Penguji Kekuatan Password (entropi + waktu crack)

Apa yang dimaksud 'entropi' untuk password

Entropi mengukur ketidakprediktan dalam bit. Password dengan 30 bit entropi membutuhkan ~2³⁰ ≈ 1 miliar tebakan rata-rata untuk di-crack. 70+ bit umumnya dianggap kuat; 80+ sangat baik.

Formula: entropi = panjang × log₂(ukuran_charset). 'abcdefgh' (8 karakter, hanya huruf kecil) = 8 × log₂(26) ≈ 37,6 bit. 'aA1!aaaa' (8 karakter, semua charset) = 8 × log₂(95) ≈ 52,6 bit — tetapi waktu crack jauh lebih buruk dari yang disarankan 52 bit karena 'aaaa' adalah pola umum.

Mengapa waktu crack sangat bervariasi

GPU offline: hash password yang bocor sedang diserang secara offline. GPU modern dapat menebak 10⁹+ hash MD5 per detik; hash bcrypt hanya 10⁴-10⁵/dtk. Estimasi ini menggunakan asumsi hash GPU-cepat.

Online cepat: penyerang yang menghantam API login secara langsung. Sebagian besar API memiliki batas suku bunga; 1000 percobaan/dtk adalah estimasi ujung atas untuk endpoint yang kurang terlindungi.

Online lambat: endpoint yang terlindungi dengan baik dengan batas suku bunga yang ketat, kunci akun, dan CAPTCHA. 100 percobaan/dtk adalah perkiraan yang murah hati; banyak sistem hanya mengizinkan 5-10/menit.

Estimasi ini mengabaikan faktor dunia nyata seperti serangan kamus (yang menemukan password umum jauh lebih cepat dari brute force) dan penggunaan ulang password (meng-crack kebocoran satu situs membantu meng-crack situs lain).

Apa yang membuat password kuat

Panjang mengalahkan kompleksitas: passphrase 16 karakter seperti 'kuda benar baterai staple' lebih kuat dari password tersiksa 8 karakter seperti 'P@ssw0rd!'. Wawasan ini masih berlaku: 4 kata acak memberikan ~44 bit entropi.

Hindari pola: tanggal, nama, '123', 'qwer', karakter berulang semuanya mengurangi entropi nyata di bawah nilai formula. Alat serangan mencakup transformasi 'berbasis aturan' yang ekstensif (misalnya 'password' → 'P@ssw0rd!').

Gunakan manajer password: manusia memilih pola; manajer tidak. Bitwarden, 1Password, KeePass menghasilkan password yang benar-benar acak per situs, dengan 16+ karakter di semua charset. Satu-satunya password yang perlu Anda ingat adalah password master — dan itu harus passphrase yang panjang dan dapat diingat.