Mật khẩu mạnh là gì? Độ dài quan trọng hơn ký tự loằng ngoằng

Độ mạnh mật khẩu được đo bằng gì?

Thước đo chuẩn là entropy, tính bằng bit: entropy = độ dài × log2(kích thước bộ ký tự). Mỗi ký tự chữ thường đóng góp khoảng 4,7 bit; thêm chữ hoa và số nâng lên khoảng 5,95 bit/ký tự; dùng đủ cả ký tự đặc biệt là khoảng 6,44 bit/ký tự. Điểm mấu chốt: nhân độ dài luôn thắng — thêm một ký tự cộng thêm 4,7–6,4 bit, trong khi đổi một ký tự thường thành ký tự đặc biệt chỉ cộng thêm rất ít.

Đó là lý do các khuyến nghị bảo mật hiện đại (như của NIST, cơ quan tiêu chuẩn Mỹ) ưu tiên mật khẩu dài thay vì mật khẩu ngắn mà phức tạp, và không còn ép đổi mật khẩu định kỳ nếu không có dấu hiệu lộ.

Vì sao 'P@ssw0rd!' không mạnh như bạn tưởng?

Kẻ tấn công không dò từng ký tự một cách mù quáng. Chúng dùng danh sách hàng tỷ mật khẩu đã lộ từ các vụ rò rỉ trước, cộng các quy tắc biến đổi phổ biến: thay a bằng @, o bằng 0, thêm '!' và số năm ở cuối. Những mật khẩu 'phức tạp' do con người nghĩ ra thường rơi đúng vào các mẫu này và bị bẻ trong vài giây đến vài phút. Ngược lại, mật khẩu do máy tạo ngẫu nhiên không tuân theo mẫu nào — đó là lý do nên dùng công cụ tạo mật khẩu thay vì tự nghĩ.

Quy trình 3 bước để an toàn vĩnh viễn

Bạn không cần trí nhớ siêu phàm, chỉ cần một hệ thống đúng:

• Bước 1 — Dùng trình quản lý mật khẩu (Bitwarden, 1Password, hoặc trình tích hợp sẵn của Apple/Google): nó nhớ thay bạn nên mỗi tài khoản mới có một mật khẩu riêng và dài.
• Bước 2 — Mọi mật khẩu mới đều tạo bằng bộ sinh ngẫu nhiên (như công cụ tạo mật khẩu mạnh của ReviewHub) với ít nhất 16 ký tự đủ loại, và tuyệt đối không dùng lại mật khẩu giữa các dịch vụ — một nơi lộ là mọi nơi mất.
• Bước 3 — Bật xác thực hai lớp (2FA) hoặc passkey cho email, ngân hàng và mạng xã hội. Email là chìa khóa khôi phục của mọi tài khoản khác nên cần được bảo vệ kỹ nhất: mật khẩu riêng dài nhất + 2FA bằng ứng dụng xác thực.

Cụm mật khẩu (passphrase) — lựa chọn khi buộc phải nhớ

Với mật khẩu chính của trình quản lý mật khẩu — thứ duy nhất bạn phải thuộc lòng — hãy dùng cụm 5–6 từ ngẫu nhiên ghép lại (ví dụ dạng 'cà-phê-mưa-sớm-mai-vui'). Năm từ chọn ngẫu nhiên từ danh sách vài nghìn từ cho entropy khoảng 64 bit và dễ nhớ hơn nhiều so với ký tự rời. Tránh dùng câu nổi tiếng, lời bài hát hay thông tin cá nhân — chúng nằm sẵn trong từ điển của kẻ tấn công.

Câu hỏi thường gặp

Đọc thêm