Calculadora de tiempo de fuerza bruta
Elige un juego de caracteres y una longitud —o un tamaño de clave como 128 bits— y cuántos intentos por segundo puede hacer un atacante. La calculadora muestra cuántas combinaciones hay y cuánto se tarda en probarlas, de media y en el peor caso, con estiramiento de clave opcional.
Funciona en tu navegador: nada de lo que escribes se envía a ningún sitio.
Cómo se usa
- Elige Contraseña e indica los caracteres usados y la longitud, o elige Clave (bits) para una clave criptográfica.
- Escribe los intentos por segundo del atacante. Se admite notación como 1e10.
- Si las contraseñas se guardan con PBKDF2 u otro hash lento, indica sus iteraciones por intento.
- Lee el tiempo medio y el del peor caso; debajo están las combinaciones y la entropía.
Fórmulas
- Combinaciones N = tamaño del alfabeto ^ longitud, o N = 2^bits
- Entropía H = log₂ N = longitud × log₂(tamaño del alfabeto)
- Velocidad efectiva r = intentos por segundo ÷ iteraciones
- Peor caso N ÷ r, media N ÷ (2r)
- Un año se cuenta como 365,25 días (31.557.600 segundos).
Ejemplo
Una contraseña aleatoria de 8 caracteres con los 95 caracteres ASCII imprimibles, frente a 10¹⁰ intentos por segundo:
- combinaciones: 95⁸ = 6,6342E15 (6.634.204.312.890.625), entropía 8 × log₂ 95 = 52,56 bit;
- peor caso: 6,6342 × 10¹⁵ ÷ 10¹⁰ = 663.420 segundos ≈ 0,021 años;
- de media, la mitad: 331.710,2156 s, es decir, 3,8392 días.
Si esa misma contraseña se guarda con 600.000 iteraciones de PBKDF2, todo se alarga 600.000 veces: de media unos 6300 años.
Consejos
- La longitud pesa más que la complejidad. Cada carácter imprimible extra multiplica el tiempo por 95; pasar de 62 a 95 caracteres con la misma longitud aporta mucho menos.
- Las claves de 128 bits están fuera de alcance. Incluso a 10¹² intentos por segundo, 2¹²⁸ combinaciones llevan de media unos 5,4 × 10¹⁸ años.
- Evalúa una contraseña concreta con el comprobador de seguridad de contraseñas o crea una aleatoria con el generador de contraseñas.
Preguntas frecuentes
¿Cómo se calcula el tiempo de fuerza bruta?
El número de combinaciones es el tamaño del alfabeto elevado a la longitud (95⁸ para 8 caracteres imprimibles), o 2ⁿ para una clave de n bits. Probarlas todas lleva combinaciones ÷ intentos por segundo. De media la correcta aparece a mitad de camino, así que el tiempo medio es la mitad.
¿Qué velocidad debo poner?
Depende por completo del atacante y del hash. Un hash rápido sin sal en GPU se prueba miles de millones de veces por segundo, un hash lento de contraseñas solo miles, y un formulario de acceso en línea unas pocas veces por segundo antes de bloquearse. Prueba varias velocidades para ver el abanico.
¿Qué cambia el estiramiento de clave?
PBKDF2, bcrypt, scrypt y Argon2 hacen que cada intento cueste muchos cálculos de hash. Si un intento necesita 600.000 iteraciones de PBKDF2, un atacante que calcula 10⁹ hashes por segundo solo hace unos 1667 intentos por segundo, y todos los tiempos se multiplican por 600.000. En bcrypt, el coste 12 significa 2¹² = 4096 rondas.
¿Sirve para contraseñas reales?
Solo para contraseñas aleatorias. La gente elige palabras, nombres y patrones que los atacantes prueban primero con diccionarios y reglas, así que una contraseña de 8 caracteres inventada por una persona suele caer mucho antes de lo que indica la calculadora. Úsala para contraseñas y claves generadas.