entropia e força de senha
Uma senha de 8 caracteres com letra, número e símbolo parece forte só de olhar, mas o cálculo de entropia por trás do analisador mede o espaço de tentativas real, e uma lista de senhas vazadas embutida pode derrubar essa nota a zero mesmo quando o comprimento parece bom.
`senha123` está na lista de senhas vazadas embutida, então a entropia ajustada cai para 1 bit mesmo com 41,4 bits brutos calculados pelo comprimento; sob um ataque offline de hash rápido (10 bilhões de tentativas por segundo), o tempo estimado é menor que um décimo de bilionésimo de segundo.
Doze caracteres com três conjuntos ativos rendem 71,5 bits brutos, mas o trecho `2020` aciona a penalidade de formato de data (-6 bits), caindo a entropia ajustada para 65,5; ainda fecha em nota 3 (forte), mas o tempo de quebra sob hash rápido de GPU única cai para cerca de 83 anos, não os milênios que o comprimento sozinho sugeriria.
Vinte e um caracteres minúsculos e hifens não acionam nenhuma penalidade de padrão, então a entropia ajustada fica igual à bruta, 123,5 bits; mesmo sob o perfil mais agressivo do analisador (um cluster de GPUs a 1 trilhão de tentativas por segundo), o tempo estimado passa de 10 elevado a 13 segundos, cerca de 317 mil anos, faixa que o analisador exibe como "perpétuo" em vez de um número sem sentido prático.
Não. Toda a análise acontece localmente no navegador, em JavaScript. A senha não é enviada, salva, registrada nem compartilhada com nenhum serviço externo.
Porque a nota não olha só para os tipos de caractere usados, ela também compara a senha inteira contra uma lista embutida das mais vazadas; se houver correspondência, a entropia ajustada cai para 1 bit e a nota vai para 0 independentemente de quantos conjuntos de caractere a senha misture.
A velocidade de tentativa por segundo: 100 tentativas por hora para login online limitado, 10 por segundo sem limite, 10 mil por segundo contra um hash lento como bcrypt, 10 bilhões por segundo contra um hash rápido sem sal, e 1 trilhão por segundo para um cluster de GPUs; o mesmo par de senha e hash pode levar de séculos a segundos dependendo de qual desses cinco perfis descreve o atacante.
Porque o ano no final segue um padrão de formato de data reconhecível, e o analisador aplica uma penalidade fixa de 6 bits sempre que detecta esse formato, já que anos são um dos primeiros alvos testados em listas de senhas geradas por regras; o comprimento ajuda, mas não anula a penalidade de padrão.
No exemplo do analisador, sim: `correct-horse-battery`, só com letras minúsculas e hifens, chega a 123,5 bits porque o comprimento de 21 caracteres pesa mais que a variedade de conjuntos, e nenhuma das penalidades de padrão é acionada; uma senha curta cheia de símbolos pode ter um conjunto de caracteres maior por posição, mas perde no total de combinações se for curta demais.
Digite uma senha acima para ver entropia, tempo de quebra e padrões detectados.
A senha é analisada apenas no seu navegador. Nada é enviado, salvo ou registrado em servidores.