Bagi kebanyakan orang Indonesia, autentikasi sehari-hari bukan lewat kata sandi alfanumerik, melainkan PIN 6 digit di aplikasi seperti GoPay, DANA, atau m-banking, yang diatur ketat oleh OJK. PIN ini sengaja dibuat pendek dan hanya angka agar cepat diketik berulang kali, tapi konsekuensinya entropinya jauh lebih rendah daripada kata sandi akun email atau pengelola kata sandi yang melindungi akses ke aplikasi itu sendiri.
Apa itu entropi kata sandi
Entropi diukur dalam bit dan bergantung pada ukuran alfabet karakter dan panjang kata sandi: entropi = log2(ukuran_alfabet ^ panjang). PIN numerik 6 digit hanya memiliki sekitar 20 bit entropi maksimum, sementara kata sandi 16 karakter dengan huruf, angka, dan simbol dengan mudah melewati 90 bit — perbedaan berkali-kali lipat.
Mengapa panjang lebih penting daripada kompleksitas
Kata sandi dari empat kata acak dari kamus (seperti "benar-kuda-baterai-staples") sering memiliki entropi lebih tinggi daripada kata sandi pendek seperti "P@ssw0rd!", meski yang kedua terlihat "lebih kompleks" karena campuran jenis karakter. Ini karena setiap karakter tambahan panjang meningkatkan ruang pencarian secara eksponensial, sementara memperluas alfabet hanya memengaruhi eksponen secara linear.
Untuk apa ini dibutuhkan
- Menghasilkan kata sandi kuat untuk akun baru tanpa mengandalkan ingatan manusia.
- Memahami mengapa persyaratan "minimal satu angka dan simbol" bukan faktor keamanan terpenting.
- Memperkirakan ketahanan sebenarnya kata sandi yang ada terhadap serangan brute force.
Passphrase versus Karakter Acak
Passphrase yang terdiri dari beberapa kata kamus acak (misalnya, «correct-horse-battery-staple») bisa memiliki entropi lebih tinggi daripada kata sandi pendek dengan karakter khusus, sekaligus jauh lebih mudah diingat oleh manusia. Untuk kata sandi yang disimpan di pengelola kata sandi dan tidak pernah dimasukkan secara manual, hal ini tidak terlalu penting — karakter acak memberikan entropi per karakter yang lebih tinggi. Namun untuk «kata sandi utama» dari pengelola kata sandi itu sendiri, yang harus diingat, passphrase sering kali menjadi pilihan yang lebih praktis.