Trả lời nhanh
Mật khẩu mạnh là mật khẩu dài và thật sự ngẫu nhiên: 16 ký tự gồm chữ hoa, chữ thường, số và ký hiệu cho khoảng 103 bit, máy dò 10 tỉ lần mỗi giây cũng cần hàng tỉ tỉ năm. Bấm “Tạo mới” bên trên để có mật khẩu như vậy, mỗi tài khoản dùng một mật khẩu riêng.
Mật khẩu mạnh là gì?
Công cụ tạo mật khẩu ngẫu nhiên 8–128 ký tự hoặc cụm từ dễ nhớ ghép từ danh sách từ tiếng Việt không dấu / tiếng Anh. Mọi ký tự được rút bằng crypto.getRandomValues của trình duyệt, có loại bỏ phần lệch nên mỗi ký tự có xác suất như nhau. Độ mạnh hiển thị bằng số bit và thời gian dò trung bình, để bạn so sánh các lựa chọn bằng con số thay vì cảm giác.
Cách tạo mật khẩu
- 1
Chọn loại: “Mật khẩu ngẫu nhiên” cho tài khoản lưu trong trình quản lý mật khẩu, “Cụm từ dễ nhớ” cho mật khẩu bạn phải gõ tay (mật khẩu máy tính, Wi-Fi, trình quản lý mật khẩu).
- 2
Kéo thanh “Độ dài” (khuyên dùng từ 16 ký tự) hoặc “Số từ” (khuyên dùng từ 5 từ), chọn loại ký tự hay danh sách từ.
- 3
Bật “Bỏ ký tự dễ nhầm” nếu phải đọc mật khẩu cho người khác hoặc gõ lại từ giấy.
- 4
Xem độ mạnh: thanh màu, số bit và thời gian dò trung bình đổi ngay theo thiết lập.
- 5
Bấm “Sao chép” cạnh mật khẩu muốn dùng, hoặc “Tạo mới” để có bộ khác. Đóng trang là mật khẩu biến mất, công cụ không lưu lại.
Độ dài và độ mạnh của mật khẩu ngẫu nhiên
Bảng tính cho bảng 87 ký tự (chữ hoa, chữ thường, số, 25 ký hiệu) và tốc độ dò 10 tỉ lần mỗi giây; thời gian là trung bình (dò trúng ở nửa chặng).
| Độ dài | Số bit | Mức | Thời gian dò trung bình |
|---|---|---|---|
| 8 ký tự | ≈ 51,5 | Khá | khoảng 2 ngày |
| 12 ký tự | ≈ 77,3 | Mạnh | khoảng 300 nghìn năm |
| 16 ký tự | ≈ 103,1 | Rất mạnh | hơn 1 tỉ năm |
| 20 ký tự | ≈ 128,8 | Rất mạnh | hơn 1 tỉ năm |
Vuốt ngang để xem cả bảng →
Mật khẩu do người tự nghĩ (tên + năm sinh, từ trong từ điển) yếu hơn nhiều so với con số trong bảng vì kẻ tấn công thử những mẫu đó trước.
Mật khẩu ngẫu nhiên hay cụm từ dễ nhớ?
| Tiêu chí | Mật khẩu ngẫu nhiên | Cụm từ dễ nhớ |
|---|---|---|
| Ví dụ | q7#Vt$9mKp2!wXzR | Banhmi-Hoasen-Caulong-Tauhoa-Dalat-42 |
| Độ mạnh | 16 ký tự ≈ 103 bit | 5 từ tiếng Việt + số ≈ 47,8 bit; 7 từ ≈ 57,6 bit |
| Dễ nhớ, dễ gõ | Khó, nên lưu trong trình quản lý mật khẩu | Dễ đọc, dễ gõ trên điện thoại |
| Hợp với | Tài khoản web, ứng dụng, khoá API | Mật khẩu máy tính, Wi-Fi, mật khẩu chính của trình quản lý |
Ví dụ thực tế
Tài khoản ngân hàng, email
Mật khẩu ngẫu nhiên 16 ký tự đủ 4 loại, lưu trong trình quản lý mật khẩu và bật xác thực hai lớp. Mỗi trang một mật khẩu riêng để một trang bị lộ không kéo theo các trang khác.
Mật khẩu Wi-Fi cho khách
Cụm 4–5 từ tiếng Việt không dấu, nối bằng dấu gạch, bật “Bỏ ký tự dễ nhầm”: khách đọc và gõ trên điện thoại dễ, vẫn khó đoán hơn nhiều so với số điện thoại hay ngày sinh.
Trang chỉ cho phép tối đa 12 ký tự, không ký hiệu
Kéo độ dài về 12, bỏ “Ký hiệu”. Bảng 62 ký tự × 12 ≈ 71,5 bit, vẫn ở mức Mạnh; công cụ cập nhật số bit ngay để bạn thấy mất bao nhiêu khi bỏ ký hiệu.
Cấp mật khẩu tạm cho nhiều nhân viên
Chọn “Số lượng” 20 để có 20 mật khẩu khác nhau một lần, bấm “Sao chép tất cả” rồi dán vào bảng tính; dặn mọi người đổi mật khẩu ở lần đăng nhập đầu.
Lỗi thường gặp
- Dùng một mật khẩu cho nhiều trang.
- Một trang bị lộ là kẻ xấu thử ngay mật khẩu đó ở email, ngân hàng (credential stuffing). Mỗi tài khoản một mật khẩu, lưu bằng trình quản lý mật khẩu.
- Trang báo mật khẩu không hợp lệ.
- Một số trang giới hạn độ dài hoặc không nhận vài ký hiệu. Giảm độ dài theo giới hạn của trang, hoặc tắt “Ký hiệu” rồi tăng độ dài để bù số bit.
- Gõ lại mật khẩu từ giấy bị sai.
- Bật “Bỏ ký tự dễ nhầm” để không có 0 / O, l / 1 / I; hoặc dùng cụm từ dễ nhớ.
- Thêm số và ký hiệu vào từ quen thuộc (P@ssw0rd1).
- Kiểu biến đổi này nằm trong mọi bộ từ điển dò mật khẩu nên gần như không tăng độ khó. Dùng mật khẩu do máy tạo ngẫu nhiên.
- Gửi mật khẩu qua tin nhắn, email.
- Tin nhắn còn lại trong lịch sử. Chia sẻ qua tính năng chia sẻ của trình quản lý mật khẩu, hoặc gửi mật khẩu tạm và yêu cầu đổi ngay.
Công cụ tạo mật khẩu thế nào
Mỗi ký tự được rút bằng crypto.getRandomValues, nguồn ngẫu nhiên dành cho mật mã của trình duyệt (không dùng Math.random). Để không lệch, công cụ bỏ những giá trị rơi vào phần đuôi không chia đều cho số ký tự (rejection sampling) thay vì lấy phần dư.
Khi bật “Mỗi loại đã chọn có ít nhất 1 ký tự”, nếu mật khẩu vừa rút thiếu một loại thì công cụ rút lại cả mật khẩu, không chèn ký tự vào vị trí cố định, nên mật khẩu vẫn phân bố đều.
Cụm từ dễ nhớ rút mỗi từ ngẫu nhiên từ danh sách tự soạn (từ thông dụng, chỉ chữ a–z). Độ mạnh của cụm từ đến từ số từ và độ dài danh sách, không phải từ việc từ đó khó hay dễ.
Cách đọc số bit
Số bit = độ dài × log2(số ký tự có thể dùng). Mỗi bit thêm vào làm số khả năng tăng gấp đôi: 60 bit khó dò gấp khoảng 1 nghìn lần 50 bit.
Thời gian dò giả sử kẻ tấn công có bản băm mật khẩu và máy thử 10 tỉ lần mỗi giây. Đăng nhập qua mạng chậm hơn rất nhiều vì bị giới hạn số lần thử, nên con số thực tế còn an toàn hơn; ngược lại nếu bạn dùng lại mật khẩu đã lộ thì độ dài không cứu được.
- Dưới 28 bit: rất yếu
- 28–35 bit: yếu
- 36–59 bit: khá
- 60–79 bit: mạnh
- Từ 80 bit: rất mạnh
Thuật ngữ
- Entropy (bit)
- Thước đo độ khó đoán: số lần phải chia đôi không gian khả năng. Mật khẩu n bit có 2ⁿ khả năng.
- Passphrase
- Cụm mật khẩu gồm nhiều từ ngẫu nhiên, dễ nhớ và dễ gõ hơn chuỗi ký tự lộn xộn.
- Trình quản lý mật khẩu
- Phần mềm lưu và tự điền mật khẩu (tích hợp trong trình duyệt, điện thoại hoặc ứng dụng riêng), giúp mỗi trang một mật khẩu.
- Credential stuffing
- Lấy cặp email / mật khẩu lộ từ trang này để thử đăng nhập hàng loạt trang khác.
- Xác thực hai lớp (2FA)
- Ngoài mật khẩu cần thêm mã từ ứng dụng hoặc khoá bảo mật; mật khẩu lộ vẫn chưa đủ để vào tài khoản.
Câu hỏi thường gặp
Mật khẩu tạo ở đây có bị gửi đi hay lưu lại không?
Không. Mật khẩu tạo ngay trên trình duyệt của bạn, không gửi lên máy chủ, không lưu vào bộ nhớ trình duyệt; đóng trang là mất.
Mật khẩu nên dài bao nhiêu?
Mật khẩu ngẫu nhiên từ 16 ký tự cho tài khoản quan trọng; tối thiểu 12 nếu trang giới hạn. Cụm từ nên từ 5–6 từ, thêm số nếu trang yêu cầu.
Cụm từ tiếng Việt không dấu có kém an toàn không?
Độ mạnh phụ thuộc số từ và độ dài danh sách, không phụ thuộc ngôn ngữ. Danh sách tiếng Việt ở đây ngắn hơn tiếng Anh nên mỗi từ ít bit hơn một chút; công cụ hiện số bit chính xác để bạn chọn đủ từ.
Có nên đổi mật khẩu định kỳ?
Không cần đổi theo lịch nếu mật khẩu mạnh và riêng cho từng trang; hãy đổi ngay khi trang đó báo bị lộ dữ liệu hoặc bạn nghi ngờ có người biết mật khẩu.
Vì sao bỏ chữ O và số 0?
Khi đọc qua điện thoại hay chép tay, 0 và O, l và 1 và I rất dễ nhầm. Bỏ 5 ký tự này chỉ làm giảm rất ít bit nhưng tránh gõ sai.
Có thể dùng công cụ khi không có mạng không?
Có. Sau khi trang đã tải xong, việc tạo mật khẩu chạy hoàn toàn trên máy, không cần kết nối.
Đánh giá và bình luận
Đang tải…