Pemeriksa kekuatan kata sandi: entropi dan waktu bobol

Cara memakai

Ketik kata sandi di kolom Kata sandi. Kolom itu disembunyikan; tekan Tampilkan untuk membaca apa yang Anda ketik.
Baca Perkiraan entropi dan label Kekuatan. Bit yang lebih besar berarti lebih banyak tebakan bagi penyerang.
Periksa baris Rata-rata waktu untuk dibobol untuk tiga laju yang dinyatakan, dan pemeriksaan NIST di bawahnya.
Lihat Pola yang ditemukan untuk melihat bagian kata sandi mana yang akan dicoba lebih dulu oleh penebak.

Cara perkiraan bekerja

Setiap karakter yang tidak dicakup pola memakan log2 dari kumpulan, yaitu jumlah karakter yang diizinkan oleh kelas kata sandi: 26 huruf kecil, 26 huruf kapital, 10 digit, 33 simbol dan spasi, dan 100 untuk karakter lain. Pola memakan bitnya sendiri: kata dari daftar kata sandi umum memakan bit sesuai peringkatnya, pengulangan atau deret berurutan memakan sedikit, begitu juga jalur tombol yang bersebelahan atau tahun.

Perkiraan adalah cara termurah untuk membagi kata sandi menjadi karakter dan pola. Urutan ketika penebak mencoba bagian-bagian itu tidak dihitung, sehingga perkiraannya bisa sedikit rendah. Setiap angka adalah model untuk skala, bukan pengukuran serangan nyata mana pun.

entropi jika acak = panjang x log2(kumpulan);   perkiraan = pembagian termurah menjadi karakter dan pola

Apa kata NIST SP 800-63B

Kata sandi yang dipakai sendiri harus minimal 15 karakter, dan kata sandi yang hanya menjadi bagian dari login multi-faktor boleh 8. Verifikator harus menerima minimal 64 karakter dan sebaiknya menerima spasi serta semua karakter yang dapat dicetak.

Verifikator tidak boleh memberlakukan aturan komposisi, seperti campuran jenis karakter, dan tidak boleh memaksa penggantian berkala kecuali ada bukti kata sandi telah bocor. Mereka harus membandingkan seluruh kata sandi dengan daftar kata sandi umum atau yang sudah bocor, sebaiknya mengizinkan tempel, dan harus mengizinkan pengelola kata sandi serta isi otomatis.

Contoh: Password2026

Password2026 punya 12 karakter dari 62 kemungkinan (huruf kecil, huruf kapital, dan digit), sehingga jika acak, entropinya adalah 12 x log2(62), yaitu 71,5 bit.

Polanya murah: password adalah kata pertama dari daftar umum (peringkat 1), yang memakan 0 bit ditambah 1 bit untuk huruf kapital P, dan 2026 adalah tahun, yang memakan log2(140), sekitar 7,1 bit. Perkiraannya 8,1 bit: lemah, dan sekitar 280 tebakan rata-rata, sehingga terbobol dalam sepersekian detik bahkan pada laju daring.

Pertanyaan yang sering diajukan

Apakah kata sandi dikirim ke server atau disimpan?

Tidak. Halaman ini menganalisis kata sandi di peramban Anda dan tidak membuat permintaan apa pun yang memuatnya. Daftar kata sandi umum adalah berkas yang disajikan situs ini, jadi halaman memuatnya, tetapi kata sandinya sendiri tidak pernah dikirim, dan memuat ulang halaman melupakannya.

Mengapa Password1! lemah padahal ada huruf kapital, digit, dan simbol?

Penebak mencoba kata umum lebih dulu, dengan tambahan yang biasa, sehingga campuran jenis karakter hanya menambah sedikit. NIST SP 800-63B memberi contoh persis ini dan menemukan bahwa aturan komposisi menambah sedikit; panjang dan pemeriksaan terhadap kata sandi umum lebih penting.

Apa arti angka entropi?

Itu jumlah bit dari pilihan kata sandi yang diperkirakan. Setiap bit tambahan melipatgandakan tebakan yang dibutuhkan rata-rata, sehingga 60 bit jauh lebih sulit ditebak daripada 40.

Mengapa ketiga waktunya berbeda jauh?

Ketiganya memakai tiga laju yang dinyatakan: serangan daring tanpa batas laju, serangan luring pada hash lambat, dan serangan luring pada hash cepat di kartu grafis. Penyerang sungguhan berbeda dari ketiganya; laju itu hanya menunjukkan skalanya.

Apakah hasil yang kuat berarti kata sandi aman dipakai?

Tidak dengan sendirinya. Halaman ini tidak memeriksa apakah kata sandi pernah bocor atau dipakai ulang di situs lain. Pakai kata sandi yang berbeda untuk setiap akun, dan gunakan pengelola kata sandi untuk menyimpannya.

Mengapa 15 karakter, padahal NIST mengizinkan 8?

NIST menetapkan 15 untuk kata sandi yang dipakai sendiri dan mengizinkan 8 ketika itu hanya salah satu faktor login multi-faktor. Halaman ini menampilkan angka faktor tunggal, karena itu yang lebih ketat.

Mengapa daftar kata sandi umum hanya sependek itu?

NIST menyarankan daftar hitam nilai yang sering dipakai, dan menyatakan bahwa daftar yang terlalu besar menambah sedikit. Halaman ini memakai 10.001 kata sandi paling umum dari daftar SecLists, yang diterbitkan di bawah lisensi MIT.

Sumber

Angka dan teks terakhir diperiksa pada Selasa, 10 November 2026.