Entropy Mật Khẩu Là Gì?
Entropy mật khẩu là thước đo mức độ khó đoán của một mật khẩu, được biểu thị bằng bit. Mỗi bit tăng thêm sẽ nhân đôi số lần thử mà kẻ tấn công phải thực hiện. Một mật khẩu có 40 bit entropy đòi hỏi tới \(2^{40}\) (khoảng một nghìn tỷ) lần thử để dò bằng vét cạn, trong khi 80 bit thì mạnh hơn gấp bội theo cấp số nhân. Entropy là con số khách quan hữu ích nhất để so sánh độ mạnh của các mật khẩu.
Cách Sử Dụng Công Cụ
Nhập độ dài mật khẩu của bạn và tích chọn tất cả các bộ ký tự mà mật khẩu sử dụng. Công cụ sẽ cộng dồn kích thước của từng nhóm — chữ thường (26), chữ hoa (26), chữ số (10) và ký hiệu (32) — để ra kích thước bộ ký tự \(N\), sau đó tính entropy. Cả việc tăng độ dài lẫn dùng nhiều loại ký tự đều làm tăng entropy, nhưng độ dài thường mang lại hiệu quả lớn nhất.
Giải Thích Công Thức
Công thức chuẩn là $$E = L \times \log_{2}(N)$$ trong đó \(L\) là số ký tự và \(N\) là kích thước của bộ ký tự. Vì mỗi vị trí có thể độc lập là một trong \(N\) ký tự, nên tổng số mật khẩu khả dĩ là \(N^{L}\), và lấy \(\log_{2}\) của giá trị đó sẽ cho ra số bit entropy. Công thức này giả định mật khẩu hoàn toàn ngẫu nhiên; một từ trong từ điển hay một mẫu dễ đoán sẽ có entropy thực tế thấp hơn nhiều so với con số mà công thức đưa ra.
Ví Dụ Cụ Thể
Lấy một mật khẩu 12 ký tự gồm chữ thường, chữ hoa và chữ số. Bộ ký tự là \(26 + 26 + 10 = 62\). Entropy: $$E = 12 \times \log_{2}(62) = 12 \times 5{,}954 \approx 71{,}45 \text{ bit}$$ Con số này tương ứng với khoảng \(2^{71{,}45} \approx 3{,}2 \times 10^{21}\) tổ hợp — cực kỳ khó bị dò bằng vét cạn.
Câu Hỏi Thường Gặp
Bao nhiêu bit thì được coi là "mạnh"? Từ 60 bit trở lên là khá ổn cho hầu hết các tài khoản; từ 80 bit trở lên được khuyến nghị cho các mật khẩu quan trọng hoặc mật khẩu chủ.
Công cụ này có tính đến tấn công từ điển không? Không. Công thức giả định các ký tự ngẫu nhiên. Các từ có nghĩa, tên riêng và việc thay thế ký tự (như thay 'a' bằng '@') làm giảm mạnh entropy thực tế — hãy dùng trình tạo ngẫu nhiên hoặc cụm mật khẩu (passphrase).
Tại sao lại dùng 10 tỷ lần đoán/giây? Đây là mức ước tính hợp lý cho một cuộc tấn công ngoại tuyến được đầu tư mạnh nhằm vào các mật khẩu băm nhanh; nếu thuật toán băm chậm hơn thì kẻ tấn công còn bị chậm lại nhiều hơn nữa.
