Trình tạo cụm mật khẩu

Độ mạnh của cụm mật khẩu hoạt động thế nào

Độ mạnh được đo bằng bit entropy: logarit cơ số 2 của số cụm từ có khả năng bằng nhau có thể được tạo ra. Mỗi từ ngẫu nhiên rút từ một danh sách N từ thêm log2(N) bit, và bạn nhân nó với số từ để ra tổng. Danh sách lớn hơn, nhiều từ hơn, nhiều entropy hơn.

Danh sách từ của trình tạo này

Công cụ này rút từ một danh sách tích hợp nhỏ gọn gồm các từ tiếng Anh thông dụng (khoảng 90 từ), nên mỗi từ thêm khoảng 6,5 bit. Vì thế một cụm 5 từ vào khoảng 33 bit, và con số hai chữ số tùy chọn thêm khoảng 6 bit nữa. Mức này ổn cho các lần đăng nhập ít rủi ro, dễ nhớ, nhưng thấp hơn nhiều so với mức bạn muốn cho một mật khẩu chính. Với các bí mật giá trị cao, hãy dùng nhiều từ hơn, kết hợp cụm mật khẩu với một trình quản lý mật khẩu, và ưu tiên một danh sách Diceware đầy đủ.

Các danh sách từ tham chiếu và entropy của chúng

Với một danh sách Diceware đầy đủ 7.776 từ (12,9 bit mỗi từ):

• 4 từ ≈ 51,6 bit (khiêm tốn)
• 6 từ ≈ 77,4 bit (mạnh)
• 8 từ ≈ 103,2 bit (cỡ mật khẩu chính)

Entropy so với công sức bẻ khóa

• 50 bit, chống được hầu hết tấn công trực tuyến; một đối thủ quyết tâm có thể bẻ ngoại tuyến trong vài tháng.
• 70 bit, chống bẻ ngoại tuyến bằng phần cứng hiện tại trong nhiều năm.
• 90 bit, vượt ngoài khả năng bẻ hàng loạt hiện nay trong tương lai gần.
• 120 bit, vượt độ an toàn của khóa AES-128, vốn được tạo từ 128 bit ngẫu nhiên.

Vì sao các từ ngẫu nhiên thắng một mật khẩu ngắn “phức tạp”

Một mật khẩu trộn 10 ký tự như Xp!9k@Lm3* có khoảng 66 bit entropy nếu thật sự ngẫu nhiên. Một cụm mật khẩu 6 từ như correct-horse-battery-staple-pine-kelp từ một danh sách Diceware đầy đủ có 77 bit. Cụm mật khẩu mạnh hơn, gõ dễ hơn và nhớ dễ hơn. Bộ truyện tranh xkcd nổi tiếng giải thích trực giác này: con người rất kém trong việc tạo entropy thủ công, nên chúng ta tạo ra các mật khẩu “phức tạp” nhưng dễ đoán mà các tay bẻ khóa đã thấy hàng triệu lần.

Mẹo

• Ghi nhớ hai hoặc ba từ đầu bằng hình ảnh. Dựng một bức tranh trong đầu kỳ quặc liên kết các từ. Phần còn lại sẽ theo sau.
• Đừng dùng lại trên nhiều tài khoản. Một cụm mật khẩu chỉ an toàn bằng trang web yếu nhất lưu trữ nó. Hãy dùng một trình quản lý và các cụm riêng cho từng lần đăng nhập.
• Con số thêm vào chỉ giúp một chút. Thêm hai chữ số nâng entropy khoảng 6 bit; nó không thay thế được việc thêm nhiều từ hơn.
• Đối xử khác với các cụm mật khẩu chính. Với mật khẩu chính của trình quản lý và mã hóa đĩa, hãy dùng 7 từ trở lên từ một danh sách Diceware đầy đủ, không phải danh sách tích hợp nhỏ gọn.

Điều gì không giúp ích

• Viết hoa các chữ cái ngẫu nhiên. Thêm entropy không đáng kể, làm khó nhớ hơn.
• Thêm một ký hiệu đơn. Chỉ thêm vài bit nếu vị trí của nó cũng ngẫu nhiên. Hầu như không đáng.
• Thay chữ cái bằng số (“p@ssw0rd”). Các công cụ bẻ khóa đã xử lý những thay thế này từ thập niên 2000. Không cải thiện thực sự.