Kiểm tra mật khẩu

Đó là công cụ không gửi đi bất cứ thông tin nào khi bạn nhập và cho phép bạn tự kiểm chứng điều đó. Trang này kiểm tra độ mạnh và đối chiếu với một triệu mật khẩu bị lộ nhiều nhất ngay trên thiết bị của bạn. Tính năng kiểm tra toàn bộ các vụ rò rỉ chờ đến khi bạn ngừng nhập và chỉ gửi đi 5 ký tự trong mã băm của mật khẩu, một lần duy nhất. Bạn có thể theo dõi trong thẻ Mạng của trình duyệt, hoặc ngắt kết nối Internet để thấy công cụ kiểm tra mật khẩu mạnh hay yếu vẫn hoạt động.

Nhập hoặc dán mật khẩu vào ô phía trên. Nếu mật khẩu nằm trong một triệu mật khẩu bị lộ nhiều nhất, bạn sẽ thấy kết quả ngay. Khi bạn ngừng nhập, công cụ cũng kiểm tra mọi vụ rò rỉ đã được ghi nhận. Nếu mật khẩu xuất hiện dù chỉ một lần, hãy ngừng sử dụng.

Có, đối với việc kiểm tra mật khẩu. Tính năng kiểm tra mật khẩu của dịch vụ này được thiết kế để không bao giờ nhận được mật khẩu của bạn: trình duyệt chỉ gửi 5 ký tự đầu tiên trong mã băm của mật khẩu rồi tự thực hiện bước đối chiếu cuối cùng. Trang này còn yêu cầu thêm các mục giả vào kết quả trả về, để ngay cả kích thước của kết quả cũng không tiết lộ thông tin gì.

123456, được tìm thấy trong các vụ rò rỉ dữ liệu hơn 210 triệu lần, tiếp theo là 123456789, 12345678, password và qwerty (số liệu từ Have I Been Pwned). Bất cứ mật khẩu nào mà một người có thể nghĩ ra nhanh chóng đều đã có trong các danh sách này.

Bất kỳ mật khẩu mẫu nào bạn từng thấy được công khai đều không còn mạnh nữa, vì giờ đây nó đã nằm trong các danh sách đó. Ngay cả correcthorsebatterystaple trong truyện tranh xkcd cũng đã xuất hiện trong các vụ rò rỉ hàng nghìn lần. Mật khẩu mạnh là mật khẩu được tạo ngẫu nhiên dành riêng cho bạn: hãy dùng công cụ tạo mật khẩu hoặc công cụ tạo cụm mật khẩu.

Nhập mật khẩu vào ô phía trên, công cụ sẽ hiển thị thời gian trung bình để 1.000 card đồ họa dò ra mật khẩu trong danh sách bị đánh cắp ở tốc độ tối đa — tình huống bạn nên tính đến để phòng ngừa. Mật khẩu ngẫu nhiên dài 8 ký tự bị bẻ khóa chỉ trong vài giây; mật khẩu ngẫu nhiên dài 16 ký tự mất khoảng 3 tỷ năm.

Mọi công cụ kiểm tra đều phải giả định về khả năng của kẻ tấn công, nhưng hầu hết không nói rõ giả định đó. Nhiều công cụ giả định trang web lưu mật khẩu bằng phương pháp được thiết kế để làm chậm việc dò mật khẩu, chỉ cho phép thử vài nghìn lần mỗi giây. Một số dùng tốc độ card đồ họa từ nhiều năm trước, còn một số chỉ tính độ dài mà bỏ qua các mẫu dễ đoán như từ ngữ và ngày tháng. Chúng tôi dùng tình huống khắc nghiệt hơn và nói rõ điều đó: danh sách mật khẩu bị đánh cắp được dò ở tốc độ tối đa bằng 1.000 card đồ họa. Việc bẻ khóa mật khẩu ở nhiều trang web được vận hành tốt sẽ chậm hơn rất nhiều, nhưng bạn không thể biết một trang web thuộc loại nào, nên hãy coi thời gian chúng tôi đưa ra là tình huống xấu nhất cần tính đến để phòng ngừa.

Vì công cụ bẻ khóa không đoán từng chữ cái một. Chúng đoán cả từ, tên người, địa danh, ngày tháng và các mật khẩu phổ biến, rồi ghép chúng lại và thêm số. LiverpoolFootball1892 có 21 ký tự, nhưng với công cụ bẻ khóa, đó chỉ là hai từ phổ biến và một năm: khoảng một trăm triệu lần thử, mà một card đồ họa có thể thực hiện trong chưa đầy một giây. Độ dài chỉ có ích khi các ký tự khó đoán, như trong mật khẩu ngẫu nhiên hoặc cụm mật khẩu gồm các từ ngẫu nhiên.

Trình quản lý mật khẩu của bạn có thể kiểm tra tất cả cùng lúc. Trên iPhone hoặc Mac, hãy mở ứng dụng Mật khẩu và xem mục Bảo mật. Trong Chrome, Trình quản lý mật khẩu của Google có tính năng Kiểm tra mật khẩu. NordPass, Bitwarden, 1Password và hầu hết các trình quản lý mật khẩu khác đều có báo cáo tương tự.

Ít nhất 16 ký tự ngẫu nhiên hoặc bảy từ ngẫu nhiên. NIST, một cơ quan tiêu chuẩn của Hoa Kỳ, hướng dẫn các trang web chấp nhận mật khẩu dài ít nhất 64 ký tự và yêu cầu tối thiểu 15 ký tự khi mật khẩu là lớp bảo vệ duy nhất của tài khoản.