Aturan seperti “minimal 8 karakter, campur huruf besar, angka, simbol, dan ganti sandi tiap 90 hari” sempat kita anggap kebenaran mutlak. Faktanya, standar keamanan yang paling berpengaruh justru membatalkan hampir semua aturan tersebut. Publikasi NIST SP 800-63B berjudul Digital Identity Guidelines: Authentication and Lifecycle Management adalah rujukan utama soal cara memilih, menyimpan, dan memverifikasi kata sandi serta mekanisme autentikasi digital.
Pedoman ini ditulis oleh National Institute of Standards and Technology (NIST) untuk sistem pemerintah Amerika Serikat, tetapi pada praktiknya menjadi referensi bagi perusahaan teknologi, developer aplikasi, dan profesional keamanan di seluruh dunia. Banyak praktik di aplikasi web modern — mulai dari peringatan ketika sandi terdeteksi bocor, hilangnya paksaan ganti sandi berkala, hingga dukungan penuh bagi password manager — berangkat dari dokumen ini.
Mengapa NIST SP 800-63B Menjadi Acuan Utama
SP 800-63B adalah bagian dari keluarga dokumen SP 800-63 Digital Identity Guidelines. Dokumen induknya, SP 800-63-3, membagi identitas digital menjadi tiga pilar: SP 800-63A untuk identity proofing (membuktikan identitas pengguna secara nyata saat pendaftaran), SP 800-63B untuk authentication and lifecycle management (verifikasi kredensial), dan SP 800-63C untuk federation (klaim identitas lintas sistem, misalnya single sign-on).
Rekomendasi NIST memetakan kekuatan mekanisme autentikasi ke dalam tingkat jaminan yang disebut Authenticator Assurance Level (AAL):
- AAL1 — autentikasi faktor tunggal; cukup satu kredensial seperti kata sandi.
- AAL2 — autentikasi multifaktor; kombinasi dua faktor yang berbeda, misalnya sandi ditambah kode OTP dari perangkat yang terdaftar.
- AAL3 — faktor hardware berbasis kriptografi dengan proteksi terhadap kebocoran dan deteksi replikasi, seperti token keamanan khusus.
Rincian teknis setiap tingkat diatur dalam SP 800-63B, yang bisa dibaca lengkap di halaman resmi Digital Identity Guidelines: Authentication and Lifecycle Management milik NIST. Meskipun dokumen ini kemudian diperbarui ke generasi baru, prinsip intinya tetap menjadi cetak biru yang dipakai industri hingga saat ini.
Panjang Lebih Penting daripada Kompleksitas
Bagian paling terkenal dari pedoman ini adalah aturan tentang kata sandi yang dipilih sendiri oleh manusia. Banyak ketentuan lamanya berbalik arah dari kebijakan korporat yang selama ini dianggap wajar.
Minimum 8 Karakter, Harus Mengizinkan 64 Karakter
NIST menetapkan panjang minimum 8 karakter untuk kata sandi pilihan manusia, dan menganjurkan 15 karakter bila sistem mengizinkan. Di sisi lain, verifier diwajibkan mengizinkan sandi paling sedikit 64 karakter. Alasannya, frasa sandi (passphrase) yang panjang biasanya lebih mudah dihafal sekaligus lebih sulit dipatahkan daripada sandi pendek yang dipenuhi simbol.
Tanpa Aturan Komposisi yang Dipaksakan
Pedoman ini secara eksplisit melarang paksaan campuran huruf kapital, angka, dan simbol. Kebijakan seperti itu cenderung hanya membuat pengguna mengikuti pola yang mudah ditebak, misalnya mengganti huruf “a” dengan ” @” atau menambahkan “1!” di akhir. Pengguna juga harus diperbolehkan menempel (paste) sandi dari password manager, sehingga tidak ada alasan memakai sandi tunggal yang dipakai di mana-mana.
Tanpa Penggantian Sandi Berkala
Rotasi sandi secara periodik — misalnya tiap 30 atau 90 hari — terbukti kontraproduktif. Pengguna bereaksi dengan mengganti angka di ujung sandi: RumahKita2024 menjadi RumahKita2025, sehingga prediktabilitasnya justru naik. Pedoman ini menyarankan penggantian hanya dilakukan ketika ada indikasi kompromi, misalnya sandi muncul dalam kebocoran data atau pengguna melaporkan perangkatnya hilang.
Verifikasi terhadap Daftar Sandi yang Bocor
Satu-satunya “seleksi” yang wajib dilakukan adalah membandingkan setiap kata sandi baru dengan daftar kata yang umum dipakai, mudah ditebak, atau tercatat bocor dalam insiden keamanan. Sandi yang cocok dengan daftar tersebut wajib ditolak. Pendekatan ini jauh lebih efektif memangkas serangan credential stuffing daripada aturan kompleksitas yang rumit.
Cara Penyimpanan yang Aman
Bagi developer, bagian paling teknis dalam pedoman ini adalah aturan penyimpanan kredensial. NIST melarang penyimpanan sandi dalam bentuk teks terbuka; verifier wajib menyimpannya sebagai hash dengan salt unik untuk setiap pengguna, diproses dengan fungsi key stretching yang sengaja dibuat lambat seperti PBKDF2 dengan minimum sepuluh ribu iterasi. Tujuannya sederhana: jika database bocor, proses pemecahan sandi menjadi begitu mahal sehingga pihak penyedia punya waktu untuk melakukan mitigasi.
Sisi operasional juga diatur secara rinci:
- Rate limiting terhadap percobaan login gagal, termasuk opsi pelambatan (throttling) secara progresif.
- Tanpa petunjuk sandi (password hint) yang ditampilkan kepada publik.
- Tanpa pertanyaan keamanan berbasis pengetahuan pribadi sebagai faktor autentikasi.
- Pengguna diperbolehkan menampilkan sandi (show password) di layanan publik agar salah ketik mudah ditemukan.
Autentikasi Multifaktor dan Tingkat Jaminan
Untuk sistem yang membutuhkan jaminan lebih tinggi, NIST merinci jenis autentikator pada tiap tingkat AAL: dari kata sandi dan PIN, sekali pakai (look-up secrets dan berbagai bentuk OTP), hingga token kriptografi. Beberapa penanda penting yang sering dikutip:
- Kode keamanan yang dikirim lewat SMS digolongkan restricted authenticator karena rentan terhadap serangan seperti SIM swap; pemakaiannya perlu disertai mitigasi risiko.
- Pertanyaan keamanan semacam “nama hewan peliharaan pertama” tidak boleh dihitung sebagai faktor autentikasi, karena jawabannya mudah ditebak atau diintip dari media sosial.
- Autentikator berbasis kriptografi — seperti token perangkat dan passkeys — dinilai lebih tahan terhadap serangan phishing karena proses verifikasinya terikat pada asal layanan.
Arah ini penting bagi siapa pun yang merancang sistem login: faktor kedua yang benar bukan sekadar menu tambahan, melainkan penentu apakah sistem mampu mencapai AAL2 atau AAL3.
Evolusi Menuju Passkeys dan SP 800-63B-4
Dokumen ini tidak berhenti diam. Pada 2024 NIST menerbitkan suplemen SP 800-63Bsup1 yang mengatur penggunaan syncable authenticators atau passkeys — autentikator kriptografi yang tersinkron antarperangkat lewat cloud. Generasi baru pedoman, SP 800-63B-4, kemudian terbit dan resmi menggantikan SP 800-63B versi 2020 yang ditarik pada Agustus 2025. Prinsip utamanya tetap berlaku: panjang mengalahkan kompleksitas, verifikasi terhadap kebocoran, multifaktor jika memungkinkan, dan penyimpanan hash ber-salt yang mahal dipecahkan.
Konteks yang lebih luas juga menentukan: kebijakan autentikasi terkuat sekalipun bisa bolong bila pengguna dibujuk menyerahkan kredensialnya sendiri. Oleh karena itu memahami pola rekayasa sosial — seperti dibahas pada artikel cara mencegah email phishing dan contoh penipuan — melengkapi rekomendasi teknis NIST secara alami. Untuk sisi perangkat, tips keamanan ponsel untuk mencegah peretasan bisa menjadi catatan pelengkap tentang menjaga autentikator sekunder di genggaman.
Kesimpulan
Rekomendasi NIST SP 800-63B merombak kebiasaan lama seputar kata sandi: prioritaskan panjang dan keunikan, periksa terhadap daftar bocor, jangan paksa rotasi berkala, simpan sebagai hash ber-salt yang dihitung lambat, dan tambahkan faktor kedua yang lebih kuat daripada SMS. Bagi developer maupun pengguna biasa, mengikuti pedoman autentikasi ini memberi perlindungan akun yang jauh lebih realistis daripada kebijakan sandi generasi lama.
Pertanyaannya sederhana: apakah layanan yang kamu kelola sudah menerapkan standar ini — atau masih memaksa pengguna membuat sandi “P@ssw0rd123” tiap tiga bulan?