ENTROPÍA Y FUERZA BRUTA EN DIRECTO
🔍 LO QUE UN ATACANTE DE VERDAD VERÍA
Nadie ataca a ciegas probando todo el alfabeto. Primero se prueban diccionarios, patrones de teclado, fechas y las mismas 20 reglas de mutación de siempre (mayúscula inicial, leetspeak, sufijo numérico...).
💻 SIMULADOR DE CRACKEO
1. Hardware del atacante
(con límite)
2. Cómo se guarda la contraseña
🧱 FUERZA BRUTA PURA
📖 DICCIONARIO + REGLAS
📊 EL ALGORITMO IMPORTA MÁS QUE EL HARDWARE
Misma contraseña, mismo atacante en su mejor hardware (clúster/cloud) — solo cambia cómo el servicio guardó tu contraseña:
| Almacenamiento | Tiempo estimado (mejor ataque disponible) |
|---|
🎬 EJEMPLOS PARA PROBAR
📖 CHULETA RÁPIDA
Entropía = incertidumbre, no "pinta rara"
E = L · log₂(N) mide combinaciones posibles SI el atacante no sabe nada más. En cuanto reconoce un patrón (una palabra, una fecha), esa fórmula deja de describir la realidad.
La longitud gana, casi siempre
8 caracteres con mayúsculas+dígitos+símbolos (N≈95): ≈52 bits.
16 caracteres solo en minúsculas (N=26): ≈75 bits. Más simple de teclear y más difícil de romper.
Diceware / passphrases
4 palabras al azar de una lista de 7776 (estándar EFF diceware) dan ≈51,7 bits reales — y encima son memorables. Es el origen de correct horse battery staple (xkcd #936).
NIST 800-63B (guía moderna real)
Prioriza longitud mínima (≥8, idealmente más), comprueba contra listas de contraseñas filtradas, y desaconseja exigir símbolos obligatorios o caducidad periódica forzada — justo lo contrario de las políticas clásicas.
El hash importa más que el hardware
Pasar de una CPU a un clúster de GPUs multiplica la velocidad por ~10⁵. Pasar de MD5 a Argon2id la divide por ~10⁹. La decisión del servicio pesa más que la del atacante.
Este simulador es educativo
Las velocidades de hash son órdenes de magnitud orientativos (basados en benchmarks públicos de herramientas como hashcat) y el diccionario embebido tiene un puñado de palabras, no los 14 millones de una lista real como rockyou.txt.