Apakah aman untuk mengetikkan kata sandi asli saya?

Ya. Alat ini hanya berjalan di sisi klien. Kami tidak pernah mengirimkan kata sandi atau hasil audit Anda ke server mana pun. Namun, sebagai praktik umum yang baik, berhati-hatilah saat mengetikkan kata sandi aktif di alat apa pun.

Apa yang membuat kata sandi 'Kuat'?

Kata sandi yang kuat menghindari pola umum, memanfaatkan entropi tinggi (keacakan), dan mengandung setidaknya 12 karakter dari campuran huruf besar, huruf kecil, angka, dan simbol. Menghindari kata-kata kamus dan penggantian yang mudah ditebak (seperti 'a' → '@') juga meningkatkan kekuatan.

Bagaimana kekuatan kata sandi dihitung?

Alat ini menggunakan algoritma zxcvbn (dikembangkan oleh Dropbox), yang memperkirakan berapa banyak tebakan yang dibutuhkan penyerang untuk memecahkan kata sandi Anda. Ini memeriksa kata-kata umum, pola keyboard (seperti 'qwerty'), tanggal, karakter berulang, dan substitusi kamus — dan memberi skor hasilnya dari 0 (sangat lemah) hingga 4 (sangat kuat).

Apa arti estimasi waktu crack?

Waktu crack adalah estimasi berapa lama penyerang offline menggunakan perangkat keras modern (10 miliar tebakan per detik) untuk memecahkan kata sandi Anda dengan brute-force. Kata sandi yang dinilai 'Kuat' mungkin menampilkan berabad-abad — artinya tidak praktis untuk dipecahkan bahkan dengan GPU cepat. Apa pun di bawah beberapa jam sangat berbahaya.

Apakah menambahkan angka dan simbol selalu membuat kata sandi lebih kuat?

Tidak selalu. Substitusi yang dapat diprediksi seperti mengganti 'a' dengan '@' atau 'e' dengan '3' sudah diketahui oleh pemecah kode dan menambah sedikit kekuatan nyata. Algoritma zxcvbn secara khusus memberi penalti pada pola-pola ini. Kekuatan nyata berasal dari panjang dan keacakan sejati — kata sandi seperti 'kuda-baterai-benar-hektar' mengalahkan 'P@ssw0rd!' dengan margin yang lebar.

Apakah pemeriksa kekuatan bekerja offline dan apakah aman menguji kata sandi nyata?

Ya, Password Strength Checker berjalan sepenuhnya di browser Anda — kata sandi Anda tidak pernah dikirim ke server mana pun. Anda dapat memverifikasi ini dengan memutuskan koneksi internet dan menguji alat; alat akan tetap berfungsi. Analisis kekuatan menggunakan algoritma zxcvbn, yang memeriksa kata-kata kamus, pola umum, urutan keyboard, dan substitusi (seperti @ untuk a). Meskipun aman digunakan, untuk kata sandi paling sensitif Anda, masih merupakan praktik yang baik untuk menguji string yang serupa tetapi tidak identik.

Pemeriksa Kekuatan Kata Sandi — Skor & Waktu Crack

Tentang Pengecek Kekuatan Kata Sandi

Audit keamanan kata sandi Anda dengan pemeriksa kekuatan canggih kami. Alih-alih sekadar menghitung karakter, kami menganalisis entropi, pola umum, kata kamus, dan urutan keyboard.

Cara Penggunaan

Masukkan kata sandi atau passphrase Anda ke kolom audit.
Lihat skor kekuatan, estimasi waktu crack, dan penilaian kualitatif.
Baca masukan spesifik tentang apa yang membuat kata sandi Anda lemah atau kuat.
Sesuaikan kata sandi Anda berdasarkan saran yang diberikan.

Kasus Penggunaan Umum

Menguji kata sandi baru sebelum menetapkannya pada akun keuangan atau sosial yang sensitif.
Mendidik pengguna tentang pentingnya kata sandi yang kuat dalam konteks pelatihan keamanan.
Memverifikasi bahwa kata sandi yang dibuat pengguna memenuhi standar keamanan minimum.

Detail teknis

Didukung oleh library zxcvbn standar industri, yang menggunakan pencocokan pola dan estimasi entropi konservatif.

Pemrosesan lokal

Alat file, teks, dan grafik lokal kami memproses konten di perangkat Anda menggunakan JavaScript, API browser, dan WebAssembly bila diperlukan. Peristiwa kami tidak menyertakan nama atau isi file, teks masukan, nilai grafik, kesalahan mentah, email, atau referensi lisensi. Alat jaringan (DNS, WHOIS, IP, dan uji kecepatan) menghubungi layanan eksternal untuk fungsinya. Memuat situs, font, pustaka, dan model juga membuat permintaan jaringan. WebAssembly sendiri tidak mencegah akses jaringan.

Mengapa Persyaratan Kata Sandi Anda Tidak Berguna (Dan Cara zxcvbn Memperbaikinya)

Kita semua pernah mengalaminya. Anda sedang mendaftar untuk layanan baru, dan Anda disambut dengan daftar periksa: Harus mengandung 8 karakter, satu huruf besar, satu angka, dan satu karakter khusus. Anda dengan patuh mengubah "password" menjadi "P@ssword1!" dan tanda X merah kecil berubah menjadi centang hijau.

Sistem pun senang. Anda merasa "aman".

Tapi nyatanya tidak. Kata sandi itu adalah salah satu string yang paling sering dibobol dalam sejarah. Perangkat peretas berbasis GPU modern hanya membutuhkan waktu kurang dari satu detik untuk menebaknya.

Masalahnya adalah sebagian besar situs web menggunakan Regular Expressions (Regex) untuk memvalidasi kata sandi. Regex sangat bagus untuk memeriksa apakah sebuah string terlihat seperti kata sandi, tetapi secara historis sangat buruk dalam mengukur seberapa kuat kata sandi tersebut sebenarnya.

Di LokalTools, kami mengambil pendekatan yang berbeda. Saat membangun Password Strength Meter kami, kami membuang model "daftar periksa karakter" sepenuhnya. Sebaliknya, kami mengimplementasikan zxcvbn—sebuah estimator entropi algoritmik yang mumpuni—dan kami melakukannya sepenuhnya di dalam browser Anda untuk memastikan calon kata sandi Anda tidak pernah menyentuh server.

Jebakan Regex: Mengapa "Kompleks" Tidak Berarti "Kuat"

Sebagian besar pengembang menggunakan pencocokan pola sederhana (Regex) karena mudah dikodekan. Ia memeriksa keberadaan tipe karakter. Namun para peretas tidak menebak kata sandi karakter demi karakter; mereka menggunakan kamus, pola substitusi umum (leetspeak), dan kebocoran data yang diketahui.

Pertimbangkan dua kata sandi ini:

1.Tr0ub4dor&3 (11 karakter, sesuai dengan semua persyaratan standar)

2.correcthorsebatterystaple (25 karakter, semua huruf kecil, tanpa angka)

Validator Regex standar akan menandai yang pertama sebagai "Kuat" dan yang kedua sebagai "Lemah" (kurang simbol dan angka). Kenyataannya, yang pertama adalah contoh klasik dari "kompleksitas yang mudah ditebak", sedangkan yang kedua—yang terkenal dari komik XKCD—akan membutuhkan waktu berabad-abad untuk dipecahkan karena entropi-nya yang tinggi.

Apa Itu zxcvbn?

Dikembangkan oleh peneliti keamanan di Dropbox, zxcvbn (dinamai berdasarkan baris bawah pada keyboard QWERTY standar) adalah estimator kekuatan kata sandi yang terinspirasi oleh cara kerja para peritas yang sebenarnya.

Alih-alih mencari "huruf besar", ia menggunakan:

-Pencocokan Kamus: Ia memeriksa terhadap 30.000 kata umum bahasa Inggris, nama belakang, dan nama kota populer di AS.

-Pengenalan Pola: Ia mengidentifikasi urutan (abcde, 12345), pengulangan (aaa), dan pola keyboard (qwerty, asdfgh).

-Deteksi L33t Speak: Ia mengenali bahwa "P4ssw0rd" hanyalah "Password" dengan substitusi umum.

-Kalkulasi Entropi: Ia menghitung "bit entropi" berdasarkan berapa banyak tebakan yang diperlukan oleh serangan brute-force untuk menemukan kecocokan.

Dengan menggunakan pustaka ini, kami dapat memberikan estimasi "Waktu untuk Membobol" yang didasarkan pada kenyataan, bukan sekadar daftar aturan yang sewenang-wenang.

Dari Meja Pengembang: Trade-off Antara Latensi vs. Akurasi

Saat saya mengintegrasikan zxcvbn ke dalam suite LokalTools, saya menemui kendala segera: Bobot Kamus.

Agar efektif, zxcvbn membutuhkan kamus besar berisi kata-kata dan nama-nama umum tersebut. Dalam bentuk standarnya, pustaka ini berukuran beberapa megabyte. Meskipun itu tidak terdengar banyak di era video 4K, dalam dunia performa web, payload JavaScript sebesar 2MB adalah dosa besar. Ini memperlambat pemuatan halaman dan menghabiskan data seluler.

Masalahnya: Jika saya menggunakan versi "lite" dari pustaka tersebut untuk menghemat ukuran file, akurasi pengukur kekuatan menurun drastis. Ia akan berhenti mengenali nama belakang umum atau referensi budaya populer, membuat alat ini menjadi kurang "berwibawa".

Solusinya: Kami menerapkan strategi pemuatan dalam dua tahap.

1.Kami menyajikan versi pustaka zxcvbn-ts yang sangat terkompresi dan dikodekan dengan Brotli.

2.Kami menyerahkan "proses berpikir" yang sebenarnya ke Web Worker.

Sama seperti alat konversi video kami, estimasi kata sandi bisa memakan banyak CPU jika Anda mengetik dengan cepat. Dengan menempatkan logika di Web Worker, thread utama browser Anda tetap bebas untuk menangani UI. Saat Anda mengetik, worker mengirimkan kembali skor dan saran "waktu pembobolan" tanpa kolom input mengalami lag sama sekali.

Mengapa Pemeriksaan Lokal Adalah Satu-satunya Pilihan yang Masuk Akal

Anda mungkin bertanya: "Mengapa tidak mengirim kata sandi ke server yang kuat untuk memeriksanya?"

Dari sudut pandang keamanan, itu adalah bencana.

Jika Anda sedang menguji kata sandi baru berkeamanan tinggi untuk bank atau email utama Anda, Anda tidak boleh mengetikkannya di situs web yang mengirimkan data tersebut ke server. Meskipun situs tersebut mengklaim mereka "tidak menyimpannya", Anda tetap mengirimkan string sensitif tersebut melalui jaringan. Anda mempercayai konfigurasi SSL mereka, pengaturan log mereka, dan karyawan internal mereka.

Dengan menjalankan zxcvbn secara lokal melalui WebAssembly dan JavaScript, LokalTools memastikan kata sandi Anda tidak pernah meninggalkan RAM Anda.

-tanpa mengunggah file: Setelah alat dimuat, Anda dapat mematikan Wi-Fi Anda dan alat itu akan tetap berfungsi dengan sempurna.

-Privasi Berdasarkan Desain (Privacy by Design): Tidak ada database di pihak kami. Kami tidak menginginkan kata sandi Anda. Kami tidak bisa membocorkan apa yang tidak pernah kami miliki.

Pertimbangan: Apakah Lokal Selalu Lebih Baik?

Kami percaya pada transparansi. Pemeriksaan algoritmik lokal adalah standar emas untuk mengestimasi kekuatan, tetapi ia memiliki satu titik buta: Pemeriksaan Pelanggaran Data Real-time.

Ada layanan seperti "Have I Been Pwned" yang memeriksa apakah kata sandi Anda muncul dalam database aktual berisi miliaran kredensial yang bocor. Untuk melakukannya secara sempurna, Anda memerlukan database multi-terabyte—sesuatu yang tidak dapat dijalankan di browser.

Kapan Cloud Menang: Jika Anda ingin tahu apakah kata sandi spesifik Anda bocor dalam pelanggaran data LinkedIn tahun 2021, pencarian berbasis cloud (menggunakan k-Anonymity untuk privasi) adalah satu-satunya cara.

Kapan LokalTools Menang: Jika Anda sedang membuat kata sandi baru dan ingin memastikan kata sandi tersebut kuat secara matematis dan tahan terhadap serangan brute-force, implementasi zxcvbn lokal kami lebih cepat, lebih pribadi, dan jauh lebih berguna daripada daftar periksa "Harus Ada 1 Angka".

Tips untuk Kata Sandi yang Benar-benar Kuat

Berdasarkan umpan balik yang kami dapatkan dari mesin zxcvbn, berikut adalah cara Anda seharusnya membangun kredensial Anda:

-Panjang Lebih Penting Daripada Kompleksitas: Kalimat sepanjang 20 karakter hampir selalu lebih kuat daripada string acak sepanjang 8 karakter.

-Hindari "Empat Besar": Jangan gunakan nama Anda, hari ulang tahun Anda, nama hewan peliharaan Anda, atau kota Anda. Kamus zxcvbn akan menangkap ini secara instan.

-Gunakan Passphrase: Pilih empat kata acak yang tidak berhubungan. "stapler-jembatan-genangan-galaksi" mudah diingat oleh Anda dan mustahil untuk ditebak oleh komputer.

Coba Sendiri

Berhenti menebak-nebak apakah kata sandi Anda aman. Jangan percaya pada bar "Rendah/Sedang/Tinggi" sederhana yang hanya menghitung berapa kali Anda menekan tombol Shift.

Buka LokalTools Password Strength Checker. Ketik beberapa variasi passphrase favorit Anda dan lihat "Waktu untuk Membobol" secara langsung. Ini 100% pribadi, berjalan sepenuhnya di mesin Anda, dan memberikan jenis umpan balik yang benar-benar menjaga Anda tetap aman.

Pertanyaan yang Sering Diajukan

Apa itu password entropy? Password entropy adalah ukuran matematis tentang seberapa tidak terduganya sebuah kata sandi, dinyatakan dalam bit. Semakin tinggi entropi, semakin banyak tebakan yang dibutuhkan penyerang untuk membobolnya dengan brute force. Kata sandi dengan entropi 40 bit membutuhkan sekitar 1 triliun tebakan; 60 bit membutuhkan lebih dari 1 kuintiliun.

Apa itu zxcvbn? zxcvbn adalah estimator kekuatan kata sandi sumber terbuka yang dikembangkan oleh Dropbox. Ia mengevaluasi kata sandi dengan mensimulasikan teknik peretasan nyata: serangan kamus, pencocokan pola keyboard, deteksi substitusi l33t-speak, dan pengenalan urutan. Ia menghasilkan skor dari 0 hingga 4 beserta estimasi waktu pembobol yang realistis.

Mengapa "P@ssword1!" dianggap kata sandi yang lemah? "P@ssword1!" memenuhi sebagian besar persyaratan kata sandi berbasis Regex, tetapi zxcvbn mengenalinya sebagai variasi sepele dari kata "password" menggunakan substitusi umum. Kata sandi ini muncul di sebagian besar kamus peretasan dan dapat ditebak dalam waktu kurang dari satu detik oleh perangkat peretas berbasis GPU.

Apakah aman mengetikkan kata sandi asli saya ke dalam pemeriksa kekuatan? Hanya jika pemeriksa tersebut berjalan sepenuhnya secara lokal di browser Anda tanpa mengunggah file. Pemeriksa kata sandi LokalTools memproses semuanya di perangkat Anda menggunakan JavaScript dan WebAssembly. Setelah dimuat, alat ini berfungsi secara offline dan tidak ada yang dikirimkan. Sebagai aturan umum, jangan pernah mengetikkan kata sandi produksi nyata ke alat mana pun yang membuat permintaan server.

Apa perbedaan zxcvbn dengan pengukur kekuatan kata sandi standar? Pengukur standar memeriksa keberadaan tipe karakter (huruf besar, angka, simbol). zxcvbn mensimulasikan penyerang: ia memeriksa apakah kata sandi Anda cocok dengan kata-kata umum, nama, tanggal, pola, dan substitusi yang diketahui. Ia mengukur berapa banyak tebakan yang diperlukan oleh serangan, bukan berapa banyak aturan tipe karakter yang Anda penuhi.

Apa yang membuat passphrase lebih kuat daripada kata sandi yang kompleks? Panjang adalah faktor dominan dalam kekuatan kata sandi. Passphrase empat kata seperti "stapler-jembatan-genangan-galaksi" memiliki 25+ karakter dengan ketidakterdugaan yang tinggi. Kata sandi "kompleks" 8 karakter seperti "Tr0ub4d0r!" memiliki jauh lebih sedikit kemungkinan kombinasi dan sering mengikuti pola substitusi yang dapat diprediksi yang sudah diketahui peretas.

Bisakah zxcvbn mendeteksi apakah kata sandi saya ada dalam kebocoran data? Tidak. zxcvbn memperkirakan kekuatan matematis—ia tidak memeriksa database kebocoran. Untuk pemeriksaan kebocoran, layanan seperti Have I Been Pwned menggunakan k-Anonymity agar Anda dapat memeriksa tanpa mengekspos kata sandi lengkap Anda. Gunakan keduanya: zxcvbn untuk mengukur kekuatan, dan pemeriksaan kebocoran untuk memverifikasi bahwa kata sandi Anda belum terekspos.