Kebijakan Kata Sandi yang Memadai

Salah satu kontrol keamanan Teknologi Informasi (TI) yang biasa diterapkan dalam perusahaan adalah kebijakan kata kunci (password).

Tetapi kebijakan password seperti apa yang dinilai sudah memadai?

Contoh aturan password yang rumit:

1. Panjang minimal 8 karakter
2. Memiliki huruf besar dan kecil
3. Memiliki paling sedikit satu angka (contoh: 0-9)
4. Memiliki paling sedikit satu simbol (contoh: !$%^&*()_+|~-=\`{}[]:";'<>?,/)

Kombinasi password yang rumit, bukan berarti anda akan lebih aman.

Gambar xkcd.com

Kekuatan Password

Password yang panjang tidak kebal dari cracking, tetapi lebih sulit ditebak oleh mesin dan lebih mudah diingat oleh manusia.

Sedangkan password yang pendek, menggunakan angka, simbol dan huruf besar/kecil lebih mudah ditebak oleh mesin dan lebih sulit diingat oleh manusia.

Pedoman Pembuatan Password

Password adalah komponen penting dari keamanan informasi. Password berfungsi untuk melindungi pengguna akun; Namun, password yang dibuat dengan buruk dapat menyebabkan sistem, data, atau jaringan ditembus oleh orang yang tidak bertanggung jawab.

Password yang kuat harus memiliki karakter yang panjang, semakin banyak karakter yang Anda miliki, semakin kuat password-nya.

• Rekomendasi panjang minimal password: 14 karakter 

Disarankan menggunakan frasa sandi (passphrase), password yang terdiri dari beberapa kata.

• Contoh: "Sudah waktunya untuk liburan”, karena passphrase lebih mudah diingat dan memenuhi persyaratan kekuatan.

Setiap akun harus harus memiliki password yang unik dan berbeda. 

Disarankan untuk menggunakan ‘Password Manager’, untuk memungkinkan pengguna menyimpan banyak password. 

Apabila memungkinkan, aktifkan juga penggunaan multi-factor authentication.

Pembuatan Password

Semua password tingkat pengguna dan tingkat sistem harus sesuai dengan Pedoman Pembuatan Password.

Pengguna harus menggunakan password yang unik dan terpisah untuk setiap akun terkait pekerjaan mereka. Pengguna tidak boleh menggunakan password terkait pekerjaan untuk akun pribadi mereka.

Akun pengguna yang memiliki hak tingkat sistem diberikan melalui keanggotaan grup (Misal grup Administrator) harus memiliki password yang unik dari semua akun lain yang dipegang pengguna tersebut untuk mengakses hak istimewa tingkat sistem. Sangat disarankan menggunakan multi-factor authentication untuk setiap akun istimewa.

Perubahan Password

Password harus diubah ketika ada alasan untuk meyakini password telah dicuri.

Password cracking atau guessing dapat dilakukan secara berkala atau acak oleh Tim Infosec/audit. Jika password berhasil ditebak atau dipecahkan, pengguna harus diminta untuk mengubahnya agar sesuai dengan Pedoman Pembuatan Password.

Perlindungan Password

Password tidak boleh dibagikan kepada siapa pun, termasuk supervisor dan rekan kerja. Semua password harus diperlakukan sebagai informasi rahasia dan sensitif.

Password tidak boleh dimasukkan ke dalam pesan email atau bentuk lain dari komunikasi elektronik, atau diungkapkan melalui telepon kepada siapa pun.

Password hanya dapat disimpan di “Password Manager" yang disahkan oleh organisasi.

Jangan menggunakan fitur "Ingat Kata Sandi“/”remember password” dari aplikasi (misalnya, web browser).

Setiap pengguna yang mencurigai bahwa password-nya mungkin telah dicuri harus melaporkan insiden tersebut dan mengubah semua password.

Pengembangan Aplikasi

Pengembang aplikasi harus memastikan bahwa aplikasi mereka mengandung tindakan pencegahan keamanan berikut ini:

• Aplikasi harus mendukung otentikasi pengguna individual, bukan grup.
• Aplikasi tidak boleh menyimpan password dalam teks yang jelas (clear text) atau dalam bentuk yang mudah dibalik.
• Aplikasi tidak boleh mengirimkan password dalam clear text melalui jaringan.
• Aplikasi harus menyediakan semacam manajemen peran, sehingga pengguna dapat mengambil fungsi orang lain tanpa harus mengetahui password orang lain.

Multi-Factor Authentication

Penggunaan multi-factor authentication sangat dianjurkan dan harus digunakan apabila memungkinkan, tidak hanya untuk akun yang terkait dengan pekerjaan tetapi juga akun pribadi.

Multi-factor authentication melibatkan penggunaan beberapa atau semua hal berikut ini:

• Something you know (misal, password)
• Something you have (misal, authentication token)
• Something you are (misal, fingerprint, facial scan)

Strategi Pembuatan dan Perubahan Password

Berikut ini beberapa strategi yang perlu diingat oleh para pengguna pada saat membuat atau mengubah password:

• Komunikasikan informasi dengan jelas tentang cara membuat dan mengubah password.
• Komunikasikan persyaratan password dengan jelas.
• Ijinkan setidaknya 64 karakter panjang password untuk mendukung penggunaan passphrase. Ijinkan pengguna untuk membuat password yang bisa dihafal selama yang mereka inginkan, menggunakan karakter apa pun yang mereka suka (termasuk spasi), sehingga memudahkan untuk dihafal.
• Jangan memaksakan aturan komposisi lainnya (misal, campuran dari berbagai jenis karakter) pada password yang dihafal.
• Jangan meminta password yang sudah dihafal diubah secara sewenang-wenang (misal, secara berkala) kecuali ada permintaan pengguna atau bukti bahwa password sudah dicuri.
• Berikan umpan balik yang jelas, bermakna, dan dapat ditindaklanjuti ketika password yang dipilih ditolak (misal, ketika kata itu muncul di "daftar hitam" password yang tidak dapat diterima atau telah digunakan sebelumnya). Sarankan pengguna bahwa mereka perlu memilih password yang berbeda karena pilihan mereka sebelumnya biasa digunakan.

Karakteristik password/passphrase yang lemah

Password/passphrase yang lemah memiliki karakteristik sebagai berikut:

• Hanya terdiri dari delapan (8) karakter atau kurang.
• Berisi informasi pribadi seperti tanggal lahir, alamat, nomor telepon, nama anggota keluarga, hewan peliharaan, teman, nama perusahaan dan karakter fantasi.
• Berisi pola angka seperti aaabbb, qwerty, zyxwvuts, atau 123321.

Referensi:

• Adequate Password Policy.
• Baker, Jessica. (2017). The New NIST SP 800-63 Password Guidelines. IT Freedom. (Diakses 2019-03-22).
• Center for Internet Security. (2015). CIS Debian Linux 7 Benchmark v1.0.0. (Diakses 2018-08-31).
• Center for Internet Security. (2018). CIS Microsoft Windows Server 2012 R2 Benchmark v2.3.0.  (Diakses 2018-08-31).
• Garcia, Mike. (2017). Easy Ways to Build a Better P@$5w0rd. NIST. (Diakses 2019-03-22).
• Grassi, Paul. (2017). Mic Drop — Announcing the New Special Publication 800-63 Suite!. NIST. (Diakses 2019-03-22).
• Johnston, Casey. (2013). Password complexity rules more annoying, less effective than lengthy ones. (Diakses 2019-03-22).
• Masters, Greg. (2017). Shift in password strategy from NIST. Haymarket Media. (Diakses 2019-03-22).
• NIST. (2017). NIST Special publication 800-63-3 Digital Identity Guidelines. National Institute of Standards and Technology. (Diakses 2019-03-22).
• NIST. (2017). NIST Special publication 800-63A Digital Identity Guidelines Enrollment and Identity Proofing. National Institute of Standards and Technology. (Diakses 2019-03-22).
• NIST. (2017). NIST Special publication 800-63B Digital Identity Guidelines Authentication and Lifecycle Management. National Institute of Standards and Technology. (Diakses 2019-03-22).
• NIST. (2017). NIST Special publication 800-63C Digital Identity Guidelines Federation and Assertions. National Institute of Standards and Technology. (Diakses 2019-03-22).
• SANS Policy Team. (2014). Password Construction Guidelines. SANS Institute. (Diakses 2017-06-15).
• SANS Policy Team. (2017). Password Construction Guidelines. SANS Institute. (Diakses 2019-03-21).