Entropía de una contraseña: qué estima y qué no
Cómo se estima la entropía en bits, qué hipótesis requiere y por qué no predice por sí sola el tiempo de ataque.
Respuesta breve
La entropía estima, en bits, cuántas posibilidades tendría que considerar una búsqueda bajo un modelo concreto. Si una contraseña aleatoria tiene longitud L y cada carácter se elige por igual entre N opciones, la estimación sencilla es L × log₂(N). (NIST: definición de entropía)
¿Por qué importa la aleatoriedad?
La fórmula supone que cada carácter se elige de forma independiente y uniforme. Las personas suelen usar palabras, fechas, patrones de teclado o frases reutilizadas; por eso, su facilidad de adivinación puede ser mucho mayor de lo que indica un cálculo simple del alfabeto. La guía vigente de NIST desaconseja imponer reglas arbitrarias de composición y destaca otros controles. (NIST: publicación especial 800-63B-4)
¿La entropía indica cuánto tardarán en descifrarla?
No por sí sola. Una estimación de tiempo también requiere suposiciones sobre la velocidad de ataque, el algoritmo de almacenamiento de contraseñas, el equipo del atacante y la exposición de los datos. Los intentos de inicio de sesión y el análisis sin conexión de verificadores robados son escenarios distintos.
¿Cómo usar una calculadora de entropía?
Toma el resultado como una estimación educativa, no como una garantía de aprobado o suspenso. Es preferible usar contraseñas largas, únicas y generadas al azar, guardarlas en un gestor y activar la autenticación multifactor cuando esté disponible. (Probar la calculadora de entropía con una contraseña ficticia)