Công cụ phổ biến

Giao diện

Kiểm tra độ mạnh của mật khẩu

Xem mật khẩu của bạn bị bẻ khóa mất bao lâu qua từng kiểu tấn công, những mẫu nào làm lộ nó và nó đã xuất hiện trong vụ rò rỉ dữ liệu nào chưa. Công cụ kiểm tra mật khẩu mạnh này không bao giờ gửi mật khẩu của bạn đi: chỉ 5 ký tự của mã hash rời khỏi thiết bị.

Ước tính theo mẫu: zxcvbn-ts, đã hiệu chỉnh · tốc độ tấn công: số liệu chuẩn hashcat · dữ liệu rò rỉ: Have I Been Pwned · không lưu lại gì
Kiểm tra ngay trong trình duyệt này
Mọi phần kẻ tấn công sẽ đoán đều hiện ở đây:
  • Mật khẩu phổ biến
  • Từ
  • Tên
  • Năm
  • Bàn phím
  • Lặp lại
  • Ngẫu nhiên

Kiểm tra ngay trong trình duyệt. Chỉ 5 trong 40 ký tự đầu của mã hash SHA-1 được gửi đi, để kiểm tra rò rỉ.

Thử

Mật khẩu này sẽ bị bẻ nhanh đến đâu?

Nhập hoặc dán mật khẩu: kết quả cập nhật ngay khi bạn gõ.

Bit kẻ tấn công phải đoán
0128

Công cụ kiểm tra những gì

  • Các mẫu kẻ tấn công thử trước: 49.233 mật khẩu phổ biến, từ và tên, năm, dãy phím, ký tự lặp và ký tự thay thế giống nhau.
  • Rò rỉ dữ liệu: khoảng 2,07 tỷ mật khẩu bị rò rỉ trong Have I Been Pwned, theo k-anonymity.
  • Tám kiểu tấn công, từ trang đăng nhập khóa sau 100 lần thử đến hash NTLM trên 100 card đồ họa.

Mật khẩu của tôi mạnh đến mức nào? Cách kiểm tra độ mạnh của mật khẩu

Mạnh bằng số lần đoán kẻ tấn công cần để tìm ra nó, và kẻ tấn công thử các mật khẩu có khả năng cao trước: mật khẩu phổ biến, từ và tên, năm, dãy phím và chữ cái bị thay thế, rất lâu trước các chuỗi ngẫu nhiên. Công cụ kiểm tra độ mạnh của mật khẩu này đếm những lần đoán đó.

Nó tách những gì bạn nhập thành các phần kẻ tấn công thử, như Summer + 2026 + !, tính mỗi phần theo số lần đoán nó cần, rồi cộng lại cách rẻ nhất để dựng nên toàn bộ mật khẩu. Bộ máy là zxcvbn-ts, công cụ ước tính mã nguồn mở mà OWASP dẫn chiếu, với danh sách từ tiếng Anh và danh sách của ngôn ngữ trang nếu có.

Chúng tôi đã sửa hai chỗ công cụ ước tính gốc sai ở đầu mạnh: nó đánh giá một mật khẩu 12 ký tự ngẫu nhiên thật sự ở khoảng 10¹² lần đoán thay vì khoảng 10²⁴, và một cụm mật khẩu sáu từ cao hơn thực tế hàng tỷ lần. Giờ các đoạn ngẫu nhiên được tính theo các ký tự chúng dùng, còn cụm mật khẩu được tính theo cách tạo ra chúng.

Chữ hoa, chữ số và ký hiệu vẫn được hiển thị, nhưng thiếu một loại không bao giờ bị trừ điểm: NIST đã bỏ các quy tắc đó vì chúng tạo ra mật khẩu dễ đoán như Password1! (NIST SP 800-63B-4). 64 ký tự đầu được phân tích; dài hơn thì nằm ngoài tầm đoán, trừ khi là một cụm từ đã biết, và phần kiểm tra rò rỉ vẫn xem toàn bộ.

Summer2026!

  1. SummerTừ trong từ điểnTên một mùa, viết hoa chữ đầu theo cách quen thuộc: 50 lần đoán
  2. 2026!Ngẫu nhiênNăm ký tự không tìm thấy mẫu nào: 100.000 lần đoán
0128

YếuKhoảng 10 triệu lần đoán: YếuĐã bị lộCó trong dữ liệu rò rỉ 45 lần: Đã bị lộ

Các mẫu quyết định, không phải loại ký tự: 11 ký tự gồm bốn loại, bị đoán ra trong vài giây khi danh sách hash bị rò rỉ.
Kiểm tra độ mạnh của mật khẩu: mật khẩu tách theo các mẫu làm nó yếu, thời gian bẻ khóa của 8 kiểu tấn công và kiểm tra rò rỉKiểm tra độ mạnh của mật khẩu: mật khẩu tách theo các mẫu làm nó yếu, thời gian bẻ khóa của 8 kiểu tấn công và kiểm tra rò rỉMức đánh giáTừ Rất yếu đến Rất mạnh, theo số lần đoán kẻ tấn công cần, hoặc Đã bị lộ khi mật khẩu có trong dữ liệu rò rỉ.Điểm yếu nằm ở đâuMật khẩu được tách theo các mẫu kẻ tấn công thử, mỗi mẫu kèm lý do nó dễ bị đoán.Thời gian bẻ khóaMỗi kiểu trong tám kiểu tấn công cần bao lâu, trên một card đồ họa hay một trăm.Kiểm tra rò rỉHave I Been Pwned đã thấy mật khẩu này chưa, và 5 ký tự của mã hash đã được gửi đi.
Một mật khẩu tự nghĩ ra được kiểm tra: mức đánh giá, các mẫu làm lộ nó, thời gian mỗi kiểu tấn công cần và kết quả kiểm tra rò rỉ. Chọn một số để xem từng phần thể hiện điều gì.

Mật khẩu của tôi bị bẻ khóa mất bao lâu?

Tùy kiểu tấn công: cùng một mật khẩu có thể trụ nhiều năm trước trang đăng nhập giới hạn lượt thử nhưng bị bẻ dưới một giây khi một trang web làm rò rỉ hash mật khẩu lưu kém. Công cụ cho thời gian bẻ khóa của tám kiểu tấn công có tên, trên một card đồ họa hay một trăm.

Thời gian bẻ khóa một mật khẩu bằng số lần đoán cần thiết chia cho tốc độ của kẻ tấn công. Trực tuyến, kẻ tấn công đoán qua trang đăng nhập: 100 lần mỗi giờ nếu trang khóa khi sai nhiều lần (NIST cho phép tối đa 100 lần liên tiếp), 10 lần mỗi giây nếu không. Ngoại tuyến, sau khi cơ sở dữ liệu bị rò rỉ, họ đoán trực tiếp trên các mã hash đã lưu bằng card đồ họa, và tốc độ phụ thuộc vào cách trang lưu chúng.

Một RTX 5090 thử 340,1 tỷ hash NTLM mỗi giây (Windows), 220,6 tỷ MD5 và 70,2 tỷ SHA-1, nhưng chỉ khoảng 9.500 hash bcrypt ở cost 10 và 1,48 triệu sha512crypt của Linux (số liệu chuẩn hashcat). Argon2id với 64 MiB bộ nhớ chạy 1.699 lần mỗi giây trên RTX 4090 (hashcat). Khoảng cách đó là lý do OWASP yêu cầu các trang lưu mật khẩu bằng Argon2id hoặc bcrypt.

Mỗi thời gian là một giá trị trung bình: với mật khẩu ngẫu nhiên, là một nửa số khả năng. Một lần test mật khẩu chỉ trung thực bằng kiểu tấn công nó giả định, nên mỗi dòng nêu tên một kiểu; kẻ tấn công thật còn chạy danh sách và quy tắc trước khi dò toàn bộ, đó là điều ước tính theo mẫu mô phỏng. Lừa đảo và keylogger bỏ qua hẳn việc đoán.

Trực tuyến, giới hạn lượt thửTrực tuyến, không giới hạnBị rò rỉ, Argon2id*Bị rò rỉ, bcryptBị rò rỉ, sha512crypt của LinuxBị rò rỉ, SHA-1Bị rò rỉ, MD5Bị rò rỉ, NTLM
Mã PIN 6 chữ số105,7208 ngày14 giờ5 phút52 giâychưa tới một giâychưa tới một giâychưa tới một giâychưa tới một giây
Summer2026!, chỉ tính theo các mẫu107,011 năm12 ngày2 giờ17 phút7 giâychưa tới một giâychưa tới một giâychưa tới một giây
8 ký tự ngẫu nhiên1015,12 T năm4 Tr năm26 N năm5 N năm30 năm6 giờ2 giờ1 giờ
4 từ ngẫu nhiên1015,32 T năm6 Tr năm34 N năm6 N năm39 năm7 giờ2 giờ1 giờ
12 ký tự ngẫu nhiên1023,210¹⁷ năm10¹⁴ năm10¹² năm554 T năm4 T năm75 N năm24 N năm16 N năm
6 từ ngẫu nhiên1023,010¹⁷ năm10¹⁴ năm10¹² năm368 T năm2 T năm50 N năm16 N năm10 N năm
16 ký tự ngẫu nhiên1031,210²⁵ năm10²² năm10²⁰ năm10¹⁹ năm10¹⁷ năm10¹² năm10¹² năm10¹² năm
Mọi mật khẩu có trong dữ liệu rò rỉ109,32 N năm7 năm14 ngày3 ngày23 phútchưa tới một giâychưa tới một giâychưa tới một giây
Trực tuyến, giới hạn lượt thửTrực tuyến, không giới hạnBị rò rỉ, Argon2id*Bị rò rỉ, bcryptBị rò rỉ, sha512crypt của LinuxBị rò rỉ, SHA-1Bị rò rỉ, MD5Bị rò rỉ, NTLM
Mã PIN 6 chữ số105,7208 ngày14 giờ3 giâychưa tới một giâychưa tới một giâychưa tới một giâychưa tới một giâychưa tới một giây
Summer2026!, chỉ tính theo các mẫu107,011 năm12 ngày59 giây10 giâychưa tới một giâychưa tới một giâychưa tới một giâychưa tới một giây
8 ký tự ngẫu nhiên1015,12 T năm4 Tr năm262 năm47 năm110 ngày3 phút1 phút41 giây
4 từ ngẫu nhiên1015,32 T năm6 Tr năm341 năm61 năm143 ngày4 phút1 phút54 giây
12 ký tự ngẫu nhiên1023,210¹⁷ năm10¹⁴ năm31 T năm6 T năm36 Tr năm752 năm239 năm155 năm
6 từ ngẫu nhiên1023,010¹⁷ năm10¹⁴ năm21 T năm4 T năm24 Tr năm499 năm159 năm103 năm
16 ký tự ngẫu nhiên1031,210²⁵ năm10²² năm10¹⁸ năm10¹⁷ năm10¹⁵ năm69 T năm22 T năm14 T năm
Mọi mật khẩu có trong dữ liệu rò rỉ109,32 N năm7 năm3 giờ36 phút14 giâychưa tới một giâychưa tới một giâychưa tới một giây
Thời gian trung bình. Tốc độ: số liệu chuẩn hashcat trên một RTX 5090; Argon2id trên RTX 4090. Kẻ tấn công thật thử danh sách và quy tắc trước khi dò toàn bộ. * Argon2id: đo trên RTX 4090 (chưa có số liệu RTX 5090).

Mật khẩu của tôi có an toàn không? Ý nghĩa từng mức đánh giá

Mật khẩu của bạn an toàn trước việc bị đoán nếu đạt Rất mạnh, hoặc Mạnh ở trang lưu mật khẩu bằng hash chậm, và chưa từng xuất hiện trong vụ rò rỉ nào. Đã bị lộ ghi đè mọi mức khác.

Mỗi mức là một khoảng số lần đoán, được đặt theo thời gian các cuộc tấn công thực tế cần để bao phủ nó. Rất mạnh cần từ 10²¹ lần đoán trở lên: không card đồ họa đơn lẻ nào tìm ra nó trong một thế kỷ, kể cả với NTLM.

Số lần đoán kẻ tấn công cần
Đã bị lộ
  1. Mã PIN 6 chữ số
  2. Summer2026!
  3. 8 ký tự ngẫu nhiên
  4. 4 từ ngẫu nhiên
  5. 6 từ ngẫu nhiên
  6. 12 ký tự ngẫu nhiên
  7. 16 ký tự ngẫu nhiên
Rất yếuYếuTrung bìnhMạnhRất mạnh
  1. Đăng nhập có khóa
  2. Đăng nhập mở
  3. Argon2id
  4. bcrypt
  5. sha512crypt
  6. SHA-1
  7. MD5
  8. NTLM

▲: một năm trên một card đồ họa

Đã bị lộ nằm ngoài thang đo: mật khẩu đã bị lộ có trong danh sách của kẻ tấn công, dù dài đến đâu.
Mức đánh giáSố lần đoán cầnChịu được gì
Đã bị lộCó trong dữ liệu rò rỉKhông gì cả: kẻ tấn công thử mật khẩu đã bị lộ trước tiên. Hãy đổi nó ở mọi nơi bạn dùng.
Rất yếuDưới 10⁴Đoán trực tuyến tìm ra trong vòng 17 phút, kể cả ở 10 lần mỗi giây.
Yếu10⁴ đến 10⁸Chịu được trang khóa sau 100 lần sai, nhưng không chịu được trang không giới hạn; sau khi rò rỉ, nhiều nhất 16 giờ.
Trung bình10⁸ đến 10¹⁴Đoán trực tuyến mất từ vài tháng đến nhiều thiên niên kỷ; sau khi rò rỉ, từ vài giờ đến 333 năm với bcrypt, nhưng dưới 10 phút với MD5 hoặc NTLM.
Mạnh10¹⁴ đến 10²¹Sau khi rò rỉ: 333 đến 3 tỷ năm với bcrypt, nhưng 5 phút đến 93 năm với NTLM, trên một card đồ họa.
Rất mạnh10²¹ trở lênKhông card đồ họa đơn lẻ nào tìm ra nó trong một thế kỷ, kể cả với NTLM, loại hash dễ bẻ nhất.

Thế nào là một mật khẩu mạnh?

Độ dài và tính ngẫu nhiên: ít nhất 15 ký tự nếu mật khẩu một mình bảo vệ tài khoản, do bộ tạo mật khẩu tạo ra hoặc ghép từ các từ ngẫu nhiên, chỉ dùng cho một tài khoản và chưa từng bị lộ. Ký hiệu, chữ hoa và việc đổi định kỳ không còn là yêu cầu.

Đó là bộ quy tắc của NIST SP 800-63B-4, chuẩn của Hoa Kỳ được sửa đổi vào tháng 7 năm 2025: 15 ký tự khi chỉ có một yếu tố và 8 khi có yếu tố thứ hai, chấp nhận ít nhất 64, mọi ký tự kể cả dấu cách và emoji, không có quy tắc kết hợp, không ép đổi, và mọi mật khẩu mới được đối chiếu với danh sách mật khẩu đã bị lộ và phổ biến.

CISA, cơ quan an ninh mạng của Hoa Kỳ, yêu cầu ít nhất 16 ký tự hoặc một cụm mật khẩu gồm bốn đến bảy từ không liên quan, còn NCSC của Anh gợi ý ba từ ngẫu nhiên. Cả ba đều đặt độ dài lên hàng đầu.

Thay chữ cái bằng chữ số trông giống không có tác dụng: kẻ tấn công biết o → 0 và a → @, và thử chúng từ sớm (NCSC). Trình tạo mật khẩu tạo ra mật khẩu đáp ứng mọi quy tắc.

NIST SP 800-63B-4chuẩn nói gì · công cụ làm gì
  • Ít nhất 15 ký tự, hoặc 8 ký tự nếu có yếu tố thứ haiĐộ dài được đối chiếu với 15
  • Chấp nhận ít nhất 64 ký tựNhận tới 256, phân tích 64 ký tự đầu
  • Mọi ký tự, kể cả dấu cách và emojiĐếm theo ký tự: một emoji là một
  • Không có quy tắc kiểu "phải có một ký hiệu"Thiếu một loại không bao giờ bị coi là lỗi
  • Không ép đổi định kỳ; đổi sau khi bị xâm phạmĐã bị lộ cho bạn biết khi nào cần đổi
  • Chặn mật khẩu phổ biến và đã bị lộĐối chiếu với Have I Been Pwned
  • Cho phép dán và dùng trình quản lý mật khẩuDán được và kích hoạt kiểm tra rò rỉ
NIST SP 800-63B-4, mục 3.1.1.2, chuẩn mật khẩu của Hoa Kỳ từ tháng 7 năm 2025.

Entropy của mật khẩu: vì sao P@ssw0rd và Tr0ub4dor&3 thất bại

Entropy đếm số mật khẩu có thể mà kẻ tấn công phải thử, và chỉ có nghĩa với mật khẩu được chọn ngẫu nhiên. Đếm theo loại ký tự, P@ssw0rd được khoảng 52 bit và Tr0ub4dor&3 khoảng 72; cả hai đều có trong dữ liệu rò rỉ, từ hàng nghìn đến hàng triệu lần.

Một công cụ tính entropy mật khẩu nhân độ dài với số bit của mỗi loại ký tự có mặt, như thể mọi ký tự đều được chọn ngẫu nhiên. Con người không bao giờ làm vậy: P@ssw0rd là từ "password" với hai kiểu thay quen thuộc, và Have I Been Pwned đã thấy nó 6.421.042 lần. Vì thế NIST đặt quy tắc dựa trên độ dài: không thể tính entropy cho mật khẩu do con người chọn (NIST SP 800-63B-4, Phụ lục A).

Tr0ub4dor&3, ví dụ của xkcd về một mật khẩu khó nhớ, là một từ trong từ điển với chữ cái bị thay, một ký hiệu và một chữ số: khoảng một triệu lần đoán khi các phép thay được gỡ bỏ, Yếu nếu xét riêng, và thực tế là Đã bị lộ, với 3.196 lần xuất hiện.

Với mật khẩu ngẫu nhiên, hai cách đếm khớp nhau, và trình tạo mật khẩu hiển thị số bit chính xác của nó. Công cụ kiểm tra thì báo số lần đoán: 10ˣ lần đoán là 3,32 × x bit.

  • Theo loại ký tự
  • Theo các mẫu
  • Trong dữ liệu rò rỉ
  1. P@ssw0rd52,6 bit5,0 bit6.421.042 lần
  2. Tr0ub4dor&372,3 bit62,2 bit3.196 lần
  3. 12 ký tự ngẫu nhiên78,8 bit78,8 bitKhông tìm thấy
Cách đếm theo loại ký tự giả định mọi ký tự đều ngẫu nhiên. Chỉ với mật khẩu ngẫu nhiên thì hai cách đếm mới khớp nhau.

Mật khẩu của tôi đã bị lộ chưa? Kiểm tra Have I Been Pwned kín đáo

Công cụ đối chiếu đúng mật khẩu với Pwned Passwords của Have I Been Pwned, khoảng 2,07 tỷ mật khẩu từ các vụ rò rỉ dữ liệu, mà không gửi nó đi: chỉ 5 trong 40 ký tự đầu của mã hash SHA-1 rời khỏi trình duyệt của bạn, và chúng đến máy chủ của chúng tôi, không phải Have I Been Pwned.

Trình duyệt của bạn băm mật khẩu bằng SHA-1 và gửi 5 ký tự đầu, như 21BD1. Khoảng 2.000 mã hash trong cơ sở dữ liệu bắt đầu bằng 5 ký tự đó; phản hồi liệt kê tất cả kèm số lần, và trình duyệt của bạn tìm 35 ký tự còn lại trong danh sách ấy. Đây là k-anonymity, thiết kế của chính Have I Been Pwned (HIBP): ai thấy 5 ký tự đó cũng không biết bạn đang giữ mật khẩu nào trong 2.000.

Máy chủ của chúng tôi hỏi Have I Been Pwned thay bạn, nên không bao giờ thấy địa chỉ IP của bạn, thêm 100 đến 300 dòng giả vào mỗi phản hồi để kích thước không tiết lộ gì, và không ghi nhật ký tiền tố. Việc kiểm tra chạy khi bạn rời khỏi ô nhập, nhấn Enter hoặc dán, không bao giờ ở mỗi lần gõ phím: mỗi chữ gõ gửi một tiền tố có thể làm lộ mật khẩu, nên Have I Been Pwned khuyên không làm vậy (HIBP).

Con số là số lần xuất hiện, không phải số vụ rò rỉ: Tr0ub4dor&3 được thấy 3.196 lần. Con số 2,07 tỷ là số đo của chính chúng tôi, vì Have I Been Pwned không công bố tổng số hiện tại: 256 tiền tố ngẫu nhiên chứa trung bình 1.971 mã hash mỗi tiền tố (ngày 23 tháng 10 năm 2026).

Trình duyệt của bạn

••••••••

SHA-1 của mật khẩu

21BD12DC183F740EE76F27B78EB39C8AD972A757

Gửi đi: 5 ký tự đầu · Giữ lại: 35 ký tự còn lại

So khớp trong trình duyệt của bạn

…2DC183F74…:6.421.042

Đã xuất hiện 6.421.042 lần

dnsrobot.net

21BD1

+ 100 đến 300 dòng giả

Không ghi nhật ký

Khoảng 2.000 mã hash bắt đầu bằng 21BD1

Have I Been Pwned

/range/21BD1

Thấy máy chủ của chúng tôi, không bao giờ thấy bạn

k-anonymity: ai thấy 5 ký tự này cũng không biết bạn đang giữ mật khẩu nào trong khoảng 2.000 mật khẩu.

Phải làm gì nếu mật khẩu của bạn nằm trong một vụ rò rỉ

Ngừng dùng nó: đổi trước tiên ở tài khoản email, rồi ở mọi trang bạn dùng cùng hoặc gần giống mật khẩu đó, mỗi lần sang một mật khẩu ngẫu nhiên mới, và bật xác minh hai bước ở bất cứ đâu có cung cấp.

Mật khẩu đã bị lộ nằm trong danh sách kẻ tấn công thử trước tiên, nên độ mạnh của nó không còn giá trị: chạy toàn bộ danh sách 2,07 tỷ mất chưa đến một giây trên một card đồ họa với hash NTLM hoặc MD5 và khoảng 2,5 ngày với bcrypt. Đó là lý do NIST yêu cầu các trang từ chối mật khẩu đã bị lộ và bắt bạn đổi mật khẩu đã bị xâm phạm (NIST SP 800-63B-4).

Email đứng đầu vì nó có thể đặt lại mọi tài khoản khác. Trình tạo mật khẩu cấp cho mỗi tài khoản một mật khẩu riêng, và trình quản lý mật khẩu nhớ giúp bạn. Trùng khớp không có nghĩa tài khoản của bạn đã bị xâm nhập: danh sách chứa chính mật khẩu đó, của bất kỳ ai từng dùng nó.

Ngay cả một mật khẩu mạnh và riêng biệt cũng không chặn được lừa đảo hay keylogger, những thứ ghi lại nó khi bạn gõ (NIST SP 800-63B-4). Hãy kiểm tra đường link thực sự dẫn đến đâu trước khi đăng nhập, và kiểm tra người gửi thật của một email đáng ngờ bằng công cụ phân tích header email.

  1. 1Đổi mật khẩu email trướcEmail có thể đặt lại mọi tài khoản khác.
  2. 2Rồi đổi ở mọi nơi bạn dùng lạiMỗi tài khoản một mật khẩu tạo riêng.
  3. 3Bật xác minh hai bướcChỉ có mật khẩu bị đánh cắp thì không còn vào được.
  4. 4Lưu trong trình quản lý mật khẩuNó nhớ từng mật khẩu và tự điền giúp bạn.

Độ mạnh của mật khẩu: hỏi và đáp

Nhập mật khẩu thật của tôi vào đây có an toàn không?

Mật khẩu ở lại trong trình duyệt của bạn. Phần ước tính chạy trên thiết bị của bạn, và phần kiểm tra rò rỉ chỉ gửi 5 trong 40 ký tự đầu của mã hash SHA-1, khi bạn rời khỏi ô nhập, nhấn Enter hoặc dán. Không có gì được lưu hay ghi nhật ký, và kiểm tra chính tả bị tắt cho ô này. Nếu bạn vẫn muốn thận trọng, hãy test một mật khẩu được tạo theo cùng cách.

Công cụ này có giống công cụ kiểm tra mật khẩu của Have I Been Pwned không?

Nó dùng cùng dữ liệu, Pwned Passwords của Have I Been Pwned, và cùng cách tìm theo khoảng k-anonymity. Có ba điểm khác: yêu cầu đi qua máy chủ của chúng tôi, nên Have I Been Pwned không bao giờ thấy địa chỉ IP của bạn; nó chạy khi bạn gõ xong, không bao giờ ở mỗi lần gõ phím; và khi trùng khớp, mức đánh giá chuyển thành Đã bị lộ thay vì nằm cạnh một điểm độ mạnh.

"Đã xuất hiện 3.196 lần" nghĩa là gì?

Đó là số lần chính xác mật khẩu đó xuất hiện trong dữ liệu rò rỉ của Have I Been Pwned: 3.196 lần với Tr0ub4dor&3. Nó không phải số vụ rò rỉ hay số tài khoản, và không có nghĩa tài khoản của bạn đã bị hack: danh sách chứa mật khẩu, không chứa người dùng nó. Bất kỳ số nào lớn hơn không đều đưa mật khẩu vào danh sách kẻ tấn công thử trước tiên.

Công cụ kiểm tra mật khẩu tính thời gian bẻ khóa thế nào?

Nó chia số lần đoán trung bình kẻ tấn công cần cho tốc độ của từng kiểu tấn công. Số lần đoán đến từ phần ước tính theo mẫu; tốc độ là số liệu chuẩn hashcat đã công bố cho một RTX 5090 (RTX 4090 cho Argon2id), và 100 card đồ họa chia thời gian cho 100. Kẻ tấn công thật thử danh sách và quy tắc trước khi dò toàn bộ, điều mà ước tính theo mẫu mô phỏng.

Vì sao công cụ kiểm tra độ mạnh mật khẩu khác cho kết quả khác?

Hầu hết chỉ đếm loại ký tự và không nói họ giả định kiểu tấn công nào. Khi chúng tôi thử chín công cụ phổ biến vào ngày 23 tháng 10 năm 2026, sáu công cụ cho Tr0ub4dor&3 là an toàn, với thời gian bẻ khóa từ 4 tháng đến 2.000 năm, dù nó có trong dữ liệu rò rỉ 3.196 lần. Công cụ này nêu tên mọi kiểu tấn công, tính các mẫu kẻ tấn công thử trước tiên và để việc bị lộ ghi đè mức đánh giá.

Đây có phải công cụ tính entropy mật khẩu không?

Về thực chất thì có: nó ước tính một mật khẩu cần bao nhiêu lần đoán, và 10ˣ lần đoán xấp xỉ 3,32 × x bit. Khác với công cụ tính entropy mật khẩu chỉ đếm loại ký tự, nó tìm các mẫu trước: theo loại ký tự, P@ssw0rd được khoảng 52 bit, nhưng nó có trong dữ liệu rò rỉ 6,4 triệu lần. Với mật khẩu ngẫu nhiên, hai cách khớp nhau, và trình tạo hiển thị số bit chính xác.

Vì sao mật khẩu dài của tôi bị đánh giá yếu?

Độ dài chỉ có ích khi các ký tự không đoán trước được. Chữ cái lặp lại, dãy phím như qwertyuiop, một câu nổi tiếng hay một câu hát nằm trong những thứ kẻ tấn công thử đầu tiên: aaaaaaaaaaaaaaaa dài 16 ký tự và được đánh giá Rất yếu. Mật khẩu dài cũng có thể có trong dữ liệu rò rỉ, khi đó nó được đánh giá Đã bị lộ: correcthorsebatterystaple xuất hiện 4.173 lần.

Tôi có cần ký hiệu, chữ số và chữ hoa không?

Không phải để tăng độ mạnh. Quy tắc hiện nay của NIST yêu cầu các trang ngừng đòi hỏi chúng, vì chúng dẫn đến lựa chọn dễ đoán như Password1!, và công cụ không bao giờ coi việc thiếu một loại là vấn đề. Độ dài và tính ngẫu nhiên quan trọng hơn nhiều: 20 chữ thường ngẫu nhiên (94 bit) mạnh hơn 12 ký tự ngẫu nhiên đủ mọi loại (78 bit). Một số trang vẫn đòi, nên trình tạo có thể thêm chúng.

Bẻ khóa mật khẩu 8 ký tự mất bao lâu?

Với mật khẩu ngẫu nhiên từ cả 94 ký tự bàn phím: khoảng 2 giờ trên một RTX 5090 nếu trang lưu nó dưới dạng hash NTLM, 4 giờ với MD5, và chừng 10.000 năm với bcrypt ở cost 10. Mật khẩu 8 ký tự do con người chọn, như một từ kèm một năm, bị bẻ dưới một giây trước các hash nhanh đó và trong vài giờ trước bcrypt.

Mật khẩu mạnh vẫn có thể bị hack không?

Có, vì độ mạnh chỉ đo việc bị đoán. Trang lừa đảo, keylogger và phần mềm độc hại ghi lại mật khẩu khi bạn gõ, dù nó dài đến đâu, và mật khẩu dùng lại ở một trang bị xâm nhập sẽ được thử trên các tài khoản khác của bạn. Hãy dùng mật khẩu khác nhau cho mỗi trang, bật xác minh hai bước, và kiểm tra đường link thực sự dẫn đến đâu trước khi đăng nhập.

Vì sao mật khẩu trông mạnh lại hiện Đã bị lộ?

Vì nó có trong dữ liệu rò rỉ, và kẻ tấn công thử những mật khẩu này trước mọi thứ khác. Chạy toàn bộ danh sách khoảng 2,07 tỷ mất chưa đến một giây trên một card đồ họa với hash MD5 hoặc NTLM và vài ngày với bcrypt, nên độ phức tạp không còn bảo vệ được nó. NIST yêu cầu các trang từ chối mật khẩu đã bị lộ vì cùng lý do. Đã bị lộ ghi đè mọi mức đánh giá khác.

Vì sao việc kiểm tra rò rỉ không chạy khi tôi đang gõ?

Vì kiểm tra ở mỗi lần gõ phím sẽ gửi một tiền tố mới cho từng chữ, và chuỗi tiền tố đó có thể làm lộ mật khẩu cho bất kỳ ai theo dõi lưu lượng. Have I Been Pwned khuyên đợi đến khi nhập xong toàn bộ mật khẩu, nên công cụ kiểm tra khi bạn rời khỏi ô nhập, nhấn Enter hoặc dán. Mức đánh giá độ mạnh vẫn cập nhật khi bạn gõ.

Còn thiếu điều gì?Đề xuất tính năng hoặc công cụ mới

Công cụ mạng khác