Trình tạo mật khẩu trực tuyến miễn phí, tạo mật khẩu mạnh ngẫu nhiên, cụm từ dễ nhớ và mã PIN số dựa trên nguồn ngẫu nhiên an toàn Web Crypto. Hỗ trợ kiểm tra độ mạnh, loại trừ ký tự dễ nhầm lẫn, xuất hàng loạt. Tạo cục bộ trong trình duyệt, không tải lên.
Math.random() là bộ tạo số giả ngẫu nhiên thông thường, không được thiết kế cho các tình huống bảo mật, trạng thái nội bộ có thể bị suy ngược. crypto.getRandomValues() sử dụng nguồn ngẫu nhiên an toàn mật mã học (CSPRNG) của hệ điều hành, tạo số ngẫu nhiên không thể dự đoán, phù hợp cho các tình huống bảo mật như mật khẩu, khóa.
Không. Tất cả mật khẩu được tạo cục bộ trong trình duyệt, phân tích độ mạnh, tính toán entropy và ước tính thời gian bẻ khóa cũng hoàn toàn thực hiện cục bộ. Mở bảng điều khiển mạng của công cụ nhà phát triển có thể xác nhận không có yêu cầu mạng ngoài.
Khuyến nghị ít nhất 12 ký tự bao gồm chữ hoa+chữ thường+số+ký hiệu. Mật khẩu ngẫu nhiên 16 ký tự cần hàng trăm triệu năm để bẻ khóa vũ phu với sức mạnh tính toán hiện đại. Mỗi khi tăng độ dài thêm một ký tự, không gian tìm kiếm tăng theo cấp số nhân. Tham khảo bảng thời gian bẻ khóa ở trên.
Với cùng độ dài, mật khẩu ngẫu nhiên có entropy cao hơn. Nhưng cụm từ dễ nhớ (bao gồm 4-6 từ ngẫu nhiên) cũng có tổng entropy đủ cao (trên ~60bit), và dễ ghi nhớ hơn, phù hợp cho các tình huống cần nhập thủ công. Điểm quan trọng là các từ phải được chọn ngẫu nhiên thực sự, không phải cụm từ do bạn tự nghĩ ra.
Các ký tự này khó phân biệt trong một số phông chữ, dễ gây lỗi nhập. Nếu mật khẩu cần được nhập thủ công, đọc qua điện thoại hoặc in ra để phân phối, khuyến nghị bật tùy chọn loại trừ. Nếu chỉ được sử dụng bởi trình quản lý mật khẩu, giữ lại tất cả các ký tự sẽ có entropy cao hơn.
Hướng dẫn mới nhất của NIST (SP 800-63B) không còn khuyến nghị thay đổi mật khẩu định kỳ, trừ khi xác nhận mật khẩu đã bị rò rỉ. Việc buộc thay đổi định kỳ ngược lại khiến người dùng chọn mật khẩu yếu hoặc viết ra. Cách tốt hơn là: sử dụng mật khẩu ngẫu nhiên dài + trình quản lý mật khẩu + bật xác thực hai yếu tố (2FA).
Entropy đo lường tính không thể dự đoán của mật khẩu, đơn vị là bit. Entropy = log₂(kích thước nhóm ký tự^độ dài mật khẩu). Ví dụ mật khẩu 16 ký tự được chọn ngẫu nhiên từ 94 ký tự ASCII có thể in, entropy là log₂(94¹⁶) ≈ 104 bit. Entropy càng cao, bẻ khóa vũ phu càng khó.
Trình tạo mật khẩu là một công cụ tạo mật khẩu ngẫu nhiên, không thể dự đoán. Khác với mật khẩu do con người thiết kế, trình tạo mật khẩu thực sự sử dụng **Bộ tạo số giả ngẫu nhiên an toàn mật mã học (CSPRNG)** để chọn ngẫu nhiên các ký tự từ nhóm ký tự được chỉ định, tránh các mô hình có thể dự đoán vốn có khi con người đặt mật khẩu (tên+ngày sinh, phím liên tiếp trên bàn phím như qwerty, tên công ty+năm, v.v.), từ đó giảm đáng kể rủi ro bị tấn công nhồi nhét thông tin xác thực, tấn công từ điển và bẻ khóa vũ phu.
**Tại sao không thể sử dụng Math.random()**: Trạng thái nội bộ của bộ tạo số giả ngẫu nhiên thông thường có thể được suy ngược từ một lượng nhỏ đầu ra, kẻ tấn công có thể dự đoán các số «ngẫu nhiên» được tạo ra sau đó. Công cụ này sử dụng crypto.getRandomValues() của Web Crypto API của trình duyệt, gọi cấp thấp CSPRNG cấp hệ điều hành (như getrandom của Linux, SecRandomCopyBytes của macOS, BCryptGenRandom của Windows), các số ngẫu nhiên tạo ra vượt qua kiểm tra ngẫu nhiên mật mã học, không thể dự đoán.
**Cốt lõi của độ mạnh mật khẩu là entropy**: Entropy = log₂(kích thước nhóm ký tự^độ dài mật khẩu), đơn vị là bit. Ví dụ mật khẩu 16 ký tự được chọn ngẫu nhiên từ 94 ký tự ASCII có thể in, entropy khoảng 104 bit, có nghĩa là kẻ tấn công trung bình cần thử 2¹⁰³ lần để tìm thấy mật khẩu đúng — ngay cả khi thử 1 nghìn tỷ lần mỗi giây, cũng cần khoảng 200 tỷ năm.
**Cụm từ dễ nhớ (Passphrase)**: Bao gồm nhiều từ được chọn ngẫu nhiên (như Brave-Cloud-Star42), mặc dù trông «đơn giản» hơn mật khẩu ngẫu nhiên, nhưng nếu các từ được chọn ngẫu nhiên thực sự, tổng entropy có thể đạt trên 60 bit, đủ an toàn cho hầu hết các tình huống, và dễ ghi nhớ hơn nhiều so với mật khẩu ngẫu nhiên có cùng cường độ. Đây cũng là tư tưởng cốt lõi của truyện tranh kinh điển XKCD #936 và phương pháp Diceware.
**Tất cả mật khẩu được tạo cục bộ trong trình duyệt**, không gửi đến bất kỳ máy chủ nào. Công cụ đồng thời cung cấp kiểm tra độ mạnh: tính toán entropy, ước tính thời gian bẻ khóa vũ phu, phát hiện mô hình mật khẩu yếu (ký tự lặp lại, số/chữ cái liên tục, khớp với mật khẩu yếu phổ biến), giúp bạn hiểu độ mạnh bảo mật thực tế của mật khẩu được tạo.
| Độ dài mật khẩu | Entropy(bit) | Số tổ hợp | Thời gian bẻ khóa vũ phu (1 nghìn tỷ lần/giây) | Xếp hạng an toàn |
|---|---|---|---|---|
6 ký tự | ~37 | khoảng 139 tỷ | < 1 giây | ❌ Rất yếu |
8 ký tự | ~52 | khoảng 2.2×10¹⁴ | khoảng 2.5 ngày | ❌ Yếu |
10 ký tự | ~65 | khoảng 3.7×10¹⁸ | khoảng 116 năm | ⚠️ Trung bình |
12 ký tự | ~78 | khoảng 6.1×10²² | khoảng 1.93 triệu năm | ✅ Mạnh |
16 ký tự | ~104 | khoảng 6.3×10³⁰ | khoảng 200 tỷ năm | ✅✅ Rất mạnh |
20 ký tự | ~131 | khoảng 6.7×10³⁸ | hàng nghìn tỷ lần tuổi vũ trụ | ✅✅✅ Không thể bẻ khóa |
| Chế độ | Ví dụ định dạng | Entropy điển hình | Khả năng ghi nhớ | Trường hợp khuyến nghị |
|---|---|---|---|---|
| Mật khẩu ngẫu nhiên | xK9#mP2$vL8@nQ4! | ~6.5bit/ký tự | Kém | Mật khẩu chính cho trình quản lý mật khẩu, mật khẩu cơ sở dữ liệu, khóa API |
| Cụm từ dễ nhớ | Brave-Cloud-Star42 | ~10bit/từ | Tốt | Mật khẩu Wi-Fi, mật khẩu đăng nhập cần ghi nhớ thủ công |
| Mã PIN số | 482917 | 3.3bit/số | Tốt | Màn hình khóa thiết bị, PIN thẻ ngân hàng, mã xác minh một lần |