Cách sử dụng
- Đặt độ dài — từ 16 ký tự trở lên là mức tốt cho các tài khoản lưu trong trình quản lý mật khẩu.
- Chọn loại ký tự cần dùng và có tránh ký tự dễ nhầm như I, l, 1, O và 0 hay không.
- Loại trừ những ký tự một trang web không chấp nhận, ví dụ dấu ngoặc kép hoặc khoảng trắng.
- Sao chép mật khẩu, hoặc tạo nhiều mật khẩu cùng lúc và sao chép tất cả.
Giải thích tùy chọn
- Độ dài
- Mỗi ký tự thêm vào nhân số lượng mật khẩu có thể có lên nhiều lần. Độ dài quan trọng hơn ký hiệu — 16 chữ thường mạnh hơn 10 ký tự đủ mọi loại.
- Tránh ký tự dễ nhầm
- Loại bỏ I, l, 1, |, O, 0, o và dấu ngoặc kép, để mật khẩu đọc to hoặc gõ lại từ giấy không bị nhầm. Việc này làm giảm entropy một chút.
- Có đủ mọi loại đã chọn
- Đảm bảo có ít nhất một ký tự từ mỗi nhóm đã chọn, điều nhiều form đăng ký yêu cầu.
- Entropy
- Số bit ngẫu nhiên trong kết quả của bộ sinh — độ dài × log₂(số ký tự khả dụng). 60 bit là tạm được, 80+ là mạnh, 100+ là rất mạnh.
Độ dài so với loại ký tự
Entropy của mật khẩu chỉ tạo từ các ký tự đã cho:
| Ký tự | Dài 8 | Dài 12 | Dài 16 | Dài 20 |
|---|---|---|---|---|
| Chỉ số (10) | 27 bit | 40 bit | 53 bit | 66 bit |
| Chữ thường (26) | 38 bit | 56 bit | 75 bit | 94 bit |
| Chữ + số (62) | 48 bit | 71 bit | 95 bit | 119 bit |
| Đủ bốn loại (89) | 52 bit | 78 bit | 104 bit | 130 bit |
Thêm bốn ký tự vào độ dài có lợi hơn thêm ký hiệu vào một mật khẩu ngắn.
Câu hỏi thường gặp
Những mật khẩu này có thực sự ngẫu nhiên không?
Có. Chúng lấy từ crypto.getRandomValues, bộ sinh an toàn về mật mã học của trình duyệt, và các ký tự được chọn bằng rejection sampling nên mọi ký tự có khả năng xuất hiện như nhau.
Trang có xem hay lưu lại mật khẩu không?
Không. Mật khẩu được tạo bằng JavaScript ngay trên máy của bạn và không bao giờ được gửi đi. Không có gì được lưu lại.
Mật khẩu nên dài bao nhiêu?
Với tài khoản lưu trong trình quản lý mật khẩu, 16–20 ký tự ngẫu nhiên là đủ dùng. Với mật khẩu chính bạn phải nhớ, hãy dùng một passphrase dài gồm nhiều từ ngẫu nhiên thay vì mật khẩu ký tự.
Thời gian dò mật khẩu nghĩa là gì?
Đây là thời gian trung bình để dò ra mật khẩu bằng brute force ở tốc độ 10 tỷ lần thử mỗi giây — tương đương một giàn GPU mạnh tấn công offline vào một hash nhanh. Tấn công thực tế lên website thường chậm hơn nhiều do có giới hạn số lần thử, nhưng cứ giả định trường hợp xấu nhất.
Có nên dùng cùng một mật khẩu mạnh cho nhiều trang không?
Không. Nếu một trang bị lộ dữ liệu, kẻ tấn công sẽ thử mật khẩu đó ở mọi nơi khác. Hãy dùng mật khẩu khác nhau cho từng tài khoản và để trình quản lý mật khẩu nhớ giúp bạn.
Quyền riêng tư
Công cụ này chạy hoàn toàn trong trình duyệt của bạn. Tệp và văn bản được xử lý ngay trên thiết bị và không bao giờ được tải lên máy chủ của chúng tôi.