Cek Kekuatan Kata Sandi

Cara memeriksa kata sandi

1. Ketik atau tempel kata sandi di Kata sandi yang diuji. Kolom menyembunyikan apa yang Anda ketik; tekan Tampilkan untuk melihatnya, dan Sembunyikan untuk menyamarkannya lagi.
2. Hasil muncul saat Anda mengetik. Bilah Kekuatan bergerak dari 0 (Sangat lemah) sampai 4 (Sangat kuat).
3. Baca tabel Perkiraan waktu untuk membobol: tabel ini memberi satu durasi untuk masing-masing dari empat skenario serangan, mulai dari situs web yang membatasi percobaan masuk sampai basis data curian yang diserang dengan kartu grafis.
4. Periksa Kelemahan dan tips. Bagian ini menyebutkan masalah yang ditemukan pemeriksa (kata sandi umum, pola keyboard, tanggal, urutan berulang…) dan menyarankan cara memperbaikinya. Pesan umpan baliknya tampil dalam bahasa Inggris.

Kata sandi hanya dianalisis di halaman ini. Kata sandi tidak pernah dikirim, disimpan, atau dicatat, dan kolomnya dikosongkan ketika Anda meninggalkan halaman. Meski begitu, kebiasaan yang paling aman adalah menguji kata sandi yang mirip dengan milik Anda, bukan kata sandi aslinya.

Cara skor dihitung

Alat ini memakai zxcvbn, penaksir kata sandi open source yang awalnya dibuat di Dropbox (di sini dalam versi TypeScript yang terus dipelihara, zxcvbn-ts). Alih-alih menghitung huruf kapital dan simbol, alat ini berpikir seperti pembobol kata sandi. Ia memecah kata sandi menjadi potongan-potongan dan mencari pola yang pertama dicoba penyerang:

• kata sandi bocor yang paling umum, nama depan, nama belakang, dan kata-kata bahasa Inggris serta Prancis yang sering dipakai, termasuk kata yang dibalik dan penggantian “l33t” seperti p@ssw0rd;
• pola ketikan di keyboard seperti qwerty, azerty, atau 1qaz2wsx;
• karakter berulang (aaaa), blok berulang (abcabc), dan urutan (abcd, 9876);
• tanggal dan tahun-tahun terkini.

Kamus bawaannya mencakup bahasa Inggris dan Prancis, sehingga kata umum bahasa Indonesia, nama Indonesia, atau pola seperti “sayangkamu” belum dikenali sebagai kata kamus dan dapat tampak lebih kuat daripada yang sebenarnya. Anggap skor kata sandi berbasis kata Indonesia sebagai batas atas.

Alat ini lalu memperkirakan berapa banyak tebakan yang dibutuhkan penyerang untuk menemukan seluruh kata sandi, yang ditampilkan sebagai Perkiraan jumlah tebakan. Skor mengikuti angka itu: di bawah seribu tebakan menghasilkan 0, di bawah satu juta menghasilkan 1, di bawah 100 juta menghasilkan 2, di bawah 10 miliar menghasilkan 3, dan apa pun di atasnya mendapat skor 4.

Empat skenario serangan

Waktu pembobolan membagi perkiraan jumlah tebakan dengan kecepatan masing-masing serangan:

Serangan online berarti seseorang mengetik tebakan ke formulir masuk. Serangan offline terjadi setelah kebocoran data, ketika penyerang memiliki salinan hash kata sandi yang tersimpan dan dapat menguji tebakan di perangkat kerasnya sendiri. Baris terakhir adalah kasus terburuk, dan itulah yang perlu diperhatikan untuk kata sandi yang melindungi email, perbankan, atau pengelola kata sandi. Waktunya adalah rata-rata: penyerang bisa saja beruntung lebih cepat.

Perkiraan entropi

Perkiraan entropi adalah angka brute-force klasik: panjang × log2(ukuran kumpulan karakter), dengan kumpulan karakter berupa jumlah jenis karakter yang dipakai (26 huruf kecil, 26 huruf kapital, 10 angka, 33 simbol, dan 100 untuk karakter lain seperti aksen atau emoji). Qwerty123! mendapat sekitar 66 bit menurut rumus ini, tetapi zxcvbn memberinya skor 0 (Sangat lemah) karena itu adalah satu baris keyboard yang diikuti akhiran umum. Entropi hanya bermakna untuk kata sandi yang dipilih secara acak, misalnya oleh pembuat kata sandi; untuk kata sandi buatan manusia, percayai skor dan waktu pembobolan.