Tạo mật khẩu ngẫu nhiên: bao nhiêu ký tự là đủ và mật khẩu được sinh ra ở đâu
Công cụ tạo mật khẩu ngẫu nhiên dài từ 8 tới 64 ký tự, cho phép bật tắt riêng chữ hoa, chữ thường, chữ số và ký tự đặc biệt, kèm tùy chọn loại bỏ những ký tự dễ nhìn nhầm. Mật khẩu được sinh bằng bộ sinh số ngẫu nhiên mật mã của chính trình duyệt và không được gửi đi đâu, không lưu lại ở bất kỳ đâu.
Tính năng nổi bật
- Thanh trượt độ dài từ 8 tới 64 ký tự, chỉnh từng ký tự một
- Bốn công tắc riêng cho chữ hoa, chữ thường, chữ số và ký tự đặc biệt
- Tùy chọn loại bỏ ký tự dễ nhìn nhầm, bỏ chữ I và O hoa, chữ i, l, o thường cùng số 0 và 1
- Bộ ký tự đặc biệt gồm 26 dấu thông dụng, đủ đáp ứng yêu cầu của hầu hết trang đăng ký
- Dùng hàm sinh ngẫu nhiên mật mã của trình duyệt chứ không phải hàm ngẫu nhiên thông thường
- Thanh đo độ mạnh chấm theo độ dài và số nhóm ký tự có mặt trong mật khẩu
- Nút sao chép đưa thẳng mật khẩu vào clipboard, ô hiển thị dùng phông chữ đều nét để dễ đọc
- Không có bước gửi dữ liệu lên máy chủ, mật khẩu chỉ tồn tại trong trang cho tới khi bạn tải lại
Vấn đề không phải bạn nghĩ mật khẩu chưa đủ khó, mà là bạn nghĩ mật khẩu
Bộ não người rất kém trong việc tạo ra thứ ngẫu nhiên. Khi tự nghĩ mật khẩu, hầu như ai cũng lặp lại vài khuôn quen thuộc: một từ có nghĩa, chữ cái đầu viết hoa, vài chữ số ở cuối thường là năm sinh, rồi một dấu chấm than để qua được yêu cầu ký tự đặc biệt. Công cụ dò mật khẩu hiện đại không thử từng ký tự một, chúng thử theo đúng những khuôn đó trước, nên một mật khẩu trông có vẻ phức tạp với người lại nằm trong nhóm vài triệu tổ hợp đầu tiên bị thử. Máy thì không có thói quen: mỗi ký tự được rút ra độc lập từ bộ ký tự, không mang thông tin nào về ký tự trước đó, nên không có khuôn nào để khai thác. Đổi lại, mật khẩu ngẫu nhiên thật thì không nhớ nổi, và đó là lý do công cụ này chỉ giải quyết được nửa vấn đề: nửa còn lại là bạn phải có chỗ cất chúng tử tế thay vì ghi vào tin nhắn tự gửi hay tệp ghi chú trong máy.
Lợi ích khi sử dụng
- Mật khẩu không mang khuôn mẫu con người nên không rơi vào nhóm bị thử trước trong tấn công từ điển
- Chỉnh được đúng bộ ký tự mà trang đích chấp nhận, tránh cảnh đăng ký xong bị báo lỗi ký tự không hợp lệ
- Tùy chọn bỏ ký tự dễ nhầm giúp mật khẩu đọc và chép tay không bị sai giữa số 0 và chữ O
- Sinh ngay trong trình duyệt bằng nguồn ngẫu nhiên mật mã, không có bước gửi qua mạng
- Sinh lại bao nhiêu lần cũng được, tiện khi bạn cần thay đồng loạt mật khẩu của nhiều tài khoản
Cách tạo và dùng một mật khẩu ngẫu nhiên
- 1Kéo thanh độ dài lên ít nhất 16 ký tự nếu bạn sẽ lưu vào trình quản lý mật khẩu, hoặc 12 ký tự nếu bắt buộc phải gõ tay thường xuyên.
- 2Bật cả bốn nhóm ký tự, chỉ tắt bớt khi trang đích không chấp nhận ký tự đặc biệt và hãy bù lại bằng cách tăng độ dài.
- 3Bật tùy chọn loại bỏ ký tự dễ nhìn nhầm nếu mật khẩu này sẽ phải đọc qua điện thoại hoặc chép tay ra giấy.
- 4Bấm Generate, xem qua thanh độ mạnh, và bấm lại nếu mật khẩu vừa sinh có chuỗi ký tự khiến bạn khó gõ.
- 5Sao chép rồi dán ngay vào trình quản lý mật khẩu hoặc ô đăng ký, sau đó chép một nội dung khác đè lên clipboard để mật khẩu không nằm lại đó.
Mật khẩu được sinh ở đâu và giới hạn của lời hứa đó
Mật khẩu được tạo ngay trong trình duyệt của bạn bằng hàm sinh số ngẫu nhiên mật mã có sẵn của trình duyệt, khác hẳn hàm ngẫu nhiên thông thường vốn có thể dự đoán được nếu biết trạng thái ban đầu. Trang không có bước gửi dữ liệu lên máy chủ, không ghi mật khẩu vào bộ nhớ trình duyệt, và mật khẩu biến mất khi bạn tải lại trang. Nhưng cần nói thẳng một điều mà mọi công cụ tạo mật khẩu trực tuyến đều phải thừa nhận: bạn vẫn đang tin rằng đoạn mã chạy trên trang đúng là đoạn mã bạn nghĩ, và tin rằng không có tiện ích mở rộng nào trong trình duyệt đọc trộm nội dung trang. Với mật khẩu của tài khoản ngân hàng, hộp thư chính hay tài khoản quản trị hệ thống, cách an toàn hơn là dùng chính chức năng sinh mật khẩu của trình quản lý mật khẩu bạn đang cài, hoặc chức năng gợi ý mật khẩu mạnh có sẵn trong trình duyệt, vì khi đó mật khẩu được sinh và lưu trong cùng một nơi mà không đi qua trang web nào.
Độ dài quan trọng hơn độ phức tạp, và đây là con số cụ thể
Sức mạnh của một mật khẩu ngẫu nhiên đo bằng entropy, tính bằng độ dài nhân với lôgarít cơ số hai của kích thước bộ ký tự. Bật cả bốn nhóm thì bộ ký tự ở đây có 88 ký tự, tương đương khoảng 6,46 bit cho mỗi ký tự. Mật khẩu 8 ký tự cho khoảng 52 bit; giả sử kẻ tấn công đã lấy được tệp băm và thử được một nghìn tỷ tổ hợp mỗi giây thì trung bình chỉ mất khoảng nửa giờ. Mật khẩu 12 ký tự cho khoảng 77 bit, cùng tốc độ đó phải mất hàng nghìn năm. Mật khẩu 16 ký tự cho khoảng 103 bit, tức nằm ngoài tầm với của mọi kiểu tấn công dò tìm hiện nay. Đáng chú ý là tăng độ dài hiệu quả hơn nhiều so với thêm nhóm ký tự: bỏ hết ký tự đặc biệt nhưng kéo dài thêm ba ký tự thì mật khẩu vẫn mạnh hơn. Vì vậy khi một trang không cho dùng dấu đặc biệt, đừng lo, chỉ cần tăng độ dài lên.
Khi nào nên bật tùy chọn loại bỏ ký tự dễ nhìn nhầm
Tùy chọn này bỏ đi chữ I và O viết hoa, chữ i, l và o viết thường, cùng số 0 và số 1, vì đây là các cặp mà nhiều phông chữ hiển thị gần giống nhau. Nên bật khi mật khẩu sẽ rời khỏi màn hình: khi bạn phải đọc cho đồng nghiệp qua điện thoại, in ra giấy bàn giao cho khách, dán lên phiếu cấu hình thiết bị, hay gõ trên bàn phím ảo của ti vi và máy chơi game. Không cần bật khi mật khẩu chỉ đi từ công cụ sang trình quản lý mật khẩu rồi tự điền, vì lúc đó không ai phải đọc nó cả. Cái giá phải trả là bộ ký tự thu từ 88 xuống còn 81 ký tự, mỗi ký tự chỉ còn khoảng 6,34 bit thay vì 6,46 bit. Với mật khẩu 16 ký tự, chênh lệch là chưa tới 2 bit, hoàn toàn không đáng kể. Nói cách khác, bật tùy chọn này gần như miễn phí về mặt an toàn, chỉ cần đừng đồng thời rút ngắn mật khẩu.
Thanh đo độ mạnh đang chấm điểm theo cái gì
Thanh đo trên trang cộng điểm theo hai thứ và chỉ hai thứ: độ dài đạt các mốc 8, 12 và 16 ký tự, và sự có mặt của từng nhóm chữ hoa, chữ thường, chữ số, ký tự đặc biệt. Nó không phân tích cấu trúc, không tra từ điển, không biết mật khẩu có nằm trong danh sách rò rỉ hay không. Với mật khẩu do chính công cụ sinh ra thì cách chấm này đủ dùng, vì mọi ký tự đều ngẫu nhiên nên độ dài và bộ ký tự đúng là toàn bộ câu chuyện. Nhưng đừng mang thang điểm này đi đánh giá mật khẩu do người tự nghĩ: một chuỗi kiểu tên riêng viết hoa chữ đầu, thêm vài chữ số và một dấu chấm than vẫn ăn điểm rất cao ở đây trong khi công cụ dò tìm phá được trong vài giây. Muốn biết một mật khẩu bạn đang dùng có nằm trong kho dữ liệu rò rỉ hay không thì đó là câu hỏi khác và cần một công cụ khác, thanh đo này không trả lời được.
Sinh xong rồi cất ở đâu và những chỗ hay rò rỉ
Mật khẩu ngẫu nhiên 16 ký tự chỉ có giá trị nếu bạn không phải nhớ nó, nên bước đi kèm bắt buộc là một trình quản lý mật khẩu. Nguyên tắc dùng là bạn chỉ còn phải nhớ đúng một mật khẩu chính, và mật khẩu chính đó nên là một cụm nhiều từ đủ dài chứ không phải chuỗi ký tự ngẫu nhiên, vì bạn phải gõ nó thường xuyên. Bật thêm xác thực hai bước cho chính tài khoản của trình quản lý. Về những chỗ hay rò rỉ trong lúc thao tác: clipboard là nơi nhiều ứng dụng khác đọc được, nên sau khi dán mật khẩu hãy chép một nội dung vô hại đè lên; đừng gửi mật khẩu qua tin nhắn hay thư điện tử vì các bản sao sẽ nằm lại trong lịch sử hội thoại vô thời hạn; đừng lưu vào tệp ghi chú hay bảng tính không mã hóa; và đừng dùng lại một mật khẩu cho hai dịch vụ, vì đó là cách một vụ rò rỉ ở nơi nhỏ biến thành mất tài khoản ở nơi quan trọng.
Câu hỏi thường gặp (FAQ)
Mật khẩu tôi vừa tạo có được gửi lên máy chủ nào không?
Không. Mật khẩu được sinh bằng hàm ngẫu nhiên mật mã của chính trình duyệt, hiển thị ngay trên trang và không có bước gọi tới máy chủ nào. Nó cũng không được ghi vào bộ nhớ trình duyệt, nên tải lại trang là mất. Với tài khoản đặc biệt quan trọng, hãy cân nhắc dùng chức năng sinh mật khẩu ngay trong trình quản lý mật khẩu của bạn.
Nên đặt độ dài bao nhiêu ký tự?
Nếu lưu vào trình quản lý mật khẩu, hãy để 16 ký tự trở lên vì bạn không phải gõ tay. Nếu là mật khẩu phải gõ thường xuyên trên bàn phím thật, 12 tới 14 ký tự là mức cân bằng chấp nhận được. Dưới 12 ký tự thì không nên dùng cho tài khoản có giá trị, kể cả khi bật đủ bốn nhóm ký tự.
Bỏ ký tự đặc biệt thì mật khẩu yếu đi bao nhiêu?
Bộ ký tự giảm từ 88 xuống 62 ký tự, mỗi ký tự còn khoảng 5,95 bit thay vì 6,46 bit. Với mật khẩu 16 ký tự, phần hụt tương đương khoảng 8 bit, và bạn bù lại được chỉ bằng cách thêm hai ký tự nữa. Vì vậy khi một trang không chấp nhận dấu đặc biệt, hãy tăng độ dài thay vì bỏ cuộc.
Vì sao trang đăng ký báo mật khẩu của tôi không hợp lệ?
Một số trang chỉ chấp nhận vài ký tự đặc biệt nhất định, hoặc giới hạn độ dài tối đa thấp hơn mức bạn chọn, hoặc cấm hẳn dấu cách và dấu ngoặc. Cách xử lý là tắt bớt nhóm ký tự đặc biệt rồi tăng độ dài, hoặc hạ độ dài xuống đúng mức trang cho phép và giữ đủ bốn nhóm ký tự.
Công cụ có tạo được nhiều mật khẩu cùng lúc không?
Không, mỗi lần bấm Generate chỉ ra một mật khẩu. Khi cần nhiều mật khẩu, bạn bấm lại và sao chép từng cái, dán ngay vào nơi lưu trước khi tạo cái tiếp theo. Nếu phải cấp phát hàng loạt cho nhiều tài khoản, nên dùng chức năng sinh hàng loạt của trình quản lý mật khẩu dành cho doanh nghiệp.
Tùy chọn loại bỏ ký tự dễ nhầm có làm mật khẩu yếu đi không?
Có nhưng không đáng kể. Bộ ký tự giảm từ 88 xuống 81, tức mỗi ký tự mất khoảng 0,12 bit, và với mật khẩu 16 ký tự thì chênh lệch chưa tới 2 bit. Đổi lại bạn tránh được lỗi đọc nhầm giữa số 0 và chữ O hoa, hay giữa số 1, chữ l thường và chữ I hoa khi phải chép tay.
Cụm nhiều từ có an toàn bằng chuỗi ký tự ngẫu nhiên không?
Có, nếu các từ được chọn ngẫu nhiên từ một danh sách đủ lớn và số từ đủ nhiều. Một cụm bốn tới năm từ chọn ngẫu nhiên có entropy tương đương mật khẩu ngẫu nhiên khoảng 12 ký tự, lại dễ nhớ hơn nhiều. Nhưng cụm ghép từ một câu bạn tự nghĩ ra thì không an toàn, vì ngôn ngữ tự nhiên rất dễ đoán.
Có nên đổi mật khẩu định kỳ ba tháng một lần không?
Hướng dẫn hiện đại đã bỏ yêu cầu đổi theo lịch, vì nó khiến người dùng chọn mật khẩu yếu dần theo khuôn dễ đoán. Thay vào đó chỉ đổi khi có dấu hiệu lộ, khi dịch vụ thông báo bị rò rỉ dữ liệu, hoặc khi bạn đã từng dùng lại mật khẩu đó ở nơi khác. Mật khẩu dài và duy nhất cho từng dịch vụ quan trọng hơn nhiều.
Dán mật khẩu qua clipboard có rủi ro gì?
Clipboard là vùng dùng chung mà nhiều ứng dụng khác, kể cả tiện ích mở rộng của trình duyệt, có thể đọc được, và nội dung nằm lại đó cho tới khi bị ghi đè. Sau khi dán mật khẩu vào đúng chỗ, hãy sao chép ngay một đoạn văn bản vô hại để đẩy nó ra khỏi clipboard.
Thanh độ mạnh có tin được không?
Với mật khẩu do chính công cụ sinh ra thì tin được, vì thanh đo chấm theo độ dài và số nhóm ký tự, đúng là hai yếu tố quyết định trong trường hợp ngẫu nhiên hoàn toàn. Nhưng đừng dùng thang điểm này để chấm mật khẩu bạn tự nghĩ, vì nó không tra từ điển và không biết mật khẩu có khuôn mẫu hay không.
Mật khẩu mạnh có đủ để bảo vệ tài khoản không?
Không đủ. Mật khẩu mạnh chống được tấn công dò tìm, nhưng vô dụng trước tấn công lừa đảo khi chính bạn gõ nó vào một trang giả mạo, và cũng vô dụng khi máy bạn nhiễm mã độc ghi phím. Vì vậy hãy bật xác thực hai bước cho mọi tài khoản quan trọng, ưu tiên khóa bảo mật hoặc ứng dụng sinh mã hơn tin nhắn.
Có nên lưu mật khẩu trong trình duyệt không?
Tốt hơn nhiều so với dùng lại một mật khẩu cho mọi nơi, nhưng kém hơn một trình quản lý mật khẩu chuyên dụng về khả năng chia sẻ an toàn, kiểm tra rò rỉ và đồng bộ giữa nhiều hệ điều hành. Nếu dùng kho lưu của trình duyệt, hãy bật khóa bằng mật khẩu chính hoặc sinh trắc học và bật xác thực hai bước cho tài khoản trình duyệt.
Từ khóa liên quan
- tạo mật khẩu mạnh
- tạo mật khẩu ngẫu nhiên
- password generator
- mật khẩu an toàn
- mật khẩu bao nhiêu ký tự là đủ
- entropy mật khẩu
- trình quản lý mật khẩu
- mật khẩu ký tự đặc biệt
- tạo mật khẩu wifi
- đặt mật khẩu khó đoán
- cách đặt mật khẩu an toàn
- mật khẩu 16 ký tự
- cụm mật khẩu nhiều từ
- xác thực hai bước
- đo độ mạnh mật khẩu
- mật khẩu không trùng lặp
- sinh mật khẩu trong trình duyệt
- random password generator
- mật khẩu quản trị hệ thống
- bảo mật tài khoản trực tuyến
