Blog

Password adalah salah satu aset paling vital dalam dunia digital. Semua akun online, mulai dari media sosial, email, hingga perbankan, bergantung pada kekuatan password sebagai lapisan keamanan pertama. Namun, menyimpan password dalam bentuk asli (plaintext) sangat berbahaya, karena jika terjadi kebocoran data maka semua informasi pengguna bisa langsung diakses oleh penyerang. Inilah mengapa teknik enkripsi dan hashing menjadi standar dalam penyimpanan password.

Sejarah menunjukkan bahwa algoritma enkripsi dan hashing terus berkembang mengikuti kebutuhan zaman. Dari algoritma lama yang kini dianggap tidak aman, hingga algoritma modern yang didesain khusus untuk menghadapi ancaman brute-force maupun serangan berbasis GPU.

1. Algoritma Lama (Tidak Direkomendasikan Lagi)

Beberapa algoritma ini populer di masa lalu, namun kini dianggap usang:

— MD5 (Message Digest 5)

Menghasilkan hash 128-bit. Dulunya banyak dipakai, tetapi sekarang sangat lemah karena sudah banyak collision ditemukan dan tersedia rainbow table.

— SHA-1 (Secure Hash Algorithm 1)

Hash sepanjang 160-bit. Pernah jadi standar keamanan internet, namun kini terbukti bisa ditembus.

2. Algoritma Menengah (Masih Dipakai dengan Perhatian)

Algoritma ini masih digunakan di banyak sistem, tetapi butuh tambahan salt dan iterasi agar aman:

— SHA-2 (SHA-256, SHA-512)

Lebih kuat dari pendahulunya, banyak dipakai dalam SSL/TLS, blockchain, dan sistem keamanan modern. Namun, jika digunakan tanpa salt dan key stretching, tetap rentan terhadap brute-force.

— PBKDF2 (Password-Based Key Derivation Function 2)

Sudah menjadi standar NIST. Memungkinkan penambahan salt dan pengulangan (iteration count) untuk memperlambat brute-force. Banyak dipakai di sistem enterprise.

3. Algoritma Khusus Password (Rekomendasi Populer)

Berbeda dengan SHA atau MD5, algoritma berikut dirancang khusus untuk hashing password:

— bcrypt

Menggunakan salt bawaan dan cost factor yang bisa diatur agar brute-force semakin sulit. Sangat populer digunakan di aplikasi web modern.

— scrypt

Tidak hanya CPU-intensive, tetapi juga memory-hard. Ini membuatnya lebih mahal untuk di-crack dengan GPU atau ASIC. Cocok untuk keamanan tinggi, meski lebih berat dijalankan.

4. Generasi Terbaru (Paling Direkomendasikan)

— Argon2

Pemenang kompetisi Password Hashing Competition (PHC) pada 2015. Bisa dikonfigurasi dari sisi time cost, memory cost, dan paralelisme. Varian yang paling direkomendasikan adalah Argon2id, karena menggabungkan keunggulan Argon2i (tahan side-channel attack) dan Argon2d (tahan GPU cracking).

Tabel Perbandingan

Referensi:

1. NIST Special Publication 800-63B: Digital Identity Guidelines (2017)

2. OWASP Foundation, Password Storage Cheat Sheet