La fórmula
combinaciones = alfabeto elevado a la longitud
De dónde sale
Es combinatoria pura: con un alfabeto de 94 caracteres y 12 posiciones hay 94 elevado a 12 combinaciones posibles, y de media se acierta a la mitad del recorrido. La medida que resume todo eso es la entropía en bits, que es el logaritmo en base dos del número de combinaciones: cada bit de entropía duplica el trabajo del atacante. Doce caracteres de todo el teclado dan 78,7 bits.
Cómo calcularlo a mano
- Cuenta cuántos caracteres distintos podrían aparecer
- Elévalo a la longitud de la contraseña
- Divide entre dos: de media se acierta a la mitad
- Divide entre los intentos por segundo del atacante
Lo que conviene saber
La conclusión práctica es una y va contra la intuición: **la longitud gana a la complejidad**. Cada carácter más multiplica el tiempo por el tamaño del alfabeto entero, mientras que añadir símbolos raros solo lo multiplica una vez. Doce letras minúsculas dan más entropía que ocho caracteres de todo el teclado, y son mucho más fáciles de recordar y de teclear: de ahí que se recomienden frases de paso. Pero nada de esto sirve si la contraseña no es aleatoria. Sustituir letras por números —«c0ntr4señ4»— no añade prácticamente nada, porque los diccionarios de ataque llevan esas sustituciones incorporadas desde hace veinte años. Y una contraseña reutilizada en dos sitios vale lo que valga el peor de los dos.