Autentikasi tanpa kata sandi adalah metode autentikasi apa pun yang tidak menggunakan kata sandi tradisional, pertanyaan keamanan atau faktor pengetahuan lainnya untuk memverifikasi identitas pengguna. Sebaliknya, metode autentikasi tanpa kata sandi menggunakan hal-hal yang lebih sulit dicuri atau dipalsukan, seperti kunci sandi, kunci physical security , dan biometrik.
Kata sandi mungkin merupakan metode autentikasi pengguna yang paling umum. Kata sandi juga merupakan metode terlemah. Kata sandi dapat dicuri melalui serangan phishing dan malwaret infostealer , ditebak melalui serangan brute force atau dibeli dari dark web, di mana peretas menjualnya masing-masing seharga beberapa dolar.
Berbekal kredensi yang dicuri, aktor ancaman dapat mengambil alih akun yang sah, menyalahgunakan hak istimewa mereka yang sah, dan menghindari deteksi—karena aktivitas mereka terlihat seperti milik pengguna yang berwenang. Menurut IBM® X-Force Threat Intelligence Index 2025, pencurian akun yang valid adalah salah satu vektor akses awal yang paling umum, hadir dalam 32% serangan siber yang dianalisis X-Force.
Faktor pengetahuan lainnya—yaitu, setiap faktor autentikasi yang bergantung pada rahasia yang diketahui pengguna—menderita kelemahan yang sama. Jawaban atas pertanyaan keamanan umum, seperti nama hewan peliharaan pertama atau teman masa kecil, dapat dengan mudah ditemukan melalui rekayasa sosial atau pengintaian media sosial sederhana .
Meskipun nama “kata sandi“ ada dalam namanya, autentikasi tanpa kata sandi menghilangkan semua faktor pengetahuan, termasuk pertanyaan keamanan. Metode tanpa kata sandi menggantikan faktor pengetahuan ini dengan token perangkat keras, kunci sandi kriptografi, sidik jari, pemindaian wajah, aplikasi otentikator, dan banyak lagi.
Faktor autentikasi tanpa kata sandi ini dianggap jauh lebih aman daripada faktor pengetahuan. Mereka tidak dapat dengan mudah dicuri atau dipalsukan, membuat mereka tahan terhadap beberapa ancaman dunia maya yang paling meresap saat ini. Misalnya, penjahat siber tidak dapat mencuri kunci sandi melalui tautan phishing, mereka juga tidak dapat membuat sidik jari palsu tanpa teknologi yang sangat canggih.
Bergabunglah dengan para pemimpin keamanan yang mengandalkan Buletin Think untuk berita yang dikurasi tentang AI, keamanan siber, data, dan otomatisasi. Pelajari dengan cepat dari tutorial pakar dan penjelas—dikirimkan langsung ke kotak masuk Anda. Lihat Pernyataan Privasi IBM®.
Autentikasi tanpa kata sandi bekerja dengan mengganti faktor pengetahuan dalam proses autentikasi dengan alternatif non-berbasis pengetahuan. Jadi alih-alih meminta kata sandi, proses login tanpa kata sandi mungkin meminta pengguna untuk mengklik tautan ajaib atau mengetuk pemberitahuan push.
Untuk memahami sepenuhnya logika autentikasi tanpa kata sandi, ada baiknya kita terlebih dahulu menguraikan cara kerja autentikasi secara umum.
Dalam proses autentikasi yang khas, pengguna membuktikan identitas mereka dengan menawarkan bukti bahwa mereka adalah siapa yang mereka klaim. Bukti ini disebut “faktor autentikasi,” dan biasanya jatuh ke dalam salah satu dari empat kategori:
Faktor pengetahuan: Sesuatu yang diketahui pengguna, seperti kata sandi atau jawaban atas pertanyaan keamanan.
Faktor kepemilikan: Sesuatu yang dimiliki pengguna, seperti kata sandi satu kali yang dihasilkan oleh ponsel pribadi atau kunci kriptografi pribadi.
Faktor inherensi: Sesuatu pengguna, biasanya berarti biometrik seperti pemindaian sidik jari, wajah, dan retina.
Faktor perilaku: Sesuatu yang dilakukan pengguna, seperti pola mengetik yang unik atau gerakan mouse.
Solusi autentikasi tanpa kata sandi hanya menggunakan faktor kepemilikan, inherensi, dan perilaku. Lebih khusus lagi, alternatif kata sandi umum meliputi:
Passkey didasarkan pada kriptografi kunci publik, yang biasanya diimplementasikan sesuai dengan serangkaian standar yang dikenal sebagai FIDO atau FIDO2.
Passkey bekerja dengan menghasilkan pasangan kunci kriptografi : kunci publik yang dibagikan dengan layanan apa pun yang didaftar pengguna, dan kunci pribadi yang disimpan di perangkat pengguna, seperti ponsel pintar pribadi mereka. Kunci pribadi tidak pernah dibagikan dengan layanan. Selain itu, kunci pribadi terkunci di balik PIN atau tantangan biometrik.
(Standar FIDO juga mendukung kunci keamanan perangkat keras. Untuk informasi selengkapnya, lihat “Token perangkat keras.”)
Dengan kata sandi, alur autentikasi bekerja seperti ini:
Kunci sandi dianggap jauh lebih aman daripada kata sandi karena beberapa alasan. Kunci pribadi tidak pernah meninggalkan perangkat pengguna, sehingga tidak dapat dicegat. Jika penyerang mencuri perangkat yang berisi kunci pribadi, mereka masih perlu memasukkan PIN atau melewati tantangan biometrik untuk menggunakan kunci tersebut.
Seperti yang dikatakan Jeff Crume, penemu utama IBM® dan insinyur terkemuka, pada sebuah episode podcast IBM® Security Intelligence:
Vektor nomor satu untuk pelanggaran [dalam Laporan Biaya Pelanggaran Data IBM® 2025] adalah phishing. Dan phishing, apa yang mereka cari? Mereka mengincar kredensial Anda. Nah, coba tebak? Jika Anda tidak memiliki kata sandi, tidak ada yang bisa mencurinya dari Anda. Jika Anda memiliki kunci sandi, maka itu jauh lebih sulit.
Autentikasi biometrik bergantung pada karakteristik fisik pengguna. Pemindaian retina, teknologi pengenalan wajah dan pemindaian sidik jari adalah beberapa bentuk biometrik yang paling umum.
Faktor biometrik dianggap aman karena tidak dapat dicuri atau dipalsukan dengan mudah. Mereka juga dianggap ramah pengguna karena pengguna tidak perlu melakukan sesuatu yang istimewa untuk memasukkan kredensial biometrik—cukup lihat kamera atau tekan ibu jari mereka ke layar.
Kelemahannya adalah, meskipun sangat jarang, biometrik dapat dicuri. Pada tahun 2024, misalnya, peretas mencuri data pengenalan wajah dari perusahaan Australia bernama Outabox. Dan ketika biometrik dicuri, mereka tidak dapat diatur ulang seperti kata sandi. Seseorang tidak dapat mengubah sidik jari atau pola retina mereka.
Seperti namanya, kata sandi satu kali (OTP) adalah kata sandi sekali pakai, biasanya hanya berlaku untuk periode singkat, yang menggantikan kredensial tetap. Setiap kali pengguna perlu masuk ke layanan, mereka menghasilkan OTP baru.
OTP dapat dihasilkan dengan berbagai cara. Metode yang paling umum meliputi:
OTP tidak dianggap sebagai faktor pengetahuan karena mereka bukan rahasia berumur panjang. OTP adalah faktor kepemilikan. Bukan pengetahuan tentang OTP yang Verify seseorang, tetapi kepemilikan aplikasi otentikator terdaftar, nomor telepon atau kunci keamanan yang menghasilkan OTP.
OTP umumnya kedaluwarsa setelah satu penggunaan atau jangka waktu tertentu, membatasi nilainya jika dicuri atau dicegat. Tetapi mereka dapat dicuri melalui langkah-langkah licik tertentu, seperti infostealers atau serangan man-in-the-middle (MitM).
Juga disebut kunci keamanan, token perangkat keras adalah perangkat khusus—seringkali dalam bentuk dongle USB—yang berisi atau menghasilkan informasi autentikasi.
Beberapa token perangkat keras menggunakan OTP. Mereka membuat OTP baru secara teratur, seperti aplikasi otentikator, atau menghasilkan OTP sesuai permintaan ketika pengguna menekan tombol. Token lain secara otomatis mengirimkan informasi autentikasi ke layanan saat dicolokkan ke perangkat.
Token perangkat keras dianggap kuat karena sering tidak terhubung ke internet sama sekali, dan seseorang harus memiliki token secara fisik untuk menggunakannya.
Konon, kunci keamanan bisa hilang atau dicuri. Melebihkan kunci untuk setiap karyawan atau pengguna layanan bisa mahal—dan secara logistik sangat mahal.
Tautan ajaib adalah tautan khusus yang berisi token autentikasi.
Pertama, pengguna mendaftarkan akun email atau nomor telepon mereka dengan layanan. Kemudian, ketika mereka ingin masuk, mereka meminta tautan ajaib. Layanan mengirimkan tautan ke email terdaftar atau perangkat mobile. Ketika pengguna mengkliknya , mereka dibawa ke layanan yang ingin mereka akses, sepenuhnya diautentikasi dan masuk.
Tautan ajaib adalah semacam faktor kepemilikan, tetapi bukan kepemilikan tautan itu sendiri yang membuktikan identitas pengguna. Sebaliknya, itu adalah kepemilikan akun email atau nomor telepon yang terdaftar sebelumnya.
Seperti OTP, tautan ajaib tetap valid hanya untuk waktu yang singkat, dan secara otomatis kedaluwarsa setelah satu kali digunakan.
Namun, jika penyerang mendapatkan akses ke kotak masuk email atau nomor telepon pengguna, tautan ajaib dapat dengan mudah disalahgunakan. Penyerang hanya perlu menavigasi ke layanan yang ingin mereka retak, meminta tautan dan mereka masuk.
Berfungsi seperti tautan ajaib, metode ini mengirimkan pemberitahuan push ke perangkat mobile pengguna yang terdaftar sebelumnya ketika mereka mencoba masuk ke layanan. Pengguna harus mengetuk “setujui” (atau yang setara) pada notifikasi push untuk mendapatkan akses.
Pemberitahuan push adalah faktor kepemilikan lainnya. Tindakan mengetuk menegaskan bahwa pengguna memiliki perangkat terdaftar, memverifikasi identitas mereka.
Pemberitahuan push nyaman dan sebagian besar aman, tetapi rentan terhadap serangan yang dikenal sebagai “banjir pemberitahuan push” (juga disebut “kelelahan MFA,” “pengeboman MFA,” atau “spamming prompt”).
Dalam serangan ini, aktor ancaman menavigasi ke layanan yang ingin mereka bobol, memasukkan ID pengguna target mereka dan berulang kali meminta autentikasi dengan pemberitahuan push. Banjir pemberitahuan yang tiba-tiba ke perangkat target dimaksudkan untuk membanjiri, sehingga korban menyetujuinya secara tidak sengaja atau hanya untuk menghentikannya. Dengan persetujuan itu, peretas dapat masuk ke akun pengguna.
Login berbasis QR menampilkan kode QR. Pengguna memindai kode—biasanya dengan aplikasi otentikator atau aplikasi khusus untuk layanan yang mereka akses—dan ini akan membuat mereka log in.
Mekanisme dasar di sini adalah transfer sesi . Misalnya, katakanlah pengguna ingin masuk ke situs web di laptop mereka dengan menggunakan kode QR:
Bahkan jika penyerang memperoleh kode QR, tidak dapat berbuat banyak tanpa perangkat pengguna yang telah diautentikasi sebelumnya . Konon, penyerang dapat secara hipotetis membajak sesi telepon pengguna dan masuk ke akun dengan cara itu.
Autentikasi berbasis QR juga rentan terhadap quishing, juga dikenal sebagai QR phishing atau QR jacking. Penyerang memberi korban kode QR palsu yang, ketika dipindai, menyetujui sesi yang dikendalikan penyerang, bukan sesi yang sah.
Faktor perilaku adalah artefak digital yang Verify identitas pengguna berdasarkan pola perilaku, seperti rentang alamat khas pengguna, lokasi , dan kecepatan pengetikan rata-rata.
Faktor-faktor ini jarang digunakan sebagai bukti identitas yang memadai sendiri. Mereka lebih sering menjadi bagian dari skema autentikasi berbasis risiko yang terus menilai postur keamanan pengguna untuk secara dinamis menentukan persyaratan autentikasi berdasarkan tingkat risiko.
Misalnya, pengguna yang melakukan pencatatan dari perangkat normal mereka pada waktu normal mungkin hanya perlu memberikan satu faktor otentikasi. Pengguna yang sama yang melakukan pencatatan dari perangkat baru atau lokasi aneh mungkin perlu memberikan faktor tambahan .
Didorong terutama oleh meningkatnya layanan cloud, kecerdasan buatan , dan machine learning, jumlah identitas non-manusia (NHI) yang aktif dalam jaringan perusahaan rata-rata telah meningkat secara dramatis dalam beberapa tahun terakhir. Dan karena agen AI memungkinkan otomatisasi yang semakin canggih, mengelola izin NHI dan mengamankan kredensial mereka menjadi perhatian utama bagi tim keamanan siber.
Akun non-manusia dapat dibajak seperti milik manusia. Mereka sering memiliki hak istimewa yang lebih tinggi (pikirkan proses pencadangan yang dapat membaca basis dataperusahaan yang paling sensitif) dan mengandalkan satu kredensi untu k otentikasi, menjadikannya target yang menarik dan berpotensi lemah.
Meskipun NHI tidak menggunakan kata sandi dengan cara yang sama seperti yang dilakukan manusia, mereka sering mengandalkan sertifikat dan token yang dapat dicuri, dipalsukan, atau dipecahkan seperti kata sandi.
Autentikasi tanpa kata sandi untuk pengguna manusia adalah tentang menghapus kredensial jangka panjang yang mudah dicuri atau dipalsukan. Organisasi dapat memperoleh manfaat serupa untuk NHI dengan menggunakan kombinasi akses just-in-time dan kredensial vaulting, seperti yang terlihat dalam proses security lifecycle management .
Security lifecycle management mengotomatiskan pembuatan, rotasi , dan penyimpanan aman kredensial NHI, menggantikan rahasia yang persisten dan hardcode dengan kredensial fana atau just-in-time yang disimpan di Vault pusat yang aman. Vault, pada gilirannya, dilindungi oleh enkripsi dan langkah-langkah otentikasi yang kuat untuk membantu memastikan bahwa hanya pengguna yang berwenang yang dapat mengakses kredensial ini bila diperlukan.
Skenario kasus terbaik adalah Anda beralih ke kredensial berbasis sesi. Ketika sesi saya berdiri, saya memiliki kredensial just-in-time. Dan segera setelah sesi dirobohkan, maka saya benar-benar menghilangkan kredensial. Jadi ketika sesi saya selesai, bahkan jika itu hanya berlangsung selama lima menit, kami menghapus kredensial itu dari sistem tersebut.
Spesifikasi identitas beban kerja seperti SPIFFE/SPIRE dapat mengaitkan identitas NHI dengan atribut waktu proses yang dapat diverifikasi secara kriptografis. Kerangka kerja ini memungkinkan untuk Verify beban kerja berdasarkan di mana dan bagaimana itu berjalan, memungkinkan NHI untuk mengautentikasi tanpa menggunakan kata sandi atau kunci API.
Login tanpa kata sandi dapat diimplementasikan sebagai autentikasi faktor tunggal (membutuhkan satu faktor non-pengetahuan) atau autentikasi multifaktor (MFA) (membutuhkan dua atau lebih faktor non-pengetahuan). Implementasi MFA tanpa kata sandi dianggap lebih aman daripada MFA standar atau autentikasi dua faktor (2FA), yang biasanya menggunakan kata sandi sebagai faktor pertama.
(Implementasi MFA yang meminta kata sandi dan beberapa faktor non-pengetahuan lainnya bukanlah tanpa kata sandi karena masih melibatkan kata sandi. Semua faktor yang terlibat harus menjadi faktor non-pengetahuan untuk login yang benar-benar tanpa kata sandi.)
Tidak setiap aplikasi secara native mendukung opsi tanpa kata sandi sepenuhnya. Untuk menerapkan autentikasi tanpa kata sandi di seluruh jaringan perusahaan, organisasi sering menggunakan platform orkestrasi identitas. Alat ini menghubungkan dan mengoordinasikan berbagai sistem manajemen identitas dan akses (IAM) berbeda dari berbagai penyedia identitas ke dalam sebuah kain identitas yang terpadu dengan satu alur kerja identitas yang mulus. Identity orchestration merupakan teknologi yang mendasari banyak sistem masuk tunggal (SSO) .
Pada dasarnya, Identity Orchestration bekerja dengan merutekan permintaan login untuk layanan individual melalui proses terpusat sebagai gantinya, dan banyak platform Identity Orchestration mendukung proses autentikasi terpusat tanpa kata sandi. Dengan demikian, seluruh perusahaan dapat beroperasi tanpa kata sandi, meskipun aplikasi dan layanan individual dalam tumpukan teknologi tidak mendukungnya.
Autentikasi berbasis kata sandi telah lama menjadi metode default untuk Verify identitas pengguna. Sayangnya, itu juga yang paling tidak aman. Metode tanpa kata sandi dapat menghapus salah satu tautan terlemah di jaringan modern, menutup celah yang dieksploitasi secara luas di permukaan serangan perusahaan.
Kata sandi mudah dicuri melalui serangan rekayasa sosial seperti phishing dan malware seperti spyware dan infostealers. Mereka sangat rentan terhadap serangan help desk, penipuan rekayasa sosial di mana aktor jahat memanggil meja bantuan berpura-pura menjadi pengguna atau karyawan yang membutuhkan reset kata sandi. Serangan-serangan ini menjadi semakin umum karena dampaknya yang sangat merusak. Seperti yang pernah dikatakanStephanie Carruthers, mantan kepala peretas orang IBM® X-Force:
Kami melakukan kampanye rekayasa sosial untuk klien kami di mana tujuannya adalah untuk menghubungi meja bantuan mereka dan melihat apakah kami dapat menyamar sebagai karyawan untuk mengatur ulang kata sandi mereka. Sampai saat ini, kami telah sukses setiap kali kami melakukannya.
Orang sering menggunakan kata sandi lemah yang dapat dipecahkan oleh penyerang melalui serangan brute-force dan kamus — yaitu, mencoba kata sandi umum sampai salah satu berhasil. Orang-orang juga menggunakan kembali kata sandi di beberapa layanan, memungkinkan isian kredensial. Ketika penyerang memiliki kata sandi untuk satu layanan, mereka juga dapat mencobanya untuk banyak layanan lainnya.
Bahkan ketika orang mengikuti praktik kata sandi terbaik — menggunakan kata sandi yang berbeda dan sulit ditebak untuk setiap layanan — mereka mengalami masalah. Mengingat berapa banyak akun yang dimiliki orang, mudah untuk melupakan kata sandi ini. Dalam kasus kredensial NHI, seperti kunci API, kunci tersebut mungkin dibiarkan hardcode ke dalam aplikasi atau tidak dilindungi sebagai teks biasa di drive bersama.
Alat manajemen kata sandi muncul untuk mengatasi tantangan kebersihan kata sandi ini, tetapi alat-alat ini memiliki kerentanan tersendiri. Yaitu: Sebagian besar PASSWORD MANAGER dilindungi oleh kata sandi utama, yang dengan sendirinya dapat dicuri. Jadi, ya, peretas dapat mencuri kata sandi yang disimpan dengan manuver yang tepat.
Proliferasi NHI juga memainkan peran dalam menjadikan autentikasi tanpa kata sandi sebagai prioritas.
Aplikasi, proses sistem, dan pengguna non-manusia lainnya tidak memiliki kata sandi klasik, tetapi mereka menggunakan token OAuth, kunci API, sertifikat, dan rahasia lainnya untuk mengautentikasi diri mereka sendiri. Agen AI—yang melintasi batas antara kemampuan tradisional manusia dan bukan manusia—bahkan mungkin “meminjam” kredensial pengguna manusia mereka untuk menjalankan tugas otomatis. Semua rahasia ini dapat dicuri dan disalahgunakan dengan cara yang sama seperti kata sandi.
Sistem IAM tradisional tidak dirancang untuk manajemen rahasia NHI, menciptakan celah keamanan identitas.
Profesional identitas dan keamanan telah mengenali tekanan ini selama beberapa waktu. Namun, pendekatan tanpa kata sandi kini semakin populer karena teknologi akhirnya mampu mengimbangi perkembangan tersebut. Smartphone memungkinkan pengguna sehari-hari untuk mengadopsi biometrik dan kata sandi satu kali berbasis waktu. Pengembangan standar FIDO dan protokol WebAuthn dan CTAP2 yang mendasarinya telah membuat autentikasi berbasis sandi tersedia secara luas untuk situs web dan aplikasi web. Dan alat security lifecycle management baru memungkinkan organisasi untuk mengotomatiskan pembuatan kredensial, rotasi, penyimpanan , dan manajemen akses untuk NHI.
Autentikasi tanpa kata sandi secara luas dianggap lebih aman dan lebih nyaman daripada pendekatan berbasis kata sandi. Kekurangannya terutama berkaitan dengan potensi kompleksitas dan biaya yang diperlukan untuk menerapkan autentikasi tanpa kata sandi pada tahap awal.
Phishing adalah penyebab utama pelanggaran data, menyumbang 16% dari pelanggaran yang dianalisis dalam Laporan Biaya Pelanggaran Data IBM®. Tujuan dari sebagian besar serangan phishing adalah untuk mencuri kredensial pengguna—biasanya kata sandi.
Autentikasi tanpa kata sandi menggantikan kata sandi dengan kredensial tahan phishing yang tidak dapat dicuri dengan mudah atau layak, sehingga menggagalkan salah satu ancaman terbesar terhadap keamanan data.
Kredensial tanpa kata sandi juga dapat memperkuat pertahanan terhadap strain malware umum tertentu, seperti infostealer atau spyware. Misalnya, kunci sandi tidak pernah dikirim atau diketik di mana pun, dan sementara OTP dapat dibaca, kunci sandi tidak berguna setelah satu entri.
Salah satu alasan mengapa kata sandi menjadi kelemahan keamanan siber yang signifikan adalah karena banyak pengguna tidak mengikuti praktik terbaik yang telah ditetapkan untuk menjaga keamanan kata sandi. Salah satu contoh penggunaan yang paling menarik untuk autentikasi tanpa kata sandi adalah bahwa hal itu sepenuhnya menghilangkan masalah kebersihan.
Pengguna tidak perlu membuat kata sandi yang unik dan kompleks untuk setiap layanan karena mereka tidak perlu membuat kata sandi sama sekali. Penghapusan kata sandi juga dapat meningkatkan pengalaman pengguna, menjadikan autentikasi tanpa kata sandi salah satu contoh langka di mana keamanan dan kegunaan sinkron .
Di sebagian besar organisasi, kata sandi yang terlupakan berarti panggilan ke meja bantuan TI. Panggilan ini membutuhkan biaya, menjauhkan pekerja TI dari pekerjaan yang lebih berharga dan mengganggu alur kerja karyawan. Dan panggilan meja bantuan, seperti yang disebutkan sebelumnya, memberi aktor ancaman jalan yang ampuh untuk serangan.
Autentikasi tanpa kata sandi berarti tidak ada lagi pengaturan ulang kata sandi, yang dapat mengurangi panggilan meja bantuan, memotong biaya dukungan TI, dan mengurangi vektor ancaman berbahaya.
Selain menjadi salah satu vektor utama ke dalam jaringan, kredensial yang dicuri juga menjadi target utama bagi peretas ketika mereka berada di dalam. Pengumpulan kredensial adalah dampak paling umum dari serangan yang dianalisis dalam Threat Intelligence Index terbaru, hadir dalam 26% kasus.
Ketika penyerang memiliki kredensial ini, mereka menggunakannya untuk gerakan lateral dan privilege escalation, atau mereka menjualnya di dark web kepada penyerang lain. Apa pun itu, kata sandi yang dicuri menyebabkan kerusakan besar.
Tidak hanya kredensial tanpa kata sandi yang lebih sulit untuk dicuri sejak awal, tetapi kredensial yang dicuri digunakan secara terbatas atau sama sekali tidak dapat dijual. Misalnya, Anda tidak dapat mencuri kunci sandi dengan membobol layanan karena layanan tidak menyimpannya. Setiap kata sandi disimpan di perangkat masing-masing pengguna. Dan tidak ada yang akan membayar untuk OTP yang sudah kedaluwarsa.
Terlepas dari semua kelebihan ini, autentikasi tanpa kata sandi memang memiliki kelemahan, termasuk implementasi yang kompleks, kesulitan mengatur ulang kredensial yang hilang atau dicuri, dan serangan siber unik yang rentan terhadap login tanpa kata sandi .
Rata-rata jaringan perusahaan berisi campuran aplikasi dan aset on premises dan berbasis cloud, dari campuran vendor, dengan sistem manajemen akses yang sedikit berbeda yang tidak selalu mendukung autentikasi tanpa kata sandi .
Dan beberapa pakar memperkirakan bahwa perangkat lunak sementara yang berkode getaran akan segera menjadi lebih umum di jaringan perusahaan, memperkenalkan bermacam-macam sistem IAM yang lebih beraneka ragam ke dalam keributan.
Sebelum mereka dapat mengadopsi autentikasi tanpa kata sandi , banyak organisasi menemukan bahwa mereka harus terlebih dahulu membangun kain identitas terintegrasi yang menyatukan semua Sumber daya dalam alur kerja umum. Sementara kain identitas holistik dianggap sebagai praktik terbaik untuk keamanan identitas saat ini, membangunnya memang membutuhkan waktu, uang, alat, dan keahlian.
Mendaftarkan pengguna dalam proses autentikasi tanpa kata sandi juga dapat menimbulkan tantangan, tergantung pada jenis kredensial yang ingin didukung oleh organisasi. Kunci sandi dan aplikasi pengautentikasi relatif sederhana, tetapi kunci keamanan perangkat keras dan biometrik bisa lebih rumit.
Faktor autentikasi tanpa kata sandi cenderung tidak memerlukan reset. Tetapi ketika mereka melakukannya, prosesnya bisa sulit.
Misalnya, kunci perangkat keras yang hilang membutuhkan biaya untuk diganti dan harus didistribusikan secara fisik kepada pengguna. Data biometrik yang dicuri tidak dapat diubah. Ponsel cerdas yang hilang atau dicuri yang berisi aplikasi autentikasi dapat memberikan akses aktor ancaman ke seluruh kehidupan digital pengguna.
Meskipun metode autentikasi tanpa kata sandi lebih sulit dipecahkan, mereka rentan terhadap serangan canggih tertentu.
Misalnya, skema man-in-the-middle yang cukup canggih dapat mencegat OTP sebelum dimasukkan di situs web asli—dan sebelum kedaluwarsa—memungkinkan peretas untuk menggunakannya sebelum pengguna yang sah dapat melakukannya. Skema pertukaran SIM—di mana scammer menyamar sebagai korban dan meyakinkan penyedia telekomunikasi mereka untuk mentransfer nomor mereka ke telepon yang dikendalikan scammer— juga dapat memberi penyerang cara untuk mencegat OTP, pemberitahuan push, tautan ajaib, dan faktor autentikasi umum lainnya.