Trình tạo mật khẩu

Hướng dẫn hiện tại của NIST và các nhà nghiên cứu bảo mật khuyến nghị ít nhất 12 ký tự, với 16 ký tự trở lên là lý tưởng cho tài khoản nhạy cảm. Độ dài quan trọng hơn độ phức tạp: mật khẩu 20 ký tự từ các từ ngẫu nhiên mạnh hơn 8 ký tự kết hợp ký tự đặc biệt. Nhiều hệ thống hiện đại cũng cho phép chuỗi mật khẩu (passphrase) — các từ ngẫu nhiên ghép lại — vừa mạnh vừa dễ nhớ.

Mật khẩu thực sự ngẫu nhiên được tạo bởi bộ sinh số giả ngẫu nhiên an toàn mật mã (CSPRNG), không phải bởi các quy luật dễ đoán như thay chữ bằng số. Bộ tạo này sử dụng window.crypto.getRandomValues(), dựa trên nguồn entropy của hệ điều hành. Tránh các bộ tạo mật khẩu chạy phía máy chủ vì bạn không thể xác minh liệu chúng có ghi lại mật khẩu của bạn không.

Ký tự đặc biệt tăng kích thước bộ ký tự, từ đó tăng số tổ hợp có thể có. Tuy nhiên, một số trang web hạn chế ký tự được phép, và mật khẩu dài hơn không có ký tự đặc biệt có thể mạnh hơn mật khẩu ngắn hơn có chúng. Yếu tố quan trọng nhất là tính ngẫu nhiên và độ dài. Nếu ký tự đặc biệt được cho phép, việc đưa chúng vào mang lại thêm một tầng bảo vệ nhỏ.

Có — các chuyên gia bảo mật khuyến khích mạnh mẽ việc dùng trình quản lý mật khẩu uy tín (như Bitwarden, 1Password hoặc KeePass). Nó cho phép bạn dùng mật khẩu duy nhất, dài và ngẫu nhiên cho mỗi tài khoản mà không cần ghi nhớ tất cả. Mật khẩu chính phải đủ mạnh và được lưu trong trí nhớ. Rủi ro khi tái sử dụng mật khẩu trên nhiều trang vượt xa rủi ro khi một trình quản lý được kiểm tra kỹ bị xâm phạm.

Entropy mật khẩu đo lường tính khó đoán tính bằng bit. Mỗi bit entropy bổ sung sẽ nhân đôi số lần đoán mà kẻ tấn công cần thực hiện. Mật khẩu 16 ký tự từ tập 94 ký tự có khoảng 105 bit entropy — vượt xa khả năng của bất kỳ cuộc tấn công brute-force nào. Mật khẩu có entropy thấp (như từ thông dụng hoặc quy luật) có thể bị bẻ khóa trong vài giây bằng GPU hiện đại và tấn công từ điển.