tigtools

Pemeriksa Kekuatan Kata Sandi

Ketik kata sandi untuk melihat perkiraan tingkat kesulitannya ditebak, pola yang melemahkannya, dan cara memperbaikinya. Kata sandi dianalisis di perangkat Anda dan tidak pernah dikirim ke mana pun.

Berjalan di browser Anda Tanpa perlu mendaftar

Diperiksa secara lokal saat Anda mengetik. Tidak ada yang diunggah atau disimpan.

Cara menggunakan

  1. Ketik atau tempel kata sandi ke dalam kotak. Kata sandi disembunyikan secara default; gunakan “Tampilkan” untuk memeriksa teks yang Anda ketik.
  2. Baca label kekuatan, angka entropi, dan perkiraan kasar waktu untuk membobol kata sandi.
  3. Periksa pola yang ditemukan dan ikuti tips untuk membuat kata sandi lebih sulit ditebak.

Cara kerja

Pemeriksa ini memulai dengan menghitung entropi kumpulan karakter: jumlah karakter yang mungkin (26 huruf kecil, 26 huruf kapital, 10 angka, 33 simbol ASCII termasuk spasi, dan 100 untuk karakter lain seperti huruf beraksen atau emoji) dipangkatkan dengan panjang kata sandi, lalu dinyatakan dalam bit sebagai log2(kumpulan karakter) × panjang. Angka ini mengasumsikan setiap karakter dipilih secara acak, padahal hal itu jarang terjadi pada kata sandi yang dibuat sendiri.

Selanjutnya, pemeriksa mencari pola yang biasanya dicoba penyerang terlebih dahulu dan menghitung tiap bagian yang cocok hanya berdasarkan jumlah bit yang diperlukan untuk menebak pola tersebut: daftar bawaan berisi 1.000 kata sandi paling umum, sekitar 3.000 kata bahasa Inggris yang sering digunakan dan 600 nama depan umum (termasuk setelah mengubah kembali leetspeak seperti 4→a, 3→e, 0→o, $→s), urutan tombol seperti qwerty dan asdf, urutan seperti abc atau 4321, karakter atau rangkaian karakter yang berulang, tahun dari 1900 hingga 2099, serta tanggal seperti 12/05/1990 atau 19900512. Hasilnya adalah “perkiraan setelah pola”. Metode ini secara umum mirip dengan alat perkiraan zxcvbn sumber terbuka, tetapi lebih sederhana.

Perkiraan waktu untuk membobol kata sandi menggunakan asumsi 10 miliar tebakan per detik—kira-kira kecepatan beberapa kartu grafis modern untuk mencoba hash cepat tanpa salt seperti MD5 atau SHA-1 dalam serangan offline—dan rata-rata perlu mencoba setengah dari kemungkinan yang tersisa. Serangan online terhadap formulir masuk jauh lebih lambat; hash lambat yang dikonfigurasi dengan baik juga jauh lebih lambat untuk dibobol. Anggap angka ini sebagai perkiraan kasar, bukan jaminan. Pemeriksa ini tidak mengetahui apakah kata sandi Anda pernah muncul dalam kebocoran data.

Contoh

Kata sandi yang tampak “kuat” pada umumnya

“Summer2023!” memiliki 11 karakter dan menggunakan keempat jenis karakter, sehingga entropi kumpulan karakternya sekitar 72 bit. Pemeriksa menemukan kata “Summer” dan tahun 2023, sehingga perkiraannya turun menjadi sekitar 22 bit: sangat lemah dan dapat ditebak dalam waktu jauh di bawah satu detik secara offline.

Leetspeak tidak membantu

“P@55w0rd” dikenali sebagai “password” dengan substitusi karakter, salah satu kata sandi yang paling umum. Kata sandi ini dinilai sangat lemah, berapa pun jumlah simbol yang digunakan.

Kata sandi acak

Kata sandi 16 karakter dari generator, seperti “v7#Qm!2pXr9$Lw4z”, tidak memiliki pola yang terdeteksi. Perkiraannya sama dengan nilai kumpulan karakter, sekitar 105 bit, sehingga dinilai sangat kuat.

Pertanyaan yang sering diajukan

Apakah aman mengetik kata sandi saya yang sebenarnya di sini?

Analisis dilakukan sepenuhnya di browser Anda menggunakan JavaScript di halaman ini. Kata sandi tidak dikirim ke server, disimpan, atau disertakan dalam analitik. Jika mau, periksa kata sandi dengan struktur yang sama, bukan kata sandi yang sebenarnya.

Mengapa kata sandi saya lebih lemah daripada yang ditunjukkan angka entropi?

Entropi kumpulan karakter mengasumsikan setiap karakter dipilih secara acak. Alat pembobol kata sandi akan mencoba kata, nama, tanggal, dan pola papan ketik terlebih dahulu, sehingga pemeriksa menghitungnya sebagai pola yang jauh lebih mudah ditebak. Angka “perkiraan setelah pola” mencerminkan hal tersebut.

Apakah pemeriksa ini mengetahui jika kata sandi saya pernah bocor?

Tidak. Pemeriksa ini hanya membandingkan kata sandi dengan daftar bawaan berisi 1.000 kata sandi yang sangat umum dan memperkirakan kemudahannya untuk ditebak. Pemeriksaan kebocoran memerlukan layanan terpisah; jika menggunakannya, pilih layanan yang hanya menerima sebagian hash kata sandi.

Berapa target kekuatan kata sandi yang baik?

Untuk sebagian besar akun, targetkan “kuat” (60 bit atau lebih setelah memperhitungkan pola). Untuk kata sandi utama pengelola kata sandi atau akun email, targetkan “sangat kuat” (80 bit atau lebih), misalnya frasa sandi yang terdiri dari enam kata acak.

Mengapa hasil pengukur kekuatan kata sandi berbeda-beda?

Setiap pengukur menggunakan daftar kata, aturan pola, dan asumsi kecepatan penyerang yang berbeda. Pengukur sederhana hanya menghitung jenis karakter, sehingga menilai kata sandi seperti “Password1!” terlalu tinggi. Gunakan perkiraan apa pun sebagai panduan, bukan ukuran yang pasti.

Privasi

Kata sandi hanya dianalisis di browser Anda. Kata sandi tidak diunggah, disimpan, dicatat, atau dikirim ke analitik; hanya peristiwa anonim bahwa alat ini digunakan yang dicatat. Daftar kata sandi umum dan kata tersedia di halaman ini, sehingga tidak ada pencarian melalui jaringan.