Mật khẩu cần dài bao nhiêu? Khỏe không cần đến huyền thoại

Độ dài luôn là điều quan trọng nhất của mật mã. Mỗi ký tự thêm vào nhân số công việc mà kẻ tấn công cần phải tiến hành; đổi một chữ cái đối một biểu tượng chỉ thêm một lựa chọn cho mỗi vị trí. Mật mã dài và nhàm chán vượt qua mật mã ngắn và thông minh.

Quy tắc thực tế: với tài khoản quan trọng, 16 ký tự ngẫu nhiên trở lên từ công cụ tạo là ổn; còn ở chỗ phải gõ bằng tay, cụm mật khẩu gồm vài từ không liên quan cũng hiệu quả tương đương. Một mật mã 8 ký tự — bất kể ngẫu nhiên thế nào — vẫn nằm trong tầm với của bất kỳ ai có thể thuê phần cứng tính toán theo từng phút; vì vậy độ dài quan trọng hơn những biểu tượng bạn rắc vào.

Tái sử dụng là nguy hiểm thực sự, không phải độ phức tạp: khi một công ty bảo mật kém làm rò rỉ cơ sở dữ liệu, kẻ tấn công sẽ thử cặp email–mật mã khắp nơi; một mật mã mạnh nhưng tái sử dụng trở thành mắt xích yếu nhất ngay khi một cái bị lộ. Hãy dùng trình quản lý mật khẩu, giữ mỗi mật mã là một, và bật xác thực hai yếu tố ở các nơi có ảnh hưởng.

Các chuẩn an toàn hiện hành đã lặng lẽ bỏ các quy tắc cũ vì có lý do: quy tắc ép buộc như 'một chữ in hoa, một chữ số, hết hạn sau 90 ngày' đẩy người ta về các khuôn mẫu dễ đoán mà kẻ tấn công học thuộc từ lâu. Độ dài, tính duy nhất, và một đồng hồ đo sức mạnh trung thực — như trong máy tạo của chúng tôi, chạy hoàn toàn trong trình duyệt của bạn — hiệu quả hơn mọi nghi thức.