20 caracteres de minúsculas + dígitos — 103.4 bits
Cada carácter aporta 5.17 bits, 103.4 en total, o 10^31.1 combinaciones. Igualarlo con los 94 caracteres ASCII exigiría 15.8.
- Longitud
- 20
- Tamaño del alfabeto
- 36
- Bits por carácter
- 5.17 bit
- Bits totales
- 103.4 bit
- Número de combinaciones
- 10^31.1
- Igual fuerza en ASCII
- 15.8
Cómo la guardó el sitio
- NTLM (Windows)10^11.9 años
- MD510^12.1 años
- SHA-25610^13 años
- WPA2 Wi-Fi10^16.9 años
- bcrypt10^18.1 años
La misma contraseña puede variar por un factor de un millón según cómo se guardó. Una RTX 4090 prueba 288.500 millones de hashes NTLM por segundo y 164.100 millones de MD5, pero solo 184.000 de bcrypt, que es lento a propósito. Ocho caracteres ASCII con símbolos caen en menos de tres horas con NTLM y aguantan más de 500 años con bcrypt. Y quien escribe la contraseña no elige cuál.
Lo que esta tabla cuenta y lo que no
Los tiempos aquí suponen una contraseña **elegida al azar** recorrida de principio a fin. Las contraseñas hechas por personas no aguantan tanto: palabras de diccionario, secuencias de teclado, cumpleaños y el ! o el 1 del final se prueban primero. «P@ssw0rd!» cuenta como 59 bits con nueve caracteres ASCII, pero cae en segundos. Al revés, con varias tarjetas el tiempo se divide entre cuantas haya.
Longitudes cercanas
Mismo alfabeto, otras longitudes
Misma longitud, otros alfabetos
El accidente habitual no es el descifrado
Mucho más común es que una contraseña filtrada en un sitio se pruebe en otro. Una que tardaría años igual cae el día que el sitio más débil sufre una brecha, si se usó en ambos. No reutilizarla y activar un segundo factor van antes que alargarla.
Cómo leerlo
- Bits por carácter = log2(tamaño del alfabeto). Multiplica por la longitud.
- Tiempo hasta romperla = la mitad de las combinaciones ÷ intentos por segundo.
- Las velocidades son medidas publicadas de hashcat en una RTX 4090.
- Suponen una contraseña aleatoria. Las hechas por personas caen mucho antes.
Preguntas frecuentes
Q. ¿Cuántos bits son 20 caracteres de minúsculas + dígitos?
103.4 bits: 5.17 bits por carácter por 20.
Q. ¿Cuántas combinaciones?
10^31.1, es decir 36 multiplicado por sí mismo 20 veces.
Q. ¿Cuánto es en caracteres ASCII?
15.8, contando los 94 caracteres ASCII imprimibles.
Q. ¿Cuánto tardaría romperla?
Lo decide el almacenamiento. Una RTX 4090 prueba 288.500 millones de NTLM por segundo y solo 184.000 de bcrypt: más de un millón de diferencia.