Generator Frasa Sandi

Generator passphrase gratis yang berjalan di browser Anda

Generator passphrase ini membuat rahasia yang kuat dan mudah diingat dari kata-kata acak — jenis yang benar-benar bisa Anda ingat tapi tidak bisa ditebak komputer. Pilih berapa banyak kata yang Anda inginkan, pilih pemisah dan kapitalisasi, dan passphrase baru muncul seketika lengkap dengan meteran kekuatan langsung. Tidak ada yang perlu diinstal dan tidak ada akun yang perlu dibuat, dan karena setiap passphrase dibuat sepenuhnya di browser Anda, ia tidak pernah diunggah.

Apa itu passphrase, dan mengapa lebih unggul dari password

Passphrase adalah rangkaian beberapa kata acak, seperti correct-horse-battery-staple, digunakan sebagai pengganti password tradisional. Idenya, dipopulerkan oleh komik XKCD, sederhana: panjang mengalahkan kompleksitas. Password pendek penuh simbol seperti Tr0ub4dor&3 sulit diingat namun ternyata mudah dibobol perangkat lunak, sementara empat hingga enam kata acak mudah dibayangkan dan jauh lebih kuat.

Anda hanya perlu mengingat sedikit cerita berupa kata-kata; penyerang harus menebak dari jumlah kombinasi yang astronomis. Itulah yang membuat password yang mudah diingat dan yang aman menjadi hal yang sama.

Diceware dan wordlist EFF

Di baliknya ini adalah generator Diceware. Diceware membangun passphrase dengan memilih kata sepenuhnya secara acak dari daftar besar bernomor. Alat ini menawarkan dua: wordlist panjang EFF dengan 7.776 kata (standar emas, sekitar 12,9 bit entropi per kata) dan daftar pendek berisi 1.296 kata yang lebih singkat dan lebih mudah diketik. Yang terpenting, kata-kata diambil dengan crypto.getRandomValues, generator angka acak kriptografis browser Anda — bukan Math.random() yang bisa diprediksi — sehingga setiap passphrase benar-benar tidak bisa ditebak.

Membaca meteran kekuatan: entropi dan waktu bobol

Kekuatan diukur dalam bit entropi: setiap bit tambahan menggandakan pekerjaan yang harus dilakukan penyerang. Meteran diperbarui saat Anda mengubah opsi dan menampilkan baik jumlah bit maupun estimasi waktu bobol. Sebagai panduan, empat kata dari daftar panjang sekitar 51 bit, lima kata 64 bit, enam kata 77 bit, dan tujuh kata 90 bit. Passphrase enam kata akan butuh ribuan tahun untuk dibobol bahkan pada satu triliun tebakan per detik, itulah mengapa enam kata acak adalah titik ideal yang paling banyak direkomendasikan.

Buat sesuai kebutuhan Anda: kata, pemisah, huruf kapital, dan simbol

Sesuaikan passphrase agar cocok dengan aturan situs mana pun. Pilih 3 hingga 12 kata, gabungkan dengan tanda hubung, spasi, titik, garis bawah, tanpa apa pun, atau angka acak, dan beralih antara huruf kecil, Kapital di Awal, atau HURUF BESAR SEMUA. Perlu angka atau karakter khusus untuk memenuhi aturan formulir? Aktifkan Tambahkan angka atau Tambahkan simbol — meski perlu diingat bahwa satu kata tambahan menambah kekuatan jauh lebih besar daripada satu digit tunggal. Gunakan tombol Refresh untuk membandingkan beberapa passphrase sekaligus dan salin mana pun yang paling Anda sukai.

Passphrase untuk kerja, Wi-Fi, dan pengelola kata sandi

Passphrase berbasis kata direkomendasikan oleh NIST dan ideal jauh melampaui login pribadi. Gunakan untuk akun bisnis dan kerja, VPN, kredensial server dan database, kunci Wi-Fi (WPA2/WPA3), dan terutama sebagai master password untuk pengelola kata sandi — satu rahasia kuat yang Anda hafal sehingga pengelola bisa menangani sisanya. Karena semuanya dibuat secara lokal, tidak ada passphrase yang pernah meninggalkan perangkat Anda, cocok untuk tim yang peduli keamanan dan privasi.

Privat secara desain

Tidak ada iklan yang melacak ketikan Anda dan tidak ada server yang terlibat. Passphrase dibuat di perangkat Anda, tidak pernah dikirim dan tidak pernah disimpan — hanya preferensi tampilan Anda yang diingat secara lokal agar alat ini terbuka kembali seperti saat Anda meninggalkannya. Buat satu, salin, dan tutup tab dengan percaya diri.

Bagaimana UtiloKit dibandingkan dengan generator passphrase Bitwarden, 1Password, dan LastPass

Sebagian besar pengelola kata sandi — Bitwarden, 1Password, LastPass, Dashlane, dan NordPass — menyertakan generator passphrase di dalam produk mereka. Masalahnya: Anda memerlukan akun, ekstensi browser, atau aplikasi mobile yang terinstal sebelum bisa menggunakannya. Generator Bitwarden gratis tapi mengharuskan login; generator 1Password terkunci untuk pelanggan berbayar; LastPass secara signifikan membatasi pengguna gratis sejak perubahan kebijakan 2021 mereka.

Generator passphrase UtiloKit berjalan di browser mana pun tanpa pendaftaran dan tanpa perlu instalasi. Ia menambahkan fitur yang tidak ada di sebagian besar generator pengelola kata sandi: meteran entropi langsung dengan jumlah bit yang tepat, estimasi waktu bobol di bawah tiga model serangan berbeda, pilihan antara wordlist panjang dan pendek EFF, pemisah kustom, penambahan digit dan simbol opsional, dan semuanya berfungsi sepenuhnya offline setelah halaman dimuat. Jika Anda ingin passphrase cepat tanpa masuk ke pengelola kata sandi — karena Anda di perangkat baru, membantu orang lain, atau menyiapkan pengelola itu sendiri — ini adalah pilihan yang lebih cepat.

Matematika entropi: mengapa jumlah bit adalah satu-satunya ukuran jujur kekuatan password

Kekuatan passphrase dihitung dengan rumus yang presisi: entropi = log₂(Wⁿ) bit, di mana W adalah ukuran wordlist dan n adalah jumlah kata. Dengan wordlist panjang EFF berisi 7.776 kata, setiap kata secara independen menyumbang log₂(7.776) = 12,9 bit entropi. Passphrase lima kata karenanya memiliki 64,6 bit, dan passphrase enam kata memiliki 77,5 bit. Angka-angka ini bersifat majemuk: setiap kata tambahan menggandakan lalu menggandakan lagi jumlah kemungkinan passphrase yang harus dicari penyerang.

Untuk memahami mengapa bit itu penting, pertimbangkan ambang batas targetnya. 128 bit entropi secara luas dianggap tidak mungkin dibobol dengan brute force bahkan oleh lawan tingkat negara dengan perangkat keras saat ini — passphrase EFF sepuluh kata melampaui batas itu. Kesenjangan antara tampilan dan kenyataan paling terlihat pada password umum: P@ssw0rd! terlihat kompleks tetapi dihasilkan oleh pola substitusi manusia yang sangat bisa diprediksi (huruf menjadi digit, simbol yang ditambahkan), yang dimodelkan secara eksplisit oleh penyerang. Ketika pola-pola itu diperhitungkan, password tersebut hanya membawa sekitar 18 bit entropi efektif — lebih lemah dari dua kata yang dipilih secara acak. Entropi yang dihitung dari ruang pencarian sesungguhnya, bukan dari aritmetika set karakter, adalah satu-satunya angka yang layak dipercaya.

Inilah mengapa saran kebersihan kredensial telah bergeser menjauh dari aturan kompleksitas. Keberagaman set karakter menggelembungkan angka entropi teoretis sementara hanya berbuat sedikit terhadap penyerang yang sudah tahu manusia mengganti 'a' dengan '@' dan 'o' dengan '0'. Keacakan sejati — dihasilkan oleh sumber kriptografis, bukan dipilih oleh seseorang — adalah yang benar-benar diukur jumlah bit, dan yang membuat passphrase dari generator benar-benar lebih kuat daripada password yang dibuat manual.

Diceware dan keacakan fisik: standar emas sebelum perangkat lunak

Metode Diceware ditemukan oleh Arnold Reinhold pada 1995 sebagai cara membuat passphrase kuat dengan tanpa kepercayaan perangkat lunak sama sekali. Prosedurnya sederhana: lempar lima dadu bermata enam, baca hasil lima digit (misalnya, 4-3-2-6-1 → 43261), dan cari nomor itu di daftar 7.776 kata yang dipublikasikan. Wordlist itu memiliki tepat 7.776 entri karena 6⁵ = 7.776, artinya setiap kemungkinan kombinasi lima dadu memetakan ke tepat satu kata. Ulangi untuk setiap kata dalam passphrase.

Dadu fisik memiliki properti keamanan yang menarik yang tidak bisa sepenuhnya ditiru perangkat lunak: keacakannya benar-benar tidak bisa diprediksi dan bisa diverifikasi oleh pengguna tanpa mengaudit kode apa pun. Jika Anda melempar dadu kelas kasino dalam cangkir, tidak ada malware, browser yang disusupi, atau generator angka acak berbackdoor yang bisa memengaruhi hasilnya. Dikombinasikan dengan wordlist cetak, prosesnya sepenuhnya air-gapped — cocok untuk membuat kunci enkripsi dan master password di lingkungan di mana mempercayai perangkat lunak apa pun tidak bisa diterima.

Pada 2016, Electronic Frontier Foundation memperbarui wordlist Reinhold asli untuk menghapus kata-kata yang tidak umum, ofensif, dan sulit dieja, menghasilkan wordlist panjang EFF berisi 7.776 kata yang lebih ramah — daftar yang sama yang digunakan alat ini. EFF juga merilis dua daftar pendamping yang lebih pendek: daftar empat-dadu (1.296 kata, 10,3 bit masing-masing) dan daftar lima-dadu (7.776 kata pendek yang dioptimalkan untuk kemudahan mengingat). Bagi kebanyakan orang, generator perangkat lunak yang mengambil dari crypto.getRandomValues adalah ekuivalen yang bisa diterima dan jauh lebih praktis daripada dadu fisik; tetapi ketika taruhannya paling tinggi — kunci yang melindungi data terenkripsi bertahun-tahun — metode dadu-dan-wordlist-cetak tetap menjadi standar emas tanpa syarat.

Bagaimana pembobol password sesungguhnya menyerang passphrase

Pembobolan password modern bukanlah tebakan satu-per-satu yang lambat seperti dalam fiksi film. Satu GPU konsumen bisa menguji lebih dari 100 miliar hash SHA-256 per detik terhadap basis data password yang bocor, dan rig pembobol khusus jauh lebih cepat. Penyerang menyusun beberapa strategi serangan secara berurutan: serangan kamus murni mencoba setiap kata yang diketahui dan password yang bocor; serangan hybrid menambahkan angka dan simbol pada kata-kata kamus (menangkap password1! dan Summer2024#); serangan rantai Markov membangun model probabilitas urutan karakter dari miliaran password yang pernah dibobol dan menghasilkan kandidat yang secara statistik mungkin, menangkap pola yang dikira manusia tidak bisa diprediksi.

Serangan rainbow table menggunakan tabel pencarian hash-ke-password yang telah dihitung sebelumnya untuk membalikkan hash secara instan — dikalahkan oleh salting (mencampurkan nilai acak ke setiap hash sebelum disimpan), itulah mengapa sistem autentikasi modern mana pun menggunakan hash yang di-salt. Namun, tidak satu pun teknik ini secara efisien menyerang passphrase multi-kata yang benar-benar acak. Terhadap passphrase EFF lima kata, penyerang yang tahu bahwa itu berasal dari daftar 7.776 kata harus mencari 7.776⁵ = 2,8 × 10¹⁹ kombinasi. Pada 100 miliar tebakan per detik — sudah merupakan serangan dengan sumber daya yang sangat besar — menghabiskan ruang pencarian itu akan memakan waktu sekitar 8.900 tahun.

Kualifikasi kritisnya adalah acak. Jika kata-kata dipilih oleh seseorang alih-alih generator, mereka tidak terdistribusi secara merata di wordlist. Orang cenderung memilih kata yang pendek, umum, dan bermakna emosional, dan penyerang memodelkan ini dengan memberi bobot pada tebakan mereka sesuai. Passphrase lima kata yang diciptakan manusia mungkin memiliki entropi efektif yang setara hanya dengan dua atau tiga kata acak. Alasan menggunakan generator — dan mempercayai sumber keacakannya — adalah untuk memastikan entropi matematis penuh yang dijanjikan rumus benar-benar ada dalam passphrase tersebut.

Integrasi pengelola kata sandi, master passphrase, dan kapan password saja tidak cukup

Passphrase dan pengelola kata sandi saling melengkapi, bukan bersaing. Alur kerjanya sederhana: gunakan generator ini untuk membuat passphrase enam atau tujuh kata, hafalkan, dan jadikan sebagai master password untuk KeePass, Bitwarden, 1Password, atau pengelola pilihan Anda. Pengelola itu kemudian menyimpan password acak unik untuk setiap situs yang Anda gunakan, sehingga kebocoran satu layanan tidak membocorkan apa pun yang lain. Master passphrase adalah satu-satunya rahasia yang Anda simpan dalam ingatan; ia harus cukup kuat untuk menahan pembobolan offline jika vault terenkripsi Anda pernah dicuri — persis kasus penggunaan yang dirancang untuk passphrase entropi tinggi.

Risiko paling katastrofis dalam model ini adalah credential stuffing: penyerang mengambil pasangan username/password yang bocor dari satu layanan yang dibobol dan mencobanya secara otomatis di ratusan lainnya. Penggunaan ulang password adalah yang membuat stuffing efektif — password unik per situs sepenuhnya menghilangkan risiko itu, itulah mengapa pengelola kata sandi begitu penting berdampingan dengan master passphrase yang kuat. Arsitektur zero-knowledge Bitwarden berarti perusahaan tidak pernah melihat isi vault Anda; bahkan jika server mereka disusupi, penyerang hanya mendapatkan blob terenkripsi yang hanya bisa didekripsi dengan master passphrase Anda. Itulah mengapa entropi master passphrase sangat penting: itu adalah garis pertahanan terakhir.

Bahkan passphrase yang sempurna pun memiliki batas. Serangan phishing — halaman login palsu yang menangkap apa pun yang Anda ketik — berhasil terlepas dari kekuatan passphrase. Kata sandi sekali pakai berbasis waktu (TOTP, kode enam digit dari aplikasi autentikator) menambahkan lapisan kedua, tetapi kode TOTP sendiri bisa dicegat secara real time oleh kit phishing yang canggih. Alternatif yang benar-benar tahan phishing adalah kunci keamanan perangkat keras FIDO2 seperti YubiKey, yang melakukan tantangan kriptografis yang terikat ke nama domain sebenarnya dan akan menolak melakukan autentikasi ke situs penipu. Pedoman NIST SP 800-63B (diperbarui 2024) secara eksplisit merekomendasikan passphrase dibanding aturan kompleksitas karakter, tidak menganjurkan rotasi password periodik wajib, dan mendukung autentikator yang tahan phishing — pergeseran kebijakan yang membenarkan apa yang telah lama diketahui praktisi keamanan: passphrase entropi tinggi yang mudah diingat dikombinasikan dengan faktor kedua yang kuat adalah jalan paling praktis menuju keamanan akun yang sesungguhnya.