Calculadora de tempo para quebrar senha
Escolha o tamanho e os tipos de caracteres, ou digite uma senha, e veja quanto tempo um ataque de força bruta levaria para quebrá-la, de um formulário de login com limite de tentativas a um equipamento com várias GPUs. Tudo é calculado no seu navegador.
16 caracteres · conjunto de 88 caracteres · 103 bits de entropia
| Cenário de ataque | Tempo médio para quebrar |
|---|---|
| Online, com limite de tentativas100 tentativas por hora · Um formulário de login com bloqueio e limite de tentativas. | 5,8 × 10²⁴ anosmais que a idade do universo |
| Online, sem limite10 tentativas por segundo · Um login que não limita o número de tentativas. | 1,6 × 10²² anosmais que a idade do universo |
| Offline, hash lento10 mil tentativas por segundo · Hashes roubados, gerados com bcrypt, scrypt ou Argon2. | 1,6 × 10¹⁹ anosmais que a idade do universo |
| Offline, hash rápidoNossa referência10 bilhões de tentativas por segundo · Hashes MD5, SHA-1 ou NTLM roubados, testados em uma GPU. | 16 trilhões de anosmais que a idade do universo |
| Offline, equipamento com várias GPUs1 trilhão de tentativas por segundo · Uma máquina dedicada à quebra de senhas contra um hash rápido sem salt. | 161 bilhões de anosmais que a idade do universo |
Calculado inteiramente no seu navegador. Nada do que você digita é enviado nem armazenado.
Como a calculadora funciona
A calculadora mede a entropia: tamanho × log₂(tamanho do conjunto), em bits. O conjunto é o total de caracteres possíveis em cada posição da senha: 26 letras minúsculas, 26 maiúsculas, 10 dígitos e 26 caracteres especiais, os mesmos 88 caracteres que o gerador deste site usa. Uma senha de 16 caracteres que combina os quatro tipos chega a cerca de 103 bits, e cada bit a mais dobra o número de senhas que um atacante precisa testar.
O tempo mostrado é a média: metade das 2n senhas possíveis (n é a entropia em bits) dividida pelo número de tentativas por segundo do atacante. Quando você digita uma senha, o tamanho e os tipos de caracteres que ela contém são lidos localmente: nada é enviado nem armazenado.
Os cinco cenários de ataque
- Online, com limite de tentativas (100 por hora): alguém tenta adivinhar a senha por um formulário de login que bloqueia ou desacelera depois de algumas tentativas erradas. É o ataque que a maioria das contas enfrenta no dia a dia.
- Online, sem limite (10 por segundo): um login que não limita o número de tentativas.
- Offline, hash lento (10 mil por segundo): o banco de dados de senhas foi roubado, mas o serviço guardou as senhas com bcrypt, scrypt ou Argon2, funções projetadas para que cada tentativa saia cara. O bcrypt é lento por design; o scrypt e o Argon2 também exigem muita memória.
- Offline, hash rápido (10 bilhões por segundo): hashes MD5, SHA-1 ou NTLM roubados e testados em uma placa de vídeo (GPU). É a referência usada em todo este site, inclusive no tempo para quebrar que o gerador de senha mostra.
- Offline, equipamento com várias GPUs (1 trilhão por segundo): uma máquina dedicada à quebra de senhas contra um hash rápido sem salt, o pior caso para o qual vale a pena se preparar.
Os quatro primeiros seguem os cenários do zxcvbn, o estimador de força de senhas de código aberto publicado pelo Dropbox. Os atacantes reais variam, então leia a tabela como ordens de grandeza, não como a leitura de um cronômetro.
Por que a sua senha real pode cair mais rápido
O cálculo supõe que cada caractere foi escolhido ao acaso. Senhas inventadas por pessoas não são assim: as ferramentas de quebra testam palavras de dicionário, nomes, datas, sequências de teclado como qwerty123 e substituições como P@ssw0rd1! muito antes de partir para a força bruta. Brasil@2024 cumpre as regras de muitos formulários e soma 71 bits no papel, mas uma palavra seguida de um ano está entre as primeiras combinações que os atacantes testam. A calculadora identifica de cara as senhas mais comuns, mas não reconhece toda palavra ou data de aniversário: se foi uma pessoa que escolheu, considere a senha mais fraca do que o resultado mostra. O CERT.br dá o mesmo conselho na Cartilha de Segurança para Internet: deixe de fora sequências de teclado e informações pessoais, como nomes e datas. Para uma nota de força de uma senha que você já usa, experimente o verificador de força de senha (em inglês).
O que fazer com o resultado
Mire em pelo menos 80 bits, tendo como referência a linha “Offline, hash rápido”: é a partir daí que a força bruta deixa de ser uma ameaça realista. Uma senha aleatória de 16 caracteres (cerca de 103 bits, uns 16 trilhões de anos a 10 bilhões de tentativas por segundo) passa dessa marca com folga. Uma senha de 15 caracteres (cerca de 97 bits, uns 251 bilhões de anos) atende ao mínimo que o NIST SP 800-63B exige quando a senha é o único fator de autenticação. Uma senha de 12 caracteres (cerca de 78 bits, uns 479 mil anos) é o piso prático. Deixe as senhas de 8 caracteres para os sistemas que limitam o tamanho: cerca de 2,6 dias no mesmo ritmo.
Seja qual for o tamanho, siga as recomendações do CERT.br: uma senha diferente para cada conta, guardada em um gerenciador de senhas, e verificação em duas etapas sempre que o serviço oferecer. Não é preciso trocar uma senha forte por calendário, e o NIST desaconselha trocas periódicas obrigatórias: troque-a quando suspeitar que ela vazou.
Perguntas frequentes
Quanto tempo levaria para quebrar minha senha?
Depende do quanto ela é aleatória e de quem ataca. Uma senha aleatória de 8 caracteres com os quatro tipos de caracteres cai em cerca de 2,6 dias diante de um atacante offline que testa 10 bilhões de combinações por segundo, e em cerca de 38 minutos em um equipamento com várias GPUs. A 10 bilhões por segundo, doze caracteres aleatórios levam cerca de 479 mil anos, e dezesseis, cerca de 16 trilhões de anos. Uma senha formada por palavras, nomes ou datas cai muito antes do que esses números indicam.
É seguro digitar minha senha nesta calculadora?
O cálculo acontece localmente, em JavaScript, na própria aba do seu navegador: nada do que você digita é enviado, registrado ou armazenado. Você pode conferir abrindo a aba de rede das ferramentas de desenvolvedor enquanto digita: nenhum caractere digitado aparece nas requisições. Mesmo assim, o modo “Tamanho e caracteres” dá a mesma resposta sem que você precise digitar uma senha real.
Como se calcula o tempo para quebrar uma senha?
Primeiro, a entropia: tamanho × log₂(tamanho do conjunto), em que o conjunto é o número de caracteres possíveis (26 minúsculas, 26 maiúsculas, 10 dígitos e 26 caracteres especiais). Depois, o tempo médio: metade das 2^entropia senhas possíveis dividida pelo número de tentativas por segundo do atacante. Uma senha de 16 caracteres tirados desses 88 tem cerca de 103 bits de entropia.
Por que as calculadoras de quebra de senha dão resultados diferentes?
Porque supõem atacantes diferentes. O ritmo de tentativas pode variar por um fator de mais de um trilhão entre um formulário de login com limite de tentativas e um equipamento de GPUs contra um hash rápido; algumas ferramentas mostram o pior caso (o espaço de busca inteiro) em vez da média; e algumas contam 95 caracteres imprimíveis em vez dos 88 que um gerador típico usa. Esta calculadora mostra cinco cenários lado a lado para que a premissa nunca fique escondida.
Quantos bits de entropia uma senha forte precisa ter?
Abaixo de 40 bits, a senha é fraca; de 40 a 59 bits, razoável. A partir de 60 bits ela é forte para a maioria das contas e, a partir de 80 bits, fica fora do alcance da força bruta offline, mesmo contra um hash rápido. Uma senha aleatória de 16 caracteres (cerca de 103 bits) supera essa marca com ampla folga, e é por isso que ela é o padrão deste site.
Escrito e revisado por Andrew Ivanov, Fractional CTO. Última revisão em .