Trình phân tích độ mạnh và rò rỉ mật khẩu (Kiểm tra vi phạm HIBP)

Công cụ kiểm tra độ mạnh mật khẩu này đánh giá ngay khi bạn gõ theo năm quy tắc: ít nhất 8 ký tự, có chữ hoa, chữ thường, chữ số và ký hiệu, rồi hiển thị mức từ "rất yếu" đến "mạnh". Đạt 12 ký tự sẽ được cộng điểm, từ 16 ký tự trở lên được điểm tối đa, vì độ dài là yếu tố ảnh hưởng lớn nhất đến độ an toàn.

Entropy (tính bằng bit) được ước tính bằng độ dài × log2(kích thước tập ký tự): chữ thường có 26 lựa chọn, chữ hoa thêm 26, chữ số 10 và ký hiệu 33. Tám chữ thường khoảng 37,6 bit, tám ký tự dùng đủ bốn loại khoảng 52,6 bit, còn mười hai ký tự trộn lẫn khoảng 78,8 bit. Thời gian bẻ khóa giả định kẻ tấn công thử 10 tỷ (10^10) tổ hợp mỗi giây: chưa tới một phút với 8 chữ thường, khoảng 8 ngày với 8 ký tự trộn lẫn và hơn một triệu năm với 12 ký tự.

Lưu ý công thức này giả định mỗi ký tự được chọn ngẫu nhiên. Mật khẩu như "Password123!" đáp ứng mọi quy tắc và có entropy trông rất cao, nhưng tấn công từ điển có thể đoán ra gần như ngay lập tức. Cách đáng tin cậy là dùng mật khẩu ngẫu nhiên do trình quản lý mật khẩu tạo, hoặc một cụm mật khẩu dài gồm bốn, năm từ không liên quan.

Nút kiểm tra rò rỉ tra cứu cơ sở dữ liệu Pwned Passwords của Have I Been Pwned theo cơ chế k-anonymity: trình duyệt tự tính mã băm SHA-1 và chỉ gửi 5 ký tự đầu; dịch vụ trả về mọi phần đuôi có cùng tiền tố và việc so khớp diễn ra trên máy bạn. Cả mật khẩu lẫn mã băm đầy đủ đều không rời khỏi trình duyệt, còn phần phân tích độ mạnh chạy hoàn toàn cục bộ.