Passkeys Bukan Jebakan: Fakta vs Klaim Viral
Judul asli: Passkeys are not a trap
Mengapa Ini Penting
Misinformasi teknis soal autentikasi bisa mendorong pengguna ke metode yang lebih rentan.
Artikel viral di Hacker News klaim passkeys berbahaya dan anjurkan kembali ke TOTP. Peneliti keamanan Scott Helme membantah klaim tersebut secara teknis.
Sebuah artikel berjudul 'Passkeys are a trap. Do not use them.' ramai beredar di Hacker News, mendorong peneliti keamanan Scott Helme menulis bantahan detail pada 14 Oktober 2026.
Klaim utama artikel viral itu: fitur attestation di passkeys memungkinkan situs web memaksa pengguna hanya bisa login dari perangkat lunak dan sistem operasi yang disetujui. Helme menyebutnya tidak akurat secara teknis.
Menurut Helme, passkeys yang dipakai mayoritas pengguna — tersimpan di iCloud Keychain, Google Password Manager, 1Password, atau Bitwarden — tidak mengirimkan attestation statement sama sekali. Situs boleh memintanya, tapi respons yang kembali adalah 'none'. Ia menegaskan hal ini berdasarkan pengalamannya membangun library passkeys open-source.
Ironisnya, artikel viral itu justru merekomendasikan YubiKey sebagai alternatif 'aman' — padahal YubiKey adalah perangkat yang memang melakukan attestation, dilengkapi sertifikat resmi dari Yubico.
Soal TOTP yang disebut sebagai solusi superior: Helme mengingatkan bahwa kode TOTP bisa dicuri lewat phishing real-time menggunakan tools seperti Evilginx, yang merelay password dan kode OTP secara langsung. Passkeys kebal terhadap serangan ini karena terikat ke domain spesifik tempat ia dibuat.