Tạo mật khẩu: mật khẩu mạnh ngẫu nhiên chỉ với một cú nhấp

Điều gì khiến một mật khẩu thực sự an toàn?

Hai thứ: độ dài và tính ngẫu nhiên thật. Mật khẩu như MuaHe2026! đáp ứng mọi quy tắc của biểu mẫu (chữ hoa, số, ký tự đặc biệt) nhưng nằm trong mọi danh sách từ điển mà kẻ tấn công thử đầu tiên. Ngược lại, mật khẩu 16 ký tự ngẫu nhiên có khoảng 100 bit entropy. Nghĩa là 2 mũ 100 khả năng, hơn một tỷ tỷ tỷ. Ngay cả khi thử được một tỷ lần mỗi giây cũng cần nhiều thời gian hơn tuổi của vũ trụ. Công cụ tạo mật khẩu này dùng crypto.getRandomValues, bộ sinh số ngẫu nhiên an toàn về mật mã của trình duyệt, chứ không phải Math.random. Đó là khác biệt giữa con xúc xắc và cái máy tính.

Đọc thanh đo độ mạnh tính bằng bit như thế nào?

Entropy bằng độ dài nhân với logarit của số ký tự có thể chọn. 12 ký tự từ chữ hoa, chữ thường, số và ký tự đặc biệt (bộ 76 ký tự) cho khoảng 75 bit. Dưới 40 bit mật khẩu bị phá trong vài phút, từ 60 bit bạn an toàn trước tấn công trực tuyến vì các dịch vụ khóa tài khoản sau vài lần sai. Từ 80 bit mật khẩu chịu được cả tấn công ngoại tuyến vào cơ sở dữ liệu bị đánh cắp. Với tài khoản quản trị, email và trình quản lý mật khẩu, chúng tôi khuyên dùng 100 bit trở lên: 16 ký tự với đủ loại ký tự, hoặc cụm mật khẩu 6 từ cộng thêm số.

Khi nào cụm mật khẩu là lựa chọn tốt hơn?

Bất cứ khi nào bạn phải nhớ mật khẩu hoặc gõ nó thường xuyên. "Bachduong-Saochoi-Nhanhnhen-Cang-Nguoilun-47" có hơn 60 bit và nhớ được sau ba lần gõ. Danh sách tích hợp gồm khoảng 400 từ tiếng Việt vô hại viết không dấu: động vật, cây cối, màu sắc, đồ vật hằng ngày, không có từ tục, không có tên thương hiệu. Viết không dấu vì hầu hết trang web không chấp nhận ký tự có dấu trong mật khẩu. Với 5 từ bạn đạt khoảng 43 bit, 6 từ cộng số khoảng 58 bit, 8 từ là 69 bit. Mật khẩu chính của trình quản lý mật khẩu nên dùng 7 hoặc 8 từ. Phần còn lại cứ để trình quản lý lo với 20 ký tự ngẫu nhiên.

Hầu hết mọi người mắc lỗi gì với mật khẩu?

Lỗi lớn nhất là dùng lại. Chỉ cần một cửa hàng trực tuyến bị hack, kẻ tấn công tự động thử cặp email và mật khẩu đó ở Amazon, PayPal, Google và Microsoft. Vì vậy mỗi dịch vụ cần một mật khẩu riêng, và tùy chọn "số lượng" sinh ra là để làm việc đó: tạo 10 mật khẩu, dán vào trình quản lý, xong. Lỗi thứ hai: quy luật. Qwerty123, ngày sinh, tên đội bóng và các hàng phím đều nằm trong danh sách. Lỗi thứ ba: bị bắt đổi định kỳ, dẫn đến Matkhau1, Matkhau2, Matkhau3. Tốt hơn là giữ một mật khẩu mạnh lâu dài và chỉ đổi khi có rò rỉ được xác nhận.

Tùy chọn "bỏ ký tự dễ nhầm" dùng để làm gì?

Chữ I hoa, chữ l thường và số 1 trông giống nhau ở nhiều phông chữ, chữ O hoa và số 0 cũng vậy. Nếu bạn phải đọc to mật khẩu, chép tay hoặc in ra thẻ Wi-Fi cho khách, tùy chọn này giúp đỡ phiền. Bộ ký tự chỉ giảm 5 ký tự và entropy của mật khẩu 16 ký tự giảm chưa đến 2 bit. Với mật khẩu chỉ nằm trong trình quản lý, hãy tắt tùy chọn này.

Vì sao bạn có thể tin công cụ này?

Vì nó không biết gì cả. Toàn bộ mã chạy trong trình duyệt của bạn, không có yêu cầu nào mang mật khẩu đến máy chủ của chúng tôi, không nhật ký, không cookie. Bạn có thể mở trang, ngắt mạng rồi mới tạo. Các công cụ khác của chúng tôi cũng theo nguyên tắc này: đếm từ và công cụ sắp xếp tin nhắn WhatsApp đều chạy cục bộ, còn Xuất chat Claude chuyển đổi cuộc trò chuyện Claude đã chia sẻ mà không lưu lại.