Password Policy Design That People Actually Follow: KaliLinux.net Lab Notes

Password policy debates biasanya melewatkan sisi manusianya. Aturan yang minta 14 karakter, tiga simbol, dan reset tiap bulan nggak bikin password makin kuat. Yang ada malah reuse dan catatan tempel. Pembaca KaliLinux.net sering lihat pola ini di lab terisolasi, tempat hash dari kebijakan lemah bisa pecah dalam hitungan detik, sementara hash dari kebijakan waras bertahan lebih lama. Tujuannya jelas: bikin aturan yang bisa diikuti orang tanpa gesekan, plus loop pengujian yang membuktikannya.

Kenapa aturan kompleks malah bikin blunder

NIST SP 800-63B, pedoman identitas digital federal, merombak saran lama. Pedoman ini menetapkan panjang minimum 8 karakter dan maksimum minimal 64, tanpa paksaan komposisi simbol. NIST SP 800-63B juga menyebut verifier sebaiknya nggak mewajibkan ganti password berkala kecuali ada bukti kompromi. Alasannya simple. Simbol yang dipaksakan dan rotasi singkat mendorong orang ke pola yang gampang ditebak seperti Summer2025! atau P@ssw0rd1. Di lab Kali, pola kayak gini tumbang dengan cepat oleh serangan kamus dan aturan pakai hashcat atau John the Ripper. Masalahnya bukan di alat cracking. Masalahnya di kebijakan yang didesain buat compliance, bukan buat usability.

Desain kebijakan yang bisa diikuti orang

Mulai dari panjang, bukan kompleksitas. Tetapkan minimal 12 sampai 16 karakter untuk akun yang melindungi data sensitif. Perbolehkan passphrase, spasi, dan Unicode. Setop paksaan kelas simbol. Cek password baru terhadap korpus kebocoran dan substitusi umum. Pakai password manager kalau memungkinkan. Lalu hapus rotasi paksa. Ganti password cuma setelah ada dugaan breach, kredensial yang dipakai bareng, atau password lemah yang ketahuan. Ini sejalan dengan panduan NIST dan ngurangin beban kognitif yang bikin reuse lemah. Kebijakan yang lebih sederhana juga lebih gampang dijelasin, ditegakkan, dan diuji di lab.

Beberapa orang masih khawatir kalau tanpa aturan simbol, passphrase panjang bakal susah diingat. Padahal passphrase kayak “kucing-makan-ikan-di-warung” itu jauh lebih manusiawi bangeet ketimbang P@ssw0rd1. Cuma perlu pembiasaan dan dukungan password manager.

Uji kebijakan di lab Kali Linux

Pengujian nutup loop-nya. Bikin akun dummy di mesin virtual terisolasi. Generate hash untuk password yang lolos kebijakan dan yang melanggar. Jalankan hashcat dengan wordlist kecil plus aturan umum, lalu John the Ripper dengan input yang sama. Catat waktunya. Kalau panjang minimum yang diizinkan kebijakanmu pecah terlalu cepat, naikin panjang minimum atau tambah cek daftar bocor. Kalau password yang dilarang masih lolos, perbaiki daftar larangan. Selalu uji cuma akun yang kamu punya atau punya izin tertulis. Ini alur kerja yang sama dipakai KaliLinux.net buat latihan CTF dan persiapan sertifikasi, tapi scoped ke validasi kebijakan password.

Kebijakan password sebaiknya ngurangin gesekan, bukan menghukum memori. Uji aturanmu di lab pakai alat Kali, bandingkan hasilnya dengan panduan NIST, dan jaga kebijakan tetap pendek supaya orang mau baca. Kalau aturan cuma nongkrong di dokumen compliance, akun nggak bakal terlindungi. Kalau aturan itu lolos uji cracking realistis dan pengguna bisa konsisten, berarti kamu punya kebijakan yang layak dipertahankan.