Cek Kekuatan Password

Alat yang tidak mengirim apa pun saat Anda mengetik dan memungkinkan Anda membuktikannya sendiri. Halaman ini memeriksa kekuatan kata sandi dan mencocokkannya dengan satu juta kata sandi yang paling sering bocor langsung di perangkat Anda. Pemeriksaan kebocoran lengkap menunggu hingga Anda berhenti mengetik dan hanya mengirim 5 karakter dari sidik jari digital kata sandi, satu kali. Anda bisa memantaunya di tab Jaringan pada browser, atau memutus koneksi internet dan melihat alat cek kekuatan password ini tetap bekerja.

Ketik atau tempel kata sandi Anda di atas. Jika kata sandi itu termasuk dalam satu juta kata sandi yang paling sering bocor, hasilnya langsung terlihat. Saat Anda berhenti mengetik, alat ini juga memeriksa semua kebocoran yang diketahui. Jika kata sandi Anda ditemukan, segera berhenti menggunakannya.

Ya, untuk memeriksa kata sandi. Fitur pemeriksaan kata sandinya dirancang agar tidak pernah menerima kata sandi Anda: browser Anda hanya mengirim 5 karakter pertama dari sidik jari digital kata sandi, lalu melakukan pencocokan akhir sendiri. Halaman ini juga meminta agar data tambahan yang tidak terkait disertakan dalam respons, sehingga ukuran respons pun tidak membocorkan informasi apa pun.

123456, yang ditemukan dalam kebocoran data lebih dari 210 juta kali, diikuti oleh 123456789, 12345678, password, dan qwerty (data dari Have I Been Pwned). Apa pun yang bisa terpikir dengan cepat sudah ada dalam daftar tersebut.

Contoh apa pun yang pernah dipublikasikan tidak lagi kuat, karena kini sudah masuk dalam daftar kata sandi. Bahkan correcthorsebatterystaple dari komik xkcd sudah muncul dalam kebocoran data ribuan kali. Kata sandi yang kuat dibuat secara acak khusus untuk Anda: gunakan generator kata sandi atau generator frasa sandi.

Ketik kata sandi di atas, dan alat cek kekuatan password ini akan menampilkan waktu rata-rata yang dibutuhkan 1.000 kartu grafis untuk menebaknya dari daftar kata sandi curian dengan kecepatan penuh. Skenario inilah yang perlu diantisipasi. Kata sandi acak sepanjang 8 karakter dibobol dalam hitungan detik; kata sandi acak sepanjang 16 karakter membutuhkan sekitar 3 miliar tahun.

Setiap alat cek kekuatan password harus menggunakan asumsi tentang kemampuan penyerang, dan kebanyakan tidak menjelaskan asumsi yang dipakai. Banyak yang mengasumsikan situs menyimpan kata sandi dengan metode yang sengaja diperlambat, sehingga hanya memungkinkan ribuan tebakan per detik. Ada yang memakai kecepatan kartu grafis dari beberapa tahun lalu, dan ada yang hanya menghitung panjang kata sandi tanpa mengenali pola seperti kata dan tanggal. Kami menggunakan skenario yang lebih berat dan menjelaskannya: daftar kata sandi curian yang ditebak dengan kecepatan penuh oleh 1.000 kartu grafis. Banyak situs yang dikelola dengan baik membutuhkan waktu pembobolan jauh lebih lama dari itu. Namun, Anda tidak bisa mengetahui metode yang digunakan suatu situs, jadi anggap waktu yang kami tampilkan sebagai skenario terburuk yang perlu diantisipasi.

Karena alat pembobol tidak menebak satu per satu huruf. Alat tersebut menebak kata utuh, nama, tempat, tanggal, dan kata sandi yang umum, lalu menggabungkannya dan menambahkan angka. LiverpoolFootball1892 memiliki 21 karakter, tetapi bagi alat pembobol, itu hanya dua kata umum dan satu tahun: sekitar seratus juta tebakan, yang bisa dicoba oleh satu kartu grafis dalam waktu kurang dari satu detik. Panjang kata sandi hanya membantu jika karakternya tidak bisa ditebak, seperti pada kata sandi acak atau frasa sandi yang terdiri dari kata-kata acak.

Pengelola kata sandi Anda bisa memeriksa semuanya sekaligus. Di iPhone atau Mac, buka aplikasi Kata Sandi dan lihat bagian Keamanan. Di Chrome, Pengelola Kata Sandi Google memiliki fitur Pemeriksaan Kata Sandi. NordPass, Bitwarden, 1Password, dan sebagian besar pengelola kata sandi lainnya memiliki laporan serupa.

Setidaknya 16 karakter acak atau tujuh kata acak. NIST, lembaga standar Amerika Serikat, mengarahkan situs web agar menerima kata sandi setidaknya 64 karakter dan mewajibkan minimal 15 karakter jika kata sandi adalah satu-satunya pelindung akun.