Verificador de força de senha e estimador de entropia

A matemática criptográfica da entropia de senha: por que o comprimento supera a complexidade

Durante décadas, as políticas corporativas de TI forçaram os funcionários a criar senhas estranhas e memoráveis, contendo combinações arbitrárias de letras maiúsculas, números e símbolos especiais – apenas para exigir rotação obrigatória a cada 90 dias. A criptografia computacional moderna e a pesquisa empírica do Instituto Nacional de Padrões e Tecnologia (NIST) provaram que esse paradigma não é apenas obsoleto, mas também degrada ativamente a segurança das contas.

Fórmula de entropia de informação de Claude Shannon ($H = L \log_2 N$)

Na teoria da informação, a força fundamental de um segredo é quantificada empedaços de entropia($H$), em homenagem ao matemático Claude Shannon. A entropia bruta de uma string selecionada aleatoriamente é determinada pela fórmula:

Como o total de combinações é escalado como $N^L$,comprimento ($L$) atua como um expoente, enquanto o tamanho do pool ($N$) é apenas a base. Adicionar apenas 4 caracteres extras a uma senha expande o espaço de pesquisa de força bruta em várias ordens de magnitude mais do que substituir um 'a' por um '@' ou um 'e' por um '3'.

Publicação especial NIST 800-63B: Padrões modernos de identidade digital

EmNIST SP 800-63B (Diretrizes de Identidade Digital: Autenticação e Gerenciamento do Ciclo de Vida), pesquisadores federais de segurança desmantelaram sistematicamente o dogma legado de senhas corporativas:

• Abolição da expiração periódica:Forçar os usuários a alterar as senhas a cada 30 a 90 dias resulta em alterações incrementais previsíveis (comoWinter2025!tornando-seSpring2026!). As senhas só devem ser alteradas quando existir evidência de comprometimento.
• Eliminação de regras de composição:A obrigatoriedade de combinações específicas de letras maiúsculas, minúsculas, números e símbolos leva os usuários a adotar padrões estruturais previsíveis (por exemplo, colocar a primeira letra em maiúscula e anexar um ponto de exclamação e um ano no final).
• Triagem de lista negra (auditorias de credenciais violadas):Os sistemas devem examinar as novas senhas em relação a listas de credenciais comprometidas, termos comuns de dicionário e sequências repetitivas, em vez de impor regras de complexidade arbitrárias.

A arquitetura da frase secreta do Diceware: usabilidade encontra força criptográfica

Originalmente inventado por Arnold Reinhold em 1995, oDadosO método gera senhas lançando dados físicos de seis lados para selecionar palavras aleatórias de um dicionário de 7.776 palavras ($6^5 = 7.776$).

Porque cada palavra fornece aproximadamente12,9 bits de entropia($log_2(7776) aproximadamente 12,92$), uma senha longa de 4 palavras fornece aproximadamente52 bits de pura entropiae uma senha de 5 palavras fornece65 bits. Os humanos podem memorizar sem esforço uma frase narrativa vívida comocrystal-falcon-harbor-orbit, enquanto o cluster de cracking offline de um invasor deve esgotar bilhões de combinações em permutações de dicionário.

Como os invasores modernos quebram hashes: ataques de máscara e KDFs com memória difícil

Os atores de ameaças do mundo real raramente usam senhas de força bruta, caractere por caractere, em um formulário de login; limitação de taxa, Web Application Firewalls (WAFs) e CAPTCHAs interrompem ataques on-line após algumas tentativas. Em vez disso,99% das quebras de senha ocorrem offlinedepois que um invasor viola o banco de dados de um aplicativo e extrai hashes de senha armazenados.

Ferramentas comoHashcateJoão, o Estripadorutilize clusters massivos de GPUs de consumo (como NVIDIA GeForce RTX 4090s) para calcular bilhões de hashes candidatos por segundo.