Trình tạo mật khẩu

Đề xuất Liên quan

Trình tạo mật khẩu an toàn là gì?

Trường hợp sử dụng

• Tạo mật khẩu mạnh ngẫu nhiên khi đăng ký tài khoản mới, xem entropy và thời gian bẻ khóa, đảm bảo an toàn tài khoản
• Tạo hàng loạt mật khẩu tạm thời cho nhóm hoặc môi trường kiểm tra, phân phối nhanh chóng
• Tạo cụm từ dễ nhớ cho mật khẩu Wi-Fi hoặc mật khẩu thiết bị cần ghi nhớ thủ công
• Đặt mã PIN thiết bị, khởi tạo tài khoản quản trị hoặc đặt lại mật khẩu
• Thay thế mật khẩu yếu, thay thế mật khẩu nhân tạo dễ đoán bằng mật khẩu ngẫu nhiên cường độ cao

Cách Sử dụng

1. Chọn chế độ mật khẩu: mật khẩu ngẫu nhiên, cụm từ dễ nhớ hoặc mã PIN số
2. Đặt độ dài mật khẩu, tùy chọn tập ký tự (khuyến nghị trên 16 ký tự), có thể bật loại trừ ký tự dễ nhầm lẫn
3. Xem kết quả kiểm tra độ mạnh: entropy, ước tính thời gian bẻ khóa, phát hiện mật khẩu yếu
4. Sao chép mật khẩu hoặc xuất hàng loạt tệp TXT để đăng ký, đặt lại hoặc phân phối

Tính năng

• Tạo ngẫu nhiên an toàn: Dựa trên nguồn ngẫu nhiên an toàn mật mã học của trình duyệt Web Crypto API (crypto.getRandomValues), tạo mật khẩu ngẫu nhiên không thể dự đoán
• Ba chế độ mật khẩu: Hỗ trợ ba chế độ mật khẩu ngẫu nhiên, cụm từ dễ nhớ (tổ hợp từ) và mã PIN số, bao gồm các mức độ bảo mật khác nhau
• Kiểm tra độ mạnh đầy đủ: Xem kích thước nhóm ký tự, tính toán entropy, phát hiện trùng khớp mật khẩu yếu, rủi ro ký tự lặp lại/liên tục, ước tính thời gian bẻ khóa vũ phu
• Loại trừ ký tự dễ nhầm lẫn: Có thể loại trừ các ký tự dễ nhầm lẫn như 0/O/1/l/I, phù hợp cho tình huống nhập thủ công, đọc qua điện thoại
• Tạo và xuất hàng loạt: Hỗ trợ tạo hàng loạt 5/10/20 mật khẩu, tải xuống TXT một cú nhấp, thuận tiện cho phân phối nhóm và khởi tạo môi trường kiểm tra
• Tạo cục bộ không tải lên: Tất cả mật khẩu được tạo cục bộ trong trình duyệt, không gửi đến bất kỳ máy chủ nào

Mật khẩu ngẫu nhiên vs Cụm từ dễ nhớ vs Mã PIN số: Nên chọn cái nào?

Ba chế độ mật khẩu đều có sự đánh đổi. Chọn sai chế độ có thể khiến bạn không nhớ được, dễ bị đánh cắp, hoặc không phù hợp với tình huống. Dựa trên «ai nhớ, ai nhập, ai lưu trữ» để chọn sẽ tránh được nhiều rắc rối.

Best Practices

Câu hỏi Thường gặp

Thuật ngữ

CSPRNG (Bộ tạo số giả ngẫu nhiên an toàn mật mã học)

Cryptographically Secure Pseudo-Random Number Generator, bộ tạo số ngẫu nhiên vượt qua kiểm tra ngẫu nhiên mật mã học nghiêm ngặt. Đầu ra không thể dự đoán, ngay cả khi kẻ tấn công biết nhiều đầu ra lịch sử cũng không thể suy luận đầu ra sau đó. Web Crypto API của trình duyệt cấp thấp sử dụng CSPRNG.

Entropy mật khẩu

Chỉ số đo lường tính không thể dự đoán của mật khẩu, đơn vị là bit. Công thức tính: entropy = log₂(N^L), trong đó N là kích thước nhóm ký tự, L là độ dài mật khẩu. Entropy càng cao, bẻ khóa vũ phu càng khó. Thường trên 60 bit là an toàn, trên 100 bit là cực mạnh.

Tấn công vũ phu (Brute Force Attack)

Phương thức tấn công thử tất cả các tổ hợp ký tự có thể để đoán mật khẩu. Phương pháp phòng thủ là sử dụng mật khẩu ngẫu nhiên đủ dài, làm cho số tổ hợp lớn đến mức không thể liệt kê về mặt vật lý.

Tấn công từ điển (Dictionary Attack)

Phương thức tấn công sử dụng danh sách mật khẩu phổ biến (như 123456, password, qwerty, v.v.) để đoán. Hiệu quả hơn nhiều so với tấn công vũ phu, vì đại đa số người dùng sử dụng mật khẩu yếu phổ biến. Mật khẩu tạo ngẫu nhiên miễn dịch tự nhiên với tấn công từ điển.

Tấn công nhồi nhét thông tin xác thực (Credential Stuffing)

Sử dụng tên người dùng và mật khẩu bị rò rỉ từ một trang web để thử đăng nhập vào các trang web khác. Phương pháp phòng thủ là sử dụng mật khẩu duy nhất cho mỗi trang web và kiểm tra mật khẩu đã bị rò rỉ thông qua Have I Been Pwned.

Cụm từ dễ nhớ (Passphrase)

Mật khẩu/cụm từ bao gồm nhiều từ ngẫu nhiên. So với mật khẩu ký tự ngẫu nhiên, cụm từ từ dễ ghi nhớ hơn, khi số từ đủ lớn entropy cũng rất cao. Diceware là phương pháp tạo cụm từ dễ nhớ nổi tiếng nhất, sử dụng xúc xắc để chọn ngẫu nhiên từ danh sách 7772 từ.

Diceware

Phương pháp tạo cụm từ do Arnold Reinhold phát minh vào năm 1995, sử dụng 5 con xúc xắc để xác định một từ (chọn từ danh sách 7776 từ). 6 từ Diceware có entropy khoảng 77 bit, đủ an toàn để chống lại tấn công vũ phu.

NIST SP 800-63B

Hướng dẫn xác nhận danh tính kỹ thuật số do Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ ban hành, là tài liệu tham khảo có thẩm quyền nhất trong lĩnh vực bảo mật mật khẩu. Sau khi cập nhật năm 2017, không còn khuyến nghị thay đổi mật khẩu định kỳ, không còn bắt buộc ký tự đặc biệt, thay vào đó nhấn mạnh độ dài mật khẩu, phát hiện danh sách đen và xác thực đa yếu tố.

Xác thực hai yếu tố (2FA/MFA)

Yêu cầu phương thức xác minh danh tính thứ hai ngoài mật khẩu (như mã xác minh điện thoại, TOTP, khóa phần cứng), ngay cả khi mật khẩu bị rò rỉ cũng có thể bảo vệ an toàn tài khoản. NIST khuyến nghị bật 2FA cho tất cả các tài khoản quan trọng.

Danh sách đen mật khẩu yếu

Danh sách mật khẩu đã bị rò rỉ công khai, cực kỳ phổ biến hoặc chứa mô hình có thể dự đoán. Như 123456, password, admin, qwerty, v.v. NIST khuyến nghị kiểm tra xem có trong danh sách đen khi đăng ký và thay đổi mật khẩu hay không.

Ước tính độ dài mật khẩu và thời gian bẻ khóa (chữ hoa+chữ thường+số+ký hiệu)

So sánh ba chế độ mật khẩu

Authoritative References

• ReferenceNIST SP 800-63B - Hướng dẫn Nhận dạng Kỹ thuật số
• ReferenceOWASP Bảng tóm tắt Bảo mật Mật khẩu
• ReferenceMDN Web Docs - crypto.getRandomValues()
• ReferenceWikipedia - Độ mạnh mật khẩu
• ReferenceHave I Been Pwned - Kiểm tra rò rỉ mật khẩu