Materi
Kekuatan kata sandi acak diukur dengan entropi dalam satuan bit. Jumlah kemungkinan adalah ukuran alfabet dipangkatkan panjang kata sandi, dan entropinya adalah logaritma basis dua dari jumlah itu.
jumlah kemungkinan = ukuran_alfabet ^ panjang
entropi (bit) = log2(ukuran_alfabet ^ panjang)
= panjang x log2(ukuran_alfabet)
# contoh 1: PIN 4 angka (alfabet 10)
# 10 ^ 4 = 10.000 kemungkinan; 4 x log2(10) = 4 x 3,3219 = 13,29 bit
# contoh 2: 12 karakter acak dari 94 karakter yang bisa diketik
# 12 x log2(94) = 12 x 6,5546 = 78,66 bitMenambah satu karakter mengalikan jumlah kemungkinan dengan ukuran alfabet. Menambah jenis karakter hanya memperbesar log2-nya sedikit. Itulah sebabnya panjang memberi tambahan entropi jauh lebih besar daripada kerumitan.
CISA merangkum tiga syarat kata sandi kuat untuk pengguna: panjang, paling sedikit 16 karakter; acak; dan unik, berbeda untuk setiap akun. Acak bisa berupa deretan huruf besar-kecil, angka, dan simbol, atau frasa sandi dari 4 sampai 7 kata yang tidak saling berhubungan. Kata sandi seperti 12345, tanggal lahir, atau nama hewan peliharaan tidak aman karena mudah ditebak.
Yang ditetapkan NIST SP 800-63B-4 bagi penyedia layanan
- Kata sandi yang dipakai sebagai faktor tunggal harus paling sedikit 15 karakter.
- Kata sandi yang dipakai sebagai bagian autentikasi berfaktor banyak harus paling sedikit 8 karakter.
- Penyedia layanan harus mengizinkan panjang paling sedikit 64 karakter, agar frasa sandi bisa dipakai.
- Penyedia layanan tidak boleh memaksakan aturan komposisi, misalnya wajib ada huruf besar dan angka.
- Penyedia layanan tidak boleh mewajibkan penggantian kata sandi secara berkala tanpa bukti kebocoran.
- Kata sandi baru dibandingkan dengan daftar larangan berisi kata sandi yang umum dipakai atau sudah bocor.
Angka NIST mengatur apa yang boleh dan tidak boleh dipaksakan penyedia layanan; angka CISA ditujukan kepada pengguna. Keduanya searah: panjang lebih menentukan daripada kerumitan, dan kata sandi tidak perlu diganti berkala kecuali ada tanda bocor.
