Kiểm tra độ mạnh mật khẩu (entropy + thời gian bẻ khóa)
Nhập mật khẩu (chỉ trong trình duyệt, không bao giờ truyền đi). Công cụ tính entropy, phạm vi bộ ký tự, rủi ro khớp từ điển và hiển thị thời gian bẻ khóa ước tính cho tấn công GPU ngoại tuyến, giới hạn API trực tuyến và tấn công trực tuyến chậm.
Cách hoạt động
'Entropy' có nghĩa gì với mật khẩu
Entropy đo tính không thể đoán trước bằng bit. Mật khẩu với 30 bit entropy cần trung bình ~2³⁰ ≈ 1 tỷ lần đoán để bẻ khóa. Trên 70 bit thường được coi là mạnh; trên 80 bit là xuất sắc.
Công thức: entropy = độ_dài × log₂(kích_thước_bộ_ký_tự). 'abcdefgh' (8 ký tự, chỉ chữ thường) = 8 × log₂(26) ≈ 37,6 bit. 'aA1!aaaa' (8 ký tự, tất cả bộ ký tự) = 8 × log₂(95) ≈ 52,6 bit — nhưng thời gian bẻ khóa tệ hơn nhiều so với 52 bit vì 'aaaa' là mẫu phổ biến.
Tại sao thời gian bẻ khóa biến đổi rất nhiều
GPU ngoại tuyến: hash mật khẩu bị rò rỉ đang bị tấn công ngoại tuyến. GPU hiện đại có thể đoán 10⁹+ hash MD5 mỗi giây; hash bcrypt chỉ 10⁴-10⁵/giây. Ước tính ở đây dùng giả định hash nhanh GPU.
Trực tuyến nhanh: kẻ tấn công tấn công API đăng nhập trực tiếp. Hầu hết API có giới hạn tốc độ; 1.000 lần thử/giây là ước tính cao đối với endpoint kém bảo vệ.
Trực tuyến chậm: endpoint được bảo vệ đúng cách với giới hạn tốc độ nghiêm ngặt, khóa tài khoản và CAPTCHA. 100 lần thử/giây là hào phóng; nhiều hệ thống chỉ cho phép 5-10 lần/phút.
Các ước tính này bỏ qua các yếu tố thực tế như tấn công từ điển (tìm mật khẩu phổ biến nhanh hơn nhiều so với brute force) và tái sử dụng mật khẩu (bẻ rò rỉ của một trang giúp bẻ các trang khác).
Điều gì tạo nên mật khẩu mạnh
Độ dài hơn độ phức tạp: cụm 16 ký tự kiểu 'mèo trèo cây cao nhìn xa' mạnh hơn kiểu tra tấn 8 ký tự như 'P@ssw0rd!'. Hiểu biết từ XKCD năm 2011 vẫn còn hiệu lực: 4 từ ngẫu nhiên cho ~44 bit entropy.
Tránh mẫu: ngày tháng, tên, '123', 'qwer', ký tự lặp đều làm giảm entropy thực tế xuống dưới giá trị công thức. Công cụ tấn công bao gồm 'biến đổi theo quy tắc' mở rộng (ví dụ 'password' → 'P@ssw0rd!').
Dùng trình quản lý mật khẩu: con người chọn mẫu; trình quản lý thì không. Bitwarden, 1Password, KeePass tạo mật khẩu thực sự ngẫu nhiên cho mỗi trang, với 16+ ký tự trên tất cả bộ ký tự. Mật khẩu duy nhất bạn cần nhớ là mật khẩu chính — và mật khẩu đó nên là cụm dài dễ nhớ.
Câu hỏi thường gặp
›Mật khẩu của tôi có được gửi đi đâu không?
Không. Mọi thứ chạy cục bộ trong trình duyệt của bạn. Chúng tôi không thấy, lưu trữ hoặc truyền mật khẩu của bạn.
›Tại sao mật khẩu dài của tôi lại hiển thị entropy thấp?
Độ dài không phải là tất cả — lặp 'a' 50 lần có entropy thực tế rất thấp. Máy tính dùng công thức đơn giản nhưng cảnh báo các mẫu lặp/tuần tự. Để kết quả tốt nhất: dài, đa dạng, không có mẫu.
›Thời gian bẻ khóa có chính xác không?
Đây là ước tính dựa trên brute force đơn thuần. Các công cụ bẻ khóa thực dùng từ điển, mẫu phổ biến và cơ sở dữ liệu mật khẩu bị rò rỉ trước — nên mật khẩu 'phổ biến' có thể bị bẻ trong vài giây dù entropy công thức cao.
›Tôi có nên lo lắng về máy tính lượng tử không?
Cuối cùng thì có — thuật toán Grover giảm nửa số bit hiệu quả của mã hóa đối xứng. Khóa đối xứng tương đương 128 bit cần 64+ bit tương đương sau lượng tử. Hiện tại, trên 80 bit entropy là thoải mái; 128+ cho các bí mật rất dài hạn.
›Tại sao công cụ cảnh báo 'P@ssw0rd1' dù nó có tất cả bộ ký tự?
Vì 'password' có trong từ điển và các thay thế tầm thường (a → @) là một phần trong bộ quy tắc của mọi công cụ bẻ khóa. Dùng mật khẩu thực sự ngẫu nhiên hoặc kiểu cụm, không phải thay thế từ phổ biến.
›Cụm bốn từ ngẫu nhiên có thực sự an toàn không?
Tương đối. 4 từ ngẫu nhiên từ danh sách 7.000 từ = ~52 bit entropy. Mạnh hơn hầu hết mật khẩu 8 ký tự phức tạp. Nhưng một khi nó nổi tiếng (như ví dụ này), nó có trong từ điển — hãy chọn các từ ngẫu nhiên của riêng bạn.
›Độ dài mật khẩu tối thiểu tôi nên dùng là bao nhiêu?
8 là mức tối thiểu (và chỉ với tất cả bộ ký tự). Khuyến nghị 12+ cho hầu hết tài khoản. 16+ cho tài khoản quan trọng (email, ngân hàng, mật khẩu chính trình quản lý).
›Phân biệt chữ hoa thường có quan trọng không?
Có — thêm chữ hoa nhân đôi kích thước bộ ký tự từ 26 lên 52. Khoảng +1 bit mỗi ký tự. Kết hợp chữ hoa thường có ý nghĩa (không chỉ ký tự đầu tiên) là đáng làm.
Công cụ liên quan
Cập nhật lần cuối: