Sebagian besar saran kata sandi yang beredar masih terjebak di era lama: delapan karakter, wajib ada angka, simbol, dan huruf besar. Hasilnya mudah ditebak — jutaan orang berakhir dengan pola yang sama, semacam Nama123! atau P@ssw0rd, yang justru pertama kali dicoba oleh perangkat lunak peretas. Pendekatan yang lebih masuk akal adalah passphrase: rangkaian beberapa kata acak yang panjang, mudah diingat manusia, tapi brutal untuk ditebak mesin.
Kuncinya ada pada kata "acak". Passphrase yang kuat tidak lahir dari kepala Anda, melainkan dari generator yang benar-benar acak. Anda bisa langsung mencobanya di generator passphrase gratis dari 1mail.lt — berjalan 100% di browser memakai crypto.getRandomValues, menyediakan mode passphrase lengkap dengan pengukur entropi, dan tidak mengirim satu pun data ke server.
Artikel ini menjelaskan cara membuat passphrase yang kuat: kenapa panjang mengalahkan kerumitan, cara kerja metode diceware, dan kesalahan yang membuat passphrase tampak kuat padahal rapuh.
Kenapa Panjang Mengalahkan Kerumitan
Kekuatan kata sandi diukur dengan entropi — sederhananya, berapa banyak kemungkinan yang harus dicoba penyerang sampai menemukan milik Anda. Password delapan karakter yang "rumit" menyimpan kemungkinan jauh lebih sedikit daripada kalimat tiga puluh karakter yang "sederhana". Di sinilah passphrase menang telak: setiap satu kata acak tambahan melipatgandakan jumlah tebakan yang dibutuhkan ribuan kali lipat.
Bayangkan daftar 7.776 kata — ukuran daftar diceware standar. Passphrase satu kata berarti 7.776 kemungkinan, sepele untuk komputer mana pun. Dua kata: sekitar 60 juta. Empat kata: lebih dari 3,6 kuadriliun kombinasi. Setiap kata kelima, keenam, dan seterusnya mengalikan angka itu 7.776 kali lagi. Perangkat keras tercepat pun butuh waktu yang tidak masuk akal untuk menjelajahi ruang sebesar itu — selama kata-katanya dipilih benar-benar acak.
Metode Diceware: Kata Acak yang Tetap Bisa Diingat
Diceware adalah metode klasik yang tetap relevan: gunakan sumber keacakan — dadu fisik atau generator kriptografis — untuk memilih kata dari daftar panjang. Aturannya sederhana:
- Gunakan minimal 4-5 kata untuk akun biasa; enam kata atau lebih untuk kunci utama password manager atau enkripsi disk.
- Biarkan generator yang memilih kata, bukan Anda. Otak manusia payah dalam keacakan dan selalu condong ke kata yang familier.
- Pisahkan kata dengan tanda hubung atau spasi supaya nyaman diketik.
Hasilnya tampak seperti ini: tembaga-lentera-tigapuluh-kaktus. Empat kata tanpa hubungan logis, gampang dihafal dengan membayangkan adegan absurd — lentera tembaga menyala di atas tiga puluh kaktus — tapi mustahil ditembus serangan kamus. Satu catatan: contoh yang sudah dipublikasikan jangan pernah dipakai. Buat milik Anda sendiri lewat mode passphrase di generator ini dan perhatikan pengukur entropinya melonjak setiap kali kata baru ditambahkan.
Apa yang Membuat Passphrase Lemah
Panjang saja tidak cukup kalau sumbernya bisa ditebak. Tiga jebakan paling umum:
- Kutipan terkenal dan lirik lagu. "JanganMenyerahSampaiAkhir" terlihat panjang, tapi penyerang punya basis data berisi miliaran frasa populer, judul film, dan penggalan lirik. Frasa yang pernah dicetak di mana pun harus dianggap sudah masuk kamus peretas.
- Substitusi ala P@ssw0rd. Mengganti a dengan @ dan o dengan 0 adalah trik yang sudah diantisipasi setiap alat peretas selama puluhan tahun. Kerumitannya cuma ilusi.
- Informasi pribadi. Nama anak, tanggal lahir, klub bola kesayangan — semuanya bisa digali dari media sosial Anda dalam lima menit.
Prinsipnya keras tapi jujur: kalau sebuah passphrase bisa keluar dari kepala Anda, ia juga bisa keluar dari perhitungan penyerang. Keacakan sejati hanya datang dari generator.
Satu Passphrase Unik untuk Setiap Akun
Passphrase sekuat apa pun runtuh kalau dipakai di sepuluh tempat. Begitu satu situs bocor, penyerang otomatis mencoba kombinasi email dan kata sandi yang sama di semua layanan populer — praktik yang disebut credential stuffing. Solusinya bukan menghafal lima puluh passphrase, melainkan password manager: biarkan ia membuat dan menyimpan kata sandi acak untuk tiap akun, sementara Anda cukup menghafal satu passphrase utama sepanjang enam kata sebagai kuncinya.
Untuk pendaftaran sekali pakai yang tidak penting — uji coba aplikasi atau unduhan yang meminta alamat email — Anda bahkan tidak perlu membebani password manager: pakai saja email sementara, lalu lupakan akunnya begitu urusan selesai.
Padukan dengan Autentikasi Dua Faktor
Passphrase kuat melindungi Anda dari tebakan, tapi tidak dari phishing atau kebocoran server. Karena itu lapisan kedua wajib ada: autentikasi dua faktor. Pilihan paling praktis adalah kode TOTP dari aplikasi autentikator — enam digit yang berganti setiap 30 detik, sehingga kata sandi curian saja tidak pernah cukup untuk masuk. Cara kerjanya kami bahas tuntas di panduan apa itu kode TOTP. Kombinasi passphrase acak, password manager, dan TOTP menempatkan Anda jauh di atas mayoritas target empuk di internet.
Pertanyaan Umum
Berapa jumlah kata ideal untuk sebuah passphrase?
Empat kata acak adalah batas bawah yang wajar untuk akun biasa. Lima kata memberi cadangan keamanan yang nyaman, dan enam kata pantas untuk kunci utama password manager atau enkripsi perangkat.
Bolehkah saya mengarang passphrase sendiri tanpa generator?
Sebaiknya jangan. Otak manusia condong ke kata yang familier dan berpola, sehingga entropi nyatanya jauh di bawah hitungan teoretis. Gunakan generator acak, lalu hafalkan hasilnya dengan membayangkan adegan konyol dari kata-katanya.
Apakah passphrase perlu diganti secara berkala?
Tidak, selama unik per akun dan tidak ada indikasi kebocoran. Ganti segera hanya jika layanan terkait mengumumkan insiden atau Anda melihat aktivitas mencurigakan. Rotasi terjadwal justru mendorong pola yang gampang ditebak.
