Bạn từng đặt một mật khẩu vừa có chữ hoa, vừa có số, vừa có dấu chấm than ở cuối, rồi yên tâm rằng tài khoản đã an toàn chưa? Cảm giác đó rất quen thuộc, và cũng rất dễ đánh lừa. Bài này thử cùng một bộ 4 mật khẩu mẫu trên ba trình kiểm tra độ mạnh quen thuộc, rồi kể lại bên nào chấm chặt, bên nào nói rõ lý do, để bạn chọn đúng công cụ trước khi đổi mật khẩu.
Vì sao mật khẩu trông phức tạp vẫn có thể yếu
Quy tắc cũ dạy rằng mật khẩu chỉ cần đủ dài và đủ loại ký tự là đủ. Nhưng máy bẻ khóa không đoán từng chữ cái một cách ngẫu nhiên. Nó thử trước những gì con người hay đặt nhất: từ có nghĩa, tên riêng, năm sinh, rồi thêm số và ký tự ở cuối. Giống như kẻ trộm thử trước chùm chìa khóa quen thuộc nhất, thay vì phá từng ổ khóa một cách ngẫu nhiên.
Trang công cụ của Công Cụ Việt lấy ví dụ Hanoi2024! (đủ chữ hoa, chữ thường, số và ký tự đặc biệt) nhưng có thể bị phá trong chưa tới một giây, vì mẫu “từ có nghĩa cộng năm cộng ký tự cuối” nằm sẵn trong từ điển bẻ khóa. Thư viện zxcvbn của Dropbox ra đời để chấm theo cách nghĩ đó: chia mật khẩu thành từng đoạn, đối chiếu với kho từ rò rỉ, tên riêng và từ vựng, rồi mới chấm điểm và ước tính thời gian bẻ khóa. Công cụ của Công Cụ Việt và Bitwarden đều dùng zxcvbn, nhưng nhãn vẫn khác nhau vì mỗi bên đặt giả định khác nhau.
Công cụ của Công Cụ Việt: chấm nhanh bằng tiếng Việt, nhãn và thời gian chưa khớp nhau
Trình kiểm tra độ mạnh mật khẩu của Công Cụ Việt có giao diện tiếng Việt, nhập là chấm ngay, không cần bấm nút. Bảng “Tiêu chí cơ bản” liệt kê 5 điều kiện: ít nhất 8 ký tự, chữ thường, chữ hoa, chữ số và ký tự đặc biệt, kèm nút Hiện/Ẩn. Trang công cụ khẳng định mật khẩu không rời khỏi thiết bị và mọi thứ xử lý bằng JavaScript trên trình duyệt.
Kết quả thử thật như sau. Mẫu “123456” được chấm “0 / 4 – RẤT YẾU”, thời gian hiển thị “LESS THAN A GIÂY”, chỉ đạt tiêu chí chữ số, kèm cảnh báo đây là 1 trong 10 mật khẩu bị dùng nhiều nhất thế giới. Mẫu “matkhau123” được chấm “2 / 4 – KHÁ”, nhưng thời gian vẫn là “LESS THAN A GIÂY”, đạt 3 tiêu chí và thiếu chữ hoa cùng ký tự đặc biệt, không có cảnh báo riêng. Mẫu “Sunshine2024!” cũng được chấm “2 / 4 – KHÁ” với thời gian “LESS THAN A GIÂY” dù đã đủ 5 tiêu chí, kèm cảnh báo mật khẩu này rất giống với một mật khẩu phổ biến. Chỉ có cụm từ dài “Correct-Horse-Battery-Staple-2026” mới đạt “4 / 4 – RẤT MẠNH” với thời gian “HÀNG THẾ KỶ”.
Điểm mạnh của công cụ này là tiếng Việt, chấm ngay khi nhập và cảnh báo cụ thể cho mẫu phổ biến. Điểm yếu rõ nhất là nhãn “KHÁ” đi kèm thời gian “dưới một giây”, hai tín hiệu mâu thuẫn nhau, và bạn nên tin vào thời gian cùng cảnh báo hơn là tin vào nhãn. Một điểm trừ khác: trong công cụ không có ô kiểm tra rò rỉ hay trình tạo mật khẩu; muốn tạo mật khẩu mới, bạn phải mở thêm trình tạo chuỗi mật khẩu ngẫu nhiên của Công Cụ Việt. Dòng thời gian hiển thị lẫn tiếng Anh với tiếng Việt (“LESS THAN A GIÂY”) cũng đọc hơi gượng.
Bitwarden: gọn nhẹ, chỉ có nhãn và thời gian, không giải thích thêm
Trình kiểm tra của Bitwarden cũng dùng zxcvbn, giao diện tiếng Anh, và phần hỏi đáp của trang khẳng định mật khẩu được xử lý tại trình duyệt, không gửi lên máy chủ. Công cụ này không hiển thị điểm số và không đưa cảnh báo riêng cho từng mẫu, chỉ có nhãn và thời gian ước tính.
Cùng bộ mẫu thử, Bitwarden chấm “123456” là “Very Weak” với thời gian “Less Than A Second”. Mẫu “matkhau123” cũng là “Very Weak” với thời gian 4 phút, mẫu “Sunshine2024!” cũng là “Very Weak” với thời gian 31 phút, còn cụm từ dài được chấm “Strong” với thời gian “Centuries”. So với Công Cụ Việt, Bitwarden chấm chặt tay hơn ở nhãn, nhưng lại ít thông tin hơn: bạn biết mẫu yếu, mà không biết yếu vì thiếu điều gì.
Ô nhập của Bitwarden hiển thị mẫu dưới dạng chữ rõ, không che bằng dấu chấm như Công Cụ Việt, tiện khi kiểm tra mẫu thử, nhưng càng không nên nhập mật khẩu thật ở nơi đông người. Bitwarden hợp nhất với bạn nào đã dùng kho lưu trữ của hãng; còn nếu chỉ cần kiểm tra nhanh một lần thì trang này hơi ít thông tin.
Kaspersky: bên duy nhất kiểm tra rò rỉ và gợi ý tạo mật khẩu mới
Trình kiểm tra của Kaspersky đi theo một hướng khác hẳn: không hiển thị thời gian bẻ khóa cho bất kỳ mẫu nào, mà tập trung vào việc mẫu đó đã từng xuất hiện trong dữ liệu rò rỉ hay chưa. Cả ba mẫu đầu đều nhận nhãn “Don’t wait – change your password now” (đừng chờ, hãy đổi mật khẩu ngay).
Số lần xuất hiện trong cơ sở dữ liệu rò rỉ mới là phần đáng đọc nhất. Mẫu “123456” xuất hiện tới 42.451.471 lần, mẫu “matkhau123” xuất hiện 67 lần, còn mẫu “Sunshine2024!” xuất hiện 1 lần. Một lần lộ cũng là lộ: mật khẩu đã xuất hiện trong dữ liệu rò rỉ thì không còn là bí mật nữa, dù bạn đặt nó từ bao giờ. Chỉ có cụm từ dài mới nhận nhãn “Your password is strong” kèm chỉ báo “No leaks found” (không tìm thấy rò rỉ).
Kiểm tra rò rỉ là điểm mạnh của Kaspersky, và trang đặt sẵn liên kết “Generate password” để tạo mật khẩu mới ngay khi mẫu bị chê. Điểm đánh đổi cũng nằm ở đây: để kiểm tra rò rỉ, trang gửi một đoạn của mật khẩu đã băm lên máy chủ để đối chiếu, theo chính phần giải thích của trang, nên việc kiểm tra này không hoàn toàn xử lý tại trình duyệt như Công Cụ Việt và Bitwarden tuyên bố. Trang khẳng định không lưu mật khẩu thật, nhưng bạn vẫn nên chỉ thử mẫu tương tự.
Bảng so sánh tổng hợp
| Tiêu chí | Công Cụ Việt | Bitwarden | Kaspersky |
|---|---|---|---|
| Thang điểm / nhãn | Điểm 0–4 kèm nhãn | Chỉ nhãn, không điểm số | Chỉ nhãn, không điểm số |
| Thời gian bẻ khóa | Có (10 tỷ phép thử/giây) | Có | Không hiển thị |
| Cảnh báo riêng | Có cho mẫu phổ biến | Không thấy | Có, kèm lý do thiếu thành phần |
| Kiểm tra rò rỉ | Không có | Không có | Có, kèm số lần xuất hiện |
| Trình tạo mật khẩu | Phải mở công cụ khác | Trong hệ sinh thái, không nằm ngay trang kiểm tra | Có liên kết ngay trên trang |
| Xử lý dữ liệu | Trên trình duyệt | Tại trình duyệt | Gửi đoạn băm lên máy chủ để kiểm tra rò rỉ |
| “123456” | 0/4, dưới một giây | Very Weak, dưới một giây | Đổi ngay, xuất hiện 42.451.471 lần |
| “matkhau123” | 2/4, dưới một giây | Very Weak, 4 phút | Đổi ngay, xuất hiện 67 lần |
| “Sunshine2024!” | 2/4, dưới một giây, đủ 5 tiêu chí | Very Weak, 31 phút | Đổi ngay, xuất hiện 1 lần |
| Cụm từ dài | 4/4, hàng thế kỷ | Strong, hàng thế kỷ | Mạnh, không tìm thấy rò rỉ |
Nên dùng công cụ nào?
Cần kiểm tra nhanh bằng tiếng Việt và xem ngay tiêu chí nào còn thiếu thì dùng trình kiểm tra độ mạnh mật khẩu của Công Cụ Việt, nhưng nhớ đọc cả thời gian và cảnh báo, đừng chỉ nhìn nhãn. Cần biết mật khẩu đã từng lộ hay chưa thì dùng Kaspersky, chỉ thử mẫu tương tự. Đã dùng Bitwarden hoặc muốn một trang gọn chỉ để xem nhãn và thời gian thì Bitwarden là đủ.
Đừng tin một nhãn duy nhất. Hãy tin vào thời gian và cảnh báo. Cách làm thực tế nhất là kết hợp cả hai: kiểm tra độ mạnh trên Công Cụ Việt, kiểm tra rò rỉ trên Kaspersky, rồi tạo và lưu mật khẩu mới bằng trình tạo cụm mật khẩu BIP39 của Công Cụ Việt, thay vì ghi mật khẩu vào giấy hay file ghi chú.
Hỏi đáp nhanh
Mật khẩu đủ 5 tiêu chí đã đủ mạnh chưa?
Chưa chắc. Mẫu “Sunshine2024!” đủ cả 5 tiêu chí nhưng Công Cụ Việt vẫn báo thời gian dưới một giây và cảnh báo giống mật khẩu phổ biến, còn Kaspersky cho thấy mẫu này từng xuất hiện trong dữ liệu rò rỉ. Độ dài và tính khó đoán quan trọng hơn việc đủ loại ký tự.
Có nên nhập mật khẩu thật đang dùng vào công cụ kiểm tra online không?
Không. Chỉ thử mẫu tương tự theo cùng cấu trúc, rồi tự tạo một mật khẩu mới theo cấu trúc đã kiểm tra. Dù trang nào cũng khẳng định không lưu mật khẩu thật, thói quen an toàn nhất vẫn là không nhập mật khẩu thật.
Cụm từ dài hay chuỗi ký tự ngẫu nhiên tốt hơn?
Cả hai đều tốt nếu đủ dài và không đoán trước được. Cụm từ dài dễ nhớ hơn, chuỗi ngẫu nhiên khó đoán hơn khi lưu trong trình quản lý mật khẩu. Qua các mẫu thử trên, cụm từ 4 từ cộng số và dấu gạch ngang đạt mức cao nhất ở cả ba công cụ: Công Cụ Việt chấm 4/4, Bitwarden chấm Strong, Kaspersky báo mạnh và không tìm thấy rò rỉ. Bài giải thích về hàm băm và công cụ băm mật khẩu Bcrypt của Công Cụ Việt sẽ giúp bạn hình dung rõ hơn vì sao mật khẩu đã băm vẫn có thể bị đoán ra.
Lần tới đổi mật khẩu, bạn thử theo thứ tự này: nghĩ một cụm từ dài khó đoán, kiểm tra mẫu tương tự trên Công Cụ Việt, kiểm tra rò rỉ trên Kaspersky, rồi lưu mật khẩu mới vào trình quản lý mật khẩu.
