Pemeriksa Kekuatan Kata Sandi

Seberapa kuat password Anda, sebenarnya?

Cek kekuatan password ini menilai sebuah password sebagaimana penyerang sungguhan akan menilainya — bukan dengan mencentang kotak “punya huruf besar”, melainkan dengan mengestimasi berapa banyak tebakan yang diperlukan untuk membobolnya. Saat Anda mengetik, meteran live menampilkan penilaian dari sangat lemah hingga sangat kuat, entropi password dalam bit, dan estimasi waktu bobol, beserta umpan balik spesifik tentang apa yang melemahkannya.

Karena penilaiannya meniru cara penyerang bekerja sesungguhnya, alat ini bisa melihat tembus trik yang mengelabui alat yang lebih sederhana. “Summer2024!” terlihat rumit tetapi mendapat skor buruk; passphrase empat kata mendapat skor sangat kuat. Itulah perbedaan yang dibuat oleh model realistis ala zxcvbn.

Cara kami mengukur kekuatan: entropi ditambah deteksi pola

Meteran naif mengalikan ukuran kumpulan karakter dengan panjang dan menyebutnya entropi. Cara ini terlalu tinggi menilai password yang bisa ditebak. Sebagai gantinya, pemeriksa ini memakai pendekatan ala zxcvbn: memindai password Anda untuk mencari kata kamus, nama umum, urutan tombol keyboard (qwerty, asdf), urutan angka dan huruf (1234, abcd), pengulangan (aaaa), tahun dan tanggal, serta kecocokan password umum — lalu mengestimasi jumlah tebakan paling sedikit yang bisa menemukannya.

Hasilnya ditampilkan sebagai entropi password dalam bit dan skor kekuatan 0–4. Setiap bit entropi tambahan menggandakan usaha bagi penyerang, sehingga perbedaan antara 40 bit dan 60 bit bukan 50% usaha lebih besar — melainkan sekitar sejuta kali lebih besar.

Waktu bobol: apa arti estimasi ini

Waktu bobol adalah jumlah tebakan yang diestimasi dibagi seberapa cepat penyerang bisa menebak. Kami menampilkan tiga skenario: serangan online yang dibatasi (~1.000 tebakan/detik, yang diizinkan formulir login yang terjaga baik), GPU offline yang cepat (~10 miliar/detik, basis data password yang dicuri sedang dibobol), dan rig pembobolan besar (~100 triliun/detik, kasus terburuk).

Angka-angka ini adalah estimasi, bukan janji — kecepatan sesungguhnya bergantung pada algoritma hashing dan perangkat keras. Gunakan angkanya sebagai panduan relatif: jika password Anda tumbang dalam hitungan detik terhadap serangan offline yang cepat, ia perlu diperpanjang; jika bertahan selama berabad-abad, itu artinya sudah baik.

Apa yang membuat password kuat

Panjang mengalahkan kompleksitas. Karena setiap karakter melipatgandakan ruang pencarian, passphrase panjang dari kata-kata biasa lebih kuat daripada rangkaian simbol yang pendek. Targetkan 12–16 karakter atau lebih, hindari apa pun yang bisa ditebak penyerang — nama, tanggal lahir, tahun, tim olahraga, pola keyboard, dan penggantian huruf-ke-simbol yang sederhana — dan jangan pernah memakai ulang password antar situs.

Opsi terkuat dan termudah adalah pengelola kata sandi yang membuat password acak unik untuk setiap akun. Anda mengingat satu passphrase utama yang kuat; ia mengingat sisanya, menghilangkan penggunaan ulang yang menyebabkan sebagian besar pembobolan akun.

Apakah aman menguji password secara online?

Biasanya itu risiko nyata: banyak pemeriksa online mengirim password Anda ke server. Yang ini tidak. Setiap perhitungan berjalan lokal di browser Anda dengan JavaScript — password Anda tidak pernah diunggah, dicatat, atau disimpan, dan tidak ada yang tersisa setelah Anda menutup tab. Anda bisa memastikannya dengan mengamati tab network browser Anda saat mengetik: tidak ada permintaan sama sekali.

Meski begitu, bangun kebiasaan untuk tidak pernah menempelkan password aktif ke pemeriksa yang tidak Anda percayai. Jika Anda ragu terhadap suatu alat, uji password dengan panjang dan gaya yang sama alih-alih password asli Anda.

Tips membuat password Anda lebih kuat

Tambahkan panjang sebelum apa pun lainnya — beberapa kata acak tambahan lebih berpengaruh daripada simbol apa pun. Gabungkan empat kata atau lebih yang tidak berhubungan menjadi passphrase, atau biarkan generator menghasilkan 16+ karakter acak. Hilangkan bahan yang bisa ditebak: nama Anda, tahun saat ini, “qwerty”, “123456”, atau substitusi gaya “P@ssw0rd” yang sudah diantisipasi pembobol.

Lalu baca umpan balik yang diberikan alat ini. Ia menyebutkan persis kelemahan yang ditemukannya — kata umum, urutan, pengulangan, tanggal — sehingga Anda tahu persis apa yang harus diubah untuk berpindah dari lemah menjadi sangat kuat.

Bagaimana UtiloKit dibandingkan dengan pemeriksa password Kaspersky, NordPass, dan Dashlane

Alat cek kekuatan password khusus dari Kaspersky (password.kaspersky.com), NordPass, dan Dashlane semuanya mengirim password yang Anda ketik ke server mereka untuk dinilai. Itu adalah masalah privasi yang nyata — Anda menyerahkan calon kredensial Anda ke infrastruktur pihak ketiga. Bahkan jika mereka mengklaim tidak menyimpannya, Anda tetap mempercayai kebijakan dan infrastruktur mereka untuk tetap aman.

Cek kekuatan password UtiloKit berjalan sepenuhnya di browser Anda. Tidak ada yang meninggalkan perangkat Anda. Analisisnya ditenagai oleh deteksi pola ala zxcvbn yang sama yang digunakan di alat keamanan enterprise, memberi Anda entropi dalam bit (bukan sekadar label “kuat” yang samar), dan menampilkan estimasi waktu bobol di tiga model serangan berbeda termasuk serangan GPU offline. Alat ini juga bekerja sepenuhnya offline setelah halaman dimuat, dan tidak membutuhkan akun, tidak ada pendaftaran, dan tidak ada aplikasi. Jika Anda ingin tahu seberapa kuat password Anda sesungguhnya tanpa mengirimnya ke mana pun, ini pilihan yang lebih aman.

Matematika di balik entropi password

Entropi password dihitung dengan rumus sederhana: bit = log₂(N^L), di mana N adalah ukuran kumpulan karakter yang Anda ambil dan L adalah panjang password. Password 8 karakter huruf kecil semua mengambil dari 26 karakter, menghasilkan 26^8 ≈ 208 miliar kemungkinan — yang terdengar sangat besar hingga Anda menyatakannya sebagai log₂(26^8) = 37,6 bit entropi. Perluas ke huruf besar-kecil campuran, angka, dan simbol umum (kumpulan 94 karakter) dan 8 karakter menghasilkan log₂(94^8) = 52,4 bit — cukup berarti, tetapi masih bisa dijangkau rig GPU dalam hitungan jam. Perpanjang password huruf kecil saja itu menjadi 20 karakter dan entropinya melompat ke log₂(26^20) = 94 bit, jauh melampaui apa pun yang bisa dibobol perangkat keras yang masuk akal dalam satu masa hidup manusia.

Aritmetika ini menjelaskan mengapa panjang mengalahkan kompleksitas dalam hampir setiap skenario. Menambah empat karakter lagi ke password huruf kecil saja (dari 8 ke 12 karakter) menambah sekitar 18,8 bit entropi. Menambahkan setiap jenis simbol ke password 8 karakter hanya menambah sekitar 14,8 bit. Peningkatan dari panjang lebih besar — dan lebih mudah untuk diketik. Kesimpulan praktisnya: jika Anda hanya bisa membuat satu perubahan pada password lemah, buatlah lebih panjang.

Di mana rumus ini gagal adalah pada keterprediksian. Rumus ini mengasumsikan Anda memilih setiap karakter secara acak dari seluruh kumpulan. Dalam praktiknya, manusia tidak begitu: mereka menaruh huruf besar di depan, mengakhiri dengan tanda baca, mengganti a→@ dan e→3 secara bisa ditebak, dan membangun password di sekitar kata sungguhan. Itulah mengapa library zxcvbn, yang awalnya dirilis Dropbox pada 2012, tetap menjadi tolok ukur modern untuk estimasi kekuatan yang realistis. Alih-alih menerapkan rumus mentah, zxcvbn memodelkan apa yang sudah diketahui penyerang — 10.000 password paling umum, nama, kata bahasa Inggris, dan pola kedekatan tombol keyboard — dan mengestimasi jumlah tebakan minimum yang dibutuhkan serangan cerdas, yang hampir selalu jauh lebih sedikit daripada yang tersirat rumus teoretis.

Bagaimana penyerang sungguhan membobol password

Serangan kamus adalah langkah pertama penyerang: mencoba setiap kata dalam wordlist yang diketahui sebelum mencoba tebakan acak. Wordlist paling terkenal adalah RockYou, berkas berisi 14,3 juta password sungguhan yang bocor dalam kebocoran platform gaming sosial RockYou Inc. pada 2009. Password seperti “iloveyou”, “princess”, dan “abc123” berasal langsung dari daftar itu dan tumbang dalam hitungan milidetik. Jauh lebih besar adalah basis data Have I Been Pwned yang disusun peneliti keamanan Troy Hunt, yang kini berisi lebih dari 847 juta password unik yang dikumpulkan dari ratusan kebocoran data. Password apa pun yang muncul di korpus itu dianggap terkompromikan berapa pun rumitnya kelihatan — seseorang sudah pernah memakainya, yang berarti password itu ada di wordlist setiap penyerang serius.

Pembobol modern memperluas kamus dengan serangan berbasis aturan. Alat seperti Hashcat menerapkan aturan transformasi ke setiap entri dalam wordlist: kapitalkan huruf pertama, tambahkan tahun 2020–2024, ganti huruf dengan padanan l33tsp34k umum (a→@, e→3, s→$, i→1), tambahkan tanda baca di akhir. Kamus 10 juta kata yang digabung dengan 500 aturan umum menghasilkan miliaran kandidat dan tetap berjalan dalam hitungan menit pada perangkat keras GPU modern. Inilah persis mengapa “Password2024!” mendapat skor buruk: kata dasarnya beserta tahun dan simbol yang ditambahkan semuanya adalah transformasi yang diterapkan Hashcat secara otomatis pada kata “password”.

Rainbow table adalah tabel pencarian yang telah dihitung sebelumnya yang memetakan hash password yang diketahui kembali ke bentuk plaintext-nya. Tabel ini membuat pembobolan hampir instan — hingga salt diterapkan. Salt adalah nilai acak yang ditambahkan ke setiap password sebelum di-hash, memastikan bahwa bahkan dua pengguna dengan password sama memiliki hash yang berbeda, yang membuat tabel yang telah dihitung sebelumnya tidak berguna. Inilah mengapa sistem modern memakai bcrypt, scrypt, atau Argon2 alih-alih hash cepat umum seperti MD5. Kluster GPU kelas atas bisa menguji 100 miliar hash MD5 per detik, mengurangi password 8 karakter menjadi masalah yang terpecahkan dalam hitungan jam; bcrypt secara sengaja memperlambat laju itu menjadi ribuan per detik, membeli perlindungan bertahun-tahun untuk password yang sama.

Apa yang diubah NIST SP 800-63B tentang aturan password

Pada 2017 National Institute of Standards and Technology menerbitkan Special Publication 800-63B, merombak pedoman password yang sebagian besar tidak berubah sejak 2003. Pembalikan intinya sangat tegas: NIST mengatakan untuk berhenti mensyaratkan rotasi password berkala. Perubahan paksa 90 hari tidak meningkatkan keamanan — itu justru melatih pengguna untuk membuat kenaikan minimal dan bisa ditebak (Password1 → Password2 → Password3), yang secara sepele bisa dimodelkan oleh aturan pembobolan. Ubah password hanya ketika ada bukti kompromi.

NIST juga mengatakan untuk berhenti memaksakan aturan kompleksitas sembarangan (“harus mengandung huruf besar, huruf kecil, angka, dan simbol”). Studi secara konsisten menunjukkan bahwa mandat kompleksitas mendorong pengguna ke pola yang bisa ditebak: huruf besar di awal, angka dan tanda seru di akhir. Hasilnya adalah password yang lolos aturan tetapi sangat mudah ditebak. Sebagai gantinya, NIST kini merekomendasikan mengecek password terhadap daftar password yang diketahui terkompromikan dan menolak yang muncul di sana — pengecekan yang benar-benar meningkatkan keamanan, tidak seperti persyaratan kompleksitas.

Resep positifnya sama pentingnya. Verifier seharusnya menerima password hingga setidaknya 64 karakter untuk mengakomodasi passphrase dan keluaran pengelola kata sandi. Mereka harus mengizinkan tempel ke kolom password — memblokir tempel justru merugikan keamanan karena mencegah penggunaan pengelola kata sandi, memaksa pengguna untuk menghafal password yang lebih lemah atau mengetik password panjang dengan kesalahan. Pedoman ini kini menjadi ekspektasi dasar untuk sistem autentikasi yang dirancang dengan baik mana pun, dan mereka mengubah percakapan dari “apakah password ini cukup kompleks?” menjadi pertanyaan yang lebih berguna: “apakah password ini pernah terlihat dalam kebocoran?”

Kebocoran data, credential stuffing, dan mengapa penggunaan ulang adalah ancaman sesungguhnya

Layanan Have I Been Pwned (HIBP), diluncurkan oleh peneliti keamanan Troy Hunt pada 2013, memberikan jendela publik ke skala masalah ini. Layanan ini mengatalogkan ratusan kebocoran data besar — Yahoo 2013 (3 miliar akun), LinkedIn 2012 (117 juta), Adobe 2013 (153 juta) — memungkinkan siapa saja mengecek apakah alamat email atau password mereka pernah terekspos. API pengecekan password memakai model k-anonymity untuk privasi: klien Anda menghitung hash SHA-1 dari password, mengirim hanya lima karakter pertama dari hash itu ke server, dan menerima kembali semua akhiran hash yang cocok. Password lengkap Anda tidak pernah dikirim, namun Anda tetap tahu apakah password itu muncul di korpus kebocoran.

Credential stuffing adalah yang terjadi begitu pasangan username-password yang bocor tersebar di internet. Penyerang menjalankan alat otomatis yang mencoba setiap kredensial yang bocor terhadap ratusan layanan lain — penyedia email, bank, platform streaming. Karena orang memakai ulang password di berbagai situs, kebocoran di sebuah forum berkeamanan rendah bisa membuka akun di layanan bernilai tinggi yang sebenarnya tidak pernah dibobol sendiri. Laporan insiden publik Sentry tahun 2022 menjelaskan penyerang menggunakan kredensial yang dicuri dari layanan yang sama sekali tidak berhubungan untuk mengakses akun Sentry — serangan credential-stuffing tipikal. Tidak ada kekuatan password apa pun di situs yang ditarget yang berarti jika kredensialnya sudah publik dari kebocoran yang berbeda.

Inilah mengapa “gunakan password unik di mana saja” secara konsisten dinilai sebagai praktik keamanan berdampak tertinggi — di atas aturan kompleksitas, di atas rotasi berkala, dan hanya kalah dari mengaktifkan autentikasi multi-faktor. Pengelola kata sandi membuat keunikan menjadi mudah: ia membuat kredensial acak berbeda untuk setiap situs, sehingga kebocoran di mana pun mengekspos kredensial yang tidak berguna di tempat lain. Mengecek kekuatan password adalah langkah pertama; memastikan password itu unik dan belum pernah muncul di kebocoran yang diketahui adalah langkah kedua.