Trước đây, nhiều tổ chức nhấn mạnh độ phức tạp của mật khẩu, tức là kết hợp chữ hoa, chữ thường, số và ký tự đặc biệt. Bản dự thảo công khai thứ hai của hướng dẫn SP 800-63-4, công bố tháng 9/2024 bởi Viện Tiêu chuẩn và Công nghệ Mỹ (NIST), nêu rõ độ dài mật khẩu là yếu tố chính để đánh giá độ mạnh. Nhiều đơn vị cung cấp dịch vụ lấy hướng dẫn của NIST làm chuẩn cơ sở cho các quy định bảo mật.
Mật khẩu dài an toàn hơn mật khẩu phức tạp.
NIST bỏ yêu cầu ký tự đặc biệt: mật khẩu mạnh giờ được định nghĩa thế nào?
Cơ sở của thay đổi này là khái niệm entropy, thước đo độ khó đoán của mật khẩu, tính bằng bit. Theo ông Paul Grassi của NIST, người viết bộ hướng dẫn, entropy phản ánh mức độ khó đoán, mức độ ngẫu nhiên và thời gian để một cuộc tấn công vét cạn (brute-force) phá được mật khẩu. Công thức tính là H = L × log₂(N), với L là độ dài và N là số ký tự có thể dùng. Mật khẩu càng dài thì số tổ hợp càng lớn và càng khó bị phá.
Ký tự đặc biệt và chữ hoa mở rộng bộ ký tự từ 26 lên khoảng 95 mỗi vị trí, chỉ thêm khoảng 6-7 bit entropy, tương đương một ký tự độ dài. Vì vậy, mật khẩu dài với bộ ký tự nhỏ thường mạnh hơn mật khẩu ngắn đáp ứng đủ yêu cầu phức tạp. Một cụm 20 ký tự gồm các từ thông dụng mạnh hơn đáng kể so với “P@ssw0rd” có 8 ký tự.
Mật khẩu ngẫu nhiên 8 ký tự lấy từ 95 ký tự in được đạt khoảng 52 bit, nhưng gần như không thể ghi nhớ nếu không có trình quản lý mật khẩu. Trong khi đó, cụm mật khẩu (passphrase) gồm 5 từ theo phương pháp Diceware đạt khoảng 64 bit entropy. Cụm từ gồm 4 từ ngẫu nhiên trở lên có entropy thấp hơn chút ít so với chuỗi ký tự ngẫu nhiên cùng độ dài, nhưng dễ nhớ và dễ gõ hơn nhiều.
Theo hướng dẫn mới, NIST yêu cầu hệ thống cho phép mật khẩu dài ít nhất 64 ký tự mà không bắt buộc ký tự đặc biệt, và người dùng có thể giữ mật khẩu không cần đổi định kỳ. Độ dài tối thiểu là 8 ký tự, song NIST khuyến khích dùng mật khẩu hoặc cụm mật khẩu dài hơn. Điều kiện là các từ phải thực sự ngẫu nhiên và không liên quan nhau, vì mật khẩu không ngẫu nhiên khó đạt entropy cao.
Ký tự đặc biệt không còn nằm trong quy chuẩn để đánh giá độ an toàn của mật khẩu.
Độ dài không giải quyết được mọi vấn đề. Một cụm mật khẩu mạnh vẫn vô dụng nếu đã bị lộ trong vụ rò rỉ dữ liệu, và NIST nêu việc dùng lại mật khẩu là vấn đề nghiêm trọng. NIST vẫn ủng hộ trình quản lý mật khẩu, và các chuyên gia khuyến nghị kiểm tra mật khẩu mới với cơ sở dữ liệu mật khẩu đã bị lộ.
An An (Tổng hợp)
