Mật khẩu được tạo ra như thế nào
Mỗi ký tự được chọn độc lập và đồng đều từ tập ký tự bạn cho phép. Tính ngẫu nhiên đến từ bộ sinh số mật mã của trình duyệt, crypto.getRandomValues, vốn lấy dữ liệu từ nguồn entropy của hệ điều hành.
Có một chi tiết quan trọng hơn vẻ ngoài của nó. Nếu lấy một số ngẫu nhiên 32 bit rồi chia lấy dư, kết quả sẽ hơi nghiêng về các ký tự đầu của tập, vì 2³² không chia hết cho kích thước tập. Bộ sinh loại bỏ số ít giá trị gây ra độ lệch đó và rút lại, nên mọi ký tự thực sự có cơ hội như nhau.
Các tập ký tự gồm:
- Chữ thường
a-z: 26 ký tự. - Chữ hoa
A-Z: 26 ký tự. - Chữ số
0-9: 10 ký tự. - Ký hiệu: 27 ký tự,
!@#$%^&*()-_=+[]{};:,.<>?/~.
Khi bật tất cả, tập có 89 ký tự. Tùy chọn "Không ký tự dễ nhầm" loại bỏ I, l, 1, O và 0, còn lại 84.
Mật khẩu chỉ tồn tại trên trang. Thay đổi bất kỳ tùy chọn nào sẽ lập tức tạo bộ mới, và không có gì được lưu hay gửi đi.
Đọc chỉ số entropy
Entropy là số bit mà kẻ tấn công phải đoán. Với mật khẩu ngẫu nhiên, nó bằng độ dài nhân với log₂ của kích thước tập ký tự. Mỗi bit thêm vào làm khối lượng công việc tăng gấp đôi.
Một vài giá trị cụ thể từ thanh đo:
- 4 chữ số, tức một mã PIN: 13 bit.
- 8 chữ thường: 38 bit, xếp loại Yếu.
- 12 ký tự từ mọi tập: 78 bit, Mạnh.
- 16 ký tự từ mọi tập: 104 bit, Rất mạnh.
- 20 ký tự từ mọi tập: 130 bit.
Nhãn thay đổi ở các mốc 40, 64 và 100 bit. Để dễ hình dung, giả sử kẻ tấn công đã đánh cắp một cơ sở dữ liệu mật khẩu và có thể thử 10 tỷ lần đoán mỗi giây với một hàm băm nhanh. Mật khẩu 40 bit bị phá trung bình trong chưa đầy hai phút. Mật khẩu 64 bit mất hàng chục năm. Mật khẩu 80 bit mất hơn một triệu năm.
Độ dài đáng giá hơn sự đa dạng. Thêm ký hiệu vào mật khẩu 16 ký tự làm tập tăng từ 62 lên 89 ký tự và chỉ được thêm khoảng 8 bit; thêm bốn ký tự nữa vào cùng mật khẩu đó thì được khoảng 26 bit.
Con số này giả định mật khẩu được tạo ngẫu nhiên, điều đúng với công cụ này. Nó không nói lên gì về mật khẩu bạn tự nghĩ ra, nơi các khuôn mẫu, tên riêng và ngày tháng khiến entropy thực tế thấp hơn nhiều.
Khi một trang web từ chối mật khẩu
Các ký tự được chọn độc lập, nên mật khẩu không được đảm bảo chứa ít nhất một ký tự của mỗi loại đã bật. Khi bật cả bốn tập, mật khẩu 16 ký tự không có chữ số nào trong khoảng 15% trường hợp; thiếu chữ hoa hoặc ký hiệu thì xảy ra dưới 1% rất xa. Nếu trang web bắt buộc phải có chữ số, cứ chọn một mật khẩu khác trong bộ: đặt "Số lượng" là 5 hoặc 10 và lấy cái đáp ứng yêu cầu.
Những lý do bị từ chối thường gặp khác:
- Quá dài. Một số hệ thống ngân hàng và hệ thống cũ giới hạn độ dài ở 12, 16 hoặc 20 ký tự. Kéo thanh trượt ngắn lại cho vừa.
- Ký hiệu bị cấm. Các ký tự như
<,>,;hoặc/đôi khi bị chặn. Tạo vài mật khẩu và chọn cái không chứa chúng, hoặc tắt ký hiệu và thêm 3 đến 4 ký tự độ dài để bù lại phần entropy bị mất. - Phải gõ tay. Với khóa Wi-Fi hay những mã bạn đọc to hoặc gõ bằng điều khiển TV, hãy bật "Không ký tự dễ nhầm" và cân nhắc bỏ ký hiệu.
Dùng mật khẩu đã tạo cho đúng cách
Mật khẩu mạnh chỉ có ích khi mỗi cái là duy nhất. Dùng lại mật khẩu chính là thứ biến một trang web bị lộ dữ liệu thành cánh cửa vào email và tài khoản ngân hàng của bạn.
- Lưu mật khẩu đã tạo trong trình quản lý mật khẩu thay vì tệp văn bản hay ứng dụng ghi chú.
- Dùng 20 ký tự trở lên cho mật khẩu chính và tài khoản email, vì chúng mở khóa mọi thứ khác.
- Văn bản đã sao chép có thể còn nằm trong lịch sử clipboard trên thiết bị; hãy xóa nó nếu người khác dùng chung máy tính.
- Với mật khẩu cần chia sẻ, chẳng hạn mật khẩu bảo vệ tệp nén tạo bằng Tạo tệp ZIP, hãy gửi qua một kênh khác với kênh gửi chính tệp đó.
Nếu cần đưa mật khẩu Wi-Fi cho khách, một mã in ra từ Tạo mã QR giúp mọi người khỏi phải gõ.