Selama bertahun-tahun, saran keamanan kata sandi tidak pernah berubah: gunakan kombinasi huruf besar, huruf kecil, angka, dan simbol. Tujuannya sederhana—membuat kata sandi sulit ditebak melalui serangan brute force. Namun, panduan keamanan terbaru menunjukkan bahwa fokus tersebut seharusnya bukan pada kompleksitas, melainkan pada panjang kata sandi. Semakin panjang kata sandi, semakin sulit pula bagi penyerang untuk memecahkannya. Dan cara paling efektif untuk mencapainya adalah dengan passphrase, atau rangkaian beberapa kata acak yang mudah diingat.

Ketika data kredensial bocor, para penyerang mencoba menebak kata sandi dengan cara menguji jutaan kemungkinan per detik hingga menemukan yang cocok. Lamanya proses ini bergantung pada satu hal: jumlah kombinasi yang mungkin. Sebuah kata sandi kompleks dengan delapan karakter seperti P@ssw0rd! tampak kuat, tetapi nyatanya memiliki sekitar 218 triliun kombinasi—angka yang dapat diuji oleh sistem GPU modern hanya dalam hitungan bulan. Sebaliknya, sebuah kata sandi sepanjang 16 karakter yang hanya terdiri dari huruf kecil memiliki kombinasi sebesar 26¹⁶, yang membuatnya miliaran kali lebih sulit untuk ditebak.

Konsep ini dikenal sebagai effective entropy—tingkat keacakan nyata yang harus dihadapi penyerang. Beberapa kata umum yang disusun secara acak seperti karpet-statis-pretzel-invoke menciptakan entropi jauh lebih tinggi dibanding kombinasi simbol pada kata sandi pendek. Lebih baik lagi, kombinasi seperti ini jauh lebih mudah diingat oleh pengguna.

Passphrase juga menang di sisi operasional. Karena mudah diingat, pengguna jarang menulisnya di catatan tempel atau menggunakan variasi yang mirip di banyak akun, sehingga jumlah permintaan penggantian kata sandi menurun. Di sisi lain, passphrase lebih tahan terhadap serangan karena tidak mengikuti pola umum seperti huruf diganti dengan simbol (misalnya @ untuk a atau 0 untuk o). Dengan syarat, kata-kata yang dipilih benar-benar acak dan tidak saling berhubungan.

Lembaga seperti NIST juga telah menegaskan hal yang sama: panjang lebih penting daripada kompleksitas. Standar delapan karakter yang dulu dianggap cukup kini sudah usang. Panduan baru menekankan bahwa pengguna hanya perlu mengikuti satu aturan sederhana:

Pilih 3–4 kata umum yang tidak saling berhubungan dan pisahkan dengan tanda penghubung atau titik. Hindari lirik lagu, nama orang, atau frasa terkenal. Dan yang paling penting, jangan gunakan passphrase yang sama di beberapa akun. Contohnya: mangga-glasier-laptop-tungku atau kriket.jalanraya.mustard.piano.

Perubahan kebijakan seperti ini sebaiknya diterapkan secara bertahap untuk meminimalkan gangguan. Mulailah dengan kelompok uji coba dari beberapa departemen. Beri mereka panduan baru dan pantau penerapannya tanpa langsung menegakkan aturan secara kaku. Amati apakah mereka cenderung memilih frasa populer atau gagal memenuhi panjang minimum. Setelah itu, perkenalkan mode “peringatan” di seluruh organisasi—pengguna mendapat notifikasi jika passphrase mereka lemah atau telah diketahui bocor, tanpa langsung diblokir. Pendekatan ini membangun kesadaran tanpa menimbulkan resistensi besar.

Sebelum aturan baru diberlakukan sepenuhnya, penting untuk mengukur dampaknya melalui beberapa indikator: tingkat adopsi passphrase, penurunan permintaan reset kata sandi, jumlah kata sandi yang diblokir karena masuk daftar hitam, serta umpan balik pengguna mengenai kemudahan penggunaan. Data ini akan menunjukkan apakah kebijakan baru benar-benar lebih efektif dibanding pendekatan lama.

Agar kebijakan kata sandi mendukung penggunaan passphrase secara optimal, ada tiga pembaruan penting yang perlu diterapkan. Pertama, tingkatkan panjang minimum dari delapan menjadi setidaknya empat belas karakter agar passphrase dapat digunakan tanpa kendala. Kedua, hentikan pemeriksaan kompleksitas yang mewajibkan penggunaan huruf besar, angka, dan simbol—panjang sudah cukup untuk memberikan perlindungan yang lebih baik. Ketiga, pastikan sistem mampu memblokir kredensial yang telah dikompromikan, karena passphrase sekuat apa pun tidak berguna jika sudah bocor di pelanggaran data sebelumnya.

Selain itu, fitur reset kata sandi mandiri akan membantu transisi berjalan mulus dengan mengurangi ketergantungan pada tim dukungan. Audit kebijakan juga penting agar organisasi dapat melihat seberapa banyak pengguna yang masih menggunakan kata sandi pendek atau pola berulang, sehingga mereka bisa diberikan panduan tambahan.

Bayangkan sebuah organisasi menerapkan kebijakan dengan minimum 15 karakter tanpa aturan kompleksitas. Seorang pengguna membuat passphrase seperti payung-papan-airterjun-sketsa. Passphrase ini cukup panjang, mudah diingat tanpa perlu manajer kata sandi, dan cukup unik untuk satu akun tertentu. Enam bulan kemudian, pengguna tersebut masih mengingatnya tanpa harus mencatat atau menelepon helpdesk. Tidak ada yang rumit—hanya sederhana dan efektif.

Tentu saja, passphrase bukan solusi tunggal. Autentikasi multifaktor dan pemantauan kredensial tetap menjadi elemen penting dalam strategi keamanan modern. Namun jika organisasi ingin meningkatkan kebijakan kata sandi, inilah tempat terbaik untuk memulainya: tingkatkan panjang minimum, sederhanakan aturan, dan pastikan perlindungan terhadap data yang telah bocor. Pendekatan ini mencerminkan pemahaman terbaru tentang bagaimana penyerang benar-benar bekerja—dan bagaimana kita dapat membuat pekerjaan mereka jauh lebih sulit.