasi periodik
│ └── Hanya blacklist password yang umum bocor
└── Pelajaran: aturan yang dibuat untuk keamanan justru melemahkannya
Apa Itu Passwordless Authentication?
Passwordless authentication adalah metode autentikasi yang tidak memerlukan password sama sekali. Alih-alih membuktikan identitas dengan “sesuatu yang Anda tahu” (password), passwordless menggunakan kombinasi:
FAKTOR AUTENTIKASI DALAM PASSWORDLESS
SESUATU YANG ANDA MILIKI (POSSESSION):
├── Hardware security key (YubiKey, Titan, Feitian)
├── Smartphone dengan secure enclave (iPhone, Android)
├── Platform authenticator (Windows Hello, Apple TPM, Android TEE)
├── Smart card
└── Wearable device (smartwatch)
SESUATU YANG ANDA ADALAH (INHERENCE):
├── Sidik jari (fingerprint)
├── Wajah (face recognition — Windows Hello, Face ID)
├── Iris/retina scan
├── Suara (voice recognition)
└── Behavioral biometrics (cara mengetik, cara berjalan)
SESUATU YANG ANDA LAKUKAN (BEHAVIOR — CONTINUOUS):
├── Pola pengetikan (typing rhythm)
├── Cara menggerakkan mouse/touch
├── Cara memegang dan mengangkat smartphone
├── Pola berjalan (gait analysis)
└── Lokasi kebiasaan (geolocation patterns)
CATATAN PENTING:
├── Passwordless bukan berarti "hanya biometrik"
├── Biometrik hanya untuk UNLOCK LOCAL DEVICE
├── Kunci kriptografi yang dikirim ke server — bukan data biometrik
└── Data biometrik TIDAK PERNAH meninggalkan perangkat
Teknologi di Balik Passwordless
STACK TEKNOLOGI PASSWORDLESS
FIDO2 (FAST IDENTITY ONLINE 2):
├── Standar autentikasi tanpa password dari FIDO Alliance
├── Terdiri dari dua komponen:
│ ├── WebAuthn (W3C standard) — API di browser
│ └── CTAP2 (Client to Authenticator Protocol) — komunikasi dengan authenticator
├── Didukung oleh: Google, Apple, Microsoft, Amazon, Meta, dan ratusan lainnya
├── Implementasi: passkeys, security keys, platform authenticators
└── Status: standar global (W3C + FIDO Alliance)
PUBLIC-KEY CRYPTOGRAPHY:
├── Setiap akun memiliki pasangan kunci:
│ ├── Private key: tersimpan di authenticator (tidak pernah dikirim)
│ └── Public key: dikirim ke server saat registrasi
├── Saat login: server mengirim challenge → authenticator menandatangani dengan private key
├── Server verifikasi tanda tangan dengan public key
├── Private key tidak pernah meninggalkan perangkat
└── Tidak ada "shared secret" yang bisa dicuri dari server
SECURE ENCLAVE / TRUSTED EXECUTION ENVIRONMENT (TEE):
├── Hardware isolation untuk menyimpan private key
├── Tidak bisa diakses oleh OS atau aplikasi lain
├── Contoh:
│ ├── Apple Secure Enclave (iPhone, Mac)
│ ├── Android TEE (Trusty OS)
│ ├── Windows TPM 2.0
│ ├── Titan M2 (Google Pixel)
│ └── Samsung Knox Vault
└── Bahkan jika OS terinfeksi malware, private key tetap aman
CTAP2 (CLIENT TO AUTHENTICATOR PROTOCOL):
├── Protokol komunikasi antara browser dan authenticator
├── Mendukung:
│ ├── USB (FIDO U2F / CTAP1)
│ ├── NFC (tap security key ke smartphone)
│ ├── BLE (Bluetooth Low Energy)
│ └── Internal (platform authenticator di perangkat yang sama)
└── User verification methods: PIN, biometrik, atau none
Cara Kerja Passkeys (FIDO2/WebAuthn)
ALUR REGISTRASI PASSKEY
USER BROWSER/APP SERVER
│ │ │
│ 1. Klik "Create │ │
│ Passkey" │ │
│─────────────────────────>│ │
│ │ 2. Request challenge │
│ │─────────────────────>│
│ │ │
│ │ 3. Challenge + │
│ │ user info │
│ │<─────────────────────│
│ │ │
│ 4. Verifikasi │ │
│ biometrik/PIN │ │
│<─────────────────────────│ │
│ │ │
│ 5. Authenticator │ │
│ generate key pair │ │
│ │ │
│ 6. Private key │ │
│ disimpan di │ │
│ perangkat │ │
│ │ │
│ │ 7. Public key + │
│ │ signed challenge │
│ │─────────────────────>│
│ │ │
│ │ 8. Verifikasi & │
│ │ simpan public key │
│ │<─────────────────────│
│ │ │
│ 9. "Passkey created" │ │
│<─────────────────────────│ │
ALUR LOGIN DENGAN PASSKEY
USER BROWSER/APP SERVER
│ │ │
│ 1. Masukkan email/ │ │
│ klik "Sign in with │ │
│ Passkey" │ │
│─────────────────────────>│ │
│ │ 2. Request challenge │
│ │─────────────────────>│
│ │ │
│ │ 3. Challenge │
│ │<─────────────────────│
│ │ │
│ 4. Verifikasi │ │
│ biometrik/PIN │ │
│<─────────────────────────│ │
│ │ │
│ 5. Authenticator │ │
│ tanda tangani │ │
│ challenge dengan │ │
│ private key │ │
│ │ │
│ │ 6. Signed challenge │
│ │ + credential ID │
│ │─────────────────────>│
│ │ │
│ │ 7. Verifikasi tanda │
│ │ tangan dengan │
│ │ public key │
│ │<─────────────────────│
│ │ │
│ 8. Login berhasil! │ │
│<─────────────────────────│ │
POIN PENTING:
├── Private key TIDAK PERNAH meninggalkan perangkat
├── Tidak ada password yang dikirim atau disimpan di server
├── Setiap situs mendapatkan key pair yang BERBEDA
├── Phishing tidak mungkin — browser memverifikasi domain sebelum sign
├── Jika server dibobol: hanya public key yang bocor — tidak berguna untuk login
└── Cross-device sync: passkeys bisa disinkronkan via iCloud/Google Password Manager
Perbandingan Metode Autentikasi
PERBANDINGAN KEAMANAN & USABILITY
METODE | ANTI-PHISHING | KENYAMANAN | KEAMANAN | BIAYA
─────────────────────────────────────────────────────────────────────────
Password saja | Tidak | Rendah | Rendah | Gratis
Password + SMS OTP | Rendah | Sedang | Rendah | Gratis
Password + TOTP App | Sedang | Sedang | Sedang | Gratis
Password + Push Notification| Sedang | Tinggi | Sedang | Gratis
Password + Security Key | Tinggi | Sedang | Tinggi | $25-50
Passkey (Platform) | Sangat Tinggi | Sangat Tinggi|Tinggi | Gratis
Passkey (Cross-device) | Sangat Tinggi | Sangat Tinggi|Tinggi | Gratis
Passkey + Security Key | Sangat Tinggi | Tinggi | Sangat Tinggi|$25-50
─────────────────────────────────────────────────────────────────────────
KELEMAHAN METODE LAIN:
SMS OTP:
├── SIM swapping — attacker ambil alih nomor telepon
├── SS7 interception — attacker sadap SMS di jaringan
├── Phishing real-time — attacker minta OTP di fake site
├── Tidak tersedia di luar jangkauan seluler
└── SIM swapping meningkat 400% dalam 4 tahun terakhir
TOTP (AUTHENTICATOR APPS):
├── Seed/secret disimpan di server — bisa bocor
├── Kode 6 digit bisa di-phishing (real-time relay)
├── Tidak ada domain binding — user bisa masukkan ke fake site
├── Time sync issues — kode invalid jika jam tidak sinkron
└── Lebih aman dari SMS, tapi tidak phishing-resistant
PUSH NOTIFICATION:
├── MFA fatigue — user klik "Approve" tanpa pikir panjang
├── Attacker kirim banyak push — user akhirnya klik "Approve"
├── Lapsus$ (2022) berhasil bypass MFA push via fatigue attack
├── Tidak ada konteks detail — user tidak tahu apa yang di-approve
└── Lebih baik dari TOTP untuk usability, tapi tetap bisa diserang
Keamanan Passwordless: Apa yang Bisa dan Tidak Bisa
APA YANG DILINDUNGI PASSWORDLESS
SERANGAN YANG DICEGAH:
├── Phishing — browser memverifikasi domain, tidak bisa ditipu fake site
├── Credential stuffing — tidak ada password untuk di-stuff
├── Database breach — public key tidak berguna untuk login
├── Man-in-the-Middle — TLS + origin binding mencegah relay
├── Password spraying — tidak ada password untuk di-spray
├── Brute force — tidak ada hash untuk di-brute force
├── Keylogger — tidak ada password yang diketik
├── SIM swapping — tidak bergantung pada nomor telepon
└── Social engineering (password) — tidak ada password untuk diberikan
APA YANG TIDAK DILINDUNGI PASSWORDLESS:
1. DEVICE THEFT / LOSS
├── Jika perangkat dicuri dan biometrik bisa di-bypass
│ ├── Fingerprint: bisa dipalsukan dengan sophisticated methods
│ ├── Face ID: bisa ditipu dengan twin
│ └── PIN: bisa diamati (shoulder surfing)
├── Mitigasi: remote wipe, auto-lock, strong PIN
└── Security key bisa fisik dicuri — butuh PIN kedua
2. ACCOUNT RECOVERY
├── Passwordless tidak menghilangkan masalah recovery
├── Recovery method sering kali lebih lemah (email, SMS)
├── Attacker bisa target recovery flow untuk bypass passkey
└── Mitigasi: recovery method harus sama kuatnya dengan primary auth
3. MALWARE DI PERANGKAT
├── Jika perangkat terinfeksi malware canggih
├── Session hijacking: attacker mencuri session token setelah login
├── Ini bukan kelemahan passkey — tapi kelemahan perangkat yang terinfeksi
└── Mitigasi: EDR, conditional access, session binding
4. SOSIAL ENGINEERING (NON-PASSWORD)
├── Attacker minta user registrasi passkey baru di perangkat attacker
├── Social engineering untuk bypass recovery
├── Scam call: "Install remote desktop, saya bantu setup passkey"
└── Pelajaran: teknologi tidak bisa menyelesaikan human factor sepenuhnya
5. VENDOR LOCK-IN & ECOSYSTEM RISK
├── Passkeys disimpan di ekosistem (Apple, Google, Microsoft)
├── Jika akun Apple/Google diretas — passkeys ikut terekspos
├── Cross-platform masih terbatas
└── Mitigasi: multiple authenticators, backup security key
Adopsi oleh Platform Besar
ADOPSI PASSWORDLESS OLEH PLATFORM BESAR (2026)
APPLE:
├── Passkeys di iCloud Keychain — sync ke semua perangkat Apple
├── iOS 16+, macOS Ventura+: passkeys native
├── Bisa digunakan untuk login ke website dan aplikasi
├── Bisa share passkeys via AirDrop ke perangkat terdekat
├── Autofill passkey di Safari dan aplikasi
└── Cross-platform via QR code + Bluetooth (FIDO Cross-Device Auth)
GOOGLE:
├── Passkeys di Google Password Manager — sync via Google Account
├── Android 9+: passkeys native
├── Chrome: passkeys di desktop dan mobile
├── Google Workspace: passwordless login untuk enterprise (2024)
├── Titan Security Key: hardware key untuk high-security users
├── Advanced Protection Program: wajib security key
└── 400+ juta akun Google telah menggunakan passkeys (2025)
MICROSOFT:
├── Windows Hello: platform authenticator built-in
├── Microsoft Authenticator: passkeys + TOTP + push
├── Azure AD/Entra ID: passwordless authentication untuk enterprise
├── FIDO2 security keys: fully supported
├── Microsoft 365: passwordless login untuk consumer (2024)
└── "Passwordless since 2021" — internal Microsoft tidak pakai password
AMAZON:
├── Passkeys support untuk Amazon.com login (2023)
├── AWS IAM: FIDO2 security keys via AWS Identity Center
└── Ring: passkeys untuk login ke aplikasi smart home
OTHER MAJOR ADOPTERS:
├── GitHub: passkeys untuk semua pengguna (2023)
├── PayPal: passkeys untuk login dan checkout (2023)
├── TikTok: passkeys untuk login mobile (2024)
├── WhatsApp: passkeys untuk verifikasi identitas (2024)
├── Nintendo: passkeys untuk login akun (2024)
├── Uber, eBay, Shopify, DocuSign, Kayak...
└── Total: 12+ miliar akun mendukung passkeys (2026)
Strategi Implementasi untuk Organisasi
ROADMAP IMPLEMENTASI PASSWORDLESS UNTUK ENTERPRISE
FASE 1: FOUNDATION (1-3 BULAN)
├── Audit infrastruktur autentikasi saat ini
│ ├── Identity Provider (IdP) — sudah support FIDO2?
│ ├── Aplikasi — mana yang support SAML/OIDC?
│ ├── Legacy apps — mana yang tidak bisa passwordless?
│ └── User segments — siapa yang diprioritaskan?
├── Pilih IdP yang mendukung passwordless:
│ ├── Azure AD/Entra ID
│ ├── Okta
│ ├── Ping Identity
│ └── Google Workspace
├── Deploy MFA ke semua pengguna sebagai batu loncatan
└── Mulai pilot dengan tim IT/Security (30 hari)
FASE 2: EARLY ADOPTERS (3-6 BULAN)
├── Rollout ke high-risk users:
│ ├── C-level executives (target phishing tertinggi)
│ ├── IT administrators (privileged access)
│ ├── Finance team (akses transaksi)
│ └── Legal & HR (data sensitif)
├── Metode:
│ ├── Security keys (YubiKey) untuk admin/C-level
│ ├── Platform passkeys untuk karyawan dengan perangkat managed
│ └── Hybrid: passkeys + security key untuk backup
├── Training: cara setup, cara pakai, apa yang berubah
└── Support: dedicated help desk untuk transisi
FASE 3: ORGANIZATION-WIDE (6-12 BULAN)
├── Rollout ke seluruh organisasi
├── Password menjadi secondary factor (bukan primary)
├── Mulai menghapus password dari sistem yang memungkinkan
├── Legacy apps: Identity-Aware Proxy atau SSO adapter
├── Monitoring: usage metrics, support tickets, security events
└── Feedback loop: perbaiki berdasarkan user feedback
FASE 4: TRULY PASSWORDLESS (12-24 BULAN)
├── Hapus password dari IdP — tidak ada yang bisa login dengan password
├── Legacy apps: semua sudah melalui SSO atau diganti
├── Recovery flow: 100% berbasis passkeys + security keys
├── Compliance: SOC2, ISO 27001, FedRAMP — semua terpenuhi
└── Continuous improvement: adopsi teknologi baru (behavioral biometrics)
ACCOUNT RECOVERY DALAM DUNIA PASSWORDLESS:
PENDEKATAN 1: MULTIPLE AUTHENTICATORS
├── Pengguna mendaftarkan minimal 2 authenticator:
│ ├── Platform passkey (daily use)
│ └── Security key (backup — disimpan di safe)
├── Jika satu hilang, gunakan yang kedua
└── Sama seperti "spare key" untuk rumah
PENDEKATAN 2: TEMPORARY ACCESS PASS (TAP)
├── IT admin generate temporary code
├── Berlaku 1 kali, expired dalam 30 menit
├── Digunakan untuk recover akun dan daftarkan authenticator baru
├── Verifikasi identitas via out-of-band channel (video call, physical presence)
└── Mirip dengan "single-use recovery code"
PENDEKATAN 3: SOCIAL RECOVERY (TRUSTED CONTACTS)
├── User menunjuk 3-5 trusted contacts
├── Recovery membutuhkan persetujuan minimal N contacts
├── Mirip dengan Apple iCloud Recovery
└── Trade-off: convenience vs security
Tantangan dan Keterbatasan
TANTANGAN PASSWORDLESS (REALITA, BUKAN HYPE)
1. TRANSISI — LINGKUNGAN HYBRID
├── Passwordless butuh waktu bertahun-tahun — bukan flip of a switch
├── Fase hybrid: password + passkeys ada bersamaan
├── Selama password masih ada, phishing masih mungkin
├── Tantangan: menghapus password tanpa mengunci pengguna
└── Kebanyakan organisasi saat ini di Fase 2-3
2. LEGACY APPLICATIONS
├── Aplikasi mainframe/AS400 dari 1990-an
├── Aplikasi internal yang tidak mendukung SAML/OIDC
├── Protokol legacy: LDAP, RADIUS, Kerberos
├── Solusi: Identity-Aware Proxy, SSO adapter, atau ganti aplikasi
└── Realita: beberapa aplikasi mungkin tidak pernah bisa passwordless
3. CROSS-PLATFORM EXPERIENCE
├── Passkeys di Apple → tidak langsung bisa dipakai di Windows
├── Passkeys di Android → tidak langsung bisa dipakai di macOS
├── QR code + Bluetooth bridging: berfungsi, tapi tidak seamless
├── Vendor lock-in concerns: pengguna terkunci di ekosistem
└── FIDO Alliance sedang mengerjakan protokol cross-platform transfer
4. COST
├── Security keys: $25-80 per pengguna — signifikan untuk organisasi besar
├── IT support: help desk perlu dilatih untuk passwordless
├── Legacy migration: development cost untuk adapter/integration
├── Vendor licensing: IdP premium tier untuk passwordless features
└── ROI: biasanya tercapai dalam 12-18 bulan melalui pengurangan help desk calls
5. USER EDUCATION
├── "Di mana password saya?" — resistensi terhadap perubahan
├── Konsep public-key crypto tidak dipahami pengguna rata-rata
├── Ketakutan kehilangan akses: "bagaimana kalau HP saya hilang?"
├── Biometrik vs privacy: beberapa pengguna tidak nyaman
└── Solusi: gradual rollout, training kontekstual, backup method jelas
6. ACCESSIBILITY
├── Tidak semua pengguna bisa menggunakan biometrik
│ ├── Sidik jari: pekerja manual, kondisi kulit
│ ├── Face recognition: buta, wajah tertutup
│ └── Voice: tuna wicara
├── Security key: pengguna dengan keterbatasan motorik
├── Harus selalu ada alternatif non-biometrik
└── PIN/passcode tetap dibutuhkan sebagai opsi universal
Masa Depan Autentikasi
TREN AUTENTIKASI 2026-2030
1. PASSKEYS MENJADI DEFAULT
├── 2026: mayoritas consumer services mendukung passkeys
├── 2027: enterprise mulai menghapus password dari IdP
├── 2028: generasi baru pengguna internet tidak pernah punya password
└── Password akan menjadi legacy — seperti floppy disk
2. CONTINUOUS AUTHENTICATION
├── Autentikasi bukan event — tapi proses berkelanjutan
├── Behavioral biometrics: cara mengetik, mouse movement, gait
├── Context-aware: lokasi, waktu, kebiasaan, perangkat
├── Jika perilaku berubah drastis → step-up authentication
├── Jika perilaku normal → seamless, tanpa tantangan
└── Implikasi privacy: data behavioral harus dienkripsi dan di-on-device
3. DECENTRALIZED IDENTITY (SSI)
├── Self-Sovereign Identity (SSI) — pengguna mengontrol identitas sendiri
├── Verifiable Credentials (VCs) — klaim yang bisa diverifikasi
├── Tidak ada central authority yang menyimpan data identitas
├── EU Digital Identity Wallet (eIDAS 2.0) — 2026+
└── Standar: W3C Verifiable Credentials, Decentralized Identifiers (DIDs)
4. AI DALAM AUTENTIKASI
├── Risk-based authentication yang ditenagai AI
├── Mampu mendeteksi subtle anomalies yang tidak terlihat manusia
├── Adaptive: sesuaikan tantangan berdasarkan real-time risk score
├── AI juga digunakan attacker — authentication arms race
└── Deepfake detection menjadi bagian dari autentikasi
5. PASSWORDLESS IOT
├── Perangkat IoT tidak bisa menggunakan password tradisional
├── Device identity berbasis sertifikat dan PKI
├── FIDO Device Onboarding (FDO) — zero-touch secure provisioning
├── Standar: FIDO Alliance IoT Working Group
└── 75 miliar perangkat IoT butuh autentikasi tanpa password
Kesimpulan
Password telah melayani internet selama 60 tahun, tetapi waktunya sudah habis. Dengan miliaran akun, serangan phishing yang semakin canggih, dan ekspektasi pengguna akan pengalaman yang mulus — password adalah rantai terlemah yang tidak bisa diperkuat lagi.
Passwordless authentication dengan passkeys dan FIDO2 menawarkan jalan keluar: keamanan lebih tinggi, pengalaman lebih baik, dan arsitektur yang menutup lubang phishing secara fundamental. Tapi perjalanan menuju dunia tanpa password bukan sprint — ini maraton.
Organisasi membutuhkan investasi infrastruktur — IdP yang mendukung FIDO2, aplikasi yang siap, dan device management yang memadai. Perubahan budaya juga diperlukan: pengguna, IT support, dan developer semuanya perlu beradaptasi. Strategi bertahap adalah kunci — mulai dengan hybrid, baru menuju fully passwordless setelah fondasi siap. Dan yang paling kritis: recovery flow harus sama kuatnya dengan primary authentication, karena di situlah attacker akan mencari celah berikutnya.
Untuk organisasi yang belum memulai: prioritaskan passkeys untuk high-risk users lebih dulu — C-level, admin, finance. Untuk pengguna individu: aktifkan passkeys di akun Google, Apple, dan Microsoft. Perbedaannya terasa dalam hitungan hari.
Sumber Referensi: FIDO Alliance Specifications (FIDO2, WebAuthn, CTAP2), W3C WebAuthn Recommendation, NIST SP 800-63B Digital Identity Guidelines, Google Security Blog — Passkeys Adoption, Apple Platform Security Guide, Microsoft Entra ID Passwordless Documentation, Verizon Data Breach Investigations Report 2025, Yubico Developer Documentation.
