OAuth 2.0 (SSO): Kenapa Login with Google Tidak Menyedot Passwordmu?

Bayangin Kamu Nginep di Hotel Bintang Lima...

Bayangin Budi baru unduh aplikasi Game baru. Di layar awal ada tombol "Login with Google". Karena malas bikin akun baru, Budi mengkliknya. Tapi Budi sempat parno (takut): "Kalau aku pencet ini, si pembuat Game ini bisa tahu password rahasiaku dan baca isi kotak masuk Gmail-ku gak ya?"

Jika pembuat Game itu iseng, bukankah mereka bisa mengambil alih akun Google Budi? Jawabannya: TIDAK BISA!

Masalahnya: Berbagi Password Itu Dosa Fatal

Menyerahkan *password* utama-mu (Master Key) ke website pihak ketiga (Game) adalah tindakan bunuh diri digital. Jika Game itu di-hack orang, *password* Google-mu ikut melayang.

Nah, Di Sinilah 'OAuth 2.0 / SSO' Masuk!

Industri IT menyelesaikan ketakutan ini dengan teknologi Single Sign-On (SSO) yang ditenagai oleh standar protokol OAuth 2.0 & OIDC. Cara kerjanya persis seperti menginap di hotel.

1. Saat Budi klik "Login with Google" di Game, Game tersebut TIDAK memunculkan kotak form ketik *password* miliknya sendiri. Game itu akan "melempar" Budi ke halaman resmi accounts.google.com.
2. Di halaman resmi Google itulah Budi mengetik password. Pembuat Game sama sekali buta dan tidak bisa melihat ketikan Budi!
3. Setelah Google bilang password-nya benar, Google memunculkan halaman persetujuan (Consent Screen): "Hei Budi, Game XYZ ini minta izin untuk melihat NAMA dan FOTO PROFIL-mu saja. Boleh gak?"
4. Saat Budi klik "Izinkan", Google akan membuatkan sebuah "Kartu Tamu Hotel (Access Token)" yang sangat terbatas kemampuannya.
5. Google melempar Kartu Tamu ini ke aplikasi Game.

Intinya: Aplikasi Game hanya memegang "Kartu Tamu" yang cuma bisa buat narik data Nama dan Foto saja dari server Google. Jika Kartu Tamu itu dicoba dipakai oleh *hacker* untuk membuka fitur "Ganti Password" atau "Baca Email", server Google akan langsung mendeteksi pelanggaran akses dan menendang Kartu tersebut! Keamanan tingkat dewa yang sangat praktis.