Cách dùng Kiểm Tra Độ Mạnh Mật Khẩu
- Nhập hoặc dán một mật khẩu. Mật khẩu được phân tích ngay trong trình duyệt của bạn và không bao giờ được gửi lên máy chủ của chúng tôi.
- Xem mức độ mạnh, số tổ hợp có thể và thời gian ước tính để bẻ khóa trong bốn kịch bản tấn công.
- Kiểm tra danh sách điểm yếu — từ thông dụng, chuỗi như “1234” hoặc “qwerty”, năm sinh và các mẫu dễ đoán.
- Tùy chọn: nhấn Kiểm tra rò rỉ dữ liệu để xem mật khẩu có nằm trong cơ sở dữ liệu mật khẩu bị rò rỉ của Have I Been Pwned hay không.
Cách đo độ mạnh mật khẩu
Độ mạnh phụ thuộc vào số lần đoán mà kẻ tấn công cần thử. Với một mật khẩu thực sự ngẫu nhiên, con số này bằng kích thước bảng ký tự lũy thừa với độ dài: 8 chữ cái thường ngẫu nhiên cho 268 ≈ 209 tỷ khả năng, còn 16 ký tự lấy từ 95 ký tự in được cho khoảng 4,4 × 1031. Tính theo bit entropy, mỗi bit thêm vào sẽ làm đôi công sức cần bỏ ra.
Tuy nhiên, mật khẩu thực tế hiếm khi ngẫu nhiên. Các công cụ bẻ khóa thường thử trước các mật khẩu bị rò rỉ, từ trong từ điển, tên riêng, các chuỗi phím liền kề trên bàn phím và mẫu “Từ + năm + !”. Vì vậy, bộ kiểm tra sẽ giảm điểm ước tính với từ thông dụng, các thay thế kiểu p@ssw0rd, ký tự lặp và chuỗi liên tiếp. Một mật khẩu dài nhưng được tạo theo mẫu dễ đoán có thể yếu hơn một mật khẩu ngắn hơn nhưng ngẫu nhiên.
Các kịch bản tấn công
| Kịch bản | Số lần đoán mỗi giây | Khi nào xảy ra |
|---|---|---|
| Trực tuyến, có giới hạn | ~100 mỗi giờ | Đăng nhập vào website có giới hạn tần suất hoặc khóa tài khoản |
| Trực tuyến, không giới hạn | ~10 | Form đăng nhập hoặc API được bảo vệ kém |
| Ngoại tuyến, băm chậm | ~10.000 | Cơ sở dữ liệu bị đánh cắp, băm bằng bcrypt, scrypt hoặc Argon2 |
| Ngoại tuyến, băm nhanh | ~100 tỷ | Cơ sở dữ liệu bị đánh cắp với mã băm MD5/SHA-1, bẻ khóa bằng GPU |
Kiểm tra rò rỉ có an toàn không?
Có. Công cụ dùng API k-anonymity của Have I Been Pwned: trình duyệt của bạn băm mật khẩu bằng SHA-1 và chỉ gửi năm ký tự đầu của mã băm. Dịch vụ trả về tất cả mã băm bị rò rỉ bắt đầu bằng các ký tự đó, và trình duyệt so khớp chúng ngay tại máy bạn. Cả chúng tôi lẫn Have I Been Pwned đều không thể thấy mật khẩu hay toàn bộ mã băm.
Điều gì thực sự làm mật khẩu mạnh
- Độ dài quan trọng hơn độ phức tạp. Hãy hướng tới 16 ký tự ngẫu nhiên trở lên hoặc một cụm mật khẩu gồm 5–6 từ ngẫu nhiên.
- Không bao giờ dùng lại mật khẩu. Mật khẩu đã bị rò rỉ sẽ được thử trên các trang khác (credential stuffing) — tái sử dụng là rủi ro lớn nhất trong thực tế.
- Dùng trình quản lý mật khẩu và bật xác thực hai yếu tố cho các tài khoản quan trọng.
Tạo mật khẩu và cụm mật khẩu mạnh với Công cụ tạo mật khẩu nâng cao, và tính số khả năng cho mã và PIN với Công cụ tính khả năng & tổ hợp.
Cũng được tìm dưới tên: mật khẩu của tôi có an toàn không, kiểm tra mật khẩu, thời gian bẻ khóa mật khẩu, entropy mật khẩu, have i been pwned mật khẩu, số tổ hợp mật khẩu, test độ mạnh mật khẩu.
Các công cụ dùng kèm tốt với Kiểm Tra Độ Mạnh Mật Khẩu
- Tạo mã Hash — Tính mã hash MD5 và SHA cho mọi văn bản hoặc file ngay lập tức, tạo chữ ký HMAC và dán checksum mong đợi để kiểm tra file tải về.
- Trình tạo số ngẫu nhiên — Tạo số ngẫu nhiên (có hoặc không trùng lặp), chọn người thắng từ danh sách, xáo trộn tên, chia nhóm thành các đội, tung đồng xu và tung xúc xắc, tất cả dùng tính ngẫu nhiên an toàn về mật mã có sẵn trong trình duyệt của bạn.
- Tạo UUID — Tạo UUID ngẫu nhiên an toàn về mật mã (v4) hoặc UUID có thể sắp xếp theo dấu thời gian (v7) hàng loạt, rồi sao chép hoặc tải xuống.
- Trình tạo bảng Markdown — Tạo bảng trong trình soạn thảo kiểu bảng tính — hoặc dán ô từ Excel, Google Sheets hay CSV — chọn căn lề cho cột và nhận ngay bảng Markdown (GitHub-flavored) được căn thẳng hàng, hoặc HTML sạch sẽ.