Pernah dengar password revealing? Atau teknik unmask password? Nah, kalau udah, mulai sekarang berhati-hatilah menggunakan fasilitas untuk menyimpan password yang biasanya disediakan oleh aplikasi. Bahkan, pada beberapa kasus, kita dapat me-reveal password yang tersimpan dengan tangan kosong lho. Yup, dengan tangan kosong. Gak percaya? Berikut dua contoh sederhana Reveal Password yang kuketahui.

Reveal Password pada Web Browser

Cukup bermodalkan javascript yang sudah terintegrasi dengan web browser, kita bisa melihat karakter yang tersembunyi di balik asterisk key - karakter yang digunakan untuk mewakili karakter password, yang biasanya ditampilkan sebagai titik atau bintang. Contohnya, dengan menggunakan sebuah fungsi yang ditulis dalam javascript berikut ini:

function unmask(){
	pass=document.getElementsByTagName("input");
	for(i=0;i<pass.length;i++)
		if(pass[i].type=="password")
			pass[i].type="text";
}

Saat kita mengunjungi suatu website yang memerlukan login, biasanya web browser - katakanlah kita menggunakan FireFox - akan menawarkan apakah kita akan menyimpan password untuk website tersebut? Jika iya, maka username/email yang kita gunakan untuk login ke website tersebut akan disimpan bersama dengan passwordnya. Untuk melihat daftar password yang tersimpan, klik menu Tools => Options..., pada tab Security, klik tombol Saved Passwords. Bila kita tidak menggunakan master password, maka kita dapat langsung melihat daftar password yang tersimpan.

Andaikan kita pergi ke warnet, dan membuka friendster mobile lewat FireFox, dan menemui halaman login yang telah diisikan oleh FireFox yang baik hati seperti gambar berikut ini:

Nah, dengan hanya menggunakan bantuan script di atas, kita bisa membaca apa sih passwordnya? Bagaimana caranya? Gampang. Pertama, pastikan javascript di browser sudah enable (dicari sendiri ya settingnya, hehehe). Kemudian ubah fungsi javascript di atas menjadi satu baris, trus tambahkan kata javascript: di depannya, dan perintah eksekusi fungsi itu di belakangnya. Jadinya kurang lebih kayak gini:

javascript:function unmask(){pass=document.getElementsByTagName("input");for(i=0;i<pass.length;i++)if(pass[i].type=="password")pass[i].type="text";}unmask();

Trus, copy-paste script yang udah satu baris itu ke address bar. Terakhir tekan enter deh. Dan semua password dapat terbaca. Lebih jelasnya, lihat gambar berikut:

Sebenarnya FireFox sudah memberikan fitur "Use a master password". Dengan memanfaatkan fitur ini, maka informasi login (username & password) tidak akan langsung diisikan ke dalam textbox. Kita akan diminta untuk memasukkan master password terlebih dahulu. Begitu juga kalau kita ingin melihat daftar password yang telah disimpan. Berikut contoh dialog box yang meminta kita memasukkan password:

Namun, walau sudah menggunakan master password sekalipun, kita seharusnya tetap tidak boleh merasa tenang. Mengapa? Karena, setelah kita memasukkan master password, maka FireFox tidak akan meminta master password lagi untuk sesi browsing (paling tidak sampai kita menutup browser). Bingung? Hehe, maksudnya kalau kita browsing website yang memerlukan login, maka FireFox akan langsung mengisikan username dan password untuk website tersebut, tanpa meminta master password lagi. Kok gitu sih? Ya karena kita dianggap telah ter-autentikasi, dan kayaknya repot kalo masukkin master password terus-menerus. Malah jadi ribet dong, haha.

Nah, misal kita sedang hotspotan bareng temen-temen di kampus, trus kita udah mengetikkan master password, trus kita pergi sebentar, n temen kita pakai laptop kita (yah, sebenarnya kata kita kurang tepat. Kapan ku punya laptop? T_T), trus buka friendster.com. Taraa..., email n password kita udah ditulisin FireFox yang baik hati. Kalau temen kita login pake akun kita, n rewo-rewo akun kita sih, gak papa. Misal ubah profil dengan hal-hal porno, komen ke temen dengan kata-kata cabul, sampai ubah password atau emailpun, masih mending,

Wah, kayak gitu masih mending? Yup, karena masih ada yang lebih menghawatirkan. Yaitu kalau dia tahu email n password kita, trus dia bisa login kapan saja menggunakan akun kita. Walau dia tidak melakukan hal yang bersifat merusak, n tidak merugikan kita secara langsung, namun justru ketidaktahuan kita tentang kenyataan inilah yang justru lebih bahaya. Bisa saja dia login pakai akun kita, trus membaca pesan dari pujaan hati kita yang sifatnya rahasia, dan masih banyak lagi. Nah lo, mau pilih yang mana?

Buat live demonya, silakan ketikkan password kamu di box berikut, n copy paste script di atas di address bar. Taraa... Kalau gak bisa, silakan beri komentar ya.

Berhubung sudah cukup panjang, maka kelanjutannya bisa dibaca di Mengungkap Kata Sandi dengan Tangan Kosong II. See you soon.