Bí mật, và bằng chứng
Các công cụ được xếp ở đây trông có vẻ chẳng liên quan gì đến nhau — cho tới khi bạn nhận ra điểm chung giữa chúng.
Trình tạo mật khẩu tạo ra một bí mật mà không ai có thể đoán được. Trình xác minh lượt quay chứng minh rằng một kết quả không ai có thể đoán trước cũng không bị âm thầm chọn sau khi đã biết trước kết quả. Mỗi công cụ đặt ra một câu hỏi về tính ngẫu nhiên — một bên là giữ bí mật, bên kia là chứng minh nó có thật.
Câu hỏi thứ hai đó là điều mà hầu hết các trang web bỏ qua. Một chương trình tặng quà, một cuộc xổ số, một cách phân chia ca làm việc: người tổ chức biết lượt quay đó là trung thực, còn tất cả những người khác chỉ có thể tin lời họ. Một hạt giống (seed) cùng một dấu vân tay (fingerprint) biến câu “hãy tin tôi” thành thứ mà người tham gia có thể tự mình kiểm chứng.
Nên dùng công cụ nào
Tạo một thông tin đăng nhập — mật khẩu đăng nhập, cụm mật khẩu bạn phải gõ lại từ trí nhớ, mã PIN dạng số, hoặc API key cho tệp cấu hình. Cả bốn loại đều được tạo từ trình tạo mật khẩu, công cụ này còn hiển thị entropy và thời gian ước tính để bẻ khóa, để độ dài bạn chọn là một quyết định có cơ sở chứ không phải phỏng đoán.
Kiểm tra một lượt quay do người khác thực hiện — dán chứng chỉ vào trình xác minh lượt quay. Công cụ tính lại kết quả từ hạt giống và so sánh dấu vân tay. Nếu một trong hai không khớp, các con số đã bị thay đổi sau khi lượt quay diễn ra.
Vì sao việc tạo mật khẩu ở đây không hề mâu thuẫn
Việc lấy một mật khẩu từ một trang web nghe có vẻ là cách tệ nhất để có được nó. Và thường thì đúng là vậy: nếu giá trị đó được tạo trên máy chủ, nó đã từng tồn tại trên máy của người khác trước khi tồn tại trên máy của bạn, và bạn không có cách nào biết được chuyện gì đã xảy ra với nó ở đó.
Không có gì được tạo ra trên máy chủ ở đây cả. Các ký tự đến từ crypto.getRandomValues(), API của trình duyệt dựa trên nguồn entropy của hệ điều hành bạn — cùng nguồn mà trình duyệt của bạn dùng để thiết lập HTTPS. Trang này không gửi bất kỳ yêu cầu mạng nào trong khi bạn sử dụng nó. Bạn có thể tự kiểm chứng điều này bằng cách mở tab Mạng trong công cụ dành cho nhà phát triển, tạo một mật khẩu, và quan sát không có gì xảy ra. Nếu bạn không muốn tin cả điều đó, hãy ngắt kết nối mạng trước; công cụ vẫn hoạt động bình thường.
Điều danh mục này cố tình không bao gồm
Không có công cụ kiểm tra độ mạnh mật khẩu mà bạn dán mật khẩu hiện có vào. Việc gõ một mật khẩu thật vào một biểu mẫu web để được “kiểm tra” là một thói quen xấu bất kể trang web hứa hẹn điều gì, và trình tạo ở đây đã hiển thị sẵn entropy cho những mật khẩu nó tạo ra.
Không có công cụ tra cứu rò rỉ dữ liệu, không có trình quản lý mật khẩu và không có công cụ băm (hashing). Với trình quản lý, hãy dùng một công cụ chuyên dụng — Bitwarden, 1Password và KeePass đều giải quyết vấn đề mà trang này không thể, đó là ghi nhớ mật khẩu giúp bạn. Để kiểm tra rò rỉ dữ liệu, Have I Been Pwned là nguồn tham khảo chuẩn.