Entropia de senhas: o que a estimativa significa
Veja como estimar a entropia em bits, quais hipóteses a fórmula exige e por que ela não prevê sozinha o tempo de ataque.
Em resumo
A entropia estima, em bits, quantas possibilidades uma busca teria sob um modelo específico. Para uma senha aleatória de comprimento L, com cada caractere escolhido uniformemente entre N possibilidades, a estimativa simples é L × log₂(N). (NIST, definição de entropia)
Por que a aleatoriedade importa?
A fórmula supõe escolhas independentes e uniformes. Pessoas costumam usar palavras, datas, padrões de teclado ou frases reutilizadas. Por isso, uma senha pode ser mais fácil de adivinhar do que sugere o cálculo simples baseado no conjunto de caracteres. As orientações atuais do NIST desaconselham regras arbitrárias de composição. (NIST SP 800-63B-4)
A entropia mostra quanto tempo levaria para quebrar a senha?
Não sozinha. Uma estimativa de tempo também depende da velocidade de tentativa, do método de armazenamento da senha, do equipamento do atacante e de como os dados foram expostos. Tentativas de login e análise offline de hashes roubados são situações diferentes.
Como usar uma calculadora de entropia?
Trate o resultado como uma explicação, não como garantia de segurança. Prefira senhas longas, únicas e geradas aleatoriamente; guarde-as em um gerenciador e ative autenticação multifator quando possível. (Experimentar a calculadora de entropia com uma senha fictícia)