Kata sandi dan passkey

Sejak Juli 2025, standar AS NIST SP 800-63B-4 menyatakan bahwa kata sandi yang dipakai sendirian harus minimal 15 karakter, dan layanan tidak boleh memaksamu menggantinya secara berkala.

"Summer2024!" memenuhi semua syarat. Jadi mengapa lemah?

Banyak orang masih percaya bahwa kata sandi yang kuat butuh huruf kapital, angka, dan simbol, dan bahwa menggantinya setiap 90 hari membuatnya tetap aman. Formulir pendaftaran mengajarkan persis itu selama bertahun-tahun. Lihat apa hasil aturan-aturan itu. "Summer2024!" memenuhi semuanya. Sembilan puluh hari kemudian kata sandi itu menjadi "Autumn2024!", dan siapa pun yang pernah melihat yang pertama bisa menebak yang kedua. Aturan itu membuat kata sandi lebih sulit diingat tanpa membuatnya jauh lebih sulit ditebak.

Apa yang diminta standar AS 2025 sebagai gantinya

Pedoman AS saat ini, NIST Special Publication 800-63B-4, yang difinalkan pada Juli 2025, membalik kebiasaan itu. Kata sandi yang dipakai sendirian harus minimal 15 karakter. Jika hanya menjadi satu bagian dari login multifaktor, minimalnya 8. Layanan sebaiknya mengizinkan minimal 64 karakter serta menerima spasi dan semua karakter yang dapat dicetak, dan tidak boleh menerapkan aturan komposisi lain seperti "satu simbol". Layanan juga tidak boleh memaksa penggantian berkala. Penggantian hanya diwajibkan jika ada bukti bahwa kata sandinya bocor. NIST juga meminta layanan membandingkan setiap kata sandi baru dengan daftar blokir berisi kata sandi yang umum, mudah ditebak, atau sudah bocor, karena kata sandi yang pernah muncul dalam kebocoran data tidak lagi rahasia, sepanjang apa pun kata sandi itu.

Menghitung apa yang harus dilalui penebak

Mengapa panjang yang menang? Setiap karakter tambahan melipatgandakan jumlah kata sandi yang mungkin. Delapan huruf kecil memberi 26 pangkat 8, sekitar 209 miliar kombinasi. Komputer yang menguji file kata sandi curian bisa melaluinya dengan cepat. Empat kata yang dipilih acak dari daftar 7776 kata memberi sekitar 3.66 × 10¹⁵. Tabel menunjukkan betapa cepat jumlahnya bertambah, dan latihan kode di bawah memungkinkanmu menghitung dua di antaranya sendiri.

Mengapa satu kebocoran menyebar ke akun lain

CISA, badan keamanan siber AS, merangkum kata sandi yang kuat dalam tiga kata: panjang (minimal 16 karakter), acak, dan unik untuk setiap akun. Acak bisa berarti deretan karakter campuran atau frasa sandi dari empat sampai tujuh kata yang tidak berhubungan. Unik adalah yang paling penting. Ketika satu situs bocor, penjahat mencoba email dan kata sandi yang sama di situs lain, jadi kata sandi yang dipakai ulang mengubah satu kebocoran menjadi banyak. Tidak ada yang bisa mengingat puluhan kata sandi panjang yang acak. Itulah sebabnya CISA dan NIST sama-sama mendukung pengelola kata sandi, program yang membuat, menyimpan, dan mengisi kata sandi sehingga kamu hanya perlu mengingat satu. NIST menyatakan bahwa layanan harus mengizinkan pengelola kata sandi dan isi otomatis, dan sebaiknya mengizinkan tempel.

Passkey tidak menyisakan apa pun untuk diketik dan apa pun untuk dicuri

Passkey mengganti rahasia bersama dengan kriptografi kunci publik. MDN menggambarkannya sebagai pasangan kunci yang terikat pada akunmu di satu situs web. Kunci privat tetap berada di autentikator pada perangkatmu atau yang terpasang padanya, dan kamu membukanya dengan PIN perangkat, sidik jari, atau wajah. Kunci publik berada di server situs web. Untuk masuk, situs mengirim tantangan dan perangkatmu menandatanganinya. Tidak ada rahasia yang diketik. Tidak ada rahasia yang disimpan di server juga, jadi kebocoran server tidak membocorkan apa pun yang bisa dipakai ulang. Setiap passkey juga terikat pada domain situs itu, artinya halaman phishing yang mirip tidak bisa memakainya. NIST menggolongkan login kriptografis seperti ini tahan phishing dan kata sandi tidak, serta mengizinkan passkey yang disinkronkan antarperangkatmu.

Mulai dari mana? Beri akun email-mu frasa sandi yang panjang lebih dulu, karena akun email bisa mengatur ulang akun lainnya. Jika kamu memakai pengelola kata sandi, frasa sandi itu menjadi satu-satunya kata sandi yang kamu hafalkan. Lalu ganti setiap kata sandi yang kamu tahu pernah dipakai ulang, mulai dari akun bank dan belanja. Jika sebuah situs menawarkan pembuatan passkey, menerimanya biasanya peningkatan paling cepat. Kamu bisa tetap menyimpan kata sandi sebagai cadangan.