Một mật khẩu mạnh thì dài, ngẫu nhiên và chỉ dùng cho một tài khoản. Độ dài quan trọng hơn ký hiệu: mỗi ký tự thêm vào nhân số khả năng lên bằng kích thước bộ ký tự, còn thêm một loại ký hiệu chỉ làm mỗi ký tự khó đoán hơn một chút. Một mật khẩu ngẫu nhiên 16 chữ cái thường mạnh hơn một mật khẩu ngẫu nhiên 8 ký tự dùng đủ mọi loại ký hiệu. Bài này đặt con số vào điều đó, giải thích chỗ đứng của cụm từ mật khẩu, và chỉ cách tạo một mật khẩu ngay trong trình duyệt cùng lý do vì sao việc đó an toàn.
Độ mạnh được đo thế nào
Với mật khẩu được chọn hoàn toàn ngẫu nhiên, độ mạnh được đếm bằng bit. Công thức là độ dài x log2(kích thước bộ ký tự). Mỗi bit thêm làm số mật khẩu kẻ tấn công phải thử tăng gấp đôi, nên thang đo tăng theo cấp số nhân: thêm 10 bit nghĩa là nhiều hơn khoảng một nghìn lần khả năng.
Kích thước bộ ký tự phụ thuộc vào những gì bạn cho phép. Chữ cái thường cho 26 ký tự. Thêm chữ hoa, chữ số và 27 ký hiệu mà công cụ này dùng thì được 26 + 26 + 10 + 27 = 89.
| Mật khẩu | Kích thước bộ ký tự | Bit |
|---|---|---|
| 6 chữ số ngẫu nhiên (mã PIN) | 10 | 19,9 |
| 8 ký tự, đủ mọi loại | 89 | 51,8 |
| 12 chữ cái thường | 26 | 56,4 |
| 12 chữ cái và chữ số | 62 | 71,5 |
| 16 chữ cái thường | 26 | 75,2 |
| 12 ký tự, đủ mọi loại | 89 | 77,7 |
| 16 chữ cái và chữ số | 62 | 95,3 |
| 20 ký tự, đủ mọi loại | 89 | 129,5 |
Đọc từ trên xuống. Mật khẩu 8 ký tự đủ mọi loại ký hiệu, kiểu mà nhiều trang dạy bạn viết, chỉ ở mức khoảng 52 bit. Mười hai chữ cái thường trơn đã vượt nó. Mười sáu chữ cái thường, không chữ hoa, chữ số hay ký hiệu nào, gần bằng một mật khẩu 12 ký tự có đủ mọi loại.
Lý do rất đơn giản. Mỗi ký tự thêm vào cộng log2(kích thước bộ ký tự) bit: khoảng 4,7 bit với chữ cái thường, 6,0 với chữ cái và chữ số, 6,5 với toàn bộ. Chuyển từ chữ cái và chữ số (62) sang toàn bộ (89) chỉ thêm khoảng 0,5 bit cho mỗi ký tự. Nói cách khác, thêm một ký tự có giá trị gần bằng việc bật ký hiệu cho cả mười hai ký tự cùng lúc.
Một giới hạn quan trọng của các con số này
Chúng chỉ đúng với mật khẩu được tạo bằng quá trình ngẫu nhiên. P@ssw0rd2024! có chữ hoa, chữ số và ký hiệu mà vẫn theo đúng khuôn mẫu kẻ tấn công thử đầu tiên, vì con người dựng mật khẩu từ từ ngữ, tên, ngày tháng và những cách thay chữ rất dễ đoán. Mật khẩu bạn tự nghĩ ra yếu hơn nhiều so với độ dài của nó gợi ý. Đó là lý lẽ mạnh nhất để giao việc chọn mật khẩu cho một bộ tạo.
Cụm từ mật khẩu: khi bạn phải gõ từ trí nhớ
Cụm từ mật khẩu gồm vài từ ngẫu nhiên. Nếu các từ được rút ngẫu nhiên từ danh sách 7.776 từ, mỗi từ thêm log2(7776) = 12,9 bit. Con số 7.776 là 6 lũy thừa 5, vì vậy phương pháp kinh điển dùng năm lần gieo xúc xắc cho mỗi từ.
- 4 từ ngẫu nhiên: khoảng 51,7 bit, bằng mật khẩu 8 ký tự ở trên
- 5 từ ngẫu nhiên: khoảng 64,6 bit
- 6 từ ngẫu nhiên: khoảng 77,5 bit, bằng 12 ký tự đủ mọi loại
Cụm từ mật khẩu dễ gõ và dễ nhớ, nên hợp với vài bí mật bạn không thể để trong trình quản lý mật khẩu: mật khẩu chính của chính trình quản lý đó, mật khẩu đăng nhập máy tính, cụm từ mã hóa ổ đĩa. Điều kiện là tính ngẫu nhiên thật sự. Những từ bạn tự chọn, một câu hát hay một câu trích chỉ được tính là vài lần đoán, không phải một lần rút ngẫu nhiên. Lưu ý rằng bộ tạo này tạo mật khẩu từ các ký tự, không tạo cụm từ gồm các từ. Với cụm từ cần ghi nhớ, hãy dùng xúc xắc và một danh sách từ đã được công bố.
Tạo mật khẩu bằng công cụ
Công cụ tạo mật khẩu chạy ngay trong trình duyệt.
- Đặt Độ dài. Giá trị từ 4 đến 128 và bắt đầu ở 20. Với tài khoản lưu trong trình quản lý mật khẩu, 16 đến 24 là khoảng hợp lý.
- Chọn các loại ký tự: chữ thường, chữ hoa, chữ số, ký hiệu. Cả bốn được bật sẵn, cho bộ ký tự 89 và hiện khoảng 129 bit.
- Nếu một trang từ chối vài ký hiệu, hãy gõ chúng vào "Không bao giờ dùng các ký tự này", hoặc bỏ chọn ký hiệu và tăng độ dài. Không có ký hiệu, 17 ký tự gồm chữ cái và chữ số vẫn cho khoảng 101 bit.
- Với mật khẩu bạn sẽ đọc to hoặc gõ từ giấy, chọn "Tránh ký tự dễ nhầm", loại bỏ I, l, 1, O, 0 và vài ký tự nữa. Việc này làm mỗi ký tự yếu đi một chút, nên hãy thêm một hai ký tự.
- Nhấn "Tạo mới" đến khi hài lòng, rồi "Sao chép". "Ẩn" che mật khẩu trên màn hình.
- Dán nó vào ô mật khẩu và vào trình quản lý mật khẩu của bạn ngay. Trang không lưu gì, nên đóng trang là mất mật khẩu.
Các nhãn của thanh đo là những dải đơn giản trên số bit: dưới 50 là Yếu, từ 50 đến 69 là Trung bình, từ 70 đến 99 là Mạnh, và từ 100 trở lên là Rất mạnh. Đó là thang riêng của công cụ này, không phải chuẩn của ngành, và chỉ mô tả mật khẩu được tạo ra.
Vì sao mật khẩu tạo trong trình duyệt vẫn ổn
Một mật khẩu an toàn nếu kẻ tấn công không dự đoán được nó. Điều quan trọng là nguồn của tính ngẫu nhiên. Bộ tạo này dùng crypto.getRandomValues, bộ tạo số ngẫu nhiên an toàn mật mã của trình duyệt, dựa trên bộ tạo của hệ điều hành. Nó không dùng Math.random, thứ không được thiết kế để không thể đoán. Khi chọn một ký tự, nó bỏ mọi số ngẫu nhiên có thể làm lệch về một số ký tự, nên mỗi ký tự được phép có xác suất như nhau. Nó cũng bảo đảm có ít nhất một ký tự của mỗi loại bạn đã chọn, rồi xáo trộn.
Không có gì được gửi đi. Bạn kiểm tra được: mở công cụ dành cho nhà phát triển của trình duyệt, vào thẻ Network, nhấn "Tạo mới" và xem sẽ không có yêu cầu nào xuất hiện. Mật khẩu chỉ nằm trong bộ nhớ của trang cho đến khi bạn đóng nó.
Những rủi ro còn lại không nằm ở nơi mật khẩu được tạo, và chúng áp dụng cho mọi bộ tạo. Phần mềm độc hại trên máy có thể đọc những gì bạn sao chép. Một tiện ích trình duyệt xấu có thể đọc trang. Người khác có thể nhìn màn hình của bạn, và lịch sử bảng nhớ tạm có thể giữ lại mật khẩu. Hãy tạo mật khẩu trên thiết bị bạn tin tưởng, và xóa bảng nhớ tạm nếu hệ thống của bạn lưu lịch sử.
Điều quan trọng hơn bộ tạo
- Mỗi tài khoản một mật khẩu. Khi một trang bị lộ dữ liệu, mật khẩu dùng lại sẽ mở các tài khoản khác của bạn.
- Một trình quản lý mật khẩu. Nó cho phép mọi mật khẩu đều dài và ngẫu nhiên mà không ai phải nhớ.
- Xác thực hai yếu tố cho email, ngân hàng và mọi thứ có thể đặt lại các tài khoản khác.
- Không ép quy tắc thành phần. Các hướng dẫn như hướng dẫn về danh tính số của NIST khuyên nên ưu tiên độ dài và kiểm tra mật khẩu với danh sách những mật khẩu đã bị lộ, thay vì bắt buộc có một ký hiệu và một chữ số.
- Mật khẩu Wi-Fi là thứ duy nhất bạn thực sự phải đọc cho khách. Hãy tạo nó dài và ngẫu nhiên như các mật khẩu khác, rồi đưa khách một mã QR cho mạng Wi-Fi để không ai phải đọc to nó.
Danh sách kiểm tra ngắn
Dùng bộ tạo, đặt ít nhất 16 ký tự, giữ mỗi mật khẩu duy nhất và lưu trong trình quản lý, bật xác thực hai yếu tố, và chỉ dùng cụm từ mật khẩu ngẫu nhiên năm hay sáu từ cho vài thứ bạn bắt buộc phải nhớ.