20 caracteres de minúsculas + dígitos — 103.4 bits

Como o site a guardou

• NTLM (Windows)10^11.9 anos
• MD510^12.1 anos
• SHA-25610^13 anos
• WPA2 Wi-Fi10^16.9 anos
• bcrypt10^18.1 anos

A mesma senha pode variar por um fator de um milhão conforme foi guardada. Uma RTX 4090 testa 288,5 bilhões de hashes NTLM por segundo e 164,1 bilhões de MD5, mas só 184 mil de bcrypt — lento de propósito. Oito caracteres ASCII com símbolos caem em menos de três horas com NTLM e aguentam mais de 500 anos com bcrypt. E quem digita a senha não escolhe qual.

O que esta tabela conta e o que não

Os tempos aqui supõem uma senha **escolhida ao acaso** varrida do início ao fim. Senhas feitas por pessoas não duram tanto: palavras de dicionário, sequências de teclado, datas de nascimento e o ! ou 1 no fim são tentados primeiro. “P@ssw0rd!” conta 59 bits com nove caracteres ASCII, mas cai em segundos. No sentido oposto, várias placas dividem o tempo pelo número delas.

Comprimentos próximos

Mesmo alfabeto, outros comprimentos

Mesmo comprimento, outros alfabetos

O acidente comum não é a quebra

Bem mais comum é uma senha vazada de um site ser testada em outro. Uma que levaria anos cai no dia em que o site mais fraco é invadido, se foi usada nos dois. Não reutilizar e ativar um segundo fator vêm antes de aumentar o comprimento.

Como ler

• Bits por caractere = log2(tamanho do alfabeto). Multiplique pelo comprimento.
• Tempo até quebrar = metade das combinações ÷ tentativas por segundo.
• As velocidades são medições publicadas do hashcat numa RTX 4090.
• Supõem senha aleatória. As feitas por pessoas caem bem antes.