Thời gian giải mã mật khẩu: Vì sao phải đặt mật khẩu thật mạnh?

Yếu tố quyết định thời gian giải mã mật khẩu

Thời gian bẻ khóa phụ thuộc vào ba yếu tố chính:

• Độ dài mật khẩu: càng dài càng khó đoán.
• Bộ ký tự sử dụng: chỉ chữ, chỉ số, chữ + số + ký tự đặc biệt.
• Thiết bị tấn công: GPU hiện đại có thể thử hàng tỷ tổ hợp mỗi giây.

Bảng dưới đây giả sử hacker có quyền thử brute-force thoải mái, tốc độ trung bình khoảng 10 tỷ lần thử mỗi giây trên GPU mạnh. Các con số mang tính ước lượng để minh họa, không phải giá trị tuyệt đối.

Thời gian giải mã theo loại mật khẩu

Ví dụ thực tế cho từng loại mật khẩu

Mật khẩu toàn chữ

Ví dụ: dragon, monkey, password.

Các mật khẩu này cực yếu. Hacker cần chưa tới 1 giây để phá nếu độ dài dưới 8 ký tự. Đây là loại mật khẩu tệ nhất, thường trùng với từ điển hoặc mật khẩu phổ biến.

Mật khẩu toàn số

Ví dụ: 123456, 20242024.

Nghe có vẻ dễ nhớ nhưng lại cực kỳ dễ bị brute-force. Hầu như mọi máy chủ bị dò chỉ mất vài giây đến vài phút để phá loại mật khẩu này, đặc biệt nếu chỉ dài 6–8 ký tự.

Mật khẩu cơ bản – chữ + số

Ví dụ: abc12345, hello2024.

Dù tốt hơn hai loại trên nhưng vẫn không đủ mạnh. Hacker dùng từ điển + brute-force lai (hybrid attack) cũng phá được rất nhanh vì mô hình rất phổ biến: từ có nghĩa + số hoặc năm.

Mật khẩu mạnh – dài + nhiều dạng ký tự

Ví dụ: F7k%aR2bP!q9.

Kết hợp chữ hoa, chữ thường, số và ký tự đặc biệt với độ dài từ 12 ký tự trở lên sẽ khiến hacker phải tốn từ nhiều năm đến hàng trăm năm để giải mã nếu chỉ brute-force.

Không phải tất cả đều dựa vào brute-force

Dù bảng trên giả định hacker brute-force tự do, nhưng thực tế còn có:

• Tấn công từ điển: thử danh sách mật khẩu phổ biến, rút ngắn cực mạnh thời gian crack.
• Tấn công dự đoán hành vi: dựa vào thói quen người dùng, ví dụ thêm năm sinh, tên, biệt danh.
• Rainbow table: dùng các bảng băm sẵn cho MD5, SHA1, các hash nhanh khác.

Đó là lý do các hệ thống hiện đại dùng bcrypt, Argon2, scrypt để làm chậm việc giải mã, kết hợp với giới hạn số lần thử đăng nhập ở tầng ứng dụng và tầng hệ thống.

Giới hạn số lần thử đăng nhập & lợi ích bảo mật

Độ mạnh mật khẩu chỉ là một lớp phòng thủ. Một lớp quan trọng khác là giới hạn số lần thử trên mỗi tài khoản, mỗi IP hoặc mỗi thiết bị. Khi bạn giới hạn số lần thử, dù hacker có mật khẩu yếu trước mặt, họ cũng không thể brute-force thoải mái.

Một số lợi ích nổi bật:

• Chặn brute-force trực tiếp: sau vài lần sai, tài khoản hoặc IP bị tạm khóa, làm brute-force gần như vô nghĩa.
• Giảm tải hệ thống: không để một IP spam request đăng nhập liên tục gây tắc nghẽn dịch vụ.
• Dễ phát hiện hành vi bất thường: hệ thống có thể log lại các lần sai, kích hoạt cảnh báo, gửi email, đẩy sự kiện vào hệ thống giám sát.
• Kết hợp tốt với 2FA: giới hạn số lần thử + xác thực hai lớp khiến chi phí tấn công tăng đột biến.

Các kỹ thuật thường dùng:

• Account lockout: khóa tạm thời tài khoản sau N lần nhập sai, ví dụ khóa 5–15 phút.
• Rate limiting: giới hạn số request đăng nhập trên mỗi IP trong một khoảng thời gian.
• CAPTCHA sau X lần sai: bắt buộc xác minh thêm để phân biệt người thật và bot.
• Delay tăng dần: mỗi lần sai sẽ thêm delay, khiến brute-force chậm đến mức không khả thi.

Nhờ những cơ chế này, kể cả khi mật khẩu chưa phải “bất khả xâm phạm”, chi phí tấn công vẫn bị đẩy lên rất cao, làm hacker nản và chuyển sang mục tiêu khác.

Fail2Ban và các cơ chế bảo vệ tương tự

Fail2Ban là một công cụ phổ biến trên server Linux giúp tự động chặn các IP có hành vi đáng ngờ. Nó đọc log từ SSH, FTP, web server, dịch vụ mail và nhiều dịch vụ khác, sau đó cấu hình firewall (iptables, nftables, firewalld) để chặn IP “quá hăng”.

Cách Fail2Ban hoạt động (đơn giản hóa):

• Theo dõi file log (ví dụ: auth.log, nginx access log).
• Dùng regex phát hiện chuỗi đăng nhập thất bại nhiều lần trong một khoảng thời gian.
• Nếu vượt ngưỡng, chèn rule vào firewall để block IP đó trong một khoảng thời gian (ví dụ 10–60 phút).

Ý tưởng này hoàn toàn có thể áp dụng vào các hệ thống web:

• Đếm số lần đăng nhập thất bại theo IP, theo user hoặc theo thiết bị.
• Block tạm thời hoặc yêu cầu CAPTCHA khi vượt ngưỡng.
• Ghi log đầy đủ để phân tích, kết hợp với SIEM hoặc các công cụ giám sát bảo mật khác.

Sự kết hợp giữa mật khẩu mạnh + slow hashing (bcrypt, Argon2) + giới hạn số lần thử + Fail2Ban hoặc rate limiting sẽ biến hệ thống của bạn từ “dễ bị quét” thành “rất tốn kém để tấn công”.

Init Password Generator – Công cụ tạo mật khẩu mạnh cho developer

Một trong những lý do người dùng đặt mật khẩu yếu là vì họ lười nghĩ và ngại nhớ. Đối với developer hoặc admin hệ thống, việc cần mật khẩu vừa mạnh vừa đúng chuẩn lại càng thường xuyên hơn. Đó là lúc một công cụ tạo mật khẩu chuyên nghiệp phát huy tác dụng.

Init Password Generator là một công cụ hỗ trợ bạn:

• Tạo mật khẩu mạnh chỉ với một cú click.
• Tùy chọn độ dài mật khẩu theo nhu cầu (ngắn, vừa, rất dài).
• Tùy chỉnh charset: chữ thường, chữ hoa, số, ký tự đặc biệt, hoặc kết hợp.
• Các preset sẵn cho các trường hợp dùng nhanh, không cần chỉnh nhiều.
• Xem độ mạnh realtime ngay khi thay đổi cài đặt, giúp bạn hiểu mật khẩu đang ở mức nào.
• Sinh ngay password_hash chuẩn PHP để đưa thẳng vào code hoặc database.
• Copy nhanh mật khẩu và hash chỉ với một lần click, giảm sai sót khi thao tác thủ công.

Bạn có thể trải nghiệm trực tiếp tại: Init Password Generator.

Khi kết hợp công cụ như Init Password Generator để tạo mật khẩu mạnh + chuẩn hash PHP, cộng thêm việc thiết kế hệ thống với giới hạn số lần thử và các cơ chế bảo vệ như Fail2Ban, bạn đang xây dựng một lớp phòng thủ toàn diện thay vì chỉ trông chờ vào một yếu tố duy nhất.

Rút ra cách đặt mật khẩu an toàn nhất

Dựa trên các phân tích ở trên, mật khẩu an toàn cần đáp ứng ít nhất:

• Độ dài từ 12 ký tự trở lên.
• Kết hợp: chữ thường + chữ hoa + số + ký tự đặc biệt.
• Không dùng từ ngữ có nghĩa như tên, ngày sinh, số điện thoại, tên công ty.
• Không dùng mật khẩu giống nhau trên nhiều dịch vụ.
• Sử dụng công cụ tạo mật khẩu như Init Password Generator để tránh trùng lặp và tăng độ ngẫu nhiên.

Nếu muốn tối ưu bảo mật hơn nữa, hãy dùng cụm mật khẩu dài hoặc passphrase, ví dụ:

Blue-Tiger-Runs@Night-2024

Vừa dài, vừa khó đoán, vừa dễ nhớ hơn mật khẩu random khó đọc.

Kết luận

Trong bối cảnh hacker sở hữu GPU mạnh mẽ, công cụ tấn công tự động và bot quét không ngừng, mật khẩu yếu chỉ “sống” được vài giây. Để bảo vệ tài khoản và hệ thống, bạn cần kết hợp đồng thời: mật khẩu mạnh, slow hashing (bcrypt, Argon2), giới hạn số lần thử, các cơ chế như Fail2Ban và sử dụng công cụ chuyên dụng như Init Password Generator để tạo mật khẩu và hash chuẩn. Chỉ khi đó, chi phí tấn công mới cao đến mức hacker không còn hứng thú với hệ thống của bạn.