Apa yang membuat kata sandi kuat, dalam angka sederhana

Kata sandi yang kuat itu panjang dan acak, dan keacakannya harus berasal dari generator, bukan dari Anda sendiri. Setiap karakter atau kata acak melipatgandakan jumlah tebakan yang dibutuhkan penyerang. Itulah sebabnya panjang bekerja lebih keras daripada trik seperti mengganti huruf dengan simbol. Buat kata sandi unik untuk setiap akun, simpan di pengelola kata sandi, dan jangan pernah memakainya ulang.

Generator passwordButuh password yang kuatPakai gratis

Mengapa trik cerdas gagal

Penyerang jarang menebak satu akun per satu secara manual. Mereka menjalankan daftar kata sandi umum dan kata-kata kamus melalui pola yang sudah dikenal, seperti @ untuk a, 0 untuk o, dan simbol yang ditambahkan di akhir. Mereka mencoba varian tersebut lebih dulu, karena banyak orang membuat kata sandi dari pola yang sama. Kata sandi seperti P@ssw0rd! terlihat rumit bagi manusia, tetapi itu adalah salah satu varian pertama yang akan dicoba dalam daftar penyerang. Kerumitan yang terlihat hanya sedikit menjelaskan seberapa sulit kata sandi itu ditebak.

Entropi dengan bahasa sederhana

Entropi mengukur berapa banyak kemungkinan yang sama-sama mungkin menghasilkan sebuah kata sandi, dinyatakan dalam bit. Setiap tambahan bit melipatgandakan jumlah tebakan yang dibutuhkan. Yang penting, entropi menggambarkan proses yang membuat kata sandi, bukan bagaimana tampilannya. String acak dan frasa yang mudah diingat bisa tampak sama-sama aneh, padahal entropinya sangat berbeda. Pengidentifikasi acak juga bukan kata sandi, karena dirancang agar unik, bukan rahasia. UUID v4 atau v7 menjelaskan perbedaannya.

Untuk kata sandi yang dibuat dari karakter acak, perhitungannya adalah:

bit = panjang × log2(jumlah karakter dalam himpunan)

Untuk frasa sandi yang dibuat dari kata acak, perhitungannya adalah:

bit = jumlah kata × log2(jumlah kata dalam daftar)

Tabel berikut menunjukkan contoh hitungan. Setiap baris mengasumsikan semua pilihan bersifat acak dan sama-sama mungkin.

Dibuat seperti ini	Kemungkinan	Bit
8 huruf kecil acak	26^8	37,6
12 huruf dan angka acak	62^12	71,5
20 karakter acak dari 94 simbol yang dapat dicetak	94^20	131,1
4 kata acak dari daftar 7.776 kata	7.776^4	51,7
5 kata acak dari daftar 1.024 kata	1.024^5	50,0
6 kata acak dari daftar 7.776 kata	7.776^6	77,5

Baris pertama menunjukkan mengapa string acak yang pendek itu lemah: 38 bit menyisakan sedikit margin untuk akun yang penting. Baris ketiga menunjukkan apa yang didapat dari panjang. Kata sandi yang Anda karang sendiri, seperti Sunset!2026, memiliki kemungkinan nyata yang jauh lebih sedikit daripada panjangnya, karena Anda memilihnya dari sekumpulan kecil pola yang sudah familiar.

Frasa sandi yang bisa Anda ketik

Jika Anda harus mengetik kata sandi, misalnya untuk login laptop atau kata sandi utama pengelola kata sandi, frasa dari kata-kata acak adalah pilihan yang praktis. Enam kata acak dari daftar 7.776 kata memberi sekitar 77,5 bit, dan kata jauh lebih mudah diingat daripada string simbol acak. Kata-katanya harus benar-benar acak. Empat kata yang Anda pilih sendiri membawa jauh lebih sedikit daripada jumlahnya, karena orang cenderung memilih kata yang familiar dalam pasangan yang familiar pula. Itu sebabnya daftar kata berbasis dadu banyak dipakai: dadulah yang membuat pilihan, bukan kebiasaan Anda. Generator password membuat frasa sandi dengan cara ini, dengan pemisah yang Anda pilih serta huruf kapital dan angka opsional.

Pemakaian ulang adalah risiko yang lebih besar

Panjang itu penting, tetapi pemakaian ulanglah yang biasanya mengubah satu kebocoran menjadi banyak. Ketika sebuah situs dibobol, pasangan email dan kata sandinya sering dicoba di situs populer lainnya. Ini disebut credential stuffing. Kata sandi yang kuat di atas kertas bisa gagal total jika Anda juga memakainya di tempat lain.

Pengelola kata sandi menghilangkan masalah ini. Ia membuat kata sandi unik untuk setiap akun, menyimpannya, dan mengisinya secara otomatis, sehingga Anda hanya perlu mengingat satu kata sandi utama yang kuat. Browser dan sistem ponsel sudah menyertakan pengelola, dan tersedia juga aplikasi mandiri. Apa pun yang Anda pakai, aktifkan autentikasi dua faktor untuk akun email dan perbankan lebih dulu, karena akun email adalah kunci untuk mengatur ulang akun lainnya.

NIST, badan standar Amerika Serikat, lebih mengutamakan panjang daripada aturan kerumitan seperti kewajiban simbol, dan tidak lagi menganjurkan pergantian berkala kecuali ada tanda-tanda kebocoran. Situs yang memaksa Anda mengganti kata sandi setiap beberapa bulan, atau menolak kata sandi panjang atau penempelan (paste), masih mengikuti kebiasaan lama. Itu kelemahan situs tersebut, bukan alasan untuk memilih kata sandi yang lebih lemah.

Daftar periksa singkat

• Buat kata sandi dengan generator, jangan mengarangnya sendiri.
• Untuk akun yang sulit dipulihkan, targetkan minimal 16 karakter acak, atau enam kata acak.
• Gunakan satu kata sandi unik untuk setiap akun, dan simpan di pengelola kata sandi.
• Aktifkan autentikasi dua faktor di mana pun tersedia.
• Segera ganti kata sandi jika layanan yang Anda pakai melaporkan kebocoran.

Jika kata sandinya untuk router Anda, Cara membagikan Wi-Fi dengan kode QR menunjukkan cara membagikannya tanpa harus membacakannya keras-keras.

Cara melakukannya dengan fixmint

1. Buka Generator password dan biarkan Karakter acak terpilih.
2. Atur Panjang minimal 16, dan 20 atau lebih untuk akun yang penting. Nilai awalnya 20, dengan keempat set karakter dicentang.
3. Baca Estimasi kekuatan. Alat ini menilai di bawah 50 bit sebagai lemah, 50 sampai 69 sebagai cukup, 70 sampai 99 sebagai kuat, dan 100 atau lebih sebagai sangat kuat.
4. Tekan Buat ulang untuk mendapatkan kumpulan baru berisi lima pilihan, lalu salin satu ke pengelola kata sandi Anda. Jangan memakainya di tempat lain.
5. Untuk kata sandi utama yang harus Anda ketik, pilih Frasa sandi, atur Kata menjadi enam, dan gunakan pemisah yang mudah Anda ketik.

Jawaban singkat

Apakah simbol wajib untuk kata sandi yang kuat?

Tidak. Simbol acak menambah beberapa bit, tetapi panjang menambah lebih banyak, dan string panjang yang acak dari huruf dan angka sudah kuat.

Berapa kata yang membentuk frasa sandi yang kuat?

Enam kata acak dari daftar 7.776 kata memberi sekitar 77,5 bit, target yang baik untuk sebagian besar akun.

Apakah aman membiarkan browser menyimpan kata sandi yang dibuat?

Bagi kebanyakan orang, ini pilihan yang wajar, asalkan perangkat memiliki kunci layar dan profil browser dilindungi. Risiko utamanya ada pada perangkat, bukan pada kata sandinya.