Trình tạo mật khẩu
Tạo mật khẩu ngẫu nhiên mạnh hoặc cụm mật khẩu dễ nhớ. Mọi thứ diễn ra ngay trong trình duyệt của bạn - không gì được gửi đi, ghi lại hay lưu trữ.
Được tạo cục bộ bằng nguồn ngẫu nhiên mật mã của trình duyệt. Chúng tôi không bao giờ nhìn thấy nó.
Điều gì làm nên một mật khẩu mạnh
Yếu tố quan trọng nhất là độ dài. Một mật khẩu ngắn gồm toàn ký hiệu ngẫu nhiên vẫn yếu hơn một mật khẩu dài hơn, vì mỗi ký tự thêm vào nhân số tổ hợp mà kẻ tấn công phải thử lên nhiều lần. Mật khẩu ngẫu nhiên 12 ký tự là tạm ổn; 16 trở lên là thoải mái; 20+ là mặc định của công cụ này.
Yếu tố thứ hai là tính ngẫu nhiên. Những mật khẩu bạn dễ nghĩ ra - tên thú cưng, năm sinh, "He2026!" - cũng dễ bị phần mềm dò mật khẩu đoán ra, vì chúng bắt đầu từ các từ trong từ điển, các kiểu thay thế quen thuộc và ngày tháng. Mật khẩu do nguồn ngẫu nhiên mật mã của máy tính chọn thì không có quy luật nào như vậy. Trình tạo này dùng API Web Crypto của trình duyệt - nguồn ngẫu nhiên mà các ngân hàng tin dùng, chứ không phải Math.random() dễ đoán.
Yếu tố thứ ba là tính duy nhất. Ngay cả mật khẩu hoàn hảo cũng nguy hiểm nếu bạn dùng lại nó. Khi một trang web bị lộ dữ liệu, kẻ tấn công đem đúng cặp email-mật khẩu đó thử trên hàng trăm dịch vụ khác - gọi là credential stuffing, và đây chính là cách phần lớn tài khoản bị chiếm đoạt. Mỗi tài khoản một mật khẩu riêng sẽ khoanh vùng thiệt hại ở một trang duy nhất.
Mật khẩu ngẫu nhiên hay cụm mật khẩu?
Mật khẩu ngẫu nhiên như k7$Rf2!qXb9wZ dồn sức mạnh tối đa vào ít ký tự nhất. Nó lý tưởng khi trình quản lý mật khẩu nhớ hộ bạn và bạn không bao giờ phải gõ tay.
Cụm mật khẩu như Copper-Harbor-Velvet-92-Rocket xâu chuỗi nhiều từ ngẫu nhiên. Nó dễ gõ, dễ đọc to hơn hẳn, vậy mà cụm năm từ vẫn cực kỳ khó bẻ khóa, vì kẻ tấn công vẫn phải đoán đúng những từ nào, theo thứ tự nào. Cụm mật khẩu tỏa sáng với số ít mật khẩu bạn buộc phải tự nhớ - đăng nhập thiết bị, mật khẩu chủ của trình quản lý mật khẩu, email của bạn.
Cách lưu trữ mật khẩu an toàn
Khi mật khẩu đã dài, ngẫu nhiên và không trùng lặp, bạn không thể nhớ hết - và cũng đừng cố. Hãy dùng trình quản lý mật khẩu. Nó tạo và lưu mật khẩu riêng cho từng trang, tự động điền, và khóa tất cả sau một cụm mật khẩu chủ đủ mạnh (chính là chỗ dùng tuyệt vời cho chế độ cụm mật khẩu ở trên). Các lựa chọn uy tín gồm Bitwarden, 1Password và KeePass.
Dù làm gì, hãy tránh những cái bẫy quen thuộc: đừng lưu mật khẩu trong file văn bản hay bảng tính, đừng tự gửi chúng qua email, và đừng để trình duyệt dùng chung trên máy tính công cộng ghi nhớ chúng.
Câu hỏi thường gặp
Trình tạo mật khẩu này có an toàn không?
Có. Mật khẩu được tạo hoàn toàn bên trong trình duyệt của bạn bằng API Web Crypto. Không gì được truyền tới máy chủ nào, không bị ghi log hay lưu lại - bạn thậm chí có thể ngắt mạng sau khi trang tải xong mà công cụ vẫn chạy. Tải lại trang là mật khẩu biến mất vĩnh viễn.
Mật khẩu của tôi nên dài bao nhiêu?
Với tài khoản thông thường, hãy nhắm tới 16 ký tự trở lên với nhiều loại ký tự. Với những gì quan trọng - email, ngân hàng, mật khẩu chủ của trình quản lý mật khẩu - hãy dùng 20+ ký tự hoặc cụm mật khẩu 5-6 từ.
Thang đo độ mạnh đo cái gì?
Nó ước lượng entropy theo bit - đại khái là kẻ tấn công cần bao nhiêu lần đoán. Dưới khoảng 50 bit là yếu, 50-70 là tạm được, và trên 80 bit là đủ mạnh để việc dò tuần tự trở nên bất khả thi với phần cứng hiện nay.
Sao không dùng luôn Math.random()?
Hàm Math.random() thông thường có thể dự đoán được và không được thiết kế cho bảo mật - chỉ cần vài giá trị đầu ra là có thể dựng lại chuỗi của nó. Công cụ này dùng crypto.getRandomValues(), an toàn về mặt mật mã.
Tôi có nên dùng lại một mật khẩu mạnh cho nhiều trang không?
Không. Dùng lại mật khẩu là rủi ro thực tế lớn nhất. Chỉ cần một trang bị lộ, kẻ tấn công sẽ thử mật khẩu đó ở mọi nơi khác. Hãy tạo mật khẩu mới cho từng tài khoản và để trình quản lý mật khẩu nhớ giúp.