Matematika di Balik Kekuatan Kata Sandi

Kekuatan kata sandi adalah sebuah angka. Claude Shannon memformalisasikan konsep ini pada tahun 1948 sebagai entropi informasi, diukur dalam satuan bit. Setiap bit menggandakan jumlah kemungkinan kombinasi yang harus dicoba oleh penyerang. Kata sandi yang diambil secara acak dari 76 karakter (huruf besar, huruf kecil, angka, dan 14 simbol) mengandung sekitar 6,25 bit entropi per karakter. Kata sandi sepanjang 16 karakter oleh karena itu mengandung sekitar 100 bit entropi: 2¹⁰⁰ kemungkinan kombinasi, sebuah angka dengan 31 digit.

Konsekuensi praktisnya bersifat eksponensial. Kata sandi 20 karakter dari generator ini mengandung sekitar 125 bit entropi, yang berarti penyerang perlu mencoba sekitar 10³⁷ kombinasi untuk menjamin menemukannya. Dengan satu triliun tebakan per detik, waktu pencarian yang diperkirakan melebihi usia alam semesta saat ini dengan faktor miliaran. Panjang adalah variabel yang paling dominan. Menambahkan empat karakter memberikan lebih banyak keamanan dibandingkan beralih dari alfabet ke alfanumerik.

Panjang Menang Secara Eksponensial

Menambahkan satu karakter ke kata sandi acak melipatgandakan ruang pencarian sebanyak 76 kali. Menambahkan empat karakter melipatgandakannya sebanyak 76⁴, yaitu sekitar 33 juta. Penskalaan eksponensial inilah mengapa panjang jauh lebih penting daripada substitusi yang dianggap cerdas. Mengganti "a" dengan "@" dalam kata sandi buatan manusia menambahkan hampir nol entropi karena penyerang sudah menyertakan substitusi tersebut dalam kamus mereka. Menambahkan empat karakter yang benar-benar acak menambahkan 25 bit entropi. Dua puluh lima bit berarti penyerang membutuhkan waktu 33 juta kali lebih lama untuk menelusuri seluruh ruang.

NIST Special Publication 800-63B tahun 2024 merekomendasikan untuk memprioritaskan panjang kata sandi di atas aturan kompleksitas. Penelitian di balik pedoman ini menemukan bahwa persyaratan kompleksitas (satu huruf besar, satu angka, satu simbol) menghasilkan pola yang dapat diprediksi: Password1! memenuhi setiap aturan namun muncul di jutaan basis data kredensial yang bocor. String acak murni sepanjang 16 karakter tidak memenuhi pola manusia mana pun karena memang tidak memiliki pola untuk dipenuhi. Generator ini menjamin keempat kelas karakter untuk setiap kata sandi, kemudian mengacak posisinya dengan sumber acak kriptografis yang sama sehingga tidak ada posisi yang dapat diprediksi.

Sumber Kriptografis

Setiap karakter dalam kata sandi Anda berasal dari crypto.getRandomValues(), Web Cryptography API yang ditetapkan oleh W3C. Fungsi ini mengambil entropi dari sumber tingkat perangkat keras di perangkat Anda: derau termal, jitter waktu elektrik, dan proses fisik lainnya yang berakar pada ketidakpastian kuantum. Keluarannya lolos rangkaian uji statistik yang ketat termasuk NIST SP 800-22 dan TestU01.

Jaminannya lebih dalam dari sekadar algoritma. Ini adalah sumber entropi yang sama yang menghasilkan kunci sesi yang melindungi perbankan online Anda, kunci sementara di setiap koneksi HTTPS, dan vektor inisialisasi dalam pesan terenkripsi. Vendor browser mengaudit implementasi ini tanpa henti karena kelemahan di sini akan mengompromikan setiap koneksi aman di web. Kata sandi Anda mewarisi seluruh rantai jaminan tersebut.

Faktor Manusia

Peneliti di Carnegie Mellon menganalisis jutaan kata sandi dunia nyata dari basis data kebocoran dan menemukan pola yang mencolok. Kata sandi buatan manusia sangat terkonsentrasi di sekitar beberapa ribu struktur umum: nama diikuti tahun, kata kamus dengan substitusi yang dapat diprediksi, pola keyboard seperti qwerty123. Pola-pola ini mengurangi entropi efektif menjadi 20-40 bit terlepas dari panjang nominal, karena penyerang membangun kamus dari pola-pola ini.

Kata sandi yang dihasilkan mesin menghilangkan faktor manusia sepenuhnya. Setiap posisi karakter diambil secara independen dari seluruh kumpulan karakter dengan probabilitas seragam. Tidak ada pola untuk dieksploitasi, tidak ada kamus untuk dikonsultasikan, tidak ada kecenderungan psikologis untuk diprediksi. Satu-satunya serangan yang tersisa adalah pencarian menyeluruh di seluruh ruang kunci, dan matematika pertumbuhan eksponensial membuat pencarian tersebut tidak layak untuk panjang kata sandi yang wajar.

Aritmetika Brute-Force

Panel analisis kekuatan di atas menampilkan estimasi peretasan secara real-time pada tiga kecepatan serangan. Skenario serangan online (1.000 tebakan per detik) mewakili layanan web dengan pembatasan kecepatan. Skenario perangkat keras cepat (10 miliar per detik) mewakili kluster GPU yang dioptimalkan untuk meretas hash offline. Skenario tingkat negara (1 triliun per detik) mewakili batas teoretis maksimum dengan infrastruktur khusus. Pada 100 bit entropi, bahkan skenario tingkat negara memerlukan sekitar 4 × 10¹⁸ tahun. Matahari akan kehabisan bahan bakar hidrogennya dalam sekitar 5 miliar tahun. Kata sandi Anda lebih tahan lama dari tata surya.

Di Ruang Kelas

Entropi kata sandi menyediakan gerbang yang mudah diakses ke teori informasi. Minta siswa mengunjungi /password/8 dan catat entropinya, lalu kunjungi /password/16 dan amati bahwa entropi tepat berlipat ganda. Setiap karakter yang ditambahkan menyumbangkan jumlah bit yang tetap. Hubungan linear antara panjang dan entropi ini menghasilkan hubungan eksponensial antara panjang dan keamanan, sebuah konsep yang dapat diverifikasi siswa dengan membandingkan estimasi waktu peretasan pada panjang yang berbeda.

Untuk latihan yang lebih mendalam, bandingkan kata sandi dice83 dengan frasa sandi diceware. Frasa sandi enam kata mengandung sekitar 77 bit entropi. Kata sandi acak 12 karakter mengandung sekitar 75 bit. Keduanya mencapai keamanan yang serupa melalui mekanisme yang sama sekali berbeda: frasa sandi menggunakan kumpulan besar (7.776 kata) dengan sedikit pemilihan; kata sandi menggunakan kumpulan lebih kecil (76 karakter) dengan lebih banyak pemilihan. Pertimbangannya adalah kemudahan diingat versus kekuatan murni, dan memahami pertimbangan tersebut mengajarkan siswa bagaimana entropi benar-benar bekerja. Alat ini berjalan sepenuhnya di browser, tidak memerlukan akun, dan tidak menyimpan data siswa apa pun.

Privat Secara Arsitektur

Setiap kata sandi yang dihasilkan di halaman ini hanya ada di dalam browser Anda. Server mengirimkan HTML, CSS, dan JavaScript yang menyusun alat ini. Perangkat Anda yang menjalankan proses pembuatannya. Tidak ada saat di mana kata sandi, sebagian kata sandi, atau data terkait kata sandi berpindah melalui koneksi jaringan apa pun. Satu-satunya catatan permanen dari kata sandi adalah di mana pun Anda memilih untuk menempelkannya setelah menyalin.

Membagikan URL alat ini secara inheren aman. Mengirim tautan /password/20 kepada seseorang memberikan mereka generator yang sama dengan konfigurasi yang sama. Browser mereka membuat kata sandi yang sepenuhnya independen dari sumber entropinya sendiri. URL membawa spesifikasi alat. Perangkat Anda yang menyimpan rahasianya.