Tạo mật khẩu mạnh, ngẫu nhiên với các nhóm ký tự tùy chỉnh.
Cập nhật lần cuối
Coddy dạy bạn bằng cách viết code thật ngay trên trình duyệt: bài học tương tác, phản hồi tức thì và AI hỗ trợ khi bạn bị kẹt.
Công cụ tạo mật khẩu tạo ra những mật khẩu ngẫu nhiên khó đoán hơn rất nhiều so với mật khẩu do con người tự nghĩ. Lập trình viên và người học dùng chúng cho tài khoản thử nghiệm, trang quản trị, thông tin đăng nhập cơ sở dữ liệu, đăng ký dashboard, secret trong CI và để luyện thói quen bảo mật cá nhân.
Ý tưởng cốt lõi là *entropy*: mức độ khó đoán của một mật khẩu. Mật khẩu dài hơn, khó đoán hơn sẽ mạnh hơn rất nhiều, kể cả khi cả hai đều trông ngẫu nhiên với con người. Mỗi tài khoản một mật khẩu riêng, lưu trong một trình quản lý mật khẩu đáng tin cậy, sẽ loại bỏ phần lớn rủi ro đến từ việc dùng lại mật khẩu.
Một công cụ tạo mật khẩu thực thụ phải lấy tính ngẫu nhiên từ nguồn an toàn: window.crypto.getRandomValues trong trình duyệt, secrets trong Python, crypto.randomBytes trong Node.js. Bất cứ thứ gì dựa trên Math.random() hay bộ sinh số ngẫu nhiên đơn giản lấy hạt giống từ thời gian đều đủ dễ đoán để bị tấn công.
@ thay cho a: một mật khẩu 20 ký tự toàn chữ thường mạnh hơn mật khẩu 10 ký tự có ký hiệu.window.crypto, không phải từ Math.random().Nhắm ít nhất 16 ký tự cho tài khoản quan trọng, từ 20 ký tự trở lên cho thông tin đăng nhập quản trị hoặc root. Tăng độ dài hiệu quả hơn mọi tinh chỉnh khác.
Bật chữ thường, chữ hoa, chữ số và ký hiệu để có kết quả mạnh nhất. Nếu bạn sẽ đọc mật khẩu bằng giọng nói hoặc sao chép qua nhiều hệ thống, bạn có thể tắt ký hiệu.
Bật tùy chọn bỏ qua O / 0 và l / 1 / I nếu mật khẩu có thể phải đọc to hoặc gõ tay.
Thanh đo ước tính thời gian cần để dò ra mật khẩu bằng vét cạn (brute force). Mức nào thuộc nhóm mạnh nhất cũng ổn cho tài khoản cá nhân.
Sao chép mật khẩu vào một trình quản lý mật khẩu đáng tin cậy, đừng bao giờ dán vào chat, email hay giấy ghi chú. Không dùng lại nó cho tài khoản khác.
Thời gian vét cạn ước tính với giả định 10 tỷ lần đoán mỗi giây, tương đương công cụ bẻ khóa ngoại tuyến hiện đại. Hãy dùng bảng này làm tham khảo gần đúng khi chọn độ dài. Hướng dẫn chính thức: NIST SP 800-63B và OWASP Authentication Cheat Sheet.
| Độ dài | Bộ ký tự | Độ mạnh ước tính |
|---|---|---|
| 8 | chữ thường + chữ số (36 ký tự) | Bị bẻ trong vài giây |
| 10 | chữ thường + chữ hoa + chữ số (62) | Bị bẻ trong vài giờ |
| 12 | chữ thường + chữ hoa + chữ số + ký hiệu (94) | Vài ngày đến vài tuần |
| 16 | chữ thường + chữ hoa + chữ số + ký hiệu | Hàng thế kỷ |
| 20 | chữ thường + chữ hoa + chữ số + ký hiệu | Gần như không thể bẻ với công nghệ hiện nay |
| 4 từ | Passphrase từ các từ ngẫu nhiên (correct horse battery staple) | Hàng thế kỷ, lại dễ nhớ hơn |
Độ dài: 20 · Chữ thường: bật · Chữ hoa: bật · Chữ số: bật · Ký hiệu: bật
B7$kP2wM!hG9eV4rT&xQ
Mức mặc định thực tế cho dashboard, ứng dụng web và hầu hết tài khoản cá nhân. 20 ký tự với cả bốn loại ký tự hiện được xem là gần như không thể bẻ khóa.
f7Bk2pQz
f7Bk2pQzM!eV9rT&hG3wXn$L
Mật khẩu ngắn hơn dùng cùng loại ký tự nhưng yếu hơn rất nhiều bậc độ lớn. Độ dài gần như luôn thắng.
lantern-vivid-comet-nimbus-quartz
Năm từ ngẫu nhiên không liên quan nhau mạnh xấp xỉ một mật khẩu ngẫu nhiên 16 ký tự, nhưng dễ gõ, dễ đọc và dễ nhớ hơn nhiều.
Math.random() hoặc bộ sinh số ngẫu nhiên đơn giản dựa trên thời gian trong code của bạn. Luôn dùng API mật mã của nền tảng.Dùng công cụ tạo mật khẩu và chọn độ dài ít nhất 16 ký tự với cả bốn loại ký tự (chữ thường, chữ hoa, chữ số, ký hiệu). Lưu kết quả thẳng vào trình quản lý mật khẩu, đừng cố nhớ hay gõ tay.
Độ dài, tính ngẫu nhiên và tính duy nhất. Một mật khẩu dài, ngẫu nhiên, tạo từ bộ sinh số an toàn và chỉ dùng cho đúng một tài khoản là tiêu chuẩn vàng.
Có. Mật khẩu được tạo tự động, riêng cho từng tài khoản và lưu trong trình quản lý mật khẩu đáng tin cậy là cách phòng thủ đơn giản và mạnh nhất trước tấn công credential stuffing.
tower-citrus-bronze-quay-pear) có thể mạnh ngang một mật khẩu ngắn hơn đầy ký hiệu mà lại dễ dùng hơn.window.crypto.getRandomValues. Mật khẩu được tạo ngay trên máy và không bao giờ được gửi lên máy chủ.Hãy dùng biến môi trường, trình quản lý secret hoặc kho lưu trữ được mã hóa. Đừng hardcode thông tin đăng nhập thật trong tệp mã nguồn, kể cả trong repository riêng tư.
