Qué es la entropía y por qué se mide en bits
La entropía es la forma matemática de decir cuán impredecible es tu contraseña. Se mide en bits: cada bit adicional duplica la cantidad de combinaciones que un atacante tendría que probar. La fórmula que usamos es longitud × log₂(tamaño del alfabeto), donde el tamaño del alfabeto suma las clases de caracteres presentes: minúsculas aportan 26, mayúsculas otros 26, los dígitos 10 y los símbolos comunes 33. Así, una contraseña de 12 caracteres que mezcla minúsculas, mayúsculas y dígitos usa un alfabeto de 62 y tiene unos 71,5 bits de entropía.
Por qué la longitud le gana a la complejidad
Es el concepto más importante y el peor entendido. La entropía crece de manera lineal con la longitud, pero solo de manera logarítmica con el tamaño del alfabeto. En criollo: agregar un carácter más multiplica el espacio de búsqueda por el alfabeto entero, mientras que agregar una clase de símbolos raros apenas suma unos pocos bits. Una contraseña de 16 letras minúsculas (unos 75 bits) es más fuerte que una de 8 caracteres con símbolos, mayúsculas y números (unos 52 bits). Por eso la recomendación moderna es: primero longitud, después variedad.
Frases de contraseña (passphrases)
La forma más práctica de tener una contraseña larga que un humano pueda recordar es usar una frase de varias palabras al azar. Cuatro o cinco palabras elegidas sin relación entre sí (como "caballo-batería-grapa-correcta") superan cómodamente los 60 bits y se memorizan mucho mejor que un revoltijo de símbolos. La clave es que las palabras sean realmente aleatorias, no una frase famosa ni una cita: un diccionario de frases hechas las adivina rápido.
Gestores de contraseñas
Si tenés que recordar decenas de claves, tarde o temprano vas a reutilizar alguna, y ese es el error de seguridad más costoso: cuando filtran un sitio, el atacante prueba tu clave en todos los demás. Un gestor de contraseñas resuelve esto generando una contraseña única, larga y aleatoria por cada sitio, guardándola cifrada. Vos solo memorizás una contraseña maestra fuerte. Es la mejora de seguridad más grande que podés hacer con menos esfuerzo.
Cómo estimamos el tiempo de crackeo
Suponemos un atacante offline que ya obtuvo el hash de tu contraseña y puede probar unos 10.000 millones (10¹⁰) de combinaciones por segundo, una velocidad realista con GPUs modernas contra hashes rápidos. Dividimos la mitad del espacio de combinaciones —el promedio para dar con la clave— por esa velocidad. El resultado es una estimación de orden de magnitud: te dice si tu contraseña cae en segundos, en años o en siglos, no un cronómetro exacto. Contra un hash lento y bien salteado (como bcrypt o Argon2), el tiempo real sería muchísimo mayor.
Referencia: entropía y tiempo de crackeo
Rangos aproximados asumiendo 10¹⁰ intentos por segundo offline. El tiempo es el promedio para encontrar la clave.
| Entropía | Calificación | Tiempo estimado de crackeo |
|---|---|---|
| < 28 bits | Muy débil | Instantáneo |
| 28 – 35 bits | Débil | Segundos a minutos |
| 36 – 59 bits | Aceptable | Minutos a años |
| 60 – 127 bits | Fuerte | Siglos o más |
| ≥ 128 bits | Muy fuerte | Prácticamente inquebrantable |