Tạo mật khẩu ngẫu nhiên

Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ (NIST) đã viết lại hướng dẫn về mật khẩu trong SP 800-63B và siết chặt thêm ở bản sửa đổi 4, công bố năm 2024. Lời khuyên cốt lõi đi ngược các quy tắc cũ của doanh nghiệp: dịch vụ nên chấp nhận mật khẩu dài tối thiểu 64 ký tự, không nên bắt buộc kết hợp chữ hoa, chữ số và ký hiệu, không nên bắt người dùng đổi mật khẩu theo định kỳ, mà nên kiểm tra mật khẩu mới với danh sách các mật khẩu đã bị lộ và các mật khẩu phổ biến.

Lý do nằm ở phép tính. Quy tắc về thành phần đẩy người dùng vào những mẫu dễ đoán như "Summer2024!", thứ mà kẻ tấn công thử đầu tiên. Ngược lại, mỗi ký tự ngẫu nhiên thêm vào sẽ nhân khối lượng công việc của một cuộc tấn công vét cạn lên bằng kích thước tập ký tự. Tăng từ 12 lên 16 ký tự ngẫu nhiên lấy từ 94 ký tự ASCII in được sẽ thêm khoảng 26 bit, khiến việc đoán khó hơn khoảng 78 triệu lần.

Entropy đo số lượng mật khẩu có xác suất ngang nhau mà trình tạo có thể sinh ra. Với mật khẩu ngẫu nhiên, entropy bằng độ dài × log2(kích thước tập ký tự). Với cả bốn nhóm ký tự, tập có 94 ký tự, tương đương khoảng 6,55 bit mỗi ký tự, nên 16 ký tự cho khoảng 105 bit. Loại bỏ các ký tự dễ nhầm làm tập còn 84 ký tự và mất chưa tới một phần năm bit mỗi ký tự. Bảng ở trên dùng cùng phép tính này và giả định kẻ tấn công ngoại tuyến thử 10 tỷ lần đoán mỗi giây, một con số hợp lý cho dàn GPU tấn công hàm băm nhanh; hàm băm chậm như bcrypt làm giảm tốc độ đó đi nhiều bậc.

Cụm từ mật khẩu hoạt động theo cách tương tự, nhưng dùng từ thay cho ký tự. Danh sách tích hợp ở đây có 367 từ ngắn, thông dụng, nên mỗi từ thêm khoảng 8,5 bit và sáu từ cho khoảng 51 bit: dễ gõ và dễ nhớ nhưng yếu hơn mật khẩu ngẫu nhiên 16 ký tự. Chọn "chữ số ngẫu nhiên" làm dấu phân cách sẽ thêm khoảng 3,3 bit cho mỗi khoảng giữa các từ. Với cụm từ mật khẩu bảo vệ thứ quan trọng, hãy dùng tám từ, hoặc danh sách Diceware 7.776 từ, trong đó mỗi từ đáng giá 12,9 bit.

Thang đo gắn nhãn dưới 40 bit là yếu, 40 đến 59 là trung bình, 60 đến 79 là mạnh và từ 80 trở lên là rất mạnh. Thang đo đánh giá thiết lập của trình tạo chứ không phải chuỗi ký tự, đó là cách duy nhất trung thực để chấm điểm mật khẩu: "correct horse battery staple" đạt điểm cao ở các công cụ kiểm tra theo mẫu nhưng lại là cụm từ đầu tiên mà kẻ tấn công thử.

Hãy dùng mật khẩu khác nhau cho mỗi tài khoản và để trình quản lý mật khẩu ghi nhớ chúng; việc dùng lại mật khẩu khiến một trang bị lộ trở thành nhiều tài khoản bị chiếm. Lưu mật khẩu vào trình quản lý trước khi gửi biểu mẫu đăng ký, và bật xác thực hai yếu tố ở bất cứ nơi nào có hỗ trợ. Để khóa một tài liệu thay vì một tài khoản, cụm từ mật khẩu mạnh phù hợp với Đặt mật khẩu PDF, công cụ mã hóa tệp bằng mật khẩu do bạn chọn.