Tạo mật khẩu
Tạo mật khẩu ngẫu nhiên mạnh bằng API crypto của trình duyệt. Chọn độ dài, bộ ký tự, loại bỏ các ký tự dễ nhầm lẫn, đảm bảo có đủ mỗi loại một ký tự và xem
Tạo mật khẩu ngẫu nhiên bằng API mật mã của trình duyệt thay vì Math.random, để kết quả phù hợp cho các tài khoản thật. Hãy chọn độ dài, các bộ ký tự sẽ dùng, có loại bỏ những ký tự dễ nhầm lẫn như l, 1, I và O hay không, và có đảm bảo ít nhất một ký tự thuộc mỗi loại đã chọn hay không.
Chỉ số entropy tính theo bit cho biết mật khẩu chống lại việc đoán mò tốt đến đâu: dưới 60 bit là yếu trước một kẻ tấn công quyết tâm, 80 bit là vững cho một tài khoản thông thường, và từ 100 bit trở lên là mức bạn cần cho một mật khẩu chính hay một khoá API. Việc tạo diễn ra cục bộ nghĩa là mật khẩu không bao giờ truyền qua mạng - đó chính là điều quan trọng nhất.
Cách tạo mật khẩu mạnh
Chọn độ dài và các bộ ký tự
Đặt tuỳ chọn loại ký tự dễ nhầm lẫn và đảm bảo đủ loại
Sao chép mật khẩu và xem chỉ số entropy
Câu hỏi thường gặp
Mật khẩu nên dài bao nhiêu?
Mười sáu ký tự lấy từ nhiều bộ khác nhau là mặc định tốt cho mọi thứ quan trọng. Độ dài làm mật khẩu mạnh hơn nhiều so với các ký tự lạ, nên nếu được chọn, hãy ưu tiên 20 ký tự hơn là 12 ký tự có ký hiệu.
Chỉ số entropy nghĩa là gì?
Đó là số bit ngẫu nhiên trong mật khẩu được tạo, tính từ độ dài và kích thước bộ ký tự. Mỗi bit thêm vào làm công sức cần để đoán mật khẩu tăng gấp đôi.
Vì sao nên loại bỏ các ký tự dễ nhầm lẫn?
Những ký tự như l, 1, I, O và 0 rất dễ bị nhầm khi bạn phải đọc mật khẩu trên màn hình rồi gõ vào điện thoại hay một thiết bị. Loại bỏ chúng giúp việc nhập tay ít sai sót hơn nhiều.
Dùng công cụ này có an toàn không?
Các giá trị đến từ crypto.getRandomValues, nguồn ngẫu nhiên mật mã của trình duyệt, và đây là lựa chọn đúng cho mật khẩu. Quá trình tạo diễn ra cục bộ và không có gì được truyền đi.
Tôi có nên tạo một mật khẩu rồi dùng lại không?
Không. Hãy dùng một mật khẩu riêng cho từng dịch vụ và lưu chúng trong trình quản lý mật khẩu - một mật khẩu dùng lại nghĩa là một vụ rò rỉ có thể ảnh hưởng đến mọi tài khoản dùng chung mật khẩu đó.
Mật khẩu được tạo có được lưu ở đâu không?
Không. Không có gì được lưu, ghi log hay gửi đi; nếu bạn đóng trang thì mật khẩu sẽ mất, trừ khi bạn đã sao chép nó.
Tổng quan nhanh
| Đầu vào | văn bản |
|---|---|
| Nhiều tệp cùng lúc | Không |
| Chạy ở đâu | Ngay trong trình duyệt - tệp không bao giờ bị tải lên |
| Dùng được ngoại tuyến | Có — sau khi trang đã tải xong |
| Giá | Miễn phí, không đăng ký, không hình mờ |
Xử lý thông tin bí mật một cách an toàn
Các công cụ dành cho lập trình viên xử lý thông tin đăng nhập thường xuyên hơn người ta tưởng, và rủi ro không nằm ở thuật toán mà ở chỗ dữ liệu đi tới. Băm là một chiều và không phải mã hoá - MD5 và SHA-1 đã bị phá với mọi mục đích liên quan đến bảo mật, và ngay cả SHA-256 cũng là công cụ sai để lưu mật khẩu, nơi bcrypt, scrypt hay Argon2 tồn tại chính là để chạy chậm. Base64 là một cách mã hoá, không phải bảo vệ: ai cũng giải mã được, nên đừng bao giờ coi nó là cách che giấu. Một JWT có thể bị bất kỳ ai giữ nó đọc được, vì thế phần payload không bao giờ được chứa bí mật, và việc giải mã một token không xác minh chữ ký của nó - muốn xác minh phải có khoá. Mọi thứ trên site này chạy cục bộ trong trình duyệt của bạn, và đó là lý do nó có thể xử lý token cùng mật khẩu một cách an toàn.
Những chỗ việc chuyển đổi âm thầm hỏng
Phần lớn lỗi chuyển đổi không nằm ở cú pháp mà ở ý nghĩa. Một cột mã bưu chính trong CSV mất các số 0 đứng đầu ngay khi bảng tính đoán rằng đó là số; một ID dài vượt quá độ chính xác của số dấu phẩy động; ngày tháng đổi nghĩa tuỳ theo nó được viết theo kiểu ngày trước hay tháng trước. Các khoá JSON không có thứ tự nhưng mảng thì có, và một công cụ sắp xếp khoá thì không đổi gì, còn công cụ sắp xếp mảng thì đổi dữ liệu. Unicode là một cái bẫy khác: văn bản có thể đến dưới dạng UTF-8, UTF-16 hoặc kèm dấu thứ tự byte, và một bộ giải mã đoán sai sẽ biến các ký tự có dấu thành chữ hỏng. Trước khi tin vào bất kỳ phép chuyển đổi nào, hãy kiểm tra nhanh hàng đầu và hàng cuối, mọi trường có số 0 đứng đầu, và mọi trường chứa dấu ngoặc kép, dấu phẩy hay ký tự xuống dòng.