Konfigurasi Windows Hello dengan kunci FIDO2 di rumah

Jika Anda lelah dengan banyaknya kata sandi dan ingin membuat PC Anda lebih aman tanpa repot, menyiapkan Windows Hello di rumah dengan kunci FIDO2 adalah salah satu hal terbaik yang dapat Anda lakukan saat ini. Di lingkungan rumah, di mana kita sering membiarkan sesi tetap terbuka atau menggunakan kata sandi yang lemah, beralih ke login tanpa kata sandi membuat perbedaan besar dalam hal keamanan dan kenyamanan.

Kabar baiknya adalah semua teknologi yang digunakan perusahaan untuk melindungi akun mereka (Microsoft Entra ID, kunci keamanan FIDO2, passkey, dll.) juga dapat digunakan pada komputer rumahan yang menjalankan Windows 10 dan Windows 11. Anda hanya perlu memahami apa itu kunci FIDO2, bagaimana kaitannya dengan Windows Hello, dan keterbatasannya ketika Anda tidak berada di lingkungan perusahaan, sehingga Anda tidak mengalami kejutan yang tidak menyenangkan saat masuk.

Apa itu kunci FIDO2 dan bagaimana kaitannya dengan Windows Hello?

Kunci FIDO2 pada dasarnya adalah perangkat otentikasi fisik tanpa kata sandi yang menggantikan kombinasi nama pengguna dan kata sandi yang biasa digunakan. Biasanya berbentuk kunci USB atau perangkat NFC dan dikombinasikan dengan PIN lokal atau gerakan biometrik (misalnya, menyentuh sensor) untuk memastikan bahwa Anda yang menggunakannya.

Teknologi yang mendasarinya distandardisasi oleh FIDO Alliance melalui WebAuthn dan CTAP , dan didasarkan pada kriptografi kunci publik: bagian privat disimpan dan dilindungi pada kunci atau perangkat, dan bagian publik didaftarkan pada layanan (Microsoft, universitas Anda, perusahaan Anda, bank, dll.). Hal ini mencegah kata sandi dicuri atau digunakan kembali di situs web lain.

Windows Hello berperan sebagai lapisan otentikasi lokal untuk Windows . Ini adalah sistem yang memungkinkan Anda membuka kunci komputer dengan wajah, sidik jari, PIN, atau, pada versi yang lebih baru, dengan kata sandi yang tersimpan di perangkat itu sendiri. Saat Anda menggabungkan Windows Hello dengan kunci FIDO2, PC Anda dapat digunakan untuk keduanya:

• Masuk ke Windows menggunakan kunci FIDO2 (sangat umum di perusahaan dengan perangkat yang terhubung ke Microsoft Entra ID).
• Lakukan otentikasi di situs web dan aplikasi. yang mendukung FIDO2 / kata sandi (Microsoft, Google(bank, dll.).

Di lingkungan rumah, kunci FIDO2 Anda biasanya digunakan terutama untuk masuk ke layanan online dan, dalam beberapa kasus tingkat lanjut, untuk masuk ke Windows itu sendiri jika Anda telah menautkan komputer Anda ke akun Microsoft atau Microsoft Login dan mengaktifkan kebijakan yang sesuai.

Persyaratan dan batasan penggunaan kunci FIDO2 di Windows 10 dan Windows 11

Sebelum terburu-buru membeli dongle dan memasangnya ke PC Anda, ada baiknya memahami persyaratan teknis dan beberapa keterbatasan praktis yang memengaruhi baik bisnis maupun pengguna rumahan . Bahkan jika Anda tidak berencana untuk mengatur Intune atau kebijakan grup di rumah, Anda tetap akan tunduk pada banyak batasan ini.

Mengenai sistem operasi, agar Windows dapat bekerja dengan lancar dengan FIDO2, disarankan agar komputer menjalankan Windows 10 versi 1903 atau yang lebih baru (pada praktiknya, saat ini hampir semua orang setidaknya menggunakan versi 1909) atau Windows 11. Untuk perangkat yang terhubung ke Microsoft Entra ID hybrid, diperlukan Windows 10 versi 2004 atau yang lebih tinggi, sesuatu yang lebih umum untuk penggunaan bisnis daripada penggunaan rumahan.

Ada banyak sekali skenario di mana kunci FIDO2 tidak didukung atau hanya berfungsi sebagian , dan ini juga memengaruhi Anda jika Anda melakukan hal-hal yang lebih canggih di rumah:

• Masuk atau membuka kunci perangkat Windows menggunakan kata sandi yang tersimpan di Microsoft Authenticator seolah-olah itu adalah kunci akses sistem langsung tidak didukung.
• Lingkungan murni dari Active Directory lokal (hanya domain lokal tanpa Login Microsoft) tidak kompatibel dengan login Windows menggunakan FIDO2 tanpa konfigurasi khusus.
• Skenario desktop jarak jauh RDP, VDI, atau Citrix Mereka hanya mempertimbangkan FIDO2 dengan mekanisme pengalihan WebAuthn tertentu; ini tidak transparan.
• Penggunaan kunci FIDO2 tidak didukung untuk S / MIME juga tidak untuk menjalankan tindakan tipe "Jalankan sebagai" di Windows.
• Anda tidak dapat masuk ke server Windows secara langsung hanya menggunakan kunci FIDO2 seolah-olah itu adalah sertifikat kartu pintar.
• Jika Anda tidak masuk ke perangkat menggunakan kunci keamanan saat online, Anda tidak dapat berharap untuk menggunakannya secara offline untuk membukanya.
• Jika kata sandi yang sama digunakan, berarti ada beberapa akun terdaftar. Windows cenderung menggunakan versi terbaru yang ditambahkan. untuk membuka kunci perangkat, meskipun di WebAuthn browser memungkinkan Anda untuk memilih akun tertentu.
• Perangkat dengan Windows 10 versi 1809 Mereka tidak mengizinkan pembukaan kunci dengan kunci FIDO2; Anda harus menggunakan versi 1903 atau lebih tinggi untuk pengalaman yang baik.

Di ranah daring, Microsoft mensyaratkan bahwa, sebelum mendaftarkan kunci FIDO2 sebagai metode tanpa kata sandi di Microsoft Entra ID, pengguna harus telah melakukan autentikasi multi-faktor (MFA) dalam lima menit terakhir . Bagi pengguna rumahan, ini berarti Anda memerlukan faktor kedua (aplikasi Authenticator, SMS, panggilan telepon, dll.) untuk pertama kalinya saat Anda mengaitkan kunci tersebut dengan akun Anda.

Cara mendaftarkan dan menggunakan kunci FIDO2 dengan akun Anda (secara online dan di PC)

Jika Anda menggunakan akun Microsoft (Outlook, Xbox , OneDrive, dll.) atau akun perusahaan/pendidikan berbasis ID Microsoft Entra, proses pengaturan kunci sangat mirip. Intinya selalu sama: masuk, tambahkan metode FIDO2, dan ikuti panduan browser.

Di portal Microsoft, proses umum yang dapat Anda tiru di rumah adalah:

• Akses area tersebut keamanan akun Anda, misalnya dari akun.microsoft.com atau dari mysignins.microsoft.com/security-info.
• Klik Tambahkan metode login o Tambahkan metode.
• Pilih Kunci keamanan o Kunci keamanan (FIDO2) Di menu tarik-turun, lalu lanjutkan.
• Mohon tunjukkan apakah perangkat Anda USB o NFCtergantung pada kunci yang Anda miliki.
• Ikuti petunjuk yang diberikan oleh browser: masukkan kunci USB, dekatkan kunci NFC, sentuh sensor, masukkan PIN, dan seterusnya.
• Di akhir proses, tetapkan nama yang mudah dikenali ke kata kunci (misalnya, “USB home key” atau “FIDO2 NFC portable”).

Setelah pengaturan selesai, kunci FIDO2 Anda akan tersedia sebagai metode login tanpa kata sandi dari browser seperti Edge, Chrome, atau Firefox, di Windows 10/11 dan sistem lain (macOS, Android , iOS ), selama sistem tersebut mendukung FIDO2/WebAuthn. Jika komputer Windows Anda dikelola oleh suatu organisasi, Anda bahkan dapat masuk ke PC tersebut menggunakan kunci tersebut, asalkan departemen TI telah mengaktifkannya.

Dari perspektif sistem, kunci keamanan bertindak sebagai metode otentikasi dua faktor , mirip dengan metode lain seperti otentikasi aplikasi, pesan SMS, atau panggilan telepon. Namun, tidak seperti email atau pertanyaan keamanan, kunci FIDO2 tidak digunakan untuk mengatur ulang kata sandi, melainkan sebagai mekanisme otentikasi yang kuat.

Mengelola kunci FIDO2 dari Windows Hello di PC rumahan

Windows mengintegrasikan bagian khusus untuk mengelola kunci keamanan FIDO2 di dalam aplikasi Pengaturan . Ini sangat berguna di rumah untuk mengubah PIN, mengatur ulang kunci jika Anda memberikannya kepada orang lain, atau memastikan bahwa tidak ada orang yang dapat menggunakannya kembali dengan akun Anda.

Metode standar di Windows 10 dan Windows 11 adalah dengan membuka Pengaturan > Akun > Opsi masuk > Kunci keamanan dan klik Kelola . Dari sana, sistem akan meminta Anda untuk memasukkan kunci USB atau mendekatkannya ke pembaca NFC untuk memverifikasi identitas Anda.

Dari panel tersebut, dengan mengikuti petunjuk khusus dari produsen (YubiKey, Feitian, dll.), Anda dapat mengatur ulang kunci ke pengaturan pabrik . Ini akan menghapus semua informasi akun yang tersimpan di perangkat fisik, sehingga siap digunakan dari awal atau diberikan kepada orang lain tanpa risiko.

Wizard yang sama juga memberi Anda opsi untuk membuat PIN baru untuk kunci tersebut atau mengubah PIN yang sudah ada. Masukkan PIN baru dua kali, konfirmasi, dan mulai saat itu, setiap operasi dengan kunci FIDO2 tersebut (masuk ke Microsoft, perusahaan Anda, dll.) akan memerlukan PIN yang diperbarui.

Jika Anda kehilangan kunci keamanan atau memutuskan bahwa Anda tidak lagi membutuhkannya, sangat penting bahwa, selain menghapusnya secara fisik jika Anda mau, Anda juga menghapusnya dari daftar metode otentikasi akun Anda . Di portal keamanan Microsoft, cukup cari kunci tersebut, klik "Hapus," konfirmasi, dan selesai: bahkan jika seseorang menemukan kunci tersebut, mereka tidak akan lagi dapat menggunakannya untuk mengakses akun Anda.

Windows Hello, PIN, dan keraguan umum di lingkungan rumah

Banyak pengguna yang menggunakan akun lokal di Windows menghadapi pertanyaan yang sama: “Saya mengaktifkan Windows Hello dengan PIN agar dapat menggunakan FIDO2 di situs web, tetapi sekarang layar kunci selalu meminta PIN saya dan bukan kata sandi saya . Apakah mungkin untuk menggunakan Hello hanya untuk situs web dan bukan untuk masuk ke Windows?”

Dalam desain Windows saat ini, PIN Windows Hello dimaksudkan sebagai metode utama untuk login lokal . Meskipun benar bahwa PIN ini hanya berlaku di komputer Anda (tidak dikirim melalui internet), dalam praktiknya, Windows memprioritaskannya daripada kata sandi untuk akun lokal Anda atau akun Microsoft Anda setelah diaktifkan.

Tidak ada opsi bawaan, sederhana, dan didukung Microsoft untuk memberi tahu sistem: “Gunakan PIN dan Windows Hello untuk FIDO2 di browser, tetapi jangan tampilkan sebagai opsi di layar masuk Windows .” Jika Anda ingin mencegah PIN muncul sebagai metode pertama, solusinya adalah menonaktifkannya sepenuhnya sebagai metode masuk, yang pada gilirannya membatasi atau mempersulit penggunaan terintegrasi Hello dengan kata sandi tertentu.

Di lingkungan perusahaan, kombinasi yang lebih canggih dengan kebijakan otentikasi dan Akses Bersyarat digunakan, tetapi pada PC rumahan, antarmuka login akan selalu menampilkan kredensial yang diaktifkan (PIN, kata sandi, pengenalan wajah Windows Hello, dll.), dan jika PIN telah diatur, Windows akan menampilkannya di bagian depan dan tengah secara otomatis.

Bagaimana perusahaan mengaktifkan login FIDO2 (dan apa yang mungkin menarik bagi Anda di rumah)

Sekalipun Anda tidak akan menerapkan Intune atau Microsoft Entra dalam skala besar di ruang tamu Anda, memahami bagaimana organisasi melakukannya akan membantu Anda memahami mengapa PC Anda berperilaku tertentu ketika Anda menghubungkannya ke akun perusahaan atau pendidikan , atau ketika universitas Anda meminjamkan Anda laptop yang dikelola.

Organisasi memiliki beberapa cara untuk mengaktifkan login kunci FIDO2 di Windows:

• Microsoft IntuneDari Pusat Admin, di bawah Perangkat > Daftarkan perangkat > Pendaftaran Windows > Windows Hello untuk bisnis, Anda dapat mengatur opsi "Gunakan kunci keamanan untuk masuk" ke Diaktifkan.
• Profil Intune kustomDengan membuat profil tipe "Kustom" untuk Windows 10 atau versi yang lebih baru, tambahkan OMA-URI. ./Device/Vendor/MSFT/PassportForWork/SecurityKey/UseSecurityKeyForSignin Dengan nilai integer 1, penggunaan FIDO2 dipaksakan saat login.
• Paket penyediaanDengan menggunakan alat Windows Configuration Designer, Anda dapat membuat paket .ppkg yang mengatur opsi tersebut. WindowsHelloForBusiness > Kunci Keamanan > GunakanKunciKeamananUntukMasuk Diaktifkan. Paket ini kemudian diterapkan ke perangkat yang tidak dikelola oleh Intune.
• Kebijakan Grup (GPO)Pada perangkat yang terhubung ke Microsoft Hybrid Login, kebijakan "Aktifkan masuk dengan kunci keamanan" di bawah Konfigurasi Komputer > Templat Administratif > Sistem > Masuk mengontrol apakah masuk dengan FIDO2 diizinkan atau tidak. Membutuhkan templat yang diperbarui (CredentialProviders.admx terbaru).

Bagi pengguna rumahan biasa, semua ini terutama berguna untuk memahami bahwa jika laptop berasal "dari pabrik" dari perusahaan atau universitas Anda, mungkin sudah dikonfigurasi sebelumnya untuk memungkinkan login FIDO2 di layar kunci. Dan sebaliknya, pada PC pribadi Anda, tanpa Intune atau Group Policy, Anda tidak akan menemukan opsi yang begitu detail untuk menentukan secara tepat bagaimana FIDO2 diintegrasikan dengan akun lokal Anda.

Konfigurasi kata sandi tingkat lanjut dan kontrol pola kunci

Dalam lingkungan profesional, manajemen kunci FIDO2 jauh melampaui sekadar memasukkan kunci. Melalui Microsoft Entra Admin Center dan Microsoft Graph, Anda dapat menentukan kebijakan yang sangat terperinci mengenai kata sandi mana yang diizinkan, bagaimana kata sandi tersebut dicatat, dan model spesifik mana yang diterima.

Dengan mengaktifkan metode otentikasi “kunci keamanan (FIDO2)” di Microsoft Entra, administrator dapat :

• Aktifkan atau nonaktifkan penggunaan FIDO2 secara global.
• Izinkan atau blokir konfigurasi layanan mandiri oleh pengguna; jika dinonaktifkan, hanya administrator yang dapat mendaftarkan kunci atas nama pengguna.
• Tuntutan pengesahanHal ini mengharuskan kunci FIDO2 untuk membuktikan, melalui AAGUID (Authenticator Attestation GUID) miliknya, bahwa itu adalah model yang sah dari produsen yang disetujui.
• Terapkan a arahan pembatasan utama di mana ditentukan AAGUID mana yang diizinkan atau diblokir (misalnya, hanya kunci RSA DS100 atau model tertentu dari produsen lain).

Di balik layar, setiap kunci FIDO2 memiliki pengidentifikasi AAGUID 128-bit yang mengidentifikasi merek dan modelnya. Informasi ini dapat ditemukan dalam dokumentasi pabrikan, dalam daftar publik Microsoft, atau dengan meninjau detail metode otentikasi pengguna yang telah mendaftarkan kunci tersebut.

Selain itu, Microsoft Graph mengekspos API (saat ini dalam pratinjau untuk beberapa fitur) yang memungkinkan organisasi untuk menyediakan kunci FIDO2 atas nama pengguna : creationOptions WebAuthn diminta , kunci dikomunikasikan melalui CTAP untuk menghasilkan kredensial, dan kemudian proses keluar dicatat dengan Microsoft Entra. Ini menghilangkan kebutuhan pengguna untuk melakukan proses secara manual.

Meskipun sebagai pengguna rumahan Anda tidak akan menyentuh semua ini, hal ini secara tidak langsung memengaruhi Anda: berkat kontrol ini, banyak perusahaan hanya menerima kunci FIDO2 yang terverifikasi dan aman , yang telah mendorong ekosistem perangkat yang lebih tangguh dan cenderung tidak mengalami kegagalan atau memiliki kerentanan serius.

Passkey, masa depan tanpa kata sandi, dan apa artinya bagi Windows Hello di rumah.

Selain penggunaan tradisional kunci fisik FIDO2, Microsoft gencar mempromosikan konsep passkey sebagai standar untuk login tanpa kata sandi . Mulai Mei 2025, perusahaan mengumumkan bahwa akun Microsoft baru akan dibuat tanpa kata sandi secara default, dan sebagai gantinya mengandalkan passkey dan otentikasi biometrik.

Perubahan ini bahkan disertai dengan pergeseran simbolis: "Hari Kata Sandi Sedunia" sebelumnya telah diganti namanya menjadi "Hari Kunci Sandi Sedunia ". Ini bukan sekadar pemasaran: sejak tahun 2015, dengan hadirnya Windows Hello pada perangkat Surface pertama, Microsoft telah mengejar tujuan yang jelas: mengakhiri ketergantungan pada kata sandi tradisional.

Passkey pada dasarnya adalah kunci digital aman yang menggabungkan kriptografi asimetris dan otentikasi biometrik . Kunci privat tetap berada di perangkat Anda (di TPM atau zona perangkat lunak yang aman), dan kunci publik didaftarkan ke setiap layanan. Untuk masuk, layanan mengirimkan tantangan, perangkat menandatanganinya dengan kunci privat, dan server memverifikasi tanda tangan tersebut dengan kunci publik. Sidik jari atau wajah Anda tidak pernah meninggalkan perangkat.

Dibandingkan dengan kata sandi tradisional, passkey menawarkan keunggulan yang jelas: tingkat keberhasilan percobaan pertama mendekati 98% dibandingkan dengan sekitar 32% dengan kata sandi , login hingga delapan kali lebih cepat, ketahanan bawaan terhadap phishing (hanya berfungsi pada domain yang benar) dan penghapusan masalah penggunaan kembali kata sandi di banyak situs web.

Di Windows 11, sistem operasi bertindak sebagai pengelola kata sandi terintegrasi . Anda dapat menyimpan kata sandi untuk layanan yang kompatibel, menggunakannya dengan Windows Hello (wajah, sidik jari, PIN), dan mendapatkan manfaat dari sinkronisasi di seluruh perangkat dalam ekosistem Microsoft. Ini ideal untuk penggunaan di rumah: Anda masuk ke akun Microsoft Anda sekali, mengaktifkan kata sandi, dan sejak saat itu, banyak layanan tidak lagi memerlukan kata sandi.

Pengalaman pengguna, keunggulan, dan tantangan dalam penggunaan di rumah.

Dari perspektif sehari-hari, keuntungan utama menggabungkan Windows Hello, kunci FIDO2, dan kode sandi di lingkungan rumah adalah Anda meminimalkan jumlah kali Anda harus mengetik sesuatu. Wajah, sidik jari, atau PIN lokal singkat Anda menggantikan rangkaian karakter yang tak berujung dengan simbol-simbol yang tidak biasa .

Data yang diberikan oleh Microsoft cukup jelas: passkey menawarkan tingkat keberhasilan percobaan pertama yang jauh lebih tinggi daripada kata sandi. Ini berarti lebih sedikit kesalahan, lebih sedikit penguncian akun, dan lebih sedikit situasi "Saya tidak ingat kata sandi apa yang saya gunakan di sini".

Bagi pengguna yang kurang paham teknologi, orang lanjut usia, atau mereka yang tidak menginginkan kerumitan, ini adalah solusi yang sangat disambut baik. Tidak ada yang perlu dihafal , aturan absurd untuk mengganti kata sandi setiap beberapa hari sudah menjadi masa lalu, dan risiko terjebak dalam penipuan phishing berkurang drastis, karena meskipun Anda mengklik tautan palsu, kata sandi tidak akan berfungsi di domain tersebut.

Tantangannya lebih terletak pada sisi praktis: kata sandi dan FIDO2 bergantung pada perangkat. Jika Anda kehilangan ponsel atau laptop tempat kata sandi Anda disimpan, Anda perlu menyiapkan metode pemulihan dan perangkat cadangan . Selain itu, beberapa layanan lama masih belum mendukung FIDO2, sehingga Anda terpaksa terus menggunakan kata sandi tradisional dalam kasus tertentu.

Microsoft, FIDO Alliance, dan penyedia utama lainnya sedang berupaya untuk meningkatkan sinkronisasi kata sandi berbasis cloud dan mengedukasi pengguna akhir tentang cara kerja model ini. Dalam praktiknya, hampir satu juta kata sandi baru didaftarkan pada akun Microsoft setiap hari , sebuah tanda bahwa adopsi jelas meningkat dan kita akan melihat lebih sedikit kata sandi tradisional dalam waktu dekat.

Semua pergerakan seputar Windows Hello, kunci FIDO2, dan kata sandi mendorong kita untuk dapat menikmati keamanan yang sangat mirip dengan perusahaan besar bahkan di lingkungan rumah, tetapi tanpa komplikasi : beberapa klik untuk mendaftarkan kunci atau kata sandi, PIN lokal atau pengenalan wajah untuk otentikasi, dan ucapkan selamat tinggal pada sakit kepala dengan kata sandi biasa.