Kiểm Tra Độ Mạnh Mật Khẩu - Entropy & Thời Gian Bẻ Khóa

Công cụ kiểm tra độ mạnh mật khẩu là gì?

Công cụ kiểm tra độ mạnh mật khẩu này phân tích bất kỳ mật khẩu nào bạn gõ và cho biết nó thực sự chống chịu việc bẻ khóa tốt đến đâu. Thay vì chỉ đếm các loại ký tự, công cụ dùng bộ ước lượng zxcvbn do Dropbox xây dựng, đánh giá mật khẩu theo cách kẻ tấn công thực sự làm — nhận diện từ ngữ phổ biến, mẫu bàn phím, ký tự lặp và các kiểu thay thế dễ đoán.

Công cụ phù hợp với bất kỳ ai muốn siết chặt bảo mật tài khoản: chọn mật khẩu mạnh hơn cho email, ngân hàng hay trình quản lý mật khẩu, kiểm tra lại một mật khẩu trước khi lưu, hoặc cho bạn bè thấy vì sao "Password123" yếu hơn vẻ bề ngoài. Bạn nhận được điểm độ mạnh, entropy theo bit, thời gian bẻ khóa ước tính thực tế và những gợi ý cụ thể để khắc phục các điểm yếu.

Riêng tư theo thiết kế: mọi lần kiểm tra đều chạy trong trình duyệt của bạn. Thư viện zxcvbn chỉ tải một lần rồi phân tích cục bộ — mật khẩu của bạn không bao giờ được tải lên, lưu trữ hay gửi đến máy chủ.

Cách dùng công cụ kiểm tra độ mạnh mật khẩu

Gõ mật khẩu của bạn

Nhập hoặc dán một mật khẩu vào ô nhập liệu. Quá trình phân tích bắt đầu ngay lập tức và cập nhật theo từng phím gõ — không có nút nào để bấm. Dùng biểu tượng con mắt để hiện hoặc ẩn nội dung bạn vừa gõ.

Đọc thang đo độ mạnh

Thanh màu xếp hạng mật khẩu của bạn từ Rất yếu (đỏ) đến Rất mạnh (xanh lá) qua năm mức, cho bạn một kết luận nhanh chỉ trong một cái nhìn.

Xem các con số

Xem lại phần trăm điểm số, entropy theo bit và số lần đoán cần thiết ước tính. Sau đó so sánh thời gian bẻ khóa giữa các kịch bản Tấn công trực tuyến, Tấn công ngoại tuyến và Cụm GPU.

Hành động theo phản hồi

Đọc các cảnh báo và gợi ý, nhìn vào các thanh thành phần ký tự, rồi điều chỉnh mật khẩu cho đến khi điểm số và thời gian bẻ khóa đạt mức bạn thấy yên tâm.

Các kịch bản bẻ khóa: Tấn công trực tuyến giả định một lần đăng nhập bị giới hạn tần suất (100 lần đoán mỗi giờ). Tấn công ngoại tuyến giả định việc bẻ khóa băm nhanh từ cơ sở dữ liệu bị rò rỉ (10 tỷ lần mỗi giây). Cụm GPU giả định một kẻ tấn công có nguồn lực dồi dào với phần cứng chuyên dụng (100 tỷ lần mỗi giây).

Tính năng

Phân tích theo thời gian thực

Kết quả cập nhật theo từng phím gõ khi bạn nhập — không cần bấm nút, nên bạn có thể thử và cải thiện ngay lập tức.

Chấm điểm bằng zxcvbn

Vượt xa các quy tắc ký tự để phát hiện mật khẩu phổ biến, từ trong từ điển, mẫu bàn phím, ký tự lặp và ngày tháng theo cách kẻ tấn công làm.

Thang đo độ mạnh năm mức

Một thanh màu xếp hạng mật khẩu của bạn từ Rất yếu đến Rất mạnh, kèm phần trăm điểm số từ 0% đến 100%.

Entropy theo bit

Xem mật khẩu của bạn chứa bao nhiêu tính ngẫu nhiên tính theo bit — entropy càng cao nghĩa là càng khó đoán và khó dự đoán hơn.

Thời gian bẻ khóa ước tính

So sánh mật khẩu của bạn trụ được bao lâu qua ba kịch bản tấn công: trực tuyến, ngoại tuyến và một cụm GPU khổng lồ.

Ước tính số lần đoán

Xem số lần đoán ước tính mà kẻ tấn công cần, trình bày rõ ràng từ hàng nghìn đến hàng nghìn tỷ và hơn thế nữa.

Thành phần ký tự

Các thanh trực quan phân tích chữ hoa, chữ thường, số và ký hiệu để bạn nhận ra loại ký tự nào còn thiếu.

Cảnh báo & gợi ý

Khi phát hiện điểm yếu, bạn nhận được cảnh báo cụ thể về phần dễ bị tấn công cùng những mẹo thiết thực để khắc phục.

Hiện / ẩn & độ dài

Bật/tắt việc hiện mật khẩu bằng biểu tượng con mắt và theo dõi bộ đếm ký tự trực tiếp khi bạn gõ.

Cục bộ & riêng tư

Mọi phân tích đều chạy trong trình duyệt của bạn. Mật khẩu không bao giờ rời khỏi thiết bị — không tải lên, không theo dõi, không yêu cầu mạng.

Câu hỏi thường gặp

Nhập mật khẩu thật vào đây có an toàn không?

Có. Mọi phân tích đều chạy hoàn toàn trong trình duyệt của bạn bằng JavaScript. Mật khẩu của bạn không bao giờ được gửi đến máy chủ hay lưu ở bất kỳ đâu. Bạn có thể tự xác nhận điều này bằng cách mở tab mạng (network) của trình duyệt — không có yêu cầu nào được gửi khi bạn gõ, chỉ có lần tải thư viện phân tích duy nhất.

Mật khẩu của tôi có bị lưu lại hay gửi đi không?

Không. Không có việc ghi nhật ký, theo dõi hay tải lên dưới bất kỳ hình thức nào. Mật khẩu chỉ tồn tại trong ô nhập liệu trên trình duyệt của bạn và biến mất ngay khi bạn đóng hoặc tải lại trang.

Công cụ kiểm tra độ mạnh mật khẩu hoạt động thế nào?

Công cụ chạy mật khẩu của bạn qua thuật toán zxcvbn, vốn so khớp mẫu với các mật khẩu phổ biến, từ trong từ điển, mẫu bàn phím theo vị trí, ký tự lặp và chuỗi ngày tháng. Từ đó nó suy ra điểm độ mạnh, ước tính cần bao nhiêu lần đoán và các con số thời gian bẻ khóa cho nhiều kịch bản tấn công.

Entropy là gì và vì sao nó quan trọng?

Entropy đo lường tính ngẫu nhiên của mật khẩu theo bit. Một mật khẩu có 40 bit entropy có khoảng 2^40 (tầm một nghìn tỷ) tổ hợp khả dĩ. Entropy càng cao nghĩa là kẻ tấn công phải thử càng nhiều tổ hợp, khiến mật khẩu khó bẻ khóa hơn.

Vì sao mật khẩu của tôi bị chấm điểm thấp dù đã có ký tự đặc biệt?

zxcvbn nhìn xa hơn các yêu cầu ký tự đơn giản. Những kiểu thay thế phổ biến (như @ thay cho a, hay 0 thay cho o), từ trong từ điển, mẫu bàn phím và chuỗi liên tiếp đều bị trừ điểm vì kẻ tấn công kiểm tra chúng trước tiên. Độ mạnh thật sự đến từ tính ngẫu nhiên thực và độ dài, chứ không phải sự phức tạp dễ đoán.

Điều gì làm nên một mật khẩu mạnh, và nên đạt mức điểm bao nhiêu?

Độ dài quan trọng nhất — hãy đặt 14 ký tự trở lên, kết hợp cả bốn loại ký tự, và tránh từ ngữ, chuỗi liên tiếp cùng thông tin cá nhân. Một cụm mật khẩu gồm vài từ ngẫu nhiên hoạt động rất tốt. Hãy nhắm tới ít nhất 75% (Mạnh); với email, ngân hàng hay trình quản lý mật khẩu, hãy đặt mục tiêu 100% (Rất mạnh) với thời gian bẻ khóa ngoại tuyến tính bằng năm.

Thời gian bẻ khóa ước tính chính xác đến đâu?

Chúng dựa trên sức mạnh tính toán hiện nay và giả định các cuộc tấn công vét cạn hoặc tấn công từ điển thông minh. Thời gian thực tế thay đổi tùy theo thuật toán băm mà một dịch vụ dùng, phần cứng của kẻ tấn công và phương pháp của họ. Hãy xem các ước tính như một phép so sánh tương đối hữu ích giữa các mật khẩu, chứ không phải một bảo đảm chính xác.