Kata sandi yang layak dipertahankan: panjang, keacakan, dan arti "kuat"

Mengapa Anda perlu melakukannya

Kebanyakan kata sandi lemah bukan karena pemiliknya lupa memakai simbol. Kata sandi itu lemah karena dipilih oleh manusia. Orang memilih nama, tanggal, pola keyboard, dan sedikit perubahan dari kata sandi lama, dan penyerang menyusun daftar tebakan mereka dari kebiasaan yang persis sama. Kata sandi yang diambil mesin dari himpunan kemungkinan yang besar tidak punya kebiasaan yang bisa dimanfaatkan.

Dua hal menentukan seberapa sulit kata sandi ditebak: dari berapa banyak kemungkinan kata sandi itu diambil, dan apakah pengambilannya benar-benar acak. Panduan ini membahas keduanya, menunjukkan cara membuat kata sandi atau frasa sandi dengan Pembuat kata sandi, dan menjelaskan cara membaca label kekuatan tanpa terlalu memercayainya.

Cara melakukannya dengan alat yang dimaksud

Pembuat kata sandi memiliki dua tab, Buat dan Periksa, dan semuanya berjalan di browser Anda.

1. Tetap di tab Buat. Di bawah Jenis, pilih Karakter acak, Mudah diucapkan, atau Frasa sandi (kata).
2. Atur opsi. Untuk karakter, penggeser Panjang berkisar dari 8 sampai 64 dan dimulai dari 20. Centang Huruf besar (A-Z), Huruf kecil (a-z), Angka (0-9), dan Simbol (!@#$…) sesuai yang diizinkan situs tempat Anda mendaftar. Centang Kecualikan karakter yang membingungkan (I l 1 O 0 o) jika Anda akan membacakan kata sandi atau mengetiknya dari kertas. Untuk frasa sandi, atur Jumlah kata dari 3 sampai 10, sebuah Pemisah, dan jika perlu Tambahkan satu angka di akhir.
3. Pilih jumlahnya. Berapa kata sandi (1-20) memungkinkan Anda membuat sekelompok kata sandi lalu memilih salah satu.
4. Buat dan salin. Ketuk Buat, lalu Salin di samping kata sandi yang Anda inginkan. Buat ulang menghasilkan satu set baru. Tempel hasilnya langsung ke pengelola kata sandi.
5. Periksa kata sandi yang sudah ada. Beralih ke Periksa, lalu ketik atau tempel kata sandi. Anda akan mendapat skor dari Sangat lemah sampai Kuat, estimasi di bawah Waktu untuk membobol (serangan offline), dan saran.

Karena pembuat ini yang membuat kata sandi, ia tidak perlu melihat kata sandi yang sudah Anda pakai.

Yang perlu diperhatikan

Keacakan berasal dari sumber aman milik browser, bukan Math.random. Alat ini memakai crypto.getRandomValues, pembangkit kriptografis milik browser, dan tidak pernah memakai Math.random, yang dibuat untuk game dan animasi serta tidak aman untuk rahasia. Ada satu kehalusan lagi: memetakan bilangan acak ke sebuah daftar dapat diam-diam menguntungkan sebagian entri. Jika Anda mengambil bilangan acak 32-bit dan menghitung sisa baginya dengan panjang daftar, beberapa entri pertama akan muncul sedikit lebih sering setiap kali panjang daftar tidak membagi habis. Alat ini menghindarinya dengan rejection sampling. Alat menghitung rentang terbesar yang habis dibagi, membuang setiap hasil undian di luar rentang itu, lalu mengundi lagi. Dengan begitu setiap karakter dan kata memiliki peluang yang sama.

Panjang bekerja lebih keras daripada kerumitan. Dengan huruf, angka, dan simbol dari alat ini, setiap karakter tambahan melipatgandakan jumlah kemungkinan. Kata sandi 20 karakter dari huruf besar, huruf kecil, dan angka memiliki sekitar 119 bit ketidakterdugaan, jauh di atas upaya menebak yang realistis. Menambahkan kelompok simbol sedikit membantu, tetapi panjang yang lebih besar membantu lebih banyak. Sebagian situs membatasi panjang atau menolak simbol, jadi centang hanya yang diterima situs.

Frasa sandi lebih mudah dijalani. Daftar katanya berisi sekitar 310 kata umum yang pendek, sehingga setiap kata menambah sekitar 8,3 bit. Dengan 4 kata (bawaan), totalnya sekitar 33 bit, yang tergolong sedang. Enam kata memberi sekitar 50 bit dan sepuluh kata sekitar 83 bit. Jika frasa sandi adalah sesuatu yang harus Anda ingat, misalnya kata sandi utama pengelola kata sandi, pilih enam kata atau lebih dan pertahankan pemisahnya. Angka-angka ini hanya menghitung pengundian acak, karena kata-katanya berasal dari sebuah daftar dan penyerang diasumsikan mengetahui daftar itu.

Mudah diucapkan adalah sebuah kompromi. Jenis ini lebih mudah diucapkan dan diketik, tetapi membawa ketidakterdugaan per karakter yang lebih sedikit daripada karakter yang sepenuhnya acak. Buat lebih panjang sebagai penyeimbang.

Meteran kekuatan adalah estimasi. Skor dan waktu pembobolan berasal dari penaksir berbasis pencocokan pola. Penaksir ini mencari kata kamus, pengulangan, dan deretan keyboard, dan mengasumsikan serangan offline terhadap kata sandi yang di-hash secara lambat. Ia tidak dapat mengetahui bagaimana sebuah situs menyimpan kata sandi, apakah kata sandi itu bocor di tempat lain, atau apakah infeksi malware sedang mengawasi Anda mengetik. Anggap “Kuat” sebagai tanda yang membantu, bukan janji bahwa tidak ada yang bisa menembus kata sandi tersebut.

Tidak pernah disimpan atau dikirim. Apa pun yang Anda ketik atau buat tidak disimpan, dicatat, ataupun dikirim, dan alat ini tidak memiliki riwayat. Jika Anda memakai tautan bersama, tautan itu hanya membawa pengaturan Anda, tidak pernah kata sandi. Saat Anda menutup tab, kata sandinya hilang, jadi salin yang akan Anda pakai ke pengelola kata sandi sebelum pergi.

FAQ

Berapa panjang kata sandi saya sebaiknya?

Untuk apa pun yang melindungi uang, email, atau pengelola kata sandi, usahakan setidaknya 16 karakter acak, atau enam kata frasa sandi atau lebih. Alat ini dimulai dari 20 karakter dan mengizinkan hingga 64. Pakai panjang terbesar yang diterima situs untuk akun yang penting, dan gunakan kata sandi yang unik untuk setiap akun.

Apakah frasa sandi lebih baik daripada karakter acak?

Per karakter, karakter acak lebih padat, tetapi frasa sandi jauh lebih mudah diketik dan diingat. Untuk kata sandi yang harus Anda hafal, pakai frasa sandi yang lebih panjang. Untuk kata sandi yang akan disimpan pengelola kata sandi, pakai karakter acak dan biarkan pengelola yang mengingatnya.

Bisakah saya memercayai angka “waktu untuk membobol”?

Pakai angka itu untuk membandingkan dua kata sandi, bukan sebagai ramalan. Angka itu mengasumsikan satu jenis serangan tertentu dan satu laju tebakan. Penyerang nyata, dan metode penyimpanan nyata, bervariasi, jadi kata sandi yang panjang dan acak adalah bagian yang dapat diandalkan, sedangkan angkanya hanya panduan kasar.