Tempo para quebrar uma senha e cálculo de entropia

Tempo para quebrar uma senha: fórmula e hipóteses

O tempo de quebra por força bruta vale o número de combinações (tamanho do alfabeto elevado ao comprimento) dividido pelo número de tentativas por segundo. A ferramenta testa todo o espaço em duas velocidades supostas, 10 bilhões e 100.000 bilhões de tentativas por segundo: uma senha de 8 caracteres misturando os 4 tipos resiste cerca de 8 dias no primeiro caso e um minuto no segundo. Ela também exibe um tempo médio para um hash rápido (MD5, NTLM) atacado por uma ou oito placas RTX 4090.

Cálculo

O alfabeto tem 26 minúsculas, 26 maiúsculas, 10 dígitos e 33 símbolos, acrescentados assim que aparece um caractere de cada tipo (um espaço ou uma letra acentuada conta como símbolo). Entropia = comprimento × log2(alfabeto), arredondada para o bit. Tempo = alfabeto^comprimento ÷ velocidade, sobre a totalidade do espaço.

Exemplos recalculados

• Paris2024: 9 caracteres, alfabeto de 62, 54 bits. 62^9 = 1,35 × 10^16 combinações: 16 dias a 10 bilhões de tentativas por segundo, 2 minutos a 100.000 bilhões.
• motdepasse: 47 bits, 4 horas na primeira velocidade. Um ataque de dicionário a encontraria bem antes: a ferramenta não detecta palavras comuns.
• K3ep$ecure2026! (valor padrão): 15 caracteres, alfabeto de 95, 99 bits, nível “ultrasseguro”.

Hipóteses e limites

• Todas essas velocidades são hipóteses da ferramenta. A velocidade real depende sobretudo da função de hash: um hash lento (bcrypt, scrypt, Argon2) a reduz em várias ordens de grandeza em comparação com MD5 ou NTLM.
• A fórmula superestima palavras e padrões: guitare-pomme-navire-nuage exibe 153 bits, enquanto 4 palavras sorteadas ao acaso de uma lista de 7.776 resultam em apenas 51,7.
• Exibição: em anos até 999 anos, depois em milhares e milhões de anos, arredondados; acima de um bilhão de anos, “vários bilhões de anos”. 12 caracteres misturando os 4 tipos exigem 1,7 milhão de anos na primeira velocidade, exibidos como “2 milhões de anos”.
• Faixas: mais de 80 bits ultrasseguro, mais de 60 forte, mais de 40 médio.

As placas RTX 4090 dão durações mais curtas para a mesma senha: elas contam metade do espaço em média, a 100 ou 800 bilhões de hashes por segundo. Para Paris2024, uma placa basta em 18,8 horas em vez de 16 dias. O quadro da ferramenta aconselha pelo menos 4 palavras aleatórias; a CNIL adota 7 palavras.

Fontes e datas: CNIL, deliberação nº 2022-100 de 21 de julho de 2022: 80 bits no mínimo para uma senha isolada; NIST SP 800-63B-4, versão final de julho de 2025: 15 caracteres no mínimo como fator único, 8 em multifator; guia da ANSSI sobre autenticação multifator e senhas, publicado em 8 de outubro de 2021 (verificado em 14/10/2026).

Perguntas frequentes

Quanto tempo leva para quebrar uma senha de 8 caracteres?

Com minúsculas, maiúsculas, dígitos e símbolos, existem 95^8, ou seja, 6,6 × 10^15 combinações. A ferramenta exibe 8 dias a 10 bilhões de tentativas por segundo e um minuto a 100.000 bilhões. Essas velocidades são hipóteses: um hash lento como o bcrypt aumenta bastante essas durações.

Como se calcula a entropia de uma senha?

Multiplica-se o comprimento pelo logaritmo na base 2 do tamanho do alfabeto utilizado. Uma senha de 12 caracteres em 95 símbolos possíveis chega a 78,8 bits, uma de 14 caracteres alfanuméricos a 83,4 bits. Esse cálculo supõe caracteres sorteados ao acaso.

Por que uma frase-senha exibe uma entropia tão alta?

A ferramenta trata cada letra como um sorteio independente, o que superestima as palavras. guitare-pomme-navire-nuage exibe 153 bits, enquanto 4 palavras sorteadas ao acaso de uma lista de 7.776 valem 51,7 bits. Conte antes cerca de 12,9 bits por palavra realmente aleatória.

Que comprimento de senha recomendam a CNIL e o NIST?

A CNIL pede 80 bits de entropia para uma senha isolada, por exemplo 12 caracteres misturando os 4 tipos ou uma frase de 7 palavras (deliberação de 21 de julho de 2022). O NIST exige 15 caracteres no mínimo como fator único e 8 com um segundo fator (SP 800-63B-4, julho de 2025). O NIST também proíbe impor regras de composição.

Por que a ferramenta exibe duas séries de tempos de quebra?

Os dois primeiros números percorrem todo o espaço de combinações, a 10 bilhões e depois 100.000 bilhões de tentativas por segundo. As placas RTX 4090 dão um tempo médio, sobre metade das combinações, para um hash rápido como MD5 ou NTLM: 100 bilhões de hashes por segundo para uma placa, 800 bilhões para oito. Para Paris2024, isso dá 16 dias no primeiro caso e 18,8 horas com uma única RTX 4090.

A frase-senha gerada pela ferramenta é segura?

Sim. O botão sorteia 4 palavras de 3 sílabas, cada sílaba entre 100, mais um número de 10 a 99, com o gerador criptográfico do navegador: 9 × 10^25 combinações, ou seja, 86,2 bits, que a ferramenta arredonda para 86. Está acima dos 80 bits adotados pela CNIL. Enquanto você não modificar a frase, os tempos exibidos partem desse sorteio; à menor alteração, a ferramenta volta à estimativa por conjunto de caracteres.

A ferramenta é realmente gratuita?

Sim, todas as ferramentas do Kristools são 100% gratuitas e acessíveis sem cadastro.

Meus dados estão protegidos?

Sim. Todo o processamento é feito diretamente e com segurança no seu navegador. Nenhum dado pessoal é enviado para os nossos servidores.