Bagaimana password dibuat
Setiap karakter dipilih secara independen dan merata dari kumpulan karakter yang Anda izinkan. Keacakannya berasal dari generator kriptografis browser, crypto.getRandomValues, yang mengambil entropi dari sumber milik sistem operasi.
Ada satu detail yang lebih penting daripada kelihatannya. Angka acak 32-bit yang dipotong dengan operasi sisa bagi akan sedikit condong ke karakter-karakter awal dalam kumpulan, karena 2³² bukan kelipatan pas dari ukuran kumpulan. Generator membuang beberapa nilai yang akan menimbulkan bias tersebut lalu mengambil ulang, sehingga setiap karakter benar-benar punya peluang yang sama.
Kumpulan karakternya adalah:
- Huruf kecil
a-z: 26 karakter. - Huruf besar
A-Z: 26 karakter. - Angka
0-9: 10 karakter. - Simbol: 27 karakter,
!@#$%^&*()-_=+[]{};:,.<>?/~.
Jika semua diaktifkan, kumpulannya berisi 89 karakter. Opsi "Tanpa karakter mirip (Il1O0)" menghapus I, l, 1, O, dan 0, sehingga tersisa 84.
Password hanya ada di halaman ini. Mengubah opsi apa pun langsung menghasilkan set baru, dan tidak ada yang disimpan atau dikirim.
Membaca angka entropi
Entropi adalah jumlah bit yang harus ditebak penyerang. Untuk password acak, nilainya adalah panjang dikalikan log₂ dari ukuran kumpulan karakter. Setiap bit tambahan menggandakan kerja penyerang.
Beberapa nilai nyata dari indikatornya:
- 4 angka, seperti PIN: 13 bit.
- 8 huruf kecil: 38 bit, dinilai Lemah.
- 12 karakter dari semua jenis: 78 bit, Kuat.
- 16 karakter dari semua jenis: 104 bit, Sangat kuat.
- 20 karakter dari semua jenis: 130 bit.
Labelnya berganti di 40, 64, dan 100 bit. Sebagai gambaran, bayangkan penyerang yang sudah mencuri database password dan bisa menguji 10 miliar tebakan per detik terhadap hash yang cepat. Password 40 bit rata-rata jebol dalam waktu kurang dari dua menit. Password 64 bit butuh puluhan tahun. Password 80 bit butuh lebih dari sejuta tahun.
Panjang lebih berharga daripada variasi. Menambahkan simbol ke password 16 karakter menaikkan kumpulan dari 62 menjadi 89 karakter dan hanya menambah sekitar 8 bit; menambah empat karakter lagi pada password yang sama memberi sekitar 26 bit.
Angka ini mengasumsikan password dibuat secara acak, dan memang begitu di sini. Angka ini tidak berlaku untuk password yang Anda karang sendiri, karena pola, nama, dan tanggal membuat entropi sesungguhnya jauh lebih rendah.
Ketika situs menolak password
Karakter dipilih secara independen, jadi password tidak dijamin berisi minimal satu dari setiap jenis yang diaktifkan. Dengan keempat jenis aktif, password 16 karakter tidak memuat angka sekitar 15% dari waktu; tidak adanya huruf besar atau simbol terjadi jauh di bawah 1% kasus. Kalau situs mewajibkan angka, cukup ambil password lain dari satu batch: atur "Jumlah" ke 5 atau 10, lalu pilih yang memenuhi aturan.
Penolakan umum lainnya:
- Terlalu panjang. Beberapa sistem perbankan dan sistem lama membatasi panjang 12, 16, atau 20 karakter. Geser slider agar sesuai.
- Simbol terlarang. Karakter seperti
<,>,;, atau/kadang diblokir. Buat beberapa password dan pilih yang tidak memuatnya, atau matikan simbol dan tambahkan 3 sampai 4 karakter panjang untuk menutup entropi yang hilang. - Diketik manual. Untuk kunci Wi-Fi atau kode yang dibacakan atau diketik lewat remote TV, aktifkan "Tanpa karakter mirip (Il1O0)" dan pertimbangkan untuk tidak memakai simbol.
Memakai password yang dibuat dengan benar
Password yang kuat hanya membantu jika masing-masing unik. Pemakaian ulang yang membuat satu situs yang bocor berubah menjadi akses ke email dan rekening bank Anda.
- Simpan password yang dibuat di password manager, bukan di file teks atau aplikasi catatan.
- Gunakan 20 karakter atau lebih untuk master password dan akun email, karena keduanya membuka semua akun lain.
- Teks yang disalin bisa tetap tersimpan di riwayat clipboard perangkat Anda; hapus jika orang lain memakai komputer yang sama.
- Untuk password yang perlu dibagikan, misalnya yang melindungi arsip buatan Buat file ZIP, kirimkan lewat saluran yang berbeda dari file itu sendiri.
Jika Anda perlu memberikan password Wi-Fi ke tamu, kode cetak dari Pembuat QR code membuat siapa pun tidak perlu mengetiknya.