Tips Membuat Password Aman: Panduan Lengkap Keamanan Sandi dan Analisis Password Paling Mudah Dibobol

Tips membuat password aman menjadi pengetahuan dasar yang wajib dimiliki oleh setiap pengguna internet di era digital ini. Meskipun sistem keamanan seperti pemindai sidik jari (fingerprint scanner) dan pemindai wajah berbasis 3D semakin populer, password atau kata sandi masih menjadi metode autentikasi yang paling banyak digunakan di berbagai platform dan perangkat. Sayangnya, banyak pengguna lebih memilih password yang mudah diingat daripada password yang benar-benar kuat dan unik — padahal kebiasaan inilah yang paling sering dimanfaatkan oleh para pelaku peretasan. Artikel ini membahas secara mendalam tentang keamanan password: mulai dari konsep entropy, jenis-jenis serangan, algoritma hashing, autentikasi multi-faktor, hingga panduan langkah demi langkah membuat passphrase yang kuat. Seluruh rekomendasi bersumber dari standar internasional seperti OWASP (Open Web Application Security Project) dan NIST SP 800-63-4 Digital Identity Guidelines.

Mengapa Password yang Kuat Sangat Penting?

Menurut laporan tahunan NordPass tahun 2024 yang dianalisis dari 2,5 terabyte data dari sumber publik termasuk kebocoran data dan repositori dark web, hampir seluruh 200 password paling umum di dunia bisa diretas dalam waktu kurang dari satu detik. Data ini menunjukkan betapa rentannya pengguna internet akibat kebiasaan membuat password yang lemah.

Lebih mengkhawatirkan lagi, laporan yang sama menemukan bahwa sekitar 40% password yang digunakan di akun pribadi identik dengan password yang digunakan di akun profesional. Artinya, jika satu akun diretas, akun lainnya juga berisiko besar terkena dampaknya — sebuah fenomena yang dikenal sebagai credential stuffing.

Konsep Entropy dan Mengapa Panjang Password Lebih Penting dari Kompleksitas

Dalam keamanan informasi, entropy mengukur tingkat ketidakpastian atau keacakan dari sebuah password. Semakin tinggi entropy suatu password, semakin sulit password tersebut diretas.

Rumus sederhana entropy password:

Entropy = log₂(Nⁿ)

Di mana N adalah ukuran alfabet (jumlah karakter yang mungkin digunakan) dan L adalah panjang password. Misalnya, password yang hanya menggunakan huruf kecil (N=26) dengan panjang 8 karakter memiliki entropy sekitar 37,6 bit — yang relatif rendah. Sementara itu, passphrase 4 kata dengan masing-masing 6 huruf dari alfabet 26 karakter memiliki entropy sekitar 93 bit, jauh lebih kuat.

Inilah sebabnya NIST SP 800-63-4 Digital Identity Guidelines yang diperbarui tahun 2025 merekomendasikan panjang minimum 15 karakter untuk password yang dipilih pengguna, dan mendukung password hingga 64 karakter. NIST secara eksplisit menyarankan untuk tidak mewajibkan aturan kompleksitas (huruf besar + kecil + angka + simbol), karena aturan ini justru sering membuat pengguna memilih password yang lebih pendek dan mudah ditebak.

Jenis-Jenis Serangan terhadap Password

Memahami bagaimana peretas menyerang password akan membantu Anda membuat pertahanan yang lebih baik. Berikut jenis-jenis serangan yang paling umum:

1. Brute-Force Attack (Serangan Paksa)

Brute-force adalah metode serangan di mana pelaku mencoba semua kombinasi karakter yang mungkin secara sistematis, dari kombinasi terpendek hingga terpanjang. Dengan hardware modern yang dilengkapi GPU (Graphics Processing Unit), serangan brute-force bisa mencoba miliaran kombinasi per detik.

Misalnya, password 8 karakter yang hanya menggunakan huruf kecil (26^8 = 208 miliar kombinasi) bisa dipecahkan dalam hitungan jam oleh rig GPU yang canggih. Namun, password 16 karakter dengan campuran 95 karakter printable ASCII memiliki 18.446.744.073.709.551.616 kombinasi — membutuhkan waktu miliaran tahun untuk dipecahkan.

2. Dictionary Attack (Serangan Kamus)

Alih-alih mencoba semua kombinasi, dictionary attack menggunakan daftar kata-kata umum, frasa populer, dan password yang pernah bocor sebelumnya. Pelaku serangan ini memanfaatkan kecenderungan manusia yang sering menggunakan kata-kata yang mudah diingat sebagai password.

Kata-kata seperti “password”, “letmein”, “qwerty”, “dragon”, atau “starwars” semuanya masuk dalam daftar dictionary yang digunakan oleh peretas. Bahkan variasi seperti “P@ssw0rd1” atau “s3cur1ty” sudah termasuk dalam daftar yang diperbarui secara berkala oleh para pelaku serangan.

3. Credential Stuffing (Penyalinan Kredensial)

Credential stuffing memanfaatkan kebiasaan pengguna yang menggunakan password yang sama di banyak akun. Ketika suatu situs mengalami kebocoran data (data breach), password dan email dari pengguna situs tersebut dijual di dark web. Pelaku serangan kemudian menguji kredensial yang bocor tersebut di ratusan situs lain — mulai dari email, media sosial, hingga layanan perbankan.

Menurut laporan OWASP, credential stuffing merupakan salah satu ancaman keamanan web paling berbahaya saat ini karena volume dan efektivitasnya yang tinggi.

4. Rainbow Table Attack (Tabel Pelangi)

Rainbow table adalah database berisi tabel pre-computed dari hash password yang sudah dihitung sebelumnya. Jika sebuah website menyimpan password dalam bentuk hash tanpa salt (nilai acak yang ditambahkan), pelaku bisa langsung mencocokkan hash yang didapat dari kebocoran dengan tabel rainbow untuk menemukan password aslinya.

Inilah sebabnya penggunaan salt yang unik untuk setiap password merupakan praktik keamanan wajib — salt memastikan bahwa dua password yang sama akan menghasilkan hash yang berbeda.

Algoritma Hashing untuk Penyimpanan Password

Website dan aplikasi yang baik tidak menyimpan password dalam bentuk teks biasa. Sebaliknya, password diubah (dihash) menggunakan algoritma kriptografi sebelum disimpan di database. Berikut algoritma hashing yang direkomendasikan oleh OWASP Password Storage Cheat Sheet:

Argon2id — Standar Modern yang Direkomendasikan

Argon2id adalah pemenang Password Hashing Competition tahun 2015 dan menjadi rekomendasi utama OWASP untuk implementasi baru. Keunggulan utamanya adalah sifat memory-hard — algoritma ini membutuhkan sejumlah besar memori RAM untuk dieksekusi, sehingga sangat tahan terhadap serangan menggunakan GPU dan ASIC (Application-Specific Integrated Circuit).

Konfigurasi minimum yang direkomendasikan oleh OWASP:

• Memori: minimal 19 MiB
• Iterasi: minimal 2
• Paralelisme: 1

bcrypt — Pilihan yang Masih Aman untuk Sistem Legacy

bcrypt diperkenalkan pada tahun 1999 dan masih banyak digunakan hingga saat ini. Meskipun lebih tua dari Argon2, bcrypt tetap aman jika dikonfigurasi dengan benar. Kelemahan utamanya dibanding Argon2 adalah bersifat CPU-bound (tidak memory-hard), sehingga lebih rentan terhadap akselerasi oleh GPU.

Konfigurasi minimum yang direkomendasikan:

• Work factor: minimal 10 (dianjurkan 12 atau lebih tinggi pada hardware modern)
• Batas penting: bcrypt memiliki batas 72 byte; karakter setelah batas tersebut akan diabaikan

PBKDF2 — Untuk Lingkungan yang Membutuhkan FIPS Compliance

PBKDF2 (Password-Based Key Derivation Function 2) direkomendasikan oleh OWASP untuk lingkungan yang membutuhkan kepatuhan FIPS-140. PBKDF2 menggunakan fungsi hash internal HMAC-SHA-256 atau HMAC-SHA-512 dengan jumlah iterasi yang tinggi.

• PBKDF2-SHA-256: minimal 600.000 iterasi
• PBKDF2-SHA-512: minimal 210.000 iterasi

Perbandingan Ketiga Algoritma

Multi-Factor Authentication (MFA/2FA)

Password yang kuat saja tidak cukup. Multi-Factor Authentication (MFA) atau yang juga dikenal sebagai Two-Factor Authentication (2FA) menambahkan lapisan keamanan ekstra dengan meminta bukti identitas dari minimal dua kategori berikut:

1. Yang Anda ketahui — password atau PIN
2. Yang Anda miliki — token hardware (YubiKey), aplikasi authenticator (Google Authenticator, Authy), atau SMS code
3. Yang Anda adalah — biometrik seperti sidik jari atau pengenalan wajah

MFA secara efektif melindungi akun Anda bahkan jika password bocor. Pelaku serangan tidak hanya perlu password, tetapi juga akses ke perangkat fisik Anda. Platform seperti Google, GitHub, dan layanan perbankan digital sudah mendukung MFA — aktifkan segera di setiap akun yang mendukung fitur ini.

NIST SP 800-63-4 juga merekomendasikan penggunaan phishing-resistant authenticators seperti FIDO2/WebAuthn dan passkeys, yang tidak hanya menambah keamanan tetapi juga lebih nyaman digunakan dibanding metode tradisional.

Password Manager vs Memori Manusia

Salah satu dilema terbesar dalam keamanan password adalah bagaimana mengingat puluhan password yang unik dan kompleks untuk berbagai layanan. Di sinilah password manager menjadi solusi yang sangat dianjurkan.

Mengapa Password Manager?

Penelitian kognitif menunjukkan bahwa otak manusia memiliki keterbatasan dalam mengingat informasi acak seperti password panjang. Ketika dipaksa mengingat banyak password, cenderung terjadi:

• Penggunaan password yang sama di beberapa akun (meningkatkan risiko credential stuffing)
• Modifikasi yang dapat ditebak — seperti menambahkan “123” di akhir atau mengganti “a” dengan “@”
• Penulisan password di tempat tidak aman — sticky note, file teks, atau chat

Password manager seperti 1Password, Bitwarden (gratis dan open-source), dan KeePassXC mengatasi semua masalah ini dengan menghasilkan dan menyimpan password acak yang sangat kuat untuk setiap akun. Anda hanya perlu mengingat satu master password yang kuat.

Perbandingan Pendekatan

Analisis Password Paling Mudah Dibobol

Berdasarkan laporan NordPass tahun 2024, berikut adalah 25 password paling buruk dan mudah diretas di dunia:

1. 123456
2. 123456789
3. 12345678
4. password
5. qwerty123
6. qwerty1
7. 111111
8. 12345
9. secret
10. 123123
11. football
12. qwerty
13. abc123
14. letmein
15. monkey
16. dragon
17. login
18. master
19. hello
20. freedom
21. passw0rd
22. iloveyou
23. starwars
24. trustno1
25. shadow

Semua password di atas bisa dipecahkan dalam waktu kurang dari satu detik oleh perangkat modern. Perhatikan pola umum di balik password-password ini:

• Urutan angka sederhana — “123456”, “12345678”
• Kata-kata umum — “password”, “secret”, “football”
• Pola keyboard — “qwerty”, “qwerty123”
• Kata-kata emosional — “iloveyou”, “freedom”, “hello”
• Variasi sederhana — “passw0rd” (mengganti “o” dengan “0”)

Jika Anda masih menggunakan salah satu dari password di atas atau variasi yang mirip, ganti sekarang juga — terutama untuk akun yang memiliki nilai finansial seperti akun bank, e-wallet, atau marketplace.

Panduan Langkah demi Langkah Membuat Passphrase yang Kuat

Alih-alih membuat password pendek yang kompleks, NIST SP 800-63-4 merekomendasikan pendekatan berbasis panjang — yaitu menggunakan passphrase. Berikut panduannya:

Langkah 1: Pilih 4–6 Kata Acak

Pilih kata-kata yang tidak berhubungan satu sama lain. Semakin tidak berhubungan, semakin tinggi entropinya. Contoh:

• “jeruk-meteor-pensil-garasi-7” — kata-kata yang tidak berhubungan, mudah divisualisasikan
• “kuda-sawo-ember-lampu-42” — kombinasi acak dengan angka

Hindari frasa yang merupakan kutipan terkenal, lirik lagu, atau kalimat yang bisa ditebak. Anda bisa menggunakan fitur random word generator atau daftar kata dari EFF Dice-Generated Passphrases untuk memastikan keacakan.

Langkah 2: Tambahkan Pemisah dan Variasi

Gunakan pemisah (separator) antar kata — bisa berupa tanda hubung (-), titik (.), atau underscore (_). Tambahkan satu atau dua angka acak untuk meningkatkan entropi. Contoh:

mangga-tornado-pensil-17

Passphrase ini sudah memiliki entropy sekitar 80+ bit — jauh lebih kuat daripada password 8 karakter “P@ssw0rd!” yang hanya sekitar 40 bit entropy.

Langkah 3: Buat Variasi Unik untuk Setiap Akun

Jangan gunakan passphrase yang sama untuk semua akun. Triknya: gunakan passphrase dasar yang sama, tetapi tambahkan kode unik untuk setiap layanan. Misalnya:

• Email: mangga-tornado-pensil-17-em
• Bank: mangga-tornado-pensil-17-bk
• Sosial media: mangga-tornado-pensil-17-sm

Meskipun metode ini bukan yang paling ideal (password manager tetap lebih baik), ini jauh lebih aman daripada menggunakan password yang identik di semua akun.

Langkah 4: Aktifkan Autentikasi Multi-Faktor (MFA)

Setelah membuat passphrase yang kuat, langkah selanjutnya adalah mengaktifkan MFA/2FA di setiap akun yang mendukungnya. Gunakan aplikasi authenticator seperti Google Authenticator atau Authy alih-alih SMS, karena SMS lebih rentan terhadap serangan SIM swapping.

Langkah 5: Gunakan Password Manager

Untuk pengelolaan jangka panjang, gunakan password manager yang sudah disebutkan sebelumnya. Generate password acak 20+ karakter untuk setiap akun. Anda tidak perlu mengingatnya — cukup ingat master password Anda dengan baik.

Rekomendasi Tambahan sesuai NIST SP 800-63-4

Beberapa rekomendasi penting lainnya dari standar NIST terbaru yang perlu Anda ketahui:

• Hindari rotasi paksa — NIST secara eksplisit menyarankan tidak melakukan pergantian password berkala (misalnya setiap 90 hari), karena kebijakan ini justru mendorong pengguna membuat password yang lebih lemah dan dapat ditebak. Ganti password hanya jika ada indikasi akun telah diretas.
• Bolehkan paste password — aplikasi seharusnya memperbolehkan pengguna menempelkan (paste) password di kolom password. Pelarangan paste mendorong pengguna memilih password yang lebih pendek dan mudah diketik.
• Screening terhadap password bocor — sistem harus membandingkan password yang dipilih pengguna dengan daftar password yang pernah bocor (blocklist) untuk mencegah pengguna memilih password yang sudah dikompromikan.
• Dukung panjang hingga 64 karakter — sistem harus mendukung password dengan panjang minimal 64 karakter untuk mengakomodasi passphrase yang panjang.

Kesimpulan

Keamanan password bukan lagi sekadar tentang “huruf besar, huruf kecil, angka, dan simbol”. Standar keamanan terkini — yang didukung oleh OWASP dan NIST SP 800-63-4 — menekankan panjang passphrase, penggunaan password manager, autentikasi multi-faktor, dan screening terhadap password yang pernah bocor.

Jangan menunggu sampai akun Anda diretas. Mulai terapkan praktik keamanan password hari ini — buat passphrase yang kuat, aktifkan MFA di semua akun penting, dan gunakan password manager untuk mengelolanya. Keamanan digital adalah tanggung jawab setiap pengguna internet.

Sumber Referensi:

• OWASP — Open Web Application Security Project
• OWASP Password Storage Cheat Sheet
• NIST SP 800-63-4 — Digital Identity Guidelines
• NordPass — Most Common Passwords Report 2024

Hal yang sering ditanyakan seputar Tips Membuat Password Aman