Generator Kata Sandi

Entropi mengukur keacakan (ketidakterdugaan) suatu kata sandi dalam satuan bit. Rumusnya adalah L dikalikan log2(N), di mana L adalah panjang dan N adalah ukuran kumpulan karakter.

• Hanya menggunakan huruf kecil (N=26): kata sandi 12 karakter memiliki entropi 56,4 bit.
• Menambahkan huruf besar (N=52): 68,4 bit.
• Menambahkan angka (N=62): 71,5 bit.
• Menambahkan simbol (N=94): 78,8 bit.

Ambang batas keamanan:

• di bawah 40 bit sangat mudah diretas dalam hitungan menit;
• 40-60 bit tahan terhadap serangan online tetapi rentan terhadap serangan offline;
• 60-80 bit tergolong kuat untuk sebagian besar kebutuhan;
• di atas 80 bit sangat kuat;
• di atas 128 bit mustahil diretas oleh teknologi apa pun di masa mendatang.

Beralih dari 12 ke 16 karakter dengan set karakter lengkap melonjak dari 78,8 ke 105,1 bit — menjadikannya sekitar 78 juta kali lebih sulit diretas. Inilah sebabnya NIST dan para pakar keamanan lebih menekankan panjang daripada kompleksitas.

Penyerang menggunakan berbagai strategi di luar brute force sederhana.

• Serangan kamus (dictionary attack) mencoba kata dan frasa umum — kata sandi 'sunshine' langsung bobol meski memiliki 8 karakter.
• Credential stuffing memanfaatkan kata sandi dari kebocoran data sebelumnya (lebih dari 10 miliar kata sandi bocor tersedia untuk umum).
• Serangan berbasis aturan (rule-based attack) memodifikasi kata kamus dengan substitusi umum (@ untuk a, 3 untuk e, ! di akhir) — 'P@ssw0rd!' termasuk pola pertama yang dicoba.
• Serangan rainbow table menggunakan hash yang telah dihitung sebelumnya untuk kata sandi umum.

Hanya kata sandi yang benar-benar acak dari sumber yang aman secara kriptografis yang mampu menahan semua serangan ini.

Kata sandi yang dipilih manusia memiliki bias yang dapat ditebak — orang cenderung menyukai huruf, pola, dan posisi tertentu untuk karakter khusus. Studi menunjukkan bahwa kata sandi buatan manusia rata-rata hanya memiliki entropi efektif 20-30 bit meskipun terlihat rumit, dibandingkan dengan 79-105 bit untuk kata sandi acak buatan mesin dengan panjang yang sama.

Membuat kata sandi yang kuat hanyalah separuh solusi — mengelolanya dengan aman sama pentingnya.

• Gunakan pengelola kata sandi (password manager) khusus (1Password, Bitwarden, KeePass, atau pengelola bawaan browser Anda) untuk menyimpan kata sandi unik untuk setiap akun. Rata-rata orang memiliki 70-100 akun online, sehingga menghafalnya mustahil dilakukan tanpa menggunakannya berulang kali.
• Aktifkan autentikasi dua faktor (2FA) pada semua akun yang mendukungnya — bahkan kata sandi yang bocor tidak dapat memberi akses tanpa faktor kedua. Prioritaskan kunci keamanan perangkat keras (YubiKey, Google Titan) atau aplikasi autentikator (Google Authenticator, Authy) dibandingkan 2FA berbasis SMS yang rentan terhadap pembajakan kartu SIM (SIM swap).
• Untuk kata sandi utama (master password) pengelola kata sandi Anda, gunakan passphrase panjang berisi 4-6 kata acak (misalnya, 'correct horse battery staple') — ini lebih mudah diingat daripada deretan karakter acak sembari memberikan entropi 50-80 bit.
• Segera ganti kata sandi setelah menerima pemberitahuan kebocoran data dan periksa haveibeenpwned.com secara berkala.

Generator kata sandi acak menyusun kata sandi dengan memilih karakter secara acak dari kumpulan yang dipilih (huruf besar, huruf kecil, angka, simbol) menggunakan sumber keacakan.

Generator yang aman, termasuk alat ini, menggunakan pembangkit bilangan acak semu yang aman secara kriptografis (CSPRNG) yang disediakan oleh browser — yaitu crypto.getRandomValues() dari Web Crypto API — alih-alih Math.random() yang dapat diprediksi. NIST SP 800-63B dan OWASP sama-sama menegaskan bahwa ketidakterdugaan adalah hal yang membuat sebuah rahasia sulit ditebak.

Setiap karakter diambil secara independen, sehingga tidak ada pola, kata kamus, atau bias manusia yang menyusup. Karena pembuatannya berlangsung sepenuhnya di sisi klien, kata sandi tidak pernah meninggalkan perangkat Anda, dan pengukur kekuatan menampilkan entropi dalam bit sehingga Anda dapat menilai hasilnya sebelum menggunakannya.

Pilihlah panjang kata sandi terlebih dahulu: ini adalah faktor paling berpengaruh terhadap keamanan. NIST SP 800-63B menyarankan minimal 8 karakter dan mendukung kata sandi hingga setidaknya 64 karakter, sementara sebagian besar pakar merekomendasikan 12-16 karakter untuk akun sehari-hari dan 20+ karakter untuk akun bernilai tinggi seperti email, perbankan, serta kredensial utama pengelola kata sandi Anda.

Aktifkan sebanyak mungkin jenis karakter yang diizinkan situs — huruf besar, huruf kecil, angka, dan simbol — untuk memperluas pilihan dari 26 menjadi 94 karakter. Jika situs menolak simbol, tambah panjang karakternya agar nilai entropi tetap tinggi.

Sebagai patokan, kata sandi acak di atas 60 bit entropi mampu menahan serangan offline, dan 80+ bit tergolong sangat kuat. Pantau indikator entropi untuk memastikan Anda telah melampaui batas tersebut.

Generator kata sandi sangat berguna kapan pun Anda memerlukan kredensial rahasia yang unik dan tidak dapat ditebak. Penggunaan umum meliputi:

• membuat kata sandi baru untuk akun online baru,
• mengganti kata sandi lemah atau yang digunakan berulang kali yang ditandai oleh pengelola kata sandi,
• membuat kunci jaringan Wi-Fi,
• membuat kunci API atau kredensial basis data bagi pengembang,
• menghasilkan kata sandi sementara saat proses onboarding pengguna.

Karena CISA dan OWASP sama-sama merekomendasikan kata sandi unik untuk setiap akun, generator yang dipadukan dengan pengelola kata sandi memungkinkan Anda menerapkan saran tersebut tanpa perlu menghafal apa pun.

Tim kerja juga menggunakan kata sandi yang dihasilkan ini untuk akun layanan bersama dan untuk memperbarui kredensial setelah adanya dugaan kebocoran. Untuk passphrase yang harus Anda ketik dari ingatan, metode beberapa kata mungkin lebih cocok daripada deretan karakter acak, tetapi untuk kredensial yang disimpan, kata sandi acak yang panjang adalah pilihan ideal.

Kesalahan yang paling berbahaya adalah menggunakan ulang kata sandi yang sama di berbagai situs, karena satu kebocoran saja dapat membuka banyak akun — teknik yang diotomatiskan penyerang melalui credential stuffing.

Kesalahan umum lainnya meliputi:

• mengandalkan substitusi yang mudah ditebak (P@ssw0rd!),
• menambahkan angka atau tahun di akhir kata kamus,
• menggunakan nama, tanggal lahir, atau pola ketukan keyboard seperti qwerty,
• memilih kata sandi pendek di bawah 12 karakter.

Banyak orang juga terlalu percaya pada penggantian kata sandi berkala secara paksa; NIST SP 800-63B kini tidak lagi menyarankan rotasi wajib tanpa alasan dan justru merekomendasikan penggantian kata sandi hanya saat ada indikasi kebocoran.

Jangan menyimpan kata sandi dalam catatan teks biasa atau spreadsheet, dan jangan pernah membagikannya melalui saluran yang tidak terenkripsi. Menghindari kesalahan-kesalahan ini jauh lebih berpengaruh daripada sekadar menambahkan satu simbol lagi ke kata sandi yang sudah acak.

Waktu pembobolan bergantung pada entropi dan kecepatan tebakan penyerang, bukan pada satu karakter simbol tertentu. Untuk serangan offline terhadap hash yang cepat dan proteksinya lemah, penyerang yang mumpuni dapat mencoba miliaran hingga triliunan tebakan per detik menggunakan GPU.

• Kata sandi acak 8 karakter dengan semua jenis karakter (~52 bit) dapat dibobol dalam hitungan jam hingga hari pada kecepatan tersebut,
• sedangkan kata sandi 12 karakter (~78 bit) memperpanjang pencarian rata-rata hingga jutaan tahun,
• dan kata sandi 16 karakter (~105 bit) praktis mustahil dibobol melalui brute force.

Namun, serangan di dunia nyata jarang melakukan brute force pada kata sandi yang dihasilkan secara acak — penyerang lebih sering memanfaatkan penggunaan ulang kata sandi, phishing, dan basis data yang bocor. Itulah sebabnya OWASP merekomendasikan hashing kata sandi yang lambat dan ber-salt di sisi server, yang memangkas drastis kecepatan tebakan penyerang. Anggaplah angka estimasi waktu pembobolan sebagai panduan kisaran kasar, bukan jaminan pasti.

Keduanya bisa sangat aman; pilihan yang tepat bergantung pada apakah Anda akan menghafal rahasia tersebut atau menyimpannya.

• Kata sandi karakter acak memadatkan entropi tinggi ke dalam karakter yang lebih sedikit, menjadikannya ideal untuk segala hal yang disimpan di pengelola kata sandi.
• Passphrase — gabungan beberapa kata yang tidak berhubungan — mencapai kekuatan yang setara namun jauh lebih mudah diketik dan diingat, sehingga sangat cocok untuk master password pengelola kata sandi atau login perangkat Anda.

Kekuatan keduanya bersumber dari keacakan: kata-kata harus dipilih secara acak dari daftar yang besar, bukan ditentukan oleh manusia, agar nilai entropinya tidak anjlok. NIST SP 800-63B secara eksplisit mendorong penggunaan passphrase yang panjang dan mudah diingat, serta melarang aturan sistem yang membatasinya.

Bagi kebanyakan orang, strategi terbaik adalah menghafal satu passphrase acak untuk mengunci brankas yang berisi kumpulan kata sandi acak buatan sistem.

Ya, jika alat ini menghasilkan kata sandi secara lokal dan menggunakan sumber acak kriptografis yang tepat. Generator ini berjalan sepenuhnya di browser Anda melalui Web Crypto API, sehingga kata sandi tidak pernah dikirim ke atau dicatat oleh server mana pun — Anda bahkan dapat memutus koneksi internet dan alat ini tetap berfungsi.

Risiko utama pada generator apa pun berasal dari lingkungan perangkat, bukan dari perhitungannya:

• malware atau keylogger di perangkat Anda,
• orang lain yang mengintip layar Anda (shoulder-surfing),
• atau situs web terbengkalai yang telah disusupi dan menyajikan kode berbahaya.

Agar tetap aman, gunakan alat tepercaya dan mutakhir melalui HTTPS, hindari komputer umum atau komputer bersama untuk kata sandi sensitif, dan langsung tempelkan (paste) kata sandi yang dibuat ke pengelola kata sandi tepercaya alih-alih mengirimkannya lewat email atau chat. Panduan CISA dan OWASP menekankan kebiasaan operasional ini, karena kata sandi yang kuat secara matematis hanya akan seaman perangkat dan jalur yang mengelolanya.

Bahaya terbesar di dunia nyata bukanlah keacakan yang lemah, melainkan pengulangan. Ketika sebuah situs mengalami kebocoran data, kredensial yang bocor dikumpulkan ke dalam daftar berukuran masif dan dicoba kembali ke layanan lain lewat serangan credential-stuffing otomatis; miliaran pasangan username-password kini telah beredar bebas di publik.

Jika Anda menggunakan ulang kata sandi, satu kebocoran lama saja dapat merembet ke email, rekening bank, hingga akun media sosial Anda. Baik CISA maupun OWASP merekomendasikan kredensial unik untuk setiap akun demi mengisolasi dampak kebocoran tersebut.

Periksa alamat email Anda melalui layanan pemantau kebocoran data tepercaya. Jika kata sandi Anda pernah bocor, segera ganti dengan kata sandi baru yang acak serta unik, lalu aktifkan autentikasi multifaktor. Kata sandi unik yang acak meminimalkan risiko kebocoran: penyerang yang berhasil membobol satu kata sandi hanya akan memperoleh akses ke satu akun saja, tidak lebih.