¿Cuánto tardan en hackear una contraseña? Calcula el tiempo de un ataque de fuerza bruta
Calcula cuánto tardaría un ataque de fuerza bruta en descifrar una contraseña según su longitud, los caracteres que usa y los intentos por segundo del atacante.
Cómo funciona
combinaciones = caracteres ^ longitud · entropía (bits) = longitud × log₂(caracteres) · tiempo promedio = (combinaciones ÷ 2) ÷ intentos por segundo
Un ataque de fuerza bruta prueba todas las cadenas posibles hasta dar con la correcta, así que el esfuerzo total es el tamaño del juego de caracteres elevado a la longitud de la contraseña. En promedio, el atacante acierta después de recorrer la mitad de ese espacio, por eso el tiempo esperado es el número de combinaciones entre dos, dividido entre los intentos que el equipo hace por segundo. Cada carácter extra multiplica el trabajo por todo el juego de caracteres, así que la longitud protege mucho más que cambiar una letra por un símbolo.
Ejemplo resuelto
Una contraseña de 10 caracteres con letras y números (62 símbolos) tiene 62¹⁰ ≈ 8.4 × 10¹⁷ combinaciones, unos 59.5 bits. A 10,000 millones de intentos por segundo, recorrer la mitad del espacio toma unos 4.2 × 10⁷ segundos: alrededor de 1.3 años en promedio y 2.7 años en el peor caso. Con 12 caracteres, el promedio sube a unos 5,112 años.
Fuentes: Password strength — Wikipedia
Preguntas frecuentes
¿Por qué se dividen las combinaciones entre dos?
Porque el atacante casi nunca recorre todo el espacio de claves: en promedio encuentra la contraseña después de probar la mitad de las posibilidades. El peor caso, cuando la correcta es la última que prueba, se muestra aparte.
¿Qué velocidad de ataque debo usar?
Depende del hash. Uno lento y con sal, como bcrypt, puede permitir solo miles de intentos por segundo, mientras que un MD5 sin sal en un clúster de GPU llega a cientos de miles de millones. Elige la velocidad que corresponda a la amenaza que quieres modelar.
¿De verdad importa tanto agregar un carácter?
Sí. Cada carácter adicional multiplica el espacio de claves por todo el juego de caracteres: uno más con 62 símbolos hace la contraseña 62 veces más difícil de descifrar, mucho más que casi cualquier otro ajuste.
¿Qué tan segura es una contraseña de 8 caracteres?
Si solo usa minúsculas, un equipo que prueba 10,000 millones de intentos por segundo la descifra en segundos. Aun con letras, números y símbolos, 8 caracteres caen en días; hoy se recomiendan al menos 12 a 16 caracteres aleatorios.
Calculadoras relacionadas
Esta calculadora tiene fines informativos. Verifica los resultados importantes antes de tomar decisiones.