RRI.CO.ID, Sumenep - Selama ini banyak orang percaya bahwa password yang rumit — campuran huruf besar, huruf kecil, angka, dan simbol — otomatis lebih aman. Namun benarkah demikian? Berdasarkan ulasan dari akun Instagram edukasi siber Onno Center International, yang merujuk pada NIST SP 800-63B-4 dan OWASP Authentication Cheat Sheet, ternyata ceritanya jauh lebih menarik daripada sekadar "makin rumit, makin aman".
Bagaimana Hacker Sebenarnya Menebak Password
Peretas tidak duduk lalu mengetik satu per satu kombinasi password secara manual. Mereka menggunakan software otomatis yang mencoba ribuan hingga jutaan kombinasi dalam hitungan detik, melalui beberapa metode utama. Pertama, brute force, yaitu mencoba seluruh kemungkinan kombinasi karakter secara sistematis. Kedua, dictionary attack, yaitu mencoba kata dan pola yang paling umum digunakan orang terlebih dahulu, seperti nama, tanggal lahir, atau kata populer. Ketiga, credential stuffing, yaitu mencoba password yang bocor dari kebocoran data di akun lain — mengandalkan kebiasaan orang memakai password yang sama di berbagai layanan.
Matematika di Balik Password 8 Karakter
Untuk memahami kenapa angka delapan karakter dipilih sebagai standar, kita bisa melihatnya dari sisi kombinatorika. Jika sebuah password hanya terdiri dari huruf kecil (26 huruf, a sampai z) sepanjang 8 karakter, maka jumlah kombinasi yang mungkin adalah 26 pangkat 8, atau sekitar 208,8 miliar kombinasi. Angka ini terdengar besar, tapi bagi komputer modern, itu bisa dihabiskan dalam waktu yang relatif singkat.
Begitu angka ditambahkan ke dalam kombinasi (26 huruf kecil + 10 angka = 36 pilihan karakter), jumlah kemungkinan melonjak menjadi 36 pangkat 8, yaitu sekitar 2,8 triliun kombinasi — lebih dari 13 kali lipat dibanding hanya huruf kecil saja. Jika ditambah lagi dengan huruf besar dan simbol, keyboard standar menyediakan sekitar 94 pilihan karakter (26 huruf kecil + 26 huruf besar + 10 angka + 32 simbol). Dengan 8 karakter yang benar-benar acak, jumlah kombinasinya menjadi 94 pangkat 8, atau sekitar 6,1 kuadriliun kemungkinan. Inilah alasan mengapa aturan lama mewajibkan kombinasi kapital, angka, dan simbol — secara matematis, jumlah kemungkinan yang harus dicoba peretas meningkat drastis.
Masalahnya: Manusia Tidak Acak
Di sinilah letak masalah utamanya. Perhitungan di atas hanya berlaku jika setiap karakter benar-benar dipilih secara acak. Kenyataannya, manusia cenderung membuat pola yang mudah ditebak, seperti "Password123!", "Indonesia2026", menambahkan tanggal lahir di belakang nama, mengganti huruf "a" dengan simbol "@", atau sekadar menaruh tanda seru di akhir kata. Pola-pola semacam ini justru dicoba lebih dulu oleh peretas lewat dictionary attack, sehingga kompleksitas password menjadi tidak banyak berguna jika strukturnya masih bisa ditebak.
Itulah sebabnya standar keamanan siber terbaru, yaitu NIST SP 800-63B-4, kini bergeser arah. Lembaga ini tidak lagi mewajibkan kombinasi karakter yang kaku, dan lebih menekankan pada panjang password sebagai faktor utama, dengan rekomendasi minimal 15 karakter untuk login yang hanya mengandalkan password saja, disertai pemeriksaan agar password tidak termasuk yang umum digunakan atau pernah bocor di insiden data sebelumnya.
Jadi, Password yang Aman Itu Seperti Apa?
Berdasarkan panduan tersebut, password yang aman bukan lagi sekadar soal memakai huruf kapital, angka, dan simbol. Kriteria yang lebih penting mencakup panjang minimal 15 karakter, sifatnya benar-benar acak atau berbentuk passphrase (frasa) yang panjang, digunakan berbeda untuk setiap akun, disimpan menggunakan password manager agar tidak perlu dihafal satu per satu, dan dilindungi tambahan lapisan keamanan berupa autentikasi multi-faktor (MFA) atau passkey.
Dengan kata lain, aturan lama "8 karakter plus kombinasi simbol" bukan sepenuhnya salah — ia tetap memberi peningkatan keamanan secara matematis. Namun standar keamanan siber kini bergerak ke arah yang lebih realistis terhadap perilaku manusia: panjang password dan keunikannya di setiap akun terbukti jadi pertahanan yang jauh lebih kuat daripada sekadar memaksa orang menghafal kombinasi rumit yang pada akhirnya justru sering dibuat dengan pola yang mudah ditebak.(RIA)
Rekomendasi Berita
Memuat berita terbaru.....