## Analysis DictionaryAttack danModifikasi Password
Cracking SertaStrategi Antisipasi

## SayedAchmady
ProgramStudiS1-TeknikInformatika FakultasTeknikUniversitasJabalGhafur Sigli
sayedachmady@gmail.com Abstrak Dalam kontekskriptanalisisdankeamanan
komputer,dictionary attackadalah sebuahteknikuntuk melawancipherataumelawan mekanismeotentikasidengan caramenentukankuncidekripsi denganmencari kemungkinan kombinasi kata yang  terdapat di dalam sebuahkamus [1].
Padadasarnyadictionary attackadalahpengembangandari brute force attack,yaitumencobamemecahkankodedengan mencoba satuper  satukemungkinansecaraberulang  (exhaustive  search).Akantetapidictionary attackbukan mencobakombinasisatu persatukarakteryangtersedia  sepertibrute  force,melainkanmencobakombinasikatayang palingmungkinberhasildengan  inputsebuah “ listofkata ” yang dapat didefinisikan (disebut juga kamus),yang biasanya berasal dari daftar kombinasi kata-kata umum yang  terdapat dalam kamus, misalnya kamus bahasa Inggris.
Dictionaryattackmerupakan seranganyang  sangat efektif untuk memecahkan kode dan  sering digunakan hacker untukmembobolsistemkeamanan yangberupapassword, seperti akun email,akunjejaringsosial,halaman administratorsitusweb,danlain-lain.Dictionary attack dianggapefektif karena memanfaatkanpsikologi manusia, yaitukebiasaanbahwa penggunaakunakanmenggunakan kata-kata yang lumrahdanmudah diingatsebagaipassword suatu akuntertentu  [2]. Selain itu, dictionaryattack juga dikembangkanvariasinyadansemakin  tinggiefektivitasnya, sehinggahinggasaatiniteknik inimasihseringdigunakan untukmembobolpasswordpenggunasebuahakun. jurnalinimembahasmengenaistudidictionary attack mengenaipenjelasan  singkat,prinsip kerja,danbagaimana pengembangandaridictionary attackdalam konteks penerapannyauntukmembobolpassword sebuah akun tertentu.Variasidaridictionaryattack yangakandibahas dalammakalahiniyaitudictionary attack,hybriddictionary attack,danpre-computed dictionary attack.Selainitu,pada makalah iniakandianalisiskelebihan dankelemahan dictionary attackdanmasing-masingmodifikasinya,serta  solusi yang dapat dilakukan dalam melawan dictionary attack.
Katakunci:DictionaryAttack,password,bruteforce,kamus,listof hash.

## I. PENDAHULUAN
Dieraglobalisasiini,manusia diseluruh duniasemakin memanfaatkan teknologiinformasidalamkehidupannya
sehari- hari.Saatiniinternetsudahbukanbarangbaru bagi masyarakat. Sudahbanyakkegiatan bisnis,transaksi keuangan,komunikasi, bahkanblogging danjejaring sosialyangmenggunakan internet.Informasipribadi seseorangsudah semakinmudahdicari melalui search enginedanjejaringsosial.
Sebuah akun,baikakun email,administrator situsweb,
akuntransaksijualbeli,danlain- lainmerupakan halyang bersifat pribadi karena bisa mengandung
informasi sensitif.Olehkarenaitu,saatinikriptografi dansistem keamanan komputerterhadapakunsangatdibutuhkan. Akan  tetapi,ironisnyaketikailmukriptografi untuk mengenkripsi sebuahinformasisemakinberkembang, semakinberkembang pulacarauntukmelawannya.
Dictionary
attackmerupakan
salahsatubentukserangan
terhadapkriptografi
yanghinggasaatinimasihdianggap
efektifuntukmemecahkankodepasswordsebuahakun.
Dictionaryattackmemanfaatkan psikologimanusia. yaitukebiasaanbahwakebanyakan orangakan
menggunakankombinasikatayangberhubungan dengan
kehidupannya
sehari-
haridalammembuatpassword,
misalnyatanggallahir,makanankesukaan,namaorang tua,danlain-lain.Kata-katainimerupakan katayang terdapatdalamkamus(karenamerupakan katayang digunakan sehari-hari)danmudahdiingat.Psikologi manusia dalammembuat passwordjugatelahdikajidan dibuktikandenganpenelitian.
Selain itu,  ada sebuah penelitian yang menyatakan bahwasekitar30%penggunamemilih passwordyang panjangnya sama dengan atau di bawah 6 karakter, hampir60%pengunamemilih passworddarikarakter alpha-numeric, danhampir50%penggunamenggunakan nama, kata slang, kata-kata dalamkamusatau “ trivial password ” (digit berurutan, urutan huruf di keyboard, samadengannamaakun,danlain-lain).
Password paling umumyangdimiliki pemilikakunadalah “ 123456 ”. De ngan demikian,jikahackertelahberhasilmenebak passwordsalah satu akunseseorang,makaiadapat membobol beberapa akun yang dimiliki oleh orang tersebut.  Halini dapat menimbulkan kejahatan yang serius,misalnyamelakukan transaksisecaradiam-diam, mengubahkontenprofil,danmenyebarkanisuyangtidak
baikdenganmenggunakanakunkorban.
Olehkarenaitu,penulismerasadictionary attack merupakan kriptanalisisyangpatutuntukdikaji,dengan harapan kajian daridictionary
attackinidapatmembuka wawasan pembaca  akan pentingnya
memproteksi passworddariserangandictionary attack,mengetahui kelemahannya, sertamenerapkantawaransolusiyang diajukanpadamakalahini untukmelawannya.
Makalah
iniakanmembahasmengenaipenjelasan singkatmengenai dictionaryattack,prinsipkerjanya, dan bagaimana pengembangan (modifikasinya) dari dictionary attackdalamkontekspenerapannyauntuk membobol passwordsebuahakuntertentu.Selainitu, makalahinijugaakanmemaparkan kelebihandan kelemahandictionaryattackdanmodifikasinya, serta memberikansolusiuntuk melawandictionaryattack.
Penulis berharapmakalahinidapatmemberikan kontribusi bagi pembaca, dalamhal ini pengguna dan penyedia aplikasiataulayanan suatuakuntertentu supaya dapatmeningkatkan keamananpasswordsehinggadapat memproteksidiridariserangandictionaryattack.

## II. KRIPTANALISIS

## A. DefinisiKriptanalisis
Kriptanalisis berasaldaribahasaYunanikryptosyang
berarti
tersembunyi
dan analyein yang berarti melepaskan.Kriptanalisis
berartisebuahstudimengenai metodeuntukmendapatkan artidariinformasiyang
terenkripsi, tanpamemilikikunciakseskeinformasi rahasiatersebut.
Studiinimelibatkan pengetahuanmengenaibagaimana sistembekerjadanmenemukan sebuahkuncirahasia. Metodekriptanalisisterusberkembang dansemakin kompleks,daripenggunaan penadankertasdimasalalu, sekarangmenggunakanskemaberbasiskomputer.

## B. SumberDayaKomputasionalyangDibutuhkan
Penyerangan dapatdicirikandengansumberdayayang dibutuhkan.Sumberdayatersebutmeliputi:
 Waktu
Jumlahlangkahkomputasiyangharusdilakukan.
 Memori Jumlahsumberdayayangdiperlukandalammelakuk an serangan.
 Data
Jumlahdari plainteksdan cipherteksyang diperlukan.
Kadang-kadangsulit untuk memprediksi kuantitas  inisecara tepat,  tetapi kebanyakankripatanalissetidaknya menyediakanperkiraankekuatandariseranganmere ka.

## III. METODEDICTIONARYATTACK A. Overview Dictionary Attack
Dalam lingkupkriptanalisis dankeamanankomputer, dictionaryattackadalahteknikuntukmengalahkanciph er  atau mekanisme autentikasi dengan  cara menentukan kunci dekripsi      atau frase khusus dengan mencari kombinasikata- katayangpalingmemungkinkan yang terdapatpadasebuahkamus[1]. Dictionaryattackmenyerangtargetdengan mencoba semuakata-katayangdidefinisikan dalamsebuah exhaustive listsecaraberulang,yangdisebutjugadengan istilahkamusataudictionary.Berbeda denganbruteforce attack yang menggunakan semua kemungkinan kombinasi karakteryanglingkupdomainnyasangatluas, dictionary attackhanyamencobakemungkinan- kemungkinan
yangmemilikipeluangkeberhasilantinggi (mostlikelytosucceed),yangsecaratipikalditurunkan darikata-katayangterdapatdalam kamus.Kamus disini didefinisikan sebagaisebuah “ listofka ta” yangtiap-tiap elemennya adalahkombinasi darikata- katayangterdapat dari sebuah kamus (misalnya kamus bahasa Inggris, kamusbahasaIndonesia,dansebagainya). Dictionary attackseringkaliberhasilkarenakebanyakan
orang menggunakan kata-katayanglazimterdapatdalam percakapan sehari-haridalammenentukanpassword sebuah akunnya(passworde-mail,
situsweb,dan sebagainya)[3]. Pengembangan daridictionaryattackjuga memungkinkan penyeranguntukmenghemattenagadan
waktudenganmelakukan komputasi “ listofkata ” ,atau disebutjugalistofhashes,dalam
kata-kata dalamkamus danmenyimpan kata- katatersebutdalambasisdata(atau file teks) denganmenggunakanhash sebagaikuncinya. Mengkomputasikan programdictionaryattack membutuhkanwaktuyang cukup lama, terutamauntuk mendefinisikankata-kata yang akan menjadi “ amunisi ” dalam menebak password.      Namun ketika program  tersebutsudahsiapuntukmenyerang,
serangan dapat dieksekusi dengancepatdanefektif,tergantung dari komputasiataumodifikasiyangdisusunolehpenyerang.

## B. CaraKerjaDictionary Attack
SistemoperasisepertiWindowsmenyimpan
password ke dalam bentuk terenkripsi yang disebut
hashes. Passwordtidakdapatdiambil (retrieved)
secaralangsung darihashes.Untukmelakukan recoverpassword diperlukan komputasiterhadaphashesdenganpossible password(kata-katayangdidugasebagaipassword) dan memasukkannyakedalamlist ofhashes.
Dalamkontekskeamanansebuahpassword,mis
alnyapasswordakune- mail,akunadministratorsitusweb,dansebagainya,man usiaseringkalimemilih katayangmudah diingatsupaya tidaklupa denganpasswordakun yang telahdibuatnya, Sebagai contoh,banyak
penggunaemail yang menggunakan kata „ admin „ , „ administrator „ , „ supervisor „ , „ password „ , dan sebagainya sebagai password default,    atau menggunakan
password yang berasal daritanggal
lahir,namaorang
tua,lokasi rumah,danlain- lainagarmudahdiingat[2].
Hacker mengumpulkan kata-kata yang sering digunakan sebagai password ini ke dalam sebuah file yangdinamakan sebagaidictionary(kamus)danfileini bisadidapatkan denganmudahdiInternetsepertidisitus http://lastbit.com/dict.asp,ataukitajugabisamembuatn ya sendiriataumenambahkannya darifiledictionaryyang sudahada[5].
Gambar di bawah ini merupakan  alur proses daridictionaryattack:

## Gambar1- AlurProsesDictionaryAttack
Programcrackingakanmengubahsatupersatuk
ata-kata
yangadadidalamkamusberdasarkan fungsihashyang digunakankedalambentuktabelhash.Hasilperubahan inikemudiandicocokkandenganhashpadafilepasswor d yangdidapatkan.
Apabila hasilhashinicocok,artinyapassword sudah berhasil diketahui. Dengan teknikini,hackertidakperlu mencoba semua
kombinasi karakter yang  ada (seperti brute force attack) sehingga bisa menghematbanyak waktudantenaga.

## IV. TEKNIK- TEKNIKPASSWORDRECOVERYDANPERBA NDINGANNYA
Sebuah password dapat ditemukandengan berbagai cara, teknik yang umum digunakan antara lain:brute
forceattack,dictionary attack,hybriddictionary attacks, danpre- computeddictionaryattack[3].

## A. BruteForceAttack
Dalambruteforceattack,penyerangmenentuka
n range ofcharactersetdanmengkomputasikanhashuntuksetia p kemungkinan kombinasikarakteryangada,dalamhalini pada umumnya brute force attack menggunakan kombinasi
karakteryangterdiridarihurufsaja,hurufatau angka, hurufangkaatau specialcharacter,atau setiap
karakterpadatabelASCIIsebagaidomainnya. Denganmenggunakan bruteforceattack,semua passworddalam bentukapapun
sudahpastidijaminakan tertebak, namun yang menjadi masalah adalah waktu yangdiperlukan untukmenebak passwordtersebut, terutamajika password yanginginditebakterdiridari banyakkarakter. Kelebihan daribruteforceattackadalahjaminanbahwa password apapun dapat dipecahkan. Namun
kelemahannya,waktuyangdibutuhkanbruteforceattac k, yaitu tingkat kompleksitaspassword akan berpengaruh secaraeksponensial padabanyaknyapercobaanyang dilakukan.Untuklebihjelasnyalihattabeldibawahini:
Gambar2- HubunganPanjangPassworddenganBanyaknyaKo mbinasiKarakter Pada BruteForce

## B. DictionaryAttack
Dalamdictionaryattack,hashesdikomputasi secara berangsur-angsur dengansetiapkatatunggalatau modifikasikata dari sebuah kamus dan dicocokkan denganpasswordhashesdarisetiappenggunatertentu. Kentungan darimetodedictionaryattackadalahwaktu yang dibutuhkanrelatif singkat. Sedangkankelemahan darimetode iniadalahhanya dapatmenebakpassword yangterdiridarikombinasi
kata-katayangterdapat pada kamus(contoh:jika passwordpenggunamenggunakan
kombinasihurufangkayangtidakterdapatdalam kamus, makapasswordtidakakantertebak).
Kamus dalam metode dictionary attack berbentuk sebuah “ listofkata ”, yangtiap-tiapelemen katanya merupakankata-kata dan kombinasinya yang terdapat padakamus.Kamusinisendiri dapat beragam,seperti kamusbesarbahasaIndonesia, kamusbahasaInggris, kamusmultilingual, ataubahkankata-katayangterdapat pada buku (bible, Al-Qur ‟ an, novel, diary), dan sebagainya.

## C. Hybrid DictionaryAttack
Secaraumumhybriddictionary attackserupadengan dictionaryattackbiasa,yaitumenggunakankamus “ listo f k ata” sebagaisenjatauntukmenebakpassword. Namun hybriddictionaryattackjugadapatmenebakpasswordy angmerupakan kombinasiantarkatadalamkamusdan jugaangka(alpha-numeric). Hybriddictionaryattack menambahkan karakter di sebelah kanan/kiri dari tiap kataataumodifikasi katayangterdapatdarikamus. Sebagaicontoh:k ata“ merdek a” dalamkamusdapat dikomputasi hybriddictionaryattackuntukmenebakkata “ merdeka1945 ”.Hal serupa jugabisa terjadi misalnya untukkatakunci “ if17123 ”,“ 122emergency ”, dan sebagainyasebagaielemendarikamusnya.
Keuntungan darihybriddictionaryattackadalahteknik inidapatmenebak passwordyangterdiridarikombinasi katayanglumrah dengankarakterlain,karenapassword sejenisinijugaseringdigunakan olehpengguna.Namun kelemahannya jelasmembutuhkanwaktuyangjauhlebih lama daripada
dictionary attack biasa karena menggunakankombinasi-kombinasidarilistofhashes.
D. Pre-Computed DictionaryAttack Untukdapatmelakukanpre- computeddictionaryattack, tiap hash akan
direkomputasidan pasanganpassword-hashdisimpan padasemuakombinasiyangmungkin dari setkarakteryang dipilih. Paswordhashesyangavailable
dicaridaripre-
computed hashes.Secarasingkat,
precomputedhashesattackmendefinisikan kamusnya secara manual. Akan tetapi pre-computed dictionary attackakanmenjadisangatefektif dan efisienjika menggunakan teknologiinformationretrievaldalam mendefinisikan  listofkata.Misalnya “ listofk ata” yang akandijadikan senjatadalammembobolpasswordterdiri darikata- katayangterdapat dariprofilFacebook seseorang,blog seseorang,dokumenpribadiseseorang, dansebagainya.Dengandemikian, “ listof k ata” yang akandijadikansenjatauntukmembobol passworddapat diisiolehkata-katayangsesuaidenganinformasi pribadi yangdimilikipengguna(lebihpersonal).
Pre-computed dictionary attack menjadi semakin
efektifketikahackersedang
beradadikondisiadabanyak
passwordyangharus
dibobol.  Secara umum komputasi dictionary attackhanyacukupdigenerate sekalisaja,
setelahituprogramhasilkomputasi dapatdijalankan denganlebihcepatdibandingkan dictionaryattackbiasa.
Passwordhashesdapatmencocokkan  tiapkatapadalist dengan password yang terkorespondensidengan waktu
yanginstan.Pre-computed dictionaryattacksjugadapat
dikenali
sebagaipenggunaandari “ sa lt”, yaitu teknikyang
memaksahashdictionaryuntukdikomputasi ulangpada tiappasswordyangdicari.
Pre-computed hashesattackjugadapatdikombinasikan dengan spam,yaituinjeksi
kodekesuatuhalamanweb sehinggaiadapatmenerima informasi rahasiayang terdapat pada website  tersebut, seperti list of email addresspadakontakseseorang, dansebagainya.  Halini menambah
efektifitasmetodeinidalammembobol password. Keuntungandari metodeini adalahkecepatan(waktu yangdibutuhkan untukmembobolpassword)yang jauh lebihcepatdibandingkanmetode-metode sebelumnya karena “ list of k ata” hanya menyimpankata/informasi yang personal, yang didefinisikan sendiri berdasarkan hasilpencarianinformasi tentangpengguna.Namun kelemahan yangumum darimetodeiniadalahdibutuhkan waktuyanglamadalammengkomputasihashesnya.

## V. PERCOBAANDICTIONARYATTACKUNTUK MEMBOBOLPASSWORD
Dibagianini,akandijelaskanmengenai caramembobol passworddenganmetodedictionary
attack.Karenasulit
ditemukantoolyangdapatmembobolpasswordakun(ad a  aplikasi berbayar),makapadakasusdibawah ini percobaandictionaryattack
dilakukanpada filepowerpoint.ToolsyangdigunakanadalahPassword Tool versi Powerpointyangdapatdiunduh program demonya pada situshttp://lastbit.com/programs/msodemo.zip Pertama-tama dibuatfilepowerpointdengannama  contoh.ppt yang diatur password securitynya dengan kunci “ bathroom ”.

## Gambar3- MembuatPowerpoint denganpassword
Kemudian bukaaplikasiPowerTools
versiPowerPoint.
Berikutadalahtampilanantarmukanya.

## Gambar4- AntarmukaPasswordToolsPowerpoint
Penggunadapatmenginput fileteksyang akan dijadikan kamusuntukdictionaryattack.Padaprogram demo, disediakanjugafiletekskamusyangberisikata- katayang
adadalam
kamusbahasaInggris,dengannam a “ wordlist.tx t”.

## Gambar5- Inputfileteksyangdijadikankamus
untukdictionaryattack

## Gambar6- Prosesdictionaryattackberlangsung
Password “ bathroom ” berhasilditemukan dalamwaktu1menit22detik.Kemudianpercobaanberik utnyaadalah mengganti
security password contoh.ppt dengan kata kunci “ kamarmand i”. Ternyatahasilnyadictionaryatta
ck yangdialkukanPasswordToolgagalmenemukansolusi password. Daripercobaandiatas,dapatdisimpulkan bahwa dictionary attackdapat digunakan untukmemecahkan passwordjikadiketahuibahasayangdigunakan dan tersediafilekamusyangbersesuaian, sertadalam percobaan  ini,hanyaefektif jikapasswordhanyaterdiri darisatukatadalam bahasainggris,contohnya “ bathroom ”. Berikut ini  adalah potongan gambar mengenai isidarikamusyangdigunakan, yaitu “ wordlist.tx t”.
Gambar7 – Isifiledictionarywordlist.txt
Denganteknikmodifikasihybrid-dictionary attack, denganfilekamusyangsama, dapatdikomputasi kombinasi antarkatadanangkasehinggamemungkinkan terjaditebakanyangmerupakan gabungandarisatuatau lebihkata(jumlahnyapunbisadikonfigurasi), seperti “ establishedin1971 ”. Prosesattacknyaakanjauhlebih lambat,namundapatlebihdipercayatercapainya solusi karenadapatmenebak passwordyangmerupakan
kombinasi. Sementara itu,denganteknikmodifikasipre- computed dictionary attack, kita dapat menggunakan file kamus yangkitabuatsendiri.Kata-katatersebutbisa merujuk padainformasi pribadipemilikfilepassword, seperti tanggallahir,namaorangtua,danlain-lain.
Prosesattack akanjauhlebihefisien. Kamusuntukhybrid-dictionary attackdapatdiperoleh
darisitushttp://lastbit.com/dict.aspsementaraituprogr am untukmemperolehkamuspre-computed- dictionaryattack
dapatdiperoleh darisitushttp://lastbit.com/dictmaker/default.asp
VI. SOLUSIUNTUKMELAWANDICTIONARY ATTACK Untukdapatmengalahkan dictionaryattackdalam
memproteksi
passwordyangkitamiliki,kitaharus
mengetahui carakerjadanmengapadictionaryattackdan modifikasinya dapatberfungsisecaraefektifdalam membobolsebuahpassword.
Caramelawandictionaryattackdapatdigunakan
baik oleh pengguna akun maupun oleh developer yang membuatsistemkeamanannya.
Berikutiniadalahcara- carauntukmelawandictionaryattack:

## A. MemperkuatPasswordStrength

## Password
strengthadalahsebuahukurandariefektivitas ketahanansebuahpasswordterhadapbruteforceattack dan sejenisnya.Ukuran ini didasarkan pada seberapa besarpeluangpercobaan yangdapatdilakukan hacker untuk dapat menebak password tersebut. Passwordstrengthinidiukurdaripanjang password(password length),kompleksitas, dankesukaranprediksi(acakdan tidakberhubungan denganinformasipribadi).Password strengthhanyamenentukankekuatan proteksipassword dari  tingkat kesukarannya,bukan dari security control design yang terdapat pada aplikasi saat autentifikasi sebuahakun[6].
B. Mengganti Default Username dan PesanKesalahan Login Tidakhanyapasswordyangharusdiproteksi, username sebuahakunjuga harusdijadikanbahanpertimbangan. Ketika usernamedapat ditebak hackerdengan mudah,makahackerhanyaperluuntukmenebak
password penggunasaja,tidakperlumenebakkombinasi
username
danpassword.Halini
menjadimasalahkarenabanyak webaplikasi atauframeworkwebyangmenyediakan defaultusername padapengguna, contohnya padaakun
Wordpressdefaultusernamenyaadalah “ admin ” [7]. Selainitu,pesanyangditimbulkan
darikesalahaninput
jugaberpengaruh.
Misalnya,hackergagalloginlalu kemudianditampilkan
pesa n“ youfailedtologinbecause  the password is incorrec t”, pesan ini memberikanarti bahwahackertelahberhasilmenebak usernamedengan benar,sehinggaiatinggalmenebak passwordyang
berkoresponden
denganusernametersebutdengan dictionary attack.Berbedajikapesanyangditampilkan ad alah“ youfailedtologinbecauseyourusername and passworddoesn ‟ tmatch ”.D engandemikianhackertida k tahuapakah
salahsatudariusername danpasswordyang ditebakhackersudahbenarataubelum[7].

## C. MembuatStrong PasswordPolicy
Salahsatupertahananutamadalammelawandicti onary attackadalah
adanyastrongpasswordpolicydalam membuatakundisuatu website. Kitatelahmembahasmengenaikombinasikatap
ada
dictionary
attackdanpentingnya
passwordstrength.  Dengan adanyastrongpassword policy,setiapkali pengguna inginmembuatsebuahakun,adabatasan-batasan tertentu (guidelines) dalam menentukan password,seperti:
• Passwordlengthminimal7karakter
• Passwordterdiridarikarakterupperdanlowercase
• Passwordharusmengandungangka
• Passwordharusmengandungtandabaca
Guidelinesdiatasmemangagakmenyulitkanpen gguna, namunkebijakan sepertiiniakansangatmelindungi pengguna daripembobolandictionaryattack,karenaakan ada hampir 70 triliun kombinasi karakter yang dapat dibuatdari7digitpasswordyangmengandungupperdan lowercase,angka,dantandabaca.
Bahkan dictionary
attacktoolyangmampumelakukan penyocokan 100passwordperdetikpunmembutuhkan waktulebihdari11.000tahununtuk memecahkannya.

## D. StrategiAutomatic Disable Account
Strategilainyangdapatmemproteksi passworddari dictionary
attackadalahadanyafiturdisableaccount
secaraotomatis setelah penggunabeberapakaligagal melakukanlogin.
Contohnya,ketikaservermendeteksi
pengguna “ Bob ”
telah melakukan gagalloginsetelah3kali,maka
passwordnyaakandigantisecaraotomatis,ataupenggun a tersebuttidakbisamelakukan loginselamaselangwaktu  tertentu,misalnyaselama30 menit. Hal ini mencegah iterasipencocokan katadictionaryattackyangdilakukan berulang-ulang.
Adapendapatbahwasolusiinimerupakan solusiyang burukkarenamerugikan penggunayangasliketikaada hacker menyerang akunnya karena pengguna menjadi
tidakbisaloginsepertibiasajika passwordnyadiubah atausedang. inginloginsaatakunsedangtemporary disabled. Bahkan hal  tersebut memungkinkan hacker
untukmerusak sistemdenganmencegahpenggunauntuk loginkapan pun.Namun, solusiinibisadipakaiuntuk proteksi passworddokumen yangbersifat sangatrahasia dantidakbisasembarangandiaksespublik[8].

## E. StrategiIncrementalResponseDelay
Strategilainuntukmelawandictionaryattackyait
u
dengancara menghasilkandelaypageresponsesetelah percobaan login gagal secara    inkremental.      Sebagai contoh,pada percobaanpertamapenggunagagallogin, maka halaman akan melakukan delay selama  1 detik, padapercobaan keduagagallogin,halamanakan melakukan delayselama3detik,jikademikian pada percobaan ke-n,makahackerakanmenunggu n+(n-1)+ (n-2 )+…+1 detik hinggahalaman webmerespon
kembali.

## Solusiincremental
delaydapatdikatakansebagaisolusi yangefektifkarena penggunaasliyang2atau3kali melakukangagal  login seperti
tidak mendapatkanefek apa-
apakarenahanyamerasakan
delayyangbesarannya hanya 2 atau 3 detik, namun efek ini menjadisangat bermasalah bagi dictionary attack  tool yang
mencoba
loginribuankali,sehinggamembutuhkan waktuyang sangatlamauntukdapatmembobolpasswordnya.
Untuk mencegahkesalahaninkremenyang terjadi di  luarkontrol,sistemincremental delayjuga mempertimbangkan IP Address pengguna yang melakukan aksi  login dan mereset incremental numbernyaketikapenggunaberhasillogin,ataudireset tiapperiodewaktu tertentu,yangmengacu padaweb session[8].

## F. MenggunakanReverseTuring Test
Alternatif laindalammelawandictionaryattackyaitu denganmenggunakan ReverseTuringTest,yaitudengan menggunakan validasi
yang
mengharuskan pengguna untukmenginputkatakunci yangditampilkankelayar untukmemastikan
bahwainputtersebutbenar-benar
dimasukkan olehmanusia,bukanmesinotomatisseperti
dictionaryattack tool.Salahsatu ReverseTuringTest yang palingpopuler
dan  terpercayaadalah
CAPTCHA (Completely AutomatedPublicTuringTesttoTell ComputersandHumansApart). Adayangberpendapat bahwaadaperangkatlunak intelegensia buatandengangrafikvisualyang
memungkinkan
programuntukmenginterpretasikata tantanganCAPTCHAyangdipecahkan olehGregMori danJitendraMalikdariUCBerkeley ComputerVision Groupdenganprogrammereka,namun programtersebut tidaktersebarluasdimasyarakat[9].
Namun
adajugarisetterakhirdaripaperJ.Xuetaldan workshopXeroxPARCyangmengembangkan Reverse
TuringTesthihnggatakdapatdiparsing olehOptical CharacterRecognition
(OCR)saatini.Hasil pengembangan itusekarangdigunakanuntukkebutuhan komersialsepertiPayPal,Yahoo!,danAltavista[8].

## G. MenggunakanProtokol Autentifikasi
Ketikaofflinedictionaryattackhanyamungkin terjadi ketika penyerangdapat mengambildata pada protokol denganmenyadapchannelkomunikasi
dandapatdilawan
denganmenggunakan
publickeypadakriptografi,online
dictionary attackdapatdilakukan
olehsiapasaja.Halini
menyebabkanmunculnya
alternatif melawandictionary
attackdenganmenggunakanprotokolyangterautenfika si.
Protokolterautentifikasimudahdiimplementasi kantanpa
mengubahinfrastrukturdenganmenggunakanone way hash  functions dan mengeliminasi online dictionary attackdenganimplementasichallangeresponsesystem yangdidesainsedemikianrupa sehinggamenimbulkan kendala berat, menghabiskankan banyak waktu, dan menyiksa
secara komputasional dengan meluncurkan ratusanribuauthenticationrequestspadaonlinedictiona ry attack. Protocol  tersebut bersifat stateless dan tahan terhadap denial of service (DoS) attacks. Protokol  terautentifikasi menjawab permasalahan usability dan scalabilitydibandingkansolusi- solusisebelumnya[9].  Sepanjangstudiliteratur yang dilakukanpenulis,protokol  terautentifikasi  adalah solusi paling aman dan efektif hinggasaatini.

## V. KESIMPULAN
Dictionary attack merupakan serangan kriptanalisis yangsederhana danmudahdilakukan, akantetapiselama sistemkeamanan terhadappasswordtidakdiproteksi denganstandarpencegahan yangbaik, dictionary attack dapat menjadiancamanyangberbahaya.
Pre-computeddictionaryattack adalahseranganyang
palingberbahayakarenapenyerangmemanfaatkan data- datapersonaltargetyangakunnyaingindibobol,
sehingga serangan dapatlebih efisien,apalagijikamenggunakan teknologiinformationretrievalotomatis. Solusiuntukmengalahkan
dictionaryattack membutuhkan partisipasi baik dari user maupun developer.
Solusibagiuseradalahdenganmenggunakan strong password yang  terdiri dari minimal7 karakter, kombinasi huruf, angka,bahkantandabaca,serta mengganti
usernamedefault.Solusidarideveloperyaitu denganmembuat strongpassword policy,automatic disabled account,incremental
responsedelay,
Reverse
TuringTest,sertamenggunakan protokolterautentifikasi.
Masing-masing solusi memiliki kelebihan dan kekuranganmasing-masing sehinggasebaiknya disesuaikan dengankebutuhan.Selainitu,beberapasolusi dapatsalingmelengkapisatusamalaindalammembent uk sistemkeamananyangsolid. Denganmengikuti pedoman ini,diharapkan
Andadapat memproteksi akundaridictionaryattack,baikdarisudut pandangusermaupundeveloper.

## REFERENCES
[1] http://en.wikipedia.org/wiki/Dictionary_attack [2] The Imperva Application Defense Center (ADC).
(2010). http://www.imperva.com/docs/WP_ConsumerPas sword Worst Practices.pdf [3] http://lastbit.com/password-recovery-methods.asp [4] http://lastbit.com/dict.asp [5] http://lastbit.com/programs/msodemo.zip [6] http://en.wikipedia.org/ wiki/Password_strength
[7] Sullivan,Bryan.PreventingaBruteForceorDi ctionaryAttack: How to
Keep the    Brutes Away from Your Loot,
http://www.infosecwriters.com/text_resources/pdf /Brute_Force_BSullivan.pdf [8] Pinkas,Benny.  (2002). SecuringPassword  From DictionaryAttack, http://www.pinkas.net/PAPERS/pwdweb.pdf
[9] Goyal, Vipul. (2005).A New Protocol to Counter Online DictionaryAttacks.Crypto Group,Institute of Technology, BanarasHindu University,India. http://www.cc.gatech.edu/~virendra/papers/GKS0 5-journal.pdf