Cách dùng công cụ tạo mật khẩu
- Một mật khẩu 16 ký tự xuất hiện ngay khi trang tải xong. Bấm Sao chép rồi dán vào nơi bạn cần.
- Kéo thanh trượt hoặc gõ độ dài từ 4 đến 128 ký tự. Mỗi lần thay đổi sẽ tạo ra một mật khẩu mới.
- Chọn loại ký tự: chữ hoa, chữ thường, chữ số và ký tự đặc biệt. Trình tạo luôn có ít nhất một ký tự của mỗi loại bạn chọn, nên mật khẩu vượt qua được những trang yêu cầu "phải có một chữ số và một ký tự đặc biệt".
- Bật Loại bỏ ký tự dễ nhầm lẫn nếu bạn sẽ đọc to mật khẩu hoặc gõ tay. Tùy chọn này bỏ các ký tự I, l, 1, O, 0, o và dấu nháy.
- Bấm Tạo mật khẩu mới cho đến khi ưng ý, rồi lưu vào trình quản lý mật khẩu.
Mật khẩu được tạo như thế nào
Mỗi ký tự được chọn bằng crypto.getRandomValues, bộ tạo số ngẫu nhiên an toàn mật mã của trình duyệt. Những hàm thông thường như Math.random có thể đoán được nên tuyệt đối không dùng cho bí mật. Để mọi ký tự có xác suất như nhau, công cụ dùng kỹ thuật loại bỏ mẫu (rejection sampling) thay vì lấy phần dư đơn giản, vì cách đó làm một số ký tự xuất hiện nhiều hơn một chút. Nếu một mật khẩu vừa tạo xong lại thiếu một loại ký tự bạn đã chọn, nó bị bỏ đi và một mật khẩu mới được tạo. Kết quả: mọi mật khẩu phù hợp với cài đặt của bạn đều có xác suất đúng bằng nhau. Không có gì rời khỏi thiết bị của bạn.
Độ mạnh mật khẩu và entropy
Độ mạnh được hiển thị bằng bit entropy: logarit cơ số 2 của số mật khẩu khác nhau mà cài đặt của bạn có thể tạo ra. Mỗi bit tăng thêm làm số lần đoán mà kẻ tấn công cần thử gấp đôi. Với một chuỗi hoàn toàn ngẫu nhiên, công thức trong sách giáo khoa là độ dài × log₂(kích thước bộ ký tự); khi dùng cả bốn loại, bộ ký tự có 89 ký tự nên mỗi ký tự cho thêm khoảng 6,5 bit. Việc bắt buộc có ít nhất một ký tự của mỗi loại đã chọn loại bỏ một số tổ hợp, và công cụ trừ phần đó một cách chính xác. Ảnh hưởng chỉ lớn với mật khẩu ngắn: ở 4 ký tự là 22,1 bit thay vì 25,9, còn ở 16 ký tự là 103,4 thay vì 103,6.
- Dưới 36 bit: yếu. Chỉ phù hợp với mã PIN dùng tạm.
- 36–59 bit: trung bình. Chống được đoán trực tuyến, nơi trang web giới hạn số lần đăng nhập.
- 60–127 bit: mạnh. Tốt cho hầu hết mọi tài khoản.
- Từ 128 bit: rất mạnh, tương đương một khóa mã hóa 128 bit.
Ví dụ: vì sao độ dài quan trọng
Hãy hình dung một cơ sở dữ liệu mật khẩu bị lộ và kẻ tấn công thử 100 tỷ lần đoán mỗi giây bằng dàn card đồ họa. Trung bình họ tìm ra mật khẩu sau khi thử một nửa số tổ hợp. Với mật khẩu hoàn toàn ngẫu nhiên:
- 8 chữ cái thường (37,6 bit): khoảng 1 giây.
- 8 chữ cái và chữ số (47,6 bit): khoảng 18 phút.
- 12 chữ cái và chữ số (71,5 bit): khoảng 500 năm.
- 16 ký tự gồm mọi loại (103,6 bit): khoảng 2,5 nghìn tỷ năm.
Tăng từ 8 lên 16 ký tự hiệu quả hơn nhiều so với việc thêm ký tự đặc biệt. Đó là lý do mặc định ở đây là 16 ký tự; mật khẩu 16 ký tự của công cụ có 103,4 bit, khoảng 2 nghìn tỷ năm ở tốc độ trên.
Mẹo dùng mật khẩu mạnh
- Mỗi trang web một mật khẩu riêng. Khi một trang bị lộ dữ liệu, kẻ xấu sẽ thử đúng email và mật khẩu đó ở mọi nơi khác, từ Facebook, Zalo đến ngân hàng.
- Để trình quản lý mật khẩu nhớ giúp bạn. Bitwarden, 1Password và trình quản lý có sẵn trong trình duyệt hay điện thoại sẽ lưu và tự điền các mật khẩu dài, ngẫu nhiên.
- Bật xác thực hai lớp cho email, ngân hàng và mạng xã hội. Ngay cả mật khẩu hoàn hảo cũng có thể bị lừa lấy qua trang web giả mạo; đừng bao giờ gửi mã OTP cho người khác.
- Cần một mật khẩu dễ nhớ? Với mật khẩu chính của trình quản lý, hãy dùng cụm gồm 5–6 từ ngẫu nhiên (passphrase): vừa dài, vừa mạnh, lại dễ gõ hơn.
- Đừng chỉ sửa mật khẩu cũ một chút. Đổi "Mua he2025!" thành "Mua he2026!" là điều đầu tiên mà công cụ dò mật khẩu thử.
Câu hỏi thường gặp
Dùng công cụ tạo mật khẩu online có an toàn không?
Công cụ này thì có: mật khẩu được tạo ngay trong trình duyệt bằng crypto.getRandomValues, nguồn số ngẫu nhiên mà trình duyệt dùng để tạo khóa mã hóa. Không có gì được gửi đến máy chủ hay lưu lại.
Mật khẩu nên dài bao nhiêu ký tự?
Ít nhất 12 ký tự cho tài khoản thông thường và từ 16 ký tự trở lên cho email, ngân hàng và mật khẩu chính của trình quản lý mật khẩu. Độ dài tăng độ mạnh nhiều hơn bất kỳ quy tắc ký tự đặc biệt nào.
Có nên dùng ký tự đặc biệt không?
Có, nếu trang web cho phép. Ký tự đặc biệt làm bộ ký tự lớn hơn nên mỗi ký tự thêm vào cho nhiều entropy hơn. Nếu trang web từ chối một số ký hiệu, hãy tắt tùy chọn này và tăng độ dài thêm vài ký tự.
Entropy tính bằng bit nghĩa là gì?
Đó là thước đo số lần đoán mà kẻ tấn công phải thử: mỗi bit tăng thêm làm khối lượng công việc gấp đôi. Khoảng 60 bit chống được tấn công trực tuyến, còn từ 100 bit trở lên vượt ngoài khả năng của mọi cách tấn công ngoại tuyến đã biết.