Password 12 Karakter Tetap Bobol: Panjang Bukan Penentu

• Panjang password hanya menambah jumlah kemungkinan. Pola yang bisa ditebak — kata benda + tahun + tanda seru — memotongnya dari 10²¹ menjadi 10⁷.
• 12 karakter acak butuh sekitar 5.000 tahun untuk dipecahkan; 12 karakter berpola selesai 24 menit pada hash lambat. Selisihnya bukan panjang, tapi cara membuatnya.
• Yang paling sering terjadi di lapangan bukan pembobolan, melainkan kebocoran: akun bersama, password di grup WhatsApp, dan akses mantan karyawan yang tidak pernah dicabut.

Pukul sembilan pagi, telepon dari vendor bearing masuk ke meja purchasing. "Pak, PO nomor 4471 kami belum dibayar, padahal barang sudah dikirim dua minggu lalu." Masalahnya sederhana dan mahal: PO 4471 tidak pernah dibuat oleh siapa pun di perusahaan itu. Nomor rekeningnya bukan rekening vendor, namanya mirip, dan dokumennya rapi — kop, tanda tangan, stempel. Totalnya Rp 240 juta untuk 400 unit bearing. Uang sudah keluar sebelas hari sebelum ada yang menyadari.

Jejaknya tidak berujung di algoritma pemecah password. Jejaknya berujung di satu akun portal vendor yang dipakai bergantian sejak dua tahun lalu, password-nya 14 karakter dengan simbol, lalu disimpan di grup WhatsApp tim procurement "supaya tidak lupa". Panjangnya memenuhi hampir semua syarat yang biasa diminta sistem IT, dan tetap tidak menolong: password panjang tidak berguna kalau bocor lewat jalur yang tidak ada hubungannya dengan panjang. Dua masalah berbeda itulah — pola yang mudah ditebak, dan kebocoran akses — yang saya bedah di sini.

Kenapa Panjang Password Menipu

Entropi password dihitung dengan rumus sederhana: panjang × log₂(ukuran kumpulan karakter). Password 12 karakter yang benar-benar acak dari 62 karakter (huruf besar, kecil, angka) punya entropi 12 × 5,95 = 71,5 bit. Itu sekitar 3,2 × 10²¹ kemungkinan. Pada kecepatan 10 miliar tebakan per detik — angka realistis untuk GPU kelas menengah menghadapi hash cepat seperti MD5 atau NTLM — rata-rata perlu 5.000 tahun untuk menemukannya.

Rumus itu hanya berlaku kalau setiap karakter dipilih acak dan independen. Manusia tidak begitu: ia memilih kata yang berarti, menambahkan tahun berganti, lalu menutup dengan tanda seru karena sistem bilang "harus ada simbol". Penyerang tahu kebiasaan itu. Hashcat tidak menyisir 95 pangkat 12; ia memakai rule — daftar kata, variasi kapitalisasi, tempelan tahun 1985–2025, satu simbol di ujung. Daftar kata bahasa Indonesia untuk keperluan ini beredar bebas, lengkap dengan nama kota, merek, dan istilah pabrik.

Akibatnya, ruang tebakan yang tadinya 10²¹ menyusut jadi 10⁷. Bukan karena password-nya dipendekkan, tapi karena isinya bisa ditebak. Inilah bedanya password yang "panjang" dan password yang "mahal dipecahkan".

Empat Password, Empat Waktu Bobol

Tabel di bawah memakai dua asumsi kecepatan yang saya sebut terbuka, karena angka absolutnya akan berbeda di setiap serangan: 10¹⁰ hash/detik untuk hash cepat (MD5/NTLM, biasanya dari situs lama) dan 10⁴ hash/detik untuk hash lambat (bcrypt cost 12, standar yang layak). Waktu adalah rata-rata separuh ruang kemungkinan.

Perhatikan baris kedua dan ketiga. Password 12 karakter berpola kalah jauh dari 8 karakter acak, meski lebih panjang empat karakter. Hitungannya: 10.000 kata × 41 tahun × 12 simbol × 3 pola kapitalisasi = 14,76 juta kandidat; pada 10⁴ hash/detik itu 1.476 detik, atau 24,6 menit. Sementara 8 karakter acak punya 62⁸ = 2,18 × 10¹⁴ kemungkinan, dan pada kecepatan yang sama perlu 1,09 × 10¹⁰ detik — 346 tahun.

Untuk passphrase 5 kata: 7.776⁵ = 2,84 × 10¹⁹ kemungkinan, separuhnya 1,42 × 10¹⁹, dibagi 10¹⁰ hash/detik menjadi 1,42 × 10⁹ detik ≈ 45 tahun. Itu lebih lemah dari 12 karakter acak, tapi jauh lebih kuat dari apa pun yang bisa diingat orang tanpa dibantu aplikasi.

Catatan penting: angka di tabel adalah skenario offline — hash bocor dari database lalu dipecahkan di rumah. Pada percobaan login langsung ke server, pembatasan laju dan penguncian akun menurunkan kecepatan efektif ke puluhan percobaan per menit.

Kalau ingin mengukur entropi password sendiri tanpa mengirimkannya ke server mana pun, Password Generator di dwik.web.id berjalan sepenuhnya di browser: ada mode passphrase, penghitung entropi, dan tidak ada data yang keluar dari perangkat.

Tiga Kebiasaan Kantor yang Menghapus Manfaat Password Panjang

1. Akun bersama di panel PC. Di banyak lini produksi, satu akun operator dipakai tiga shift. Password-nya 16 karakter, kuat, dan diubah sekali setahun oleh IT. Tapi karena dipakai bertiga, catatan audit tidak bisa membedakan siapa yang mengubah parameter mesin pada shift dua. Kekuatan password-nya justru menutupi masalah sebenarnya: tidak ada akuntabilitas.

2. Satu password untuk semua akun. Email purchasing, portal vendor, WiFi pabrik, dan marketplace suku cadang memakai kata sandi yang sama. Cukup satu situs kecil bocor, lalu kredensial itu dicoba otomatis ke ratusan layanan lain. Inilah penyebab kasus seperti pembuka tulisan ini — bukan pemecahan, tapi pemakaian ulang.

3. Rotasi 90 hari tanpa alasan. Aturan ini masih hidup di banyak SOP. Hitung ongkosnya: 800 karyawan × 4 rotasi = 3.200 pergantian per tahun. Kalau 10% berakhir di meja helpdesk, itu 320 tiket × 15 menit = 80 jam kerja, sekitar Rp 3,2 juta dengan biaya penuh Rp 40.000 per jam. Hasilnya biasanya Perusahaan2026! menjadi Perusahaan2027! — lebih panjang, lebih mudah ditebak, dan tidak lebih aman.

Passphrase: Jalan Tengah yang Realistis

Untuk pekerja yang harus mengetik password di keyboard panel mesin dengan jari berminyak, 12 karakter acak bersimbol adalah siksaan. Orang akan menyalinnya ke sticky note dalam dua hari. Passphrase 5 kata lebih masuk akal: misalnya kambing-guling-semen-layar-senja, 33 karakter, 64,6 bit, dan bisa diketik dengan satu tangan sambil melihat layar.

Syaratnya ketat: kata harus diambil acak dari daftar besar (Diceware memakai 7.776 kata), bukan dari kalimat yang sudah dikenal. Passphrase dari potongan lirik atau kutipan motivasi kembali ke kategori "bisa ditebak" — keduanya sudah lama jadi bahan pertama serangan kamus.

Audit 30 Menit: Enam Langkah

1. Buat daftar akun kritis — email kantor, portal vendor/supplier, internet banking, WMS/ERP, panel PC, akun marketplace. Cukup satu halaman.
2. Pisahkan akun bersama. Setiap orang punya akun sendiri; akun generik hanya untuk perangkat yang memang tidak bisa dibedakan pemakainya, dan itu harus dicatat.
3. Periksa akses mantan karyawan dan orang yang mutasi 12 bulan terakhir. Cabut hari ini, bukan setelah ada insiden.
4. Cek kebocoran domain lewat fitur domain search di Have I Been Pwned (perlu verifikasi kepemilikan domain via DNS). Hasilnya menunjukkan alamat email kantor yang sudah muncul di kebocoran publik — itu daftar prioritas reset.
5. Aktifkan 2FA berbasis aplikasi authenticator di akun gerbang: email, portal vendor, dan bank. Hindari SMS.
6. Catat pemegang akses dan tanggal review. Satu tabel, ditinjau tiap kuartal. Tanpa ini, audit berikutnya mengulang dari nol.

Aturan yang jangan dilanggar: jangan pernah meminta karyawan menuliskan password mereka ke formulir, email, atau spreadsheet audit. Uji dengan skenario — minta reset, cek waktu respons, cek apakah akun lama benar-benar mati.

Dasar Standar yang Bisa Dikutip

Kalau aturan internal perlu pembenaran tertulis, tiga rujukan ini cukup:

• NIST SP 800-63B — pedoman autentikasi yang justru menyarankan panjang minimal 8 karakter, pengecekan terhadap daftar password bocor, penghapusan aturan komposisi paksa, dan penghentian rotasi berkala tanpa indikasi kompromi.
• ISO/IEC 27001:2022 — menempatkan informasi autentikasi (kontrol 5.17) dan hak akses (kontrol 5.18) sebagai kontrol tersendiri, termasuk kewajiban peninjauan berkala.
• UU 27/2022 tentang Pelindungan Data Pribadi — data karyawan, pelanggan, dan vendor termasuk data pribadi; akses yang tidak terkendali adalah risiko kebocoran yang wajib dimitigasi, bukan sekadar kelalaian individu.

Untuk konteks lebih luas — phishing, password manager, dan backup 3-2-1 — kerangkanya ada di Keamanan Digital untuk Profesional. Untuk higiene perangkat dan akun saat bekerja dari rumah, lihat WFH Produktif. Artikel ini sengaja hanya membedah matematika di balik waktu bobol.

Yang Harus Selesai Minggu Ini

1. Ganti satu password berpola yang paling berisiko — akun email kantor — dengan passphrase 5 kata atau hasil generator.
2. Cari semua akun yang password-nya pernah dikirim lewat WhatsApp atau email, lalu reset satu per satu.
3. Cabut akses minimal satu mantan karyawan yang masih aktif di sistem mana pun.
4. Matikan aturan rotasi 90 hari, ganti dengan reset berbasis indikasi (kebocoran atau insiden).
5. Tulis satu halaman: siapa memegang akses apa, dan kapan terakhir diperiksa.

Panjang password itu murah dan mudah diukur, makanya ia jadi satu-satunya hal yang diperiksa saat audit. Yang menentukan sebenarnya ada dua hal lain: apakah password bisa ditebak, dan siapa saja yang memegangnya. Yang kedua biasanya lebih berbahaya, dan hampir tidak pernah diperiksa.

Tanya Jawab Seputar Panjang Password (FAQ)

Q: Apakah password 12 karakter sudah cukup aman?** A: Tergantung cara membuatnya, bukan panjangnya. Di tabel artikel ini, 12 karakter acak punya entropi 71,5 bit dan butuh sekitar 5.100 tahun pada hash cepat, sedangkan 12 karakter berpola seperti Gudang2024! hanya 23,8 bit dan selesai dalam 24,6 menit pada hash lambat. Kalau angkanya harus diingat manusia, passphrase 5 kata (64,6 bit) lebih realistis daripada 12 karakter acak.

Q: Berapa panjang password minimal untuk akun kantor?** A: NIST SP 800-63B hanya menetapkan minimal 8 karakter, karena yang menentukan adalah entropi dan pengecekan terhadap daftar password bocor. Praktik yang saya pakai: passphrase 5 kata atau minimal 12 karakter acak dari generator untuk akun gerbang (email kantor, portal vendor, internet banking), dan password manager untuk sisanya.

Q: Apakah aturan rotasi password 90 hari masih perlu dijalankan?** A: Tidak sebagai aturan kaku. NIST SP 800-63B menghentikan rotasi berkala tanpa indikasi kompromi, dan ISO/IEC 27001:2022 (kontrol 5.17 dan 5.18) lebih menekankan peninjauan hak akses berkala. Gantinya reset berbasis indikasi: akun muncul di hasil pencarian kebocoran domain, ada insiden, atau karyawan keluar dan mutasi.