Router-mu punya dua kata sandi, dan hampir tak ada yang tahu.
Yang satu kata sandi wi-fi: yang kamu diktekan lewat telepon, yang tertulis di secarik kertas di dapur, yang kamu bacakan ke tukang ledeng. Yang lain kata sandi administrasi perangkatnya sendiri, yang membuka panel tempat semuanya diatur. Yang kedua itu nyaris tak pernah disentuh, dan kalau kamu belum pernah menyentuhnya, ia masih persis seperti yang tercetak di stiker di bagian bawah.
Keduanya melindungi hal yang berbeda dan gagal dengan cara yang berbeda. Layak dipisahkan, karena dua puluh tahun percakapan tentang “kata sandi wi-fi” antara lain berguna untuk menutupi yang satunya.
Yang kamu hafal dan yang tak pernah kamu lihat
Kata sandi wi-fi menentukan siapa yang boleh terhubung ke jaringan. Ia izin masuk: dengannya sebuah perangkat masuk ke jaringan lokalmu dan hidup berdampingan dengan semua yang ada di dalamnya.
Kata sandi administrasi menentukan siapa yang boleh mengubah cara jaringan bekerja. Dari panel itu diatur nama jaringan, jenis enkripsi, server DNS mana yang dipakai seisi rumahmu, port mana yang terbuka ke luar, dan apakah router bisa dikelola dari internet. Itu bukan satu pintu tambahan: itu pintu tempat pintu-pintu lain diatur.
Di situlah asimetri yang tidak enak itu. Kalau seseorang punya kata sandi wi-fi-mu, dia ada di jaringanmu. Kalau seseorang punya kata sandi administrasimu, jaringanmu jadi miliknya: dia bisa mengganti kata sandi wi-fi, menurunkan enkripsi, atau membelokkan lewat mana lalu lintasmu keluar — dan kamu akan tahu dari akibatnya, tidak pernah dari sebuah pemberitahuan.
Anjuran CISA soal ini tanpa tedeng aling-aling: ganti nama pengguna dan kata sandi login router, karena informasi bawaan pabriknya bisa saja tersedia untuk umum dan bisa ditemukan siapa pun, lalu buat yang baru panjang, acak, dan unik. Tambahkan satu aturan lagi yang hampir semua orang langgar tanpa sadar: jangan sama dengan kata sandi wi-fi. Keduanya hal yang berbeda dan dibagikan dengan cara yang jauh berbeda — yang satu diketahui separuh kompleks, yang lain seharusnya tak diketahui siapa pun.
2011 tombol yang kelihatannya praktis
Ada rahasia ketiga di router-mu yang nyaris tak pernah dibicarakan: PIN WPS, sistem pemasangan cepat yang muncul sebagai tombol di perangkat dan sebagai angka delapan digit di stiker.
Pada Desember 2011, CERT/CC menerbitkan catatan kerentanan VU#723755, berdasarkan kerja Stefan Viehböck, tentang kelemahan rancangan pada cara PIN itu diperiksa. Yang penting bagimu bukan detail teknisnya, melainkan jawaban resminya — dan jawaban itu masih sama lima belas tahun kemudian. Tak ada tambalan; yang ada sebuah sakelar. Anjurannya dulu — dan sekarang — adalah masuk ke pengaturan dan mematikan WPS. CISA mengulanginya hari ini dalam panduan jaringan rumahnya, di daftar yang sama tempat ia memintamu mematikan pengelolaan jarak jauh.
Inilah bagian paling menguntungkan dari seluruh tulisan ini: dua kotak centang yang kamu lepas sekali dan tak pernah mengganggumu lagi.
2015 ketika kunci pabrik datang sudah terhitung
Kata sandi pabrik bukan rahasia milikmu. Ia sebuah nilai yang dipilih pabrikan, dicetak di perangkat, tertulis di buku panduan, dan sering kali sama di semua unit satu model.
Dan ada kasus terpublikasi tentang sesuatu yang lebih buruk: kunci pabrik yang sama sekali tidak acak, melainkan dihitung dari data yang dipancarkan sendiri oleh router ke udara. Di katalog NIST ada CVE-2015-0558, tentang sebuah router rumahan yang menghasilkan kunci WPA-nya dari sebuah deret karakter tetap dan alamat MAC-nya sendiri. Tak lama kemudian, peringatan publik dari SEARCH-LAB tentang sebuah modem kabel yang sangat tersebar di Eropa merangkumnya dalam satu kalimat: “SSID dan kata sandi bawaan diturunkan semata-mata dari alamat MAC. Karena alamat MAC perangkat dipancarkan lewat wi-fi, kata sandi bawaannya bisa dihitung dengan mudah.” Operatornya berakhir dengan mengirim surat kepada pelanggan, meminta mereka menggantinya.
Kamu tak perlu tahu bagaimana itu dilakukan — dan di sini tidak akan diceritakan — untuk memegang satu-satunya hal yang penting: kunci yang bisa dibangkitkan pabrikan, bisa dibangkitkan ulang orang lain. Kunci pabrikmu bukan acak karena panjang dan jelek. Ia jelek karena keluar dari sebuah prosedur, dan prosedur bisa dipelajari.
Kata sandi paling gampang dibuat panjang yang akan kamu punya
Sekarang kabar baiknya, dan ini langka, karena nasihat keamanan hampir tak pernah gratis.
Semua kata sandi dalam hidupmu menyeret musuh tersembunyi yang sama: kamu harus mengetiknya. Sering kali dengan tangan, di ponsel, terburu-buru. Karena itulah orang membuatnya pendek, dan karena itu pula “pakai tiga puluh karakter” terdengar seperti hukuman.
Kata sandi wi-fi tidak punya masalah itu. Kamu mengetiknya sekali per perangkat dan tak melihatnya lagi: ponsel, laptop, dan televisi mengingatnya selamanya. Dan ketika harus diberikan kepada seseorang, hampir semua ponsel dan banyak router modern membagikannya lewat kode QR — tak ada yang mengetik apa pun.
Artinya: panjang di sini praktis gratis, jadi tak ada alasan untuk membuatnya pendek. Standar IEEE 802.11i, yang mendefinisikan ini sejak 2004, mengizinkan frasa sandi sampai 63 karakter. Hampir tak ada yang mencapai separuhnya.
Lalu pakai apa? CISA mengusulkan sesuatu yang sangat konkret dan sangat mudah diikuti: sebuah frasa sandi yang mudah diingat terdiri dari lima sampai tujuh kata yang tidak berhubungan satu sama lain, total sedikitnya enam belas karakter, dan tidak dipakai di akun mana pun yang lain. Itu logika diceware yang diterapkan ke ruang tamumu. Kalau kamu lebih suka deret acak dan membiarkan kode QR yang bekerja, malah lebih bagus: ambil dari pembuat kata sandi lalu tak usah dilihat lagi. Dan kalau yang sekarang kamu pakai bikin ragu, lewatkan dulu ke pemeriksa sebelum memutuskan apa pun.
2018 apa itu WPA3 dan kenapa hitungannya berubah
Pada 2018 Wi-Fi Alliance memperkenalkan WPA3, pengganti WPA2. Sekarang ia wajib bagi setiap perangkat yang ingin membawa sertifikasi Wi-Fi CERTIFIED.
Perubahan mendasarnya bernama jelek, SAE, dengan akibat yang sangat mudah dipahami. Dengan WPA2, seseorang yang berada di dekat situ bisa menangkap salam pembuka antara ponselmu dan router, pulang ke rumah, lalu mencoba jutaan kunci per detik terhadap berkas itu — tanpa batas percobaan dan tanpa ada yang tahu. Itu persis masalah kebocoran kata sandi: begitu bahannya ada di cakram penyerang, tak ada siapa pun di seberang sana yang bisa bilang tidak.
WPA3 memutus itu. Dalam kata-kata Wi-Fi Alliance sendiri: “WPA3-Personal menggantikan kunci prakongsi WPA2 (WPA2-PSK) dengan Simultaneous Authentication of Equals (SAE). Tidak seperti WPA2-PSK, SAE tahan terhadap serangan kamus luring.” Setiap percobaan menuntut kembali berbicara dengan router, dan router yang menerima ribuan percobaan gagal bisa menyadarinya lalu mengerem.
Lalu ada bagian jujurnya, yang justru ditegaskan oleh dokumen yang sama. Ketahanan itu berarti “beban keamanan kata sandi tidak lagi ditimpakan kepada pengguna”, dan bahwa menuntut huruf besar serta karakter khusus bukan lagi persyaratan yang sah dengan SAE. Tapi itu bukan izin untuk memasang yang buruk: serangan aktif tetap ada, dan spesifikasinya menutupnya tanpa berputar-putar — kata sandi yang dipakai dengan SAE harus sangat sulit ditebak. Persis yang sudah bertahun-tahun dikatakan NIST tentang kata sandimu yang lain: panjang mengalahkan kerumitan.
Dua peringatan praktis. Kalau router-mu tak sampai WPA3, CISA menerima WPA3 Personal dan WPA2 dengan AES, dan hanya keduanya; jaringan terbuka, WEP, atau TKIP bukan kata sandi lemah, itu tidak punya kata sandi sama sekali. Dan kalau kamu menyalakan mode transisi, jaringanmu menerima WPA3 dan WPA2 sekaligus supaya perangkat lama tetap bisa masuk: keputusan yang masuk akal di rumah dengan printer tahun 2013, tapi tahu dulu apa artinya — selama itu menyala, jaringanmu menyimpan sebuah pintu WPA2. Kalau semua barangmu bisa lewat WPA3, matikan.
2024 hukum menyelinap ke bawah stiker
Selama puluhan tahun ini soal nasihat. Sekarang ini juga soal peraturan.
Pada 29 April 2024 rezim PSTI mulai berlaku di Britania Raya — undang-undang tentang keamanan produk terhubung — yang melarang kata sandi bawaan yang universal pada perangkat konsumen: berakhir sudah model ketika semua unit sebuah produk keluar pabrik dengan kunci yang sama. Undang-undang itu memang mengizinkan kata sandi bawaan yang unik per unit, yang justru merupakan kasus stiker dengan deret berbeda di setiap router. Di Uni Eropa, persyaratan keamanan siber Direktif Peralatan Radio — Peraturan Delegasi (UE) 2022/30 — wajib berlaku sejak 1 Agustus 2025.
Dari sana muncul dua hal, dan keduanya tidak sama. Pertama: router baru akan datang dalam keadaan lebih baik. Kedua, dan ini yang menyangkut kamu: tak satu pun dari itu berlaku surut untuk perangkat yang sudah ada di ruang tamumu. Kalau ia sudah enam tahun di sana, di rumahmu masih berlaku dunia yang lama.
Jaringan tamu, atau berhenti mendiktekan kata sandimu
Coba pikir berapa banyak orang yang tahu kata sandi wi-fi-mu. Iparmu, pengasuh anak, teman yang datang makan malam pada 2022 dan ponselnya masih tersambung, teknisi yang datang memasang sesuatu.
Tak satu pun dari mereka cuma mendapat izin keluar ke internet: masing-masing punya perangkat di dalam jaringan lokalmu, di sebelah cakram jaringanmu, printer-mu, dan kamera-kameramu. Dan kamu sama sekali tak tahu bagaimana keadaan perangkat itu.
Jaringan tamu adalah jawabannya, dan itu fitur yang sudah kamu punya tapi tak kamu pakai. CISA mengatakannya terang-terangan: kalau router-mu punya opsi wi-fi tamu, nyalakan, beri kata sandi tersendiri — panjang, acak, dan unik — dan biarkan dipakai semua orang yang tidak rutin terhubung ke wi-fi rumahmu. Lalu tambahkan yang hampir tak pernah dilakukan orang: kirim juga perangkat pintarmu ke sana — colokan pintar, televisi, penyedot debu robot — kalau yang mereka butuhkan hanya akses internet, supaya mereka tak bisa menemukan perangkat lain di rumah.
Ini prinsip seluruh blog ini yang diterapkan ke ruang keluarga: satu kredensial untuk satu tempat. Wi-fi utamamu satu tempat. Tamu adalah tempat yang lain.
Apa yang harus dilakukan, berurutan
- Masuk ke panel router dan ganti kata sandi administrasi. Ini satu-satunya di daftar ini yang kemungkinan besar belum pernah kamu sentuh, dan yang paling berkuasa. Panjang, acak, dan berbeda dari kata sandi wi-fi.
- Pasang kata sandi wi-fi yang panjang. Lima sampai tujuh kata tak berhubungan, atau sebuah deret dari pembuat kata sandi. Kamu mengetiknya sekali, sesudah itu bagikan lewat QR.
- Naik ke WPA3 kalau router-mu mengizinkan. Kalau tidak, WPA2 dengan AES.
- Matikan WPS dan pengelolaan jarak jauh. Dua kotak centang, sekali saja.
- Nyalakan jaringan tamu dan kirim tamu serta perangkat pintar ke sana.
- Perbarui firmware dan biarkan pembaruan otomatis menyala kalau ada.
- Jangan pakai ulang keduanya di tempat lain. Kalau ragu dengan salah satu yang sudah kamu pakai, lewatkan ke pemeriksa.
Tak satu pun dari ini memakan lebih dari dua puluh menit, dan dua puluh menit itu hanya sekali seumur hidup.
Router adalah perangkat terpenting di rumahmu dan satu-satunya yang mengelola dirinya sendiri selama tak ada yang mengelolanya. Bertahun-tahun ia menyala di sudut, mengerjakan tugasnya tanpa mengeluh — dan justru karena itu tak pernah terasa seperti saat yang tepat untuk meliriknya.
Kata sandi pabrik bukan buruk karena pendek atau jelek. Ia buruk karena bukan milikmu. Orang lain yang memilihnya, mencetaknya di selembar stiker, dan mengirimnya ke ribuan rumah yang sama seperti rumahmu. Menggantinya adalah hal yang paling mirip, dalam dunia komputer rumahan, dengan mengganti kunci pintu saat pindah rumah.
Sumber: CISA, “Project Upskill · Module 5: Securing Your Home Wi-Fi” dari Joint Cyber Defense Collaborative — mengganti nama pengguna dan kata sandi login router karena informasi bawaan router bisa tersedia untuk umum, frasa sandi lima sampai tujuh kata tak berhubungan dengan total sedikitnya enam belas karakter, WPA3 Personal atau WPA2 AES sebagai satu-satunya enkripsi yang dianggap aman, mematikan WPS dan pengelolaan jarak jauh, serta menyalakan wi-fi tamu termasuk untuk perangkat IoT · Wi-Fi Alliance, “WPA3 Security Considerations Overview” (April 2019), tentang penggantian WPA2-PSK dengan SAE, ketahanannya terhadap serangan kamus luring, dan keharusan kata sandi tetap sangat sulit ditebak · CERT/CC, catatan kerentanan VU#723755 (27 Desember 2011), dilaporkan oleh Stefan Viehböck, yang solusi anjurannya adalah mematikan WPS · NVD (NIST), CVE-2015-0558, tentang router rumahan yang menghasilkan kunci WPA-nya dari deret karakter tetap dan alamat MAC-nya · peringatan publik SEARCH-LAB (Gergely Eberhardt) tentang modem Ubee EVW3226, diterbitkan di Full Disclosure pada Juli 2016 · IEEE 802.11i, yang mendefinisikan frasa sandi antara 8 dan 63 karakter · Britania Raya, rezim Product Security and Telecommunications Infrastructure Act, berlaku sejak 29 April 2024 · Uni Eropa, Peraturan Delegasi (UE) 2022/30 dari Direktif Peralatan Radio, wajib sejak 1 Agustus 2025 · NIST SP 800-63B, tentang panjang di atas kerumitan.
Foto oleh Jakub Zerdzicki · Pexels