Verificador de Fuerza de Contrasenas

La fuerza de una contrasena no depende de que te parezca complicada sino de cuantos intentos necesita un atacante para acertarla. La medida es la entropia, en bits, que describe el tamano del espacio de busqueda. Una contrasena de doce caracteres elegidos al azar entre minusculas, mayusculas, digitos y simbolos ronda los 78 bits; una palabra del diccionario con un numero al final ronda los 20, por larga que sea.

El calculo base es sencillo: longitud multiplicada por el logaritmo en base dos del tamano del alfabeto. Pero ese numero solo es real si los caracteres son verdaderamente aleatorios. La gente no elige al azar: pone la mayuscula al principio, el numero al final, sustituye la a por una arroba y usa fechas y nombres. Los programas de cracking conocen todos esos patrones y los prueban primero, asi que esta herramienta aplica penalizaciones por palabras comunes, secuencias de teclado, repeticiones y algo que parezca un ano.

La conclusion practica de esa aritmetica suele sorprender: la longitud gana casi siempre a la complejidad. Anadir un caracter multiplica el espacio de busqueda por el tamano del alfabeto, mientras que anadir un tipo de caracter solo lo ensancha una vez. Cuatro o cinco palabras aleatorias son mas fuertes y mucho mas faciles de recordar que ocho caracteres llenos de simbolos, que es justo lo contrario de lo que pedian las politicas de contrasenas durante veinte anos.

Hay un limite importante en cualquier medidor de fuerza, incluido este: no sabe si tu contrasena ya esta en una filtracion. Una contrasena con setenta bits de entropia que aparezca en un volcado publico se rompe al primer intento, porque el atacante no la esta adivinando sino consultandola. Por eso la recomendacion real es un gestor de contrasenas que genere una cadena aleatoria distinta por servicio, mas segundo factor donde se pueda. Y no escribas aqui una contrasena que estes usando de verdad: el analisis es local, pero el habito es malo.