Pengetahuan · Teks, data, dan keamanan
Seperti apa kata sandi yang kuat?
Jawaban singkat
Kata sandi yang kuat itu panjang, dibuat secara acak, dan hanya dipakai untuk satu akun. Panjang dan keacakan lebih penting daripada mencampur simbol: NIST SP 800-63B kini menyarankan minimal 15 karakter jika kata sandi adalah satu-satunya faktor, tanpa aturan komposisi wajib, tanpa masa kedaluwarsa terjadwal, dan dengan pengecekan terhadap daftar kata sandi yang pernah bocor. Empat kata acak dari daftar 7.776 kata memberi sekitar 51,7 bit entropi; enam kata memberi sekitar 77,5 bit.
Buka Pembuat kata sandiKekuatan diukur dengan jumlah tebakan
Penyerang tidak menebak huruf demi huruf. Mereka mencoba kata sandi yang pernah bocor lebih dulu, lalu kata kamus dengan substitusi umum, lalu pola seperti kata berhuruf kapital diikuti tahun dan !. Kata sandi seperti P@ssw0rd2024! memenuhi sebagian besar aturan kompleksitas tetapi tetap cepat jebol, karena setiap bagiannya mudah ditebak.
Entropi mengukur berapa banyak tebakan yang dibutuhkan untuk sebuah kata sandi yang dibuat secara acak. Untuk kata sandi sepanjang L yang dipilih secara seragam dari himpunan N simbol, entropinya L × log2(N) bit, dan setiap tambahan satu bit menggandakan usaha penyerang. Rumus ini hanya berlaku untuk pembuatan acak; rumus ini tidak berarti apa-apa untuk kata sandi yang dikarang sendiri oleh seseorang.
Entropi berbagai gaya kata sandi
| Gaya | Himpunan simbol | Bit per simbol | Contoh panjang | Total entropi |
|---|---|---|---|---|
| Huruf kecil | 26 | 4,70 | 16 karakter | ≈ 75,2 bit |
| Huruf dan angka | 62 | 5,95 | 12 karakter | ≈ 71,5 bit |
| Semua ASCII yang bisa dicetak | 94 | 6,55 | 12 karakter | ≈ 78,7 bit |
| Semua ASCII yang bisa dicetak | 94 | 6,55 | 16 karakter | ≈ 104,9 bit |
| Kata Diceware | 7.776 | 12,92 | 4 kata | ≈ 51,7 bit |
| Kata Diceware | 7.776 | 12,92 | 6 kata | ≈ 77,5 bit |
Contoh perhitungan: log2(7.776) = 12,925, jadi empat kata acak memberi 4 × 12,925 ≈ 51,7 bit, sekitar 3,7 × 10^15 kemungkinan. Penyerang yang menjalankan 10 miliar tebakan per detik terhadap hash cepat yang bocor bisa mencoba semuanya dalam kira-kira 4 hari. Enam kata butuh sekitar 700.000 tahun dengan kecepatan yang sama.
Serangan online jauh lebih lambat, karena formulir login membatasi laju percobaan dan mengunci akun. Margin besar tadi penting untuk serangan offline setelah database bocor, di mana kecepatan tebakan bergantung pada cara situs menyimpan hash-nya.
Apa kata NIST SP 800-63B sekarang
NIST Special Publication 800-63B revisi 4, yang difinalkan pada tahun 2025, menetapkan aturan kata sandi untuk sistem federal AS dan banyak ditiru di tempat lain. Persyaratan utamanya untuk layanan yang menerima kata sandi:
- Panjang minimal 15 karakter jika kata sandi adalah satu-satunya autentikator, dan 8 karakter jika menjadi bagian dari autentikasi multifaktor.
- Izinkan kata sandi minimal 64 karakter, dan terima spasi, semua ASCII yang bisa dicetak, serta karakter Unicode.
- Tidak ada aturan komposisi seperti wajib berisi angka, huruf kapital, dan simbol.
- Tidak ada penggantian berkala yang dipaksakan. Wajibkan penggantian hanya jika ada bukti kata sandi telah bobol.
- Periksa kata sandi baru terhadap daftar blokir berisi nilai yang pernah bocor, umum, atau spesifik konteks seperti nama layanan atau nama pengguna.
- Tidak ada petunjuk kata sandi atau pertanyaan keamanan, dan izinkan tempel (paste) agar pengelola kata sandi bisa bekerja.
Alasannya, aturan komposisi dan masa kedaluwarsa mendorong orang ke pola yang mudah ditebak seperti Summer2025! menjadi Autumn2025!, yang hampir tidak menambah entropi nyata.
Passphrase vs karakter acak
| Karakter acak | Kata acak | |
|---|---|---|
| Contoh | r7#Qm2!vLx9@pT4z | orbit-candle-mosaic-thrift-velvet-harbor |
| Entropi | ≈ 105 bit (16 dari 94) | ≈ 77,5 bit (6 dari 7.776) |
| Mudah diketik | Tidak, terutama di ponsel | Ya |
| Mudah diingat | Tidak | Dengan latihan |
| Paling cocok untuk | Akun yang disimpan di pengelola kata sandi | Sedikit kata sandi yang harus Anda hafal |
Kata-katanya harus dipilih secara acak, dengan dadu atau generator, bukan Anda pilih sendiri. Frasa dari lagu, kutipan, atau kalimat yang biasa Anda tulis punya entropi jauh lebih rendah daripada yang terkesan dari panjangnya.
Aturan praktis
- Gunakan pengelola kata sandi dan biarkan ia membuat kata sandi acak yang unik, 16 karakter atau lebih, untuk setiap akun. CISA memberi saran yang sama.
- Hafalkan hanya beberapa passphrase: kata sandi utama pengelola kata sandi dan login perangkat Anda. Gunakan lima atau enam kata acak.
- Jangan pernah memakai ulang kata sandi. Credential stuffing, yaitu mencoba pasangan email dan kata sandi yang bocor di situs lain, adalah salah satu cara pengambilalihan akun yang paling umum.
- Aktifkan autentikasi multifaktor, sebaiknya passkey atau aplikasi autentikator alih-alih SMS, untuk email, perbankan, dan pengelola kata sandi.
- Ganti kata sandi saat sebuah layanan melaporkan kebocoran data, bukan berdasarkan jadwal kalender.
FAQ
Berapa panjang kata sandi yang ideal?
Minimal 15 karakter untuk akun yang hanya dilindungi kata sandi, menurut NIST SP 800-63B rev 4. Untuk kata sandi acak yang disimpan di pengelola kata sandi, 16 sampai 20 karakter adalah default yang nyaman.
Apakah passphrase lebih aman daripada kata sandi biasa?
Bisa, jika kata-katanya dipilih secara acak. Enam kata acak mengalahkan kata sandi 10 karakter buatan manusia pada umumnya, tetapi kata sandi acak 16 karakter punya entropi lebih tinggi daripada enam kata.
Apakah kata sandi perlu diganti secara rutin?
Tidak. NIST tidak menyarankan penggantian berkala yang dipaksakan karena menghasilkan variasi yang mudah ditebak. Ganti kata sandi saat ada tanda kebobolan, misalnya pemberitahuan kebocoran data.
Apakah karakter khusus membuat kata sandi lebih kuat?
Hanya sedikit. Beralih dari 62 ke 94 kemungkinan karakter menambah sekitar 0,6 bit per karakter, sedangkan menambah satu karakter lagi menambah sekitar 6,5 bit. Panjang lebih membantu daripada simbol.