Akhir dari era kata sandi, namun bukan akhir dari keamanan data

Mengapa kata sandi semakin rapuh

Orang-orang mendambakan kesederhanaan. Menghafal rangkaian panjang huruf, angka, dan simbol itu merepotkan, jadi kebanyakan orang memilih sesuatu yang cepat dan mudah. Namun, meskipun Anda sudah cukup disiplin untuk membuat kata sandi yang rumit, kata sandi tersebut tetap disimpan dalam basis data perusahaan.

Dan basis data pun bisa diretas.

Secara teratur.

Kebocoran kata sandi: Beberapa kisah yang patut dipertimbangkan

• McDonald’s, 2025: Sebuah chatbot perekrutan yang didukung AI beroperasi dengan nama pengguna Admin dan kata sandi 123456. Hasilnya? Lebih dari 64 juta lamaran kerja bocor, termasuk nomor telepon, alamat email, riwayat pendidikan, dan riwayat pekerjaan. [1]
• Yahoo, 2013: Kebocoran data terbesar dalam sejarah: lebih dari 3 miliar akun diretas, termasuk kata sandi dan pertanyaan keamanan. [2]

Kisah-kisah ini memiliki satu kesamaan utama: bahkan perusahaan-perusahaan dengan anggaran keamanan siber bernilai jutaan dolar pun tidak kebal terhadap kegagalan.

Praktik terbaik dalam penyimpanan kata sandi

Meskipun kita sudah mulai meninggalkan penggunaan kata sandi, kata sandi masih banyak digunakan. Jadi, penting untuk memahami cara menyimpannya dengan benar — terutama jika Anda mengelola sebuah platform atau aplikasi.

Jangan pernah menyimpan kata sandi dalam bentuk teks biasa

Kata sandi harus selalu di-hash menggunakan algoritma yang kuat seperti bcrypt atau argon2. Hal ini membuat proses rekayasa balik terhadapnya membutuhkan sumber daya komputasi yang besar.

Tambahkan garam

Salting memastikan bahwa meskipun dua pengguna memilih kata sandi yang sama, hasil hash-nya akan berbeda. Ini merupakan langkah perlindungan yang sangat penting terhadap serangan rainbow table.

Gunakan teknik pergeseran kunci

Teknik ini membuat upaya serangan brute-force menjadi jauh lebih lambat, sehingga memberi Anda waktu lebih banyak dan mengurangi risiko jika terjadi pelanggaran keamanan.

Namun demikian, meskipun praktik-praktik tersebut telah diterapkan, fakta bahwa kredensial pengguna disimpan di server saja sudah membuatnya menjadi sasaran potensial. Itulah sebabnya tujuan yang seharusnya adalah menghapus penyimpanan kata sandi sama sekali.

Praktik terbaik dalam pembuatan dan penggunaan ulang kata sandi

Jika Anda memang harus menggunakan kata sandi, berikut ini cara menggunakannya dengan aman:

Gunakan kata sandi yang panjang dan acak

Panjang > kerumitan. Kata sandi acak yang terdiri dari 20 karakter jauh lebih aman daripada kata sandi pendek yang mengandung simbol. Contoh: qH7T#sY9!GmK3*vBxZlP

Hindari menggunakan kembali kata sandi yang sama

Satu kata sandi yang digunakan berulang kali = akses ke semua akun Anda. Kebocoran data memudahkan para penyerang untuk mencoba kredensial yang sama di berbagai situs (yang disebut credential stuffing).

Gunakan pengelola kata sandi

Hal ini membantu Anda membuat dan menyimpan kata sandi yang unik dan kuat untuk setiap situs, sehingga mengurangi beban pikiran Anda sekaligus meningkatkan keamanan.

Namun, kata sandi terbaik sekalipun tetap saja hanya... kata sandi. Kata sandi tersebut bisa ditebak, menjadi sasaran serangan phishing, bocor, atau diretas dengan metode brute force.

Apa itu Otentikasi Multi-Faktor dan mengapa hal itu penting?

Otentikasi Multi-Faktor (MFA) menambahkan lapisan perlindungan kedua (atau ketiga), dengan menggabungkan sesuatu yang Anda ketahui (kata sandi), sesuatu yang Anda miliki (perangkat), atau sesuatu yang menjadi bagian dari diri Anda (data biometrik). Misalnya:

• Kata sandi + kode SMS
• Kata sandi + aplikasi otentikasi seluler (TOTP)
• Kata sandi + pemindaian sidik jari

MFA secara signifikan mengurangi risiko pengambilalihan akun, terutama dalam kasus di mana kata sandi telah bocor atau dicuri. Namun, hal ini belum sempurna:

• Kode SMS dapat disadap melalui serangan penggantian SIM
• Tingkat keamanan aplikasi otentikator bergantung sepenuhnya pada tingkat keamanan perangkat tempat aplikasi tersebut terpasang Meski demikian, MFA merupakan hal yang wajib saat menggunakan sistem berbasis kata sandi. Hal itu sama saja dengan memasang kunci gerendel pada pintu Anda, alih-alih hanya mengandalkan kait biasa.

Kelemahan utama dari model kata sandi lama

Kata sandi adalah sebuah kunci. Kamu menyerahkannya kepada orang lain dan berharap mereka menjaganya dengan baik. Namun, jika mereka gagal, orang asing pun bisa masuk ke “rumah” Anda. Jadi, pertanyaannya begini: apakah Anda benar-benar harus mempercayakan kunci satu-satunya Anda kepada orang lain?

Ketika Akun Menghilang: Pendekatan NymVPN

Bayangkan sebuah layanan yang memiliki:

• Tidak ada login
• Tanpa kata sandi
• Tidak ada basis data kredensial berskala besar yang bisa diretas

Alih-alih menggunakan akun konvensional, NymVPN menggunakan frasa benih — kombinasi kata-kata unik yang berfungsi sebagai kunci pribadi Anda. Artinya, Anda tidak perlu mendaftar, tidak perlu membuat nama pengguna atau kata sandi, dan tidak bergantung pada otoritas terpusat mana pun untuk mengelola identitas Anda.

Apa itu frasa benih?

Frasa benih (juga disebut frasa pemulihan atau frasa rahasia) adalah rangkaian yang biasanya terdiri dari 12 atau 24 kata yang dihasilkan secara acak. Ini mewakili identitas kriptografis Anda dan digunakan untuk menghasilkan kunci pribadi secara aman.

Contoh (jangan gunakan yang ini):

pisang akustik, cairan, lelehan, virus, kura-kura hitam, rasa, semen, bawang terkenal, berenang

Kalimat ini hanya ditampilkan kepada Anda selama proses pengaturan. Data tersebut tidak pernah disimpan di server NymVPN atau dikirimkan melalui internet. Anda adalah satu-satunya pemilik dan pengelola ungkapan ini.

Mengapa hal ini lebih aman

Karena tidak ada data yang disimpan di server, bahkan jika NymVPN diretas, tidak ada yang bisa dicuri oleh penyerang:

• Tidak ada basis data kredensial pengguna
• Tidak ada log sesi yang terkait dengan identitas
• Tidak ada email pemulihan yang dapat dipalsukan

Frasa benih hanya ada di perangkat Anda, dan sebaiknya Anda menyimpannya secara offline — ditulis di atas kertas atau disimpan di pengelola kata sandi yang aman atau dompet perangkat keras.

Apa itu bukti tanpa pengetahuan — dan mengapa hal itu penting?

Bukti tanpa pengetahuan (ZKPs) adalah alat privasi yang ampuh yang memungkinkan Anda membuktikan kebenaran suatu hal tanpa mengungkapkan informasi sebenarnya yang mendasarinya.

Bayangkan jika Anda bisa membuktikan bahwa usia Anda sudah di atas 18 tahun tanpa perlu menunjukkan tanggal lahir Anda, atau membuktikan bahwa Anda telah membayar suatu layanan tanpa perlu mengungkapkan identitas atau rincian transaksi Anda. Itulah keajaiban ZKPs: mereka memisahkan verifikasi dari pengungkapan data.

Dalam konteks Nym, bukti tanpa pengetahuan (zero-knowledge proofs) dalam bentuk zk-nyms membantu pengguna memverifikasi akses atau partisipasi ke NymVPN tanpa mengaitkannya dengan akun tertentu atau mengungkapkan data pribadi. Hal-hal tersebut merupakan bagian dari apa yang memungkinkan adanya infrastruktur pelindung privasi seperti Nym: sebuah sistem di mana Anda dapat berinteraksi dengan aman tanpa meninggalkan jejak yang dapat diidentifikasi.

ZKPs mengubah model web dari "menampilkan segalanya untuk membuktikan apa pun" menjadi standar yang lebih cerdas, yaitu hanya yang perlu tahu — standar yang menghormati hak Anda untuk tetap menjaga privasi secara default.

Bagaimana frasa benih memberikan akses

Setiap kali Anda membuka NymVPN, Anda dapat:

• Masukkan frasa benih Anda untuk membuat ulang kredensial akses Anda
• Atau simpan secara lokal (dalam bentuk terenkripsi) agar Anda tidak perlu memasukkannya setiap kali

Kunci tersebut digunakan untuk menghasilkan identitas kriptografis yang membuktikan siapa diri Anda — tanpa perlu "masuk" atau membuktikan alamat email Anda kepada siapa pun.

Metode ini memastikan bahwa:

• Hanya Anda yang dapat mengakses identitas VPN Anda
• Anda dapat memulihkan akses Anda di perangkat apa pun menggunakan frasa benih Anda
• Identitas digital Anda bersifat portabel, terdesentralisasi, dan tahan terhadap sensor

Pendekatan ini bukan sekadar metode masuk yang cerdas — ini adalah pergeseran paradigma dalam cara identitas dan privasi berfungsi di dunia maya.

Apa Selanjutnya?

Kata sandi sudah menjadi bagian dari masa lalu. Saat ini, mereka menjadi sasaran utama para penyerang. Besok, mereka kemungkinan besar hanya akan dikenang dalam buku-buku sejarah keamanan siber.

Masa depan terletak pada model di mana kunci akses Anda sepenuhnya menjadi milik Anda sendiri — dan Anda tidak lagi bergantung pada server pihak lain untuk melindunginya.

Daftar Pustaka

[1] Wired

[2] Reuters