Pemeriksa Kekuatan Kata Sandi

Seberapa Kuat Kata Sandi Anda? Uji Secara Privat

Kebanyakan pembobolan akun tidak melibatkan peretasan cerdik. Terjadi karena kata sandi pendek, mudah ditebak, atau dipakai ulang dari situs lain yang bocor. Mengetahui apakah kata sandi Anda bisa bertahan dari serangan nyata adalah langkah pertama memperbaikinya. Pemeriksa kekuatan kata sandi gratis ini memperkirakan berapa banyak tebakan yang dibutuhkan penyerang, berapa lama itu dalam dua skenario serangan realistis, pola mana yang membuat kata sandi Anda lemah, dan — jika Anda memilih — apakah sudah pernah muncul di kebocoran data yang diketahui.

Privasi nomor satu. Analisis kekuatan berjalan sepenuhnya di dalam browser Anda. Kata sandi Anda tidak dikirim ke Prompt Minds atau siapa pun, tidak disimpan, dan tidak dicatat. Pemeriksaan kebocoran bersifat opsional dan hanya berjalan saat Anda mengeklik tombolnya, dan bahkan saat itu kata sandi Anda tidak pernah meninggalkan perangkat — hanya lima karakter hash kriptografis yang keluar, seperti dijelaskan di bawah.

Cara Memakai Pemeriksa

1. Klik kotak dan ketik kata sandi. Klik pertama memuat estimator zxcvbn open-source (sekitar 0.8 MB) dari CDN publik; setelah itu, hasil diperbarui saat Anda mengetik.
2. Gunakan tombol mata untuk menampilkan atau menyembunyikan yang Anda ketik.
3. Baca hasilnya: label kekuatan dari Sangat lemah hingga Sangat kuat, bilah warna, dua perkiraan waktu bobol, panjang, dan perkiraan jumlah tebakan.
4. Periksa daftar aturan sederhana dan baca peringatan serta saran di bawahnya.
5. Secara opsional, jalankan pemeriksaan kebocoran untuk melihat apakah kata sandi muncul di database kata sandi bocor Have I Been Pwned.

Cara Skor Kekuatan Dihitung

Meter gaya lama hanya menghitung jenis karakter — “ada huruf besar, ada angka, ada simbol, jadi kuat”. Itu menyesatkan: P@ssw0rd1 memenuhi semua kotak tetapi salah satu yang pertama dicoba penyerang. Pemeriksa ini memakai zxcvbn, estimator open-source yang dibuat di Dropbox dan dirilis di bawah lisensi MIT, yang berpikir seperti penyerang. Ia memecah kata sandi menjadi bagian dan mengenali:

• kata sandi umum dan kata Inggris yang sering dipakai, nama depan dan nama keluarga;
• pola keyboard seperti qwerty, asdf, atau 1qaz2wsx;
• urutan (abcd, 1234) dan pengulangan (aaaa, abcabc);
• tanggal dan tahun, seperti 1995 atau 14081995;
• substitusi “l33t” — @ untuk a, 0 untuk o, 3 untuk e, $ untuk s.

Lalu memperkirakan jumlah tebakan yang dibutuhkan untuk mencapai kata sandi Anda jika penyerang mencoba pola yang paling mungkin lebih dulu, dan mengubahnya menjadi skor 0 sampai 4.

Memahami Dua Waktu Bobol

Online, dibatasi (100 tebakan per jam). Ini memodelkan seseorang yang mencoba kata sandi di halaman login nyata yang membatasi percobaan. Bahkan kata sandi lemah bisa butuh berhari-hari di sini — tetapi ini bukan bahaya utama.

Offline, hash cepat (10 miliar tebakan per detik). Ini memodelkan kasus terburuk: database kata sandi sebuah website dicuri dan disimpan dengan metode hash cepat, sehingga penyerang bisa menguji tebakan di perangkat keras bertenaga tanpa batas. Jika waktu offline hanya detik atau menit, anggap kata sandi akan cepat jatuh saat terjadi kebocoran. Targetkan tahunan atau berabad-abad di sini.

Contoh

Perhatikan dua hal. Kata sandi acak pendek dengan simbol masih bisa punya waktu offline yang sedang, karena 12 karakter tidak terlalu panjang. Dan frasa dari kata biasa, jika cukup panjang, bisa mengalahkannya. Panjang adalah faktor tunggal paling kuat. (“correct horse battery staple” yang terkenal itu sendiri sebaiknya tidak dipakai sekarang — sudah sangat dikenal.)

Keterbatasan yang Jujur: Nama India dan Kata Hindi

Daftar kata bawaan zxcvbn sebagian besar bahasa Inggris. Artinya kata sandi dari nama India, nama keluarga, kota, atau kata Hindi yang ditulis dengan huruf Inggris mungkin tampak lebih kuat bagi pemeriksa daripada sebenarnya. Misalnya, nama diikuti tahun lahir bisa mendapat skor tinggi sementara waktu bobol offline masih di bawah sedetik. Penyerang nyata memakai daftar nama regional, pola nomor telepon, dan kata sandi bocor dari website India, jadi anggap ini lemah apa pun kata meter mana pun. Hindari nama, nama panggilan, tanggal lahir, hari jadi, nomor HP, nomor kendaraan, dan kode PIN di kata sandi.

Pemeriksaan Kebocoran dan k-Anonymity

Have I Been Pwned adalah layanan gratis yang dipercaya luas, dijalankan peneliti keamanan Troy Hunt, yang mengumpulkan kata sandi yang terungkap di kebocoran data publik. Jika kata sandi Anda ada di daftar itu, penyerang sudah memilikinya di kamus mereka, terlepas dari betapa kompleksnya tampilannya. Pemeriksaan di sini memakai teknik privasi bernama k-anonymity:

1. Browser Anda menghitung hash SHA-1 kata sandi secara lokal.
2. Hanya lima karakter heksadesimal pertama dari hash itu dikirim ke Pwned Passwords API.
3. Layanan membalas dengan setiap akhiran hash di database-nya yang dimulai dengan lima karakter itu — biasanya ratusan — beserta entri padding agar ukuran respons tidak mengungkap apa pun.
4. Browser Anda mencari hash lengkap Anda di daftar itu di perangkat Anda sendiri.

Layanan tidak pernah tahu kata sandi Anda atau bahkan hash lengkapnya. Jika pemeriksaan menemukan kecocokan, berhenti memakai kata sandi itu di mana-mana. Jika tidak, itu kabar baik tetapi bukan jaminan kekuatan.

Cara Membuat Kata Sandi yang Kuat

• Biarkan tool membuatnya. Pembuat Kata Sandi kami membuat kata sandi acak di browser Anda. Kata sandi acak 14 karakter atau lebih sangat kuat.
• Atau pakai passphrase. Pilih empat kata acak yang tak berkaitan atau lebih dan tambahkan pemisah atau angka: mango-river-pencil-74. Panjang dan mudah diketik di HP.
• Buat setiap kata sandi unik. Pemakaian ulang adalah risiko terbesar: satu kebocoran membuka setiap akun dengan kata sandi yang sama.
• Pakai pengelola kata sandi untuk menyimpannya, sehingga Anda hanya perlu mengingat satu passphrase master yang kuat.
• Aktifkan autentikasi dua faktor untuk email, perbankan, aplikasi UPI, dan media sosial. Bahkan kata sandi yang dicuri lalu tidak cukup.

Yang Direkomendasikan Panduan Terkini

Panduan modern, termasuk pedoman identitas digital NIST di Amerika Serikat, telah beralih dari aturan komposisi rumit dan pergantian berkala paksa. Sebaliknya, panduan itu mengutamakan kata sandi lebih panjang, mengizinkan semua karakter termasuk spasi, menyaring kata sandi baru terhadap daftar kata sandi bocor dan umum, dan mengganti kata sandi saat ada bukti kompromi. Pemeriksa ini mengikuti pemikiran yang sama: menghargai panjang dan ketidakterdugaan serta membantu Anda menyaring terhadap kata sandi yang bocor.

Melindungi Akun yang Paling Penting

Tidak setiap akun butuh usaha yang sama, tetapi beberapa layak mendapat kata sandi terbaik Anda. Email utama Anda yang pertama: siapa pun yang mengendalikannya bisa mereset kata sandi hampir setiap akun lain milik Anda. Berikutnya adalah perbankan dan aplikasi UPI, akun operator nomor HP Anda, penyimpanan cloud yang berisi foto dan dokumen, dan akun media sosial yang dipakai bicara dengan teman dan keluarga — akun WhatsApp atau Instagram yang dibajak sering dipakai untuk meminta uang ke kontak Anda. Untuk masing-masing, pakai kata sandi unik yang panjang, aktifkan autentikasi dua faktor, dan jaga detail pemulihan seperti email cadangan dan nomor telepon tetap mutakhir.

Hati-hati juga dengan kata sandi sekali pakai dan PIN. Tidak ada bank, perusahaan pengiriman, atau kantor pemerintah yang akan meminta Anda membagikan OTP lewat telepon atau pesan. Halaman phishing bisa tampak identik dengan halaman login asli, jadi periksa bilah alamat sebelum mengetik kata sandi, dan pilih membuka aplikasi langsung alih-alih mengikuti tautan di pesan.

Mitos Umum

• “Menambahkan ! di akhir membuatnya aman.” Penyerang mencobanya lebih dulu.
• “Tidak ada yang akan menargetkan saya.” Kebanyakan serangan otomatis dan menguji jutaan akun dengan kata sandi bocor yang sama.
• “Kata sandi panjang dengan nama saya tidak apa-apa.” Informasi pribadi adalah hal pertama yang ditebak.
• “Menulis kata sandi selalu buruk.” Pengelola kata sandi lebih baik, tetapi daftar tertulis yang disimpan aman di rumah lebih aman daripada memakai ulang satu kata sandi lemah di mana-mana.

Pemeriksa Kekuatan Kata Sandi — Fakta Penting

Pertanyaan yang Sering Diajukan

Jelajahi Tools Prompt Minds Lainnya

Pemeriksa Kekuatan Kata Sandi sangat cocok dipakai bersama tools gratis kami yang lain. Setiap tool Prompt Minds berjalan sepenuhnya di browser Anda — tanpa daftar, tanpa unggahan, tanpa watermark. Jelajahi semua tools gratis.