Mật khẩu thế nào là đủ mạnh?
Độ mạnh của mật khẩu ngẫu nhiên được đo bằng entropy, tính bằng bit: entropy = độ dài × log₂(số ký tự có thể chọn). Mật khẩu 16 ký tự lấy từ 90 ký tự (chữ hoa, chữ thường, số, ký hiệu) có khoảng 104 bit, nghĩa là kẻ tấn công phải thử trung bình 2¹⁰³ lần. Với tốc độ hàng trăm tỷ phép thử mỗi giây của phần cứng chuyên dụng, con số đó vẫn cần hàng tỷ năm. Thanh đo bên dưới công cụ quy ước: dưới 40 bit là yếu, 40–64 trung bình, 64–100 mạnh, trên 100 rất mạnh.
Entropy chỉ đúng khi mật khẩu thực sự ngẫu nhiên. Mật khẩu do người tự nghĩ ("Matkhau@2026") dài 12 ký tự nhưng nằm trong các mẫu mà phần mềm bẻ khoá thử đầu tiên, nên yếu hơn nhiều so với con số trên giấy.
Các loại chuỗi
- Mật khẩu: cho tài khoản, Wi-Fi, cơ sở dữ liệu. Bật "Bỏ ký tự dễ nhầm" khi mật khẩu sẽ được đọc hoặc chép tay.
- Mã PIN: toàn chữ số, có thể bắt đầu bằng 0. Nhớ rằng PIN 6 số chỉ có 20 bit, nó dựa vào giới hạn số lần nhập sai chứ không phải entropy.
- Hex: chuỗi thập lục phân, hay dùng làm secret key, salt, token API. 32 ký tự hex = 128 bit.
- UUID v4: định danh duy nhất chuẩn RFC 4122, 122 bit ngẫu nhiên, sinh bằng
crypto.randomUUID(). - Base64: gọn hơn hex (6 bit mỗi ký tự), thích hợp cho biến môi trường và tệp cấu hình.
Lưu mật khẩu ở đâu?
Hãy dùng trình quản lý mật khẩu (Bitwarden, 1Password, KeePass hoặc trình quản lý có sẵn trong trình duyệt và điện thoại) thay vì ghi nhớ. Mỗi dịch vụ một mật khẩu khác nhau; khi một trang bị lộ dữ liệu, các tài khoản còn lại không bị ảnh hưởng. Bật xác thực hai yếu tố ở mọi nơi có hỗ trợ.