Kata sandi adalah rangkaian rahasia yang membuktikan bahwa Anda adalah orang yang Anda klaim. Ini adalah metode otentikasi tertua dan paling umum. Namun, ini juga yang paling lemah. Orang-orang menggunakan kembali kata sandi di berbagai situs. Mereka memilih kata-kata yang mudah diingat dan mudah ditebak. Mereka menuliskannya di catatan tempel dan membagikannya dengan kolega. Penyerang mengetahui hal ini. Pencurian kredensial adalah titik awal dari sebagian besar pelanggaran keamanan.

Kekuatan kata sandi berasal dari panjang dan ketidakpastiannya. Frasa sandi 12 karakter yang terdiri dari kata-kata acak lebih kuat dan lebih mudah diingat daripada rangkaian simbol 8 karakter. Masalahnya bukan pada kata sandi itu sendiri, tetapi pada sistem di sekitarnya. Menyimpan kata sandi dalam bentuk teks biasa adalah tindakan yang lalai. Menyimpannya dengan hash yang cepat hampir sama buruknya. Kata sandi harus diberi salt dan di-hash dengan algoritma lambat seperti bcrypt atau Argon2. Pembatasan laju memblokir upaya serangan brute-force. Deteksi pelanggaran memeriksa kata sandi baru terhadap daftar kata sandi yang bocor yang sudah diketahui.

Praktik terbaik kata sandi

• Gunakan pengelola kata sandi — buat dan simpan kata sandi yang unik.
• Panjang lebih penting daripada kerumitan — lebih panjang lebih baik daripada lebih aneh.
• Jangan pernah digunakan kembali — satu pelanggaran tidak boleh menimbulkan dampak berantai.
• Aktifkan MFA — kata sandi saja tidak cukup.
• Periksa adanya pelanggaran — segera ubah kata sandi yang diretas.

Kata sandi tidak akan hilang dalam waktu dekat, tetapi kata sandi saja tidak lagi cukup. Anggaplah kata sandi sebagai salah satu lapisan, bukan sebagai keseluruhan pertahanan.