Entropia de senhas: bits e tempo para quebra

Informe o comprimento, os conjuntos disponíveis em cada posição e a quantidade de tentativas por segundo do atacante. O resultado apresenta o tamanho do conjunto, a entropia em bits, a média de tentativas e a ordem de grandeza do tempo para quebra. Ela se destina a segredos gerados de modo uniforme e aleatório, e não a palavras memorizáveis, credenciais reutilizadas ou padrões humanos previsíveis.

O significado da medida de entropia

A calculadora presume que cada posição seja escolhida de forma independente e uniforme em um conjunto combinado. Se um gerador usa 26 letras minúsculas e cria doze caracteres, há 26 elevado à décima segunda potência de sequências possíveis. A entropia é o logaritmo de base dois desse espaço e representa uma quantidade equivalente de decisões binárias. Adicionar tipos de caracteres aumenta o conjunto; adicionar comprimento multiplica novamente as possibilidades. O resultado descreve o processo de geração, e não apenas a aparência da senha pronta. Uma sequência criada por uma pessoa pode conter maiúscula, número e símbolo e ainda seguir um padrão muito previsível. Use esta estimativa quando os conjuntos declarados realmente descrevem uma seleção aleatória em cada posição. Para escolhas humanas, uma análise sensível a dicionários é mais adequada. Uma senha vazada ou reutilizada deve ser trocada independentemente dos bits calculados.

Como interpretar o tempo para quebra

O tempo deriva do mesmo espaço de busca e da taxa de tentativas por segundo informada. Em uma busca exaustiva, um alvo uniforme é encontrado, em média, após metade das possibilidades; por isso o cálculo divide o espaço por dois e depois pela taxa. A resposta traz notação científica e uma frase aproximada, como dezenas de anos ou centenas de milhões de anos. Isso é uma ordem de grandeza, não um prazo garantido. A taxa real depende do armazenamento, do algoritmo de hash, do hardware, do orçamento e de o ataque ocorrer online ou sobre um banco roubado. Serviços online costumam limitar tentativas, enquanto um hash rápido pode permitir taxas enormes offline. Compare cenários alterando a taxa e registre sempre essa premissa ao divulgar o resultado.

Como escolher conjuntos sem contagem duplicada

Selecione minúsculas, maiúsculas, dígitos ou símbolos quando esses conjuntos corresponderem ao gerador. Os tamanhos são 26, 26, 10 e 32, e nomes repetidos contam apenas uma vez. Para outro alfabeto, selecione somente o conjunto personalizado e informe o número exato de caracteres distintos disponíveis em cada posição. Essa separação evita sobreposição, como contar minúsculas no conjunto padrão e novamente no personalizado. O cálculo pressupõe que todos os caracteres declarados possam ocorrer em qualquer posição com igual probabilidade. Regras que exigem exatamente um dígito, proíbem símbolo no início ou atribuem pesos diferentes criam outro espaço de busca. A ferramenta não recebe nem examina a senha, permitindo documentar uma política sem revelar o segredo. Cada solicitação bem-sucedida da API custa US$ 0,002. Guarde comprimento, definição do conjunto e taxa junto ao resultado para que outra pessoa possa reproduzi-lo.