Entropia de palavras-passe: o que a estimativa significa
Veja como estimar a entropia em bits, quais hipóteses a fórmula exige e por que ela não prevê sozinha o tempo de ataque.
Em resumo
A entropia estima, em bits, o número de possibilidades a pesquisar segundo um modelo específico. Para uma palavra-passe aleatória de comprimento L, com cada carácter escolhido uniformemente entre N possibilidades, a estimativa simples é L × log₂(N). (NIST, definição de entropia)
Por que a aleatoriedade importa?
A fórmula supõe escolhas independentes e uniformes. Pessoas costumam usar palavras, datas, padrões de teclado ou frases reutilizadas. Por isso, uma palavra-passe pode ser mais fácil de adivinhar do que sugere o cálculo simples baseado no conjunto de caracteres. As orientações atuais do NIST desaconselham regras arbitrárias de composição. (NIST SP 800-63B-4)
A entropia mostra quanto tempo levaria para quebrar a palavra-passe?
Não sozinha. Uma estimativa de tempo também depende da velocidade de tentativa, do método de armazenamento da palavra-passe, do equipamento do atacante e de como os dados foram expostos. Tentativas de início de sessão e análise offline de hashes roubados são situações diferentes.
Como usar uma calculadora de entropia?
Trate o resultado como uma explicação, não como garantia de segurança. Prefira palavras-passe longas, únicas e geradas aleatoriamente; guarde-as num gestor e ative autenticação multifator quando possível. (Experimentar a calculadora de entropia com uma palavra-passe fictícia)