Kekuatan dan Kebijakan Kata Sandi

Meskipun MFA dan autentikasi tanpa kata sandi semakin banyak digunakan, kata sandi tetap menjadi faktor autentikasi yang paling umum. Kata sandi yang lemah merupakan titik akses awal yang paling umum dalam kebocoran data.

Kata sandi yang kuat memiliki:

• Panjang — 16 karakter atau lebih secara signifikan meningkatkan entropi
• Kerumitan — campuran huruf besar, huruf kecil, angka, dan simbol
• Ketidakprediktabilan — tidak menggunakan kata kamus, pola papan ketik, atau informasi pribadi
• Keunikan — kata sandi yang berbeda untuk setiap akun

Entropi mengukur ketidakprediktabilan dalam satuan bit. Kata sandi yang menggunakan 94 karakter ASCII yang dapat dicetak menambahkan sekitar 6,5 bit per karakter. Kata sandi 16 karakter memiliki sekitar 104 bit entropi — secara praktis tidak dapat dibobol dengan coba paksa.

Panjang lebih penting daripada kerumitan: "correcthorsebatterystaple" > "P@ss1".

Penyerang tahu bahwa pengguna sering memilih:

• Kata kamus dengan penggantian sederhana (p@ssw0rd)
• Informasi pribadi (tanggal lahir, nama hewan peliharaan)
• Pola papan ketik (qwerty, 123456)
• Nama perusahaan + tahun
• Kata sandi yang sama di mana-mana

Kebijakan kata sandi yang efektif (berdasarkan NIST SP 800-63B):

• Minimal 8 karakter atau lebih (12 karakter atau lebih lebih disarankan)
• Periksa kata sandi terhadap daftar kata sandi yang diketahui telah bocor
• JANGAN mewajibkan penggantian berkala yang terlalu sering (karena mendorong penggunaan kata sandi yang lemah)
• JANGAN mewajibkan aturan kerumitan sembarang yang dapat dicari celahnya oleh pengguna
• Izinkan penempelan agar pengelola kata sandi dapat digunakan

Pengelola kata sandi membuat dan menyimpan kata sandi unik yang kuat untuk setiap akun, dengan perlindungan satu kata sandi utama. Cara ini menghilangkan penggunaan ulang kata sandi — akar penyebab pengisian kredensial.

Pilihan populer: Bitwarden (sumber terbuka), 1Password, KeePass, Dashlane.

Frasa sandi — empat kata acak atau lebih — menggabungkan kemudahan diingat dengan entropi tinggi. "TrafficLampFrogBridge" lebih aman daripada "T!@#k7" dan jauh lebih mudah diingat serta diketik.

Untuk lingkungan perusahaan:

• Terapkan panjang minimum melalui Kebijakan Grup / IdP
• Blokir kata sandi yang umum digunakan (daftar 100.000 teratas)
• Aktifkan MFA untuk semua akun
• Pantau pola penyemprotan kata sandi dan coba paksa dalam log
• Gunakan LAPS untuk penggantian kata sandi administrator lokal

HaveIBeenPwned (HIBP) yang dibuat oleh Troy Hunt berisi miliaran kredensial curian. Organisasi dapat menggunakan API HIBP untuk memblokir kata sandi yang ditemukan dalam kebocoran yang telah diketahui.

Pengguna dapat memeriksa email mereka di haveibeenpwned.com.

Biometrik (sidik jari, wajah) memang praktis, tetapi memiliki keterbatasan: biometrik tidak dapat diubah jika sudah disusupi. Biometrik sebaiknya digunakan sebagai faktor kedua bersama kata sandi yang kuat, bukan sebagai pengganti.

Kunci sandi (FIDO2/WebAuthn) menggantikan kata sandi dengan pasangan kunci kriptografis. Kunci privat tidak pernah meninggalkan perangkat. Dirancang tahan terhadap phishing — tidak ada kata sandi yang dapat dicuri. Diadopsi oleh Apple, Google, dan Microsoft.

Kata sandi yang kuat lebih mengandalkan panjang dan keunikan daripada aturan karakter yang rumit. Pengelola kata sandi mengatasi masalah penggunaan ulang kata sandi. Pedoman NIST merekomendasikan pemeriksaan terhadap basis data kebocoran, bukan memaksa penggantian berkala. Kunci sandi (FIDO2) adalah masa depan autentikasi yang tahan terhadap phishing.