Cách sử dụng

Nhập hoặc dán mật khẩu vào ô. Mật khẩu được ẩn theo mặc định; chọn “Hiện” để kiểm tra nội dung đã nhập.
Xem nhãn độ mạnh, các con số entropy và ước tính sơ bộ về thời gian dò mật khẩu.
Xem các mẫu được phát hiện và làm theo gợi ý để mật khẩu khó đoán hơn.

Cách hoạt động

Công cụ bắt đầu bằng cách tính entropy theo tập ký tự: số ký tự có thể dùng (26 chữ thường, 26 chữ hoa, 10 chữ số, 33 ký hiệu ASCII bao gồm khoảng trắng và 100 ký tự cho mọi ký tự khác như chữ có dấu hoặc emoji) lũy thừa với độ dài mật khẩu, biểu thị bằng bit theo công thức log2(tập ký tự) × độ dài. Con số này giả định mọi ký tự được chọn ngẫu nhiên, nhưng điều đó hiếm khi đúng với mật khẩu do người dùng tự nghĩ ra.

Sau đó, công cụ tìm các mẫu mà kẻ tấn công thường thử trước và chỉ tính số bit cần thiết để đoán từng phần khớp mẫu: danh sách tích hợp gồm 1.000 mật khẩu phổ biến nhất, khoảng 3.000 từ tiếng Anh thường gặp và 600 tên riêng phổ biến (kể cả khi chuyển ngược cách viết thay thế như 4→a, 3→e, 0→o, $→s), chuỗi phím liền nhau như qwerty và asdf, chuỗi ký tự như abc hoặc 4321, ký tự hoặc nhóm ký tự lặp lại, các năm từ 1900 đến 2099 và ngày tháng như 12/05/1990 hoặc 19900512. Kết quả được gọi là “ước tính sau khi xét mẫu”. Phương pháp này có nét tương đồng với công cụ ước tính mã nguồn mở zxcvbn, nhưng đơn giản hơn.

Thời gian dò mật khẩu giả định tốc độ 10 tỷ lần đoán mỗi giây, xấp xỉ tốc độ của một vài card đồ họa hiện đại khi tấn công ngoại tuyến vào hàm băm nhanh, không có salt như MD5 hoặc SHA-1; đồng thời giả định trung bình phải thử một nửa số khả năng còn lại. Tấn công trực tuyến vào biểu mẫu đăng nhập chậm hơn nhiều; các hàm băm chậm được cấu hình tốt cũng chậm hơn đáng kể. Hãy xem con số này là ước lượng về bậc độ lớn, không phải cam kết chính xác. Công cụ không biết mật khẩu của bạn có xuất hiện trong vụ rò rỉ dữ liệu nào hay không.

Ví dụ

Một mật khẩu trông có vẻ “mạnh” thường gặp

“Summer2023!” có 11 ký tự và đủ cả bốn loại ký tự, nên entropy theo tập ký tự vào khoảng 72 bit. Công cụ phát hiện từ “Summer” và năm 2023, khiến mức ước tính giảm xuống còn khoảng 22 bit: rất yếu, có thể bị đoán trong chưa đầy một giây khi tấn công ngoại tuyến.

Viết kiểu leetspeak không giúp ích

“P@55w0rd” được nhận diện là “password” với các ký tự thay thế; đây là một trong những mật khẩu phổ biến nhất. Mật khẩu này được đánh giá là rất yếu, bất kể có bao nhiêu ký hiệu.

Mật khẩu ngẫu nhiên

Mật khẩu 16 ký tự do công cụ tạo ra, chẳng hạn “v7#Qm!2pXr9$Lw4z”, không có mẫu nào có thể phát hiện. Mức ước tính bằng với con số theo tập ký tự, khoảng 105 bit, được đánh giá là rất mạnh.

Câu hỏi thường gặp

Nhập mật khẩu thật của tôi ở đây có an toàn không?

Việc phân tích diễn ra hoàn toàn trong trình duyệt bằng JavaScript trên trang này. Mật khẩu không được gửi đến máy chủ, lưu lại hoặc đưa vào dữ liệu phân tích. Nếu muốn, bạn có thể kiểm tra một mật khẩu có cấu trúc tương tự thay vì dùng mật khẩu thật.

Tại sao mật khẩu của tôi yếu hơn so với con số entropy?

Entropy theo tập ký tự giả định mọi ký tự đều ngẫu nhiên. Các công cụ bẻ khóa sẽ thử từ ngữ, tên riêng, ngày tháng và mẫu bàn phím trước, nên công cụ đánh giá những mật khẩu này dễ đoán hơn nhiều. Con số “ước tính sau khi xét mẫu” phản ánh điều đó.

Công cụ có kiểm tra mật khẩu của tôi bị rò rỉ hay chưa không?

Không. Công cụ chỉ so sánh với danh sách tích hợp gồm 1.000 mật khẩu rất phổ biến và ước tính mức độ dễ đoán. Muốn kiểm tra rò rỉ cần dùng một dịch vụ riêng; nếu sử dụng, hãy chọn dịch vụ chỉ nhận một phần mã băm của mật khẩu.

Nên đặt mục tiêu ở mức nào?

Với hầu hết tài khoản, hãy nhắm đến mức “mạnh” (từ 60 bit trở lên sau khi xét mẫu). Với mật khẩu chính của trình quản lý mật khẩu hoặc tài khoản email, hãy nhắm đến mức “rất mạnh” (từ 80 bit trở lên), chẳng hạn một cụm mật khẩu gồm sáu từ ngẫu nhiên.

Tại sao các công cụ đo độ mạnh mật khẩu lại cho kết quả khác nhau?

Mỗi công cụ đo sử dụng danh sách từ, quy tắc nhận diện mẫu và giả định về tốc độ của kẻ tấn công khác nhau. Các công cụ đo đơn giản chỉ đếm loại ký tự, nên đánh giá quá cao những mật khẩu như “Password1!”. Hãy dùng mọi con số ước tính để tham khảo, không phải phép đo chính xác.

Quyền riêng tư

Mật khẩu chỉ được phân tích trong trình duyệt của bạn. Mật khẩu không được tải lên, lưu trữ, ghi nhật ký hoặc gửi đến hệ thống phân tích; chỉ ghi nhận một sự kiện ẩn danh cho biết công cụ đã được sử dụng. Danh sách mật khẩu phổ biến và từ ngữ được tích hợp trong trang, nên không cần tra cứu qua mạng.