Pembuat Kata Sandi
Buat kata sandi acak atau frasa sandi yang mudah diingat. Semuanya dibuat di browser Anda dengan pembangkit bilangan acak Web Crypto; kata sandi tidak pernah dikirim ke UltKit, tidak dicatat, dan tidak disimpan. Indikator menampilkan entropi sebenarnya dari pengaturan Anda dalam bit.
Kumpulan 94 simbol × 20 · Rata-rata waktu untuk menebak dengan 10 miliar tebakan per detik: 4,6 × 10²¹ tahun
Kata sandi dibuat di browser Anda dengan crypto.getRandomValues. Tidak ada yang dikirim ke UltKit atau disimpan di mana pun.
Entropi dan waktu untuk membobol
Serangan offline dengan 10¹⁰ (10 miliar) tebakan per detik. Waktu rata-rata adalah separuh dari seluruh ruang pencarian.
| Entropi | Karakter acak (kumpulan 94 simbol) | Kata dari daftar 7.776 kata | Rata-rata waktu untuk membobol |
|---|---|---|---|
| 28 | 5 | 3 | kurang dari 1 detik |
| 40 | 7 | 4 | 55 detik |
| 50 | 8 | 4 | 16 jam |
| 60 | 10 | 5 | 1,8 tahun |
| 72 | 11 | 6 | 7.482 tahun |
| 80 | 13 | 7 | 1,9 jt tahun |
| 100 | 16 | 8 | 2 T tahun |
| 128 | 20 | 10 | 5,4 × 10²⁰ tahun |
Panjang mengalahkan kerumitan: kata NIST SP 800-63B
National Institute of Standards and Technology (NIST) AS menulis ulang pedoman kata sandinya dalam SP 800-63B dan memperketatnya lagi pada revisi 4 yang terbit tahun 2024. Saran utamanya berlawanan dengan aturan perusahaan lama: layanan harus menerima kata sandi minimal 64 karakter, tidak boleh memaksa campuran huruf besar, angka, dan simbol, tidak boleh mewajibkan penggantian kata sandi secara berkala, dan sebaliknya harus memeriksa kata sandi baru terhadap daftar kata sandi yang bocor dan yang umum.
Alasannya aritmetika. Aturan komposisi mendorong orang ke pola yang mudah ditebak seperti "Merdeka2024!", yang justru dicoba penyerang lebih dulu. Sebaliknya, setiap karakter acak tambahan melipatgandakan kerja serangan brute-force sebesar ukuran kumpulan karakter. Naik dari 12 ke 16 karakter acak dari 94 simbol ASCII yang dapat dicetak menambah sekitar 26 bit, sehingga penebakan menjadi kira-kira 78 juta kali lebih sulit.
Cara menghitung angka entropi
Entropi mengukur berapa banyak kata sandi dengan peluang sama yang bisa dihasilkan pembuat kata sandi. Untuk kata sandi acak, nilainya panjang × log2(ukuran kumpulan). Dengan keempat set karakter, kumpulannya 94 simbol, bernilai sekitar 6,55 bit per karakter, sehingga 16 karakter memberi sekitar 105 bit. Mengecualikan karakter mirip memperkecil kumpulan menjadi 84 dan mengurangi sedikit di bawah seperlima bit per karakter. Tabel di atas memakai perhitungan yang sama dan mengasumsikan penyerang offline yang mencoba 10 miliar tebakan per detik, angka wajar untuk rangkaian GPU melawan hash cepat; hash lambat seperti bcrypt menurunkan laju itu hingga beberapa orde besaran.
Frasa sandi bekerja dengan cara yang sama, memakai kata alih-alih karakter. Daftar bawaan di sini berisi 367 kata pendek yang umum, jadi setiap kata menambah sekitar 8,5 bit dan enam kata memberi sekitar 51 bit: mudah diketik dan diingat, tetapi lebih lemah daripada kata sandi acak 16 karakter. Memilih "Angka acak" sebagai pemisah menambah sekitar 3,3 bit per celah. Untuk frasa sandi yang melindungi sesuatu yang penting, gunakan delapan kata, atau daftar Diceware 7.776 kata yang setiap katanya bernilai 12,9 bit.
Indikator memberi label lemah di bawah 40 bit, cukup untuk 40 hingga 59, kuat untuk 60 hingga 79, dan sangat kuat untuk 80 atau lebih. Yang dinilai adalah pengaturan pembuatnya, bukan string-nya, dan itulah satu-satunya cara jujur menilai kata sandi: "correct horse battery staple" mendapat skor tinggi di pemeriksa berbasis pola, tetapi merupakan frasa pertama yang dicoba penyerang mana pun.
Memakai kata sandi yang dibuat dengan aman
Gunakan kata sandi berbeda untuk setiap akun dan biarkan pengelola kata sandi mengingatnya; pemakaian ulang membuat satu situs yang bocor berujung pada banyak akun yang dibajak. Simpan kata sandi di pengelola sebelum Anda mengirim formulir pendaftaran, dan aktifkan autentikasi dua faktor di mana pun tersedia. Untuk mengunci dokumen, bukan akun, frasa sandi yang kuat cocok dipakai dengan Proteksi PDF, yang mengenkripsi file dengan kata sandi pilihan Anda.
Pertanyaan yang sering diajukan
- Apakah aman memakai pembuat kata sandi online?
- Aman selama kata sandi tidak pernah meninggalkan perangkat Anda. Pembuat ini berjalan sepenuhnya di browser Anda dengan crypto.getRandomValues, sumber acak yang aman secara kriptografis; tidak ada permintaan jaringan saat Anda membuat, menyalin, atau mengubah pengaturan, yang bisa Anda pastikan di panel jaringan browser.
- Berapa panjang kata sandi yang disarankan pada 2026?
- Untuk kata sandi acak yang disimpan di pengelola kata sandi, 16 karakter atau lebih dari keempat set karakter, yang memberi lebih dari 100 bit entropi. NIST mewajibkan layanan menerima minimal 64 karakter, jadi panjang jarang menjadi batasan.
- Mengapa saya bisa mengecualikan karakter mirip seperti 0, O, l, dan 1?
- Agar kata sandi yang harus dibacakan atau diketik dari kertas tidak salah ketik. Kumpulannya menyusut dari 94 menjadi 84 simbol, yang lebih dari tertutupi oleh beberapa karakter tambahan.
- Apakah frasa sandi lebih baik daripada kata sandi acak?
- Frasa sandi lebih mudah diingat dan diketik, sehingga cocok untuk kata sandi utama atau login perangkat. Per karakter, entropinya lebih kecil, jadi perlu lebih banyak kata: gunakan minimal enam kata dari daftar besar, atau delapan dari daftar pendek bawaan halaman ini.
- Apakah pembuat kata sandi mengingat kata sandi yang dibuatnya?
- Tidak. Kata sandi hanya ada di halaman sampai Anda membuat yang baru atau menutup tab. Tidak ada yang ditulis ke cookie, local storage, atau server.