Mật khẩu mạnh là gì? Giải thích bằng con số cụ thể

Mật khẩu mạnh là mật khẩu dài và ngẫu nhiên, và tính ngẫu nhiên phải đến từ trình tạo, không phải từ bạn. Mỗi ký tự hoặc từ ngẫu nhiên làm tăng gấp bội số lần đoán mà kẻ tấn công phải thử, nên độ dài có tác dụng lớn hơn các mẹo như thay chữ cái bằng ký hiệu. Hãy tạo một mật khẩu riêng cho từng tài khoản, lưu trong trình quản lý mật khẩu và không bao giờ dùng lại.

Trình tạo mật khẩuCần mật khẩu mạnhDùng miễn phí

Vì sao mẹo vặt không hiệu quả

Kẻ tấn công hiếm khi đoán từng tài khoản một bằng tay. Chúng chạy danh sách mật khẩu phổ biến và từ điển qua các mẫu quen thuộc, chẳng hạn @ thay cho a, 0 thay cho o, và thêm một ký hiệu vào cuối. Chúng thử những biến thể này trước vì nhiều người đặt mật khẩu theo đúng các mẫu đó. Một mật khẩu như P@ssw0rd! trông phức tạp với con người, nhưng đây là một trong những biến thể đầu tiên trong danh sách của kẻ tấn công. Vẻ phức tạp bên ngoài nói rất ít về mức độ khó đoán của nó.

Entropy nói đơn giản

Entropy đo số khả năng có xác suất ngang nhau mà mật khẩu có thể được tạo ra từ đó, tính bằng bit. Mỗi bit thêm vào làm đôi số lần đoán cần thiết. Điều quan trọng là entropy mô tả quá trình tạo ra mật khẩu, chứ không phải hình dáng của mật khẩu. Một chuỗi ngẫu nhiên và một cụm từ dễ nhớ có thể trông lạ như nhau nhưng entropy rất khác. Mã định danh ngẫu nhiên cũng không phải là mật khẩu, vì nó được thiết kế để duy nhất chứ không để giữ bí mật. UUID v4 hay v7 giải thích sự khác biệt này.

Với mật khẩu gồm ký tự ngẫu nhiên, cách tính là:

bits = độ dài × log2(số ký tự trong bộ ký tự)

Với cụm mật khẩu gồm từ ngẫu nhiên, cách tính là:

bits = số từ × log2(số từ trong danh sách từ)

Bảng dưới đây đưa ra các giá trị cụ thể. Mỗi hàng giả định mọi lựa chọn đều ngẫu nhiên và có xác suất ngang nhau.

Cách tạo	Số khả năng	Bit
8 chữ cái thường ngẫu nhiên	26^8	37.6
12 chữ cái và chữ số ngẫu nhiên	62^12	71.5
20 ký tự ngẫu nhiên từ 94 ký hiệu in được	94^20	131.1
4 từ ngẫu nhiên từ danh sách 7,776 từ	7,776^4	51.7
5 từ ngẫu nhiên từ danh sách 1,024 từ	1,024^5	50.0
6 từ ngẫu nhiên từ danh sách 7,776 từ	7,776^6	77.5

Hàng đầu cho thấy vì sao chuỗi ngẫu nhiên ngắn thì yếu: 38 bit để lại rất ít biên an toàn cho một tài khoản quan trọng. Hàng thứ ba cho thấy độ dài mang lại gì. Một mật khẩu bạn tự nghĩ, như Sunset!2026, có số khả năng thực tế ít hơn nhiều so với độ dài của nó, vì bạn đã chọn từ một tập nhỏ các mẫu quen thuộc.

Cụm mật khẩu dễ gõ

Nếu bạn buộc phải gõ mật khẩu, chẳng hạn khi đăng nhập máy tính xách tay hoặc mật khẩu chính của trình quản lý, thì cụm mật khẩu gồm các từ ngẫu nhiên là lựa chọn thực tế. Sáu từ ngẫu nhiên từ danh sách 7,776 từ cho khoảng 77.5 bit, và các từ dễ nhớ hơn nhiều so với một chuỗi ký hiệu ngẫu nhiên. Các từ phải thật sự ngẫu nhiên. Bốn từ do chính bạn chọn mang ít entropy hơn nhiều so với số lượng của chúng, vì con người thường chọn những từ quen thuộc theo cặp quen thuộc. Vì lý do này, danh sách từ dựa trên xúc xắc rất phổ biến: xúc xắc là thứ quyết định lựa chọn, chứ không phải thói quen của bạn. Trình tạo mật khẩu tạo cụm mật khẩu theo cách này, với dấu phân cách do bạn chọn và chữ hoa hoặc chữ số tùy chọn.

Tái sử dụng là rủi ro lớn hơn

Độ dài quan trọng, nhưng tái sử dụng mới thường biến một lần rò rỉ thành nhiều lần. Khi một trang web bị xâm nhập, các cặp email và mật khẩu của trang đó thường bị thử trên các trang phổ biến khác. Đây gọi là credential stuffing. Một mật khẩu mạnh trên lý thuyết vẫn hoàn toàn vô dụng nếu bạn dùng nó ở chỗ khác.

Trình quản lý mật khẩu giải quyết vấn đề này. Nó tạo một mật khẩu riêng cho từng tài khoản, lưu lại và tự điền, nên bạn chỉ cần nhớ một mật khẩu chính mạnh. Trình duyệt và hệ thống điện thoại đều có trình quản lý, và cũng có các ứng dụng độc lập. Dù bạn dùng cách nào, hãy bật xác thực hai yếu tố cho email và tài khoản ngân hàng trước, vì tài khoản email là chìa khóa để đặt lại mật khẩu của các tài khoản khác.

NIST, cơ quan tiêu chuẩn của Hoa Kỳ, ưu tiên độ dài hơn các quy tắc phức tạp như bắt buộc ký hiệu, và không khuyến nghị bắt buộc đổi mật khẩu định kỳ trừ khi có dấu hiệu bị lộ. Một trang bắt bạn đổi mật khẩu vài tháng một lần, hoặc từ chối mật khẩu dài hay không cho dán mật khẩu, đang theo thói quen cũ. Đó là điểm yếu của trang web, không phải lý do để chọn một mật khẩu yếu hơn.

Danh sách kiểm tra ngắn

• Tạo mật khẩu bằng trình tạo thay vì tự nghĩ ra.
• Với những tài khoản khó khôi phục, hãy nhắm tới ít nhất 16 ký tự ngẫu nhiên, hoặc sáu từ ngẫu nhiên.
• Dùng một mật khẩu riêng cho mỗi tài khoản, và lưu chúng trong trình quản lý.
• Bật xác thực hai yếu tố ở mọi nơi có hỗ trợ.
• Đổi mật khẩu ngay nếu dịch vụ bạn dùng báo bị xâm nhập.

Nếu mật khẩu dùng cho bộ phát Wi-Fi của bạn, chia sẻ Wi-Fi bằng mã QR sẽ chỉ bạn cách đưa mật khẩu cho người khác mà không cần đọc to lên.

Cách làm với fixmint

1. Mở trình tạo mật khẩu và giữ chọn Ký tự ngẫu nhiên.
2. Đặt Độ dài ít nhất là 16, và từ 20 trở lên cho tài khoản quan trọng. Mặc định là 20, với cả bốn bộ ký tự được chọn.
3. Xem Độ mạnh ước tính. Công cụ đánh giá dưới 50 bit là yếu, 50 đến 69 là trung bình, 70 đến 99 là mạnh, và từ 100 trở lên là rất mạnh.
4. Nhấn Tạo lại để có bộ năm mật khẩu mới, rồi sao chép một mật khẩu vào trình quản lý. Đừng dùng nó ở nơi khác.
5. Với mật khẩu chính bạn phải gõ, chọn Cụm mật khẩu, đặt Số từ là sáu, và giữ một dấu phân cách mà bạn có thể gõ được.

Trả lời nhanh

Mật khẩu mạnh có bắt buộc phải có ký hiệu không?

Không. Ký hiệu ngẫu nhiên thêm được một ít bit, nhưng độ dài thêm được nhiều hơn, và một chuỗi chữ cái và chữ số ngẫu nhiên đủ dài là mạnh.

Cần bao nhiêu từ để có một cụm mật khẩu mạnh?

Sáu từ ngẫu nhiên từ danh sách 7,776 từ cho khoảng 77.5 bit, một mục tiêu đáng tin cho hầu hết tài khoản.

Có an toàn không nếu để trình duyệt lưu mật khẩu đã tạo?

Với đa số người dùng, đây là lựa chọn hợp lý, miễn là thiết bị có khóa màn hình và hồ sơ trình duyệt được bảo vệ. Rủi ro chính nằm ở thiết bị, không phải ở mật khẩu.