Kalkulator Kekuatan Kata Sandi

Entropi kata sandi adalah standar utama untuk mengukur kekuatan kata sandi. Kalkulator entropi kata sandi kami menampilkan secara akurat berapa bit keacakan yang terkandung dalam kata sandi Anda.

Semakin banyak bit entropi, semakin berlipat ganda kombinasi yang harus dicoba peretas. Targetkan 80+ bit untuk akun-akun penting.

Berapa lama waktu yang dibutuhkan untuk membobol kata sandi Anda? Kalkulator waktu brute force kami memperkirakan waktu peretasan berdasarkan klaster GPU modern (10 miliar tebakan/detik).

Lihat perbedaan drastis antara kata sandi 6 karakter (hitungan menit) dan kata sandi 16 karakter (berabad-abad).

Kata sandi terbaik memadukan panjang dan kompleksitas. Gunakan 12+ karakter yang menggabungkan huruf besar, huruf kecil, angka, dan simbol. Atau gunakan frasa sandi (passphrase) yang terdiri dari 4+ kata acak.

Hindari informasi pribadi, kata-kata umum, dan pola yang mudah ditebak. Penguji kekuatan kata sandi kami menunjukkan secara jelas apa yang membuat kata sandi Anda kuat atau lemah.

Entropi kata sandi adalah ukuran ketakterdugaan dalam satuan bit yang memperkirakan seberapa sulit suatu kata sandi ditebak. Rumus perhitungannya adalah E = L × log2(R), dengan L adalah panjang kata sandi dan R adalah ukuran kumpulan karakter (26 huruf kecil, 26 huruf besar, 10 angka, dan sekitar 33 simbol umum).

Setiap tambahan bit entropi menggandakan jumlah tebakan yang harus dilakukan peretas. Model teori informasi ini berakar dari karya fundamental Claude Shannon tentang teori informasi, dan NIST SP 800-63B membahas kekuatan kata sandi berdasarkan ketahanan tebakan daripada aturan komposisi yang kaku.

Entropi yang lebih tinggi secara konsisten menghasilkan kata sandi yang jauh lebih tangguh.

Serangan brute-force membobol kata sandi dengan mencoba setiap kemungkinan kombinasi karakter secara sistematis sampai menemukan yang cocok. Namun, penyerang jarang memulainya secara membabi buta: mereka biasanya mengawali dengan serangan berbasis kamus dan aturan menggunakan alat seperti Hashcat atau John the Ripper, menguji daftar kata sandi bocor dan substitusi umum sebelum beralih ke pencarian menyeluruh.

Klaster GPU modern sanggup memproses miliaran tebakan hash per detik, itulah sebabnya kata sandi pendek cepat sekali ditembus. Menurut panduan OWASP, sistem keamanan harus memperlambat penyerang dengan meng-hash kata sandi tersimpan menggunakan algoritma yang menguras memori (memory-hard) seperti bcrypt, scrypt, atau Argon2, alih-alih fungsi hash cepat seperti MD5 atau SHA-1.

Entropi menentukan berapa banyak tebakan yang pada akhirnya dibutuhkan oleh serangan brute force.

Panjang kata sandi meningkatkan kekuatan lebih cepat daripada menambahkan karakter khusus karena entropi berskala linier terhadap panjangnya, tetapi hanya logaritmik terhadap variasi karakter. Menambahkan satu karakter lagi pada kata sandi huruf kecil akan melipatgandakan ruang pencarian secara signifikan, sedangkan mengganti huruf dengan simbol hanya menambahkan sepersekian bit.

NIST SP 800-63B mencerminkan hal ini dengan menghapus aturan kerumitan wajib, dan justru mendorong penggunaan kata sandi serta frasa sandi (passphrase) yang lebih panjang hingga 64 karakter atau lebih. Frasa 20 karakter yang seluruhnya huruf kecil bahkan bisa mengungguli kata sandi 8 karakter yang dipenuhi simbol.

Demi keamanan yang mudah diingat, utamakan panjang kata sandi terlebih dahulu, baru kemudian variasinya.

Frasa sandi (passphrase) sering kali lebih aman dan lebih praktis digunakan daripada kata sandi pendek yang rumit, karena panjangnya menghasilkan entropi tinggi sekaligus tetap mudah diingat. Frasa sandi yang terdiri dari empat kata atau lebih yang benar-benar acak dari daftar kata yang besar, seperti daftar EFF Diceware, menghasilkan entropi yang kuat tanpa mengharuskan Anda menghafal susunan simbol yang janggal.

Kuncinya adalah keacakan: kutipan dialog film atau ungkapan populer memberikan perlindungan yang sangat minim karena penyerang memasukkan frasa-frasa tersebut ke dalam kamus peretasan mereka. NIST SP 800-63B secara eksplisit mendukung rahasia terhafal yang panjang dan mengizinkan penggunaan spasi.

Pilihlah kata-kata acak yang berdiri sendiri alih-alih kalimat yang bermakna secara tata bahasa.

Password hashing melindungi kredensial tersimpan dengan mengubah kata sandi menjadi nilai berukuran tetap yang tidak dapat dibalikkan, sehingga kebocoran basis data tidak langsung mengekspos kata sandi dalam teks biasa (plaintext). Salt, yaitu nilai acak unik yang ditambahkan ke setiap kata sandi sebelum proses hashing, mencegah penyerang menggunakan tabel pelangi (rainbow table) siap pakai dan memastikan kata sandi yang identik menghasilkan hash yang berbeda.

OWASP merekomendasikan fungsi yang lambat dan berat memori seperti Argon2id, bcrypt, atau scrypt, yang disetel agar setiap komputasi hash membutuhkan daya pemrosesan tinggi. Hash cepat seperti MD5 dan SHA-1 tidak cocok untuk kata sandi karena memungkinkan penyerang menguji miliaran tebakan per detik.

Kalkulator ini memperkirakan tingkat kesulitan tebakan, bukan kekuatan proses hashing di sisi server.

Tidak, Anda tidak boleh menggunakan ulang kata sandi di berbagai akun, karena satu kebocoran saja dapat membahayakan semua situs yang menggunakan kredensial tersebut. Penyerang memanfaatkan celah ini melalui metode credential stuffing, yaitu mencoba pasangan nama pengguna dan kata sandi yang bocor dari satu layanan ke banyak layanan lain menggunakan alat otomatis.

OWASP mengidentifikasi credential stuffing sebagai penyebab utama pengambilalihan akun, dan kata sandi yang unik adalah pertahanan utama. Pengelola kata sandi (password manager) mengatasi keterbatasan daya ingat manusia dengan membuat serta menyimpan kata sandi unik berentropi tinggi untuk setiap akun login.

Memadukan kata sandi unik dengan autentikasi multifaktor, sebagaimana direkomendasikan oleh NIST dan OWASP, secara drastis mengurangi dampak dari satu insiden kebocoran data.

Hasil Anda menggabungkan tiga indikator yang saling melengkapi:

• nilai entropi dalam satuan bit
• peringkat kekuatan kualitatif
• perkiraan waktu peretasan

Entropi merupakan ukuran inti yang objektif, sedangkan peringkat (lemah hingga sangat kuat) dan estimasi waktu peretasan menerjemahkan bit-bit tersebut ke dalam istilah intuitif berdasarkan asumsi kecepatan tebakan. Karena perangkat keras penyerang sangat bervariasi, angka waktu peretasan hanyalah panduan perkiraan kasar (skala besaran), bukan jaminan mutlak, dan sejalan dengan filosofi ketahanan terhadap tebakan yang diuraikan dalam NIST SP 800-63B.

Gunakan angka entropi untuk membandingkan calon kata sandi, anggap nilai di bawah 60 bit berisiko untuk akun-akun penting, dan targetkan 80 bit atau lebih untuk akun yang membutuhkan keamanan tertinggi.

Kesalahan kata sandi yang paling umum adalah pilihan-pilihan yang mudah ditebak dan sudah diantisipasi oleh penyerang:

• Hindari kata-kata dalam kamus, urutan tombol seperti qwerty atau 123456, serta informasi pribadi seperti nama, tanggal lahir, atau nama hewan peliharaan yang sering muncul di data kebocoran dan media sosial.
• Penggantian karakter sederhana (@ untuk a, 3 untuk e) hampir tidak menambah entropi karena alat pembobol kata sandi menerapkan aturan variasi ini secara otomatis.
• Jangan hanya menambahkan angka atau tanda seru di akhir kata dasar yang lemah, dan jangan pernah menggunakan kembali kata sandi lama.

OWASP menyarankan untuk memeriksa kata sandi baru terhadap daftar kata sandi yang pernah bocor, dan NIST menyarankan penyaringan terhadap basis data kredensial yang telah disusupi sebelum menerimanya.