Cosa significa realmente il numero di entropia
L'entropia misura quanti possibili output un generatore avrebbe potuto produrre, espressi come una potenza di due. Una password casuale creata da un pool di caratteri ha entropia = lunghezza × log₂ (dimensione del pool): ogni carattere aggiunto moltiplica il numero di possibili password e ogni bit di entropia guadagnato raddoppia il numero di tentativi necessari in media per un attacco di forza bruta.
Entropy = Length × log₂(pool size)
16 chars, upper+lower+digits+symbols (89-char pool):
16 × log₂(89) ≈ 16 × 6.48 ≈ 103.6 bits
That 103.6-bit result lands in the "Strong" band this tool reports. Notice that the pool size barely matters compared to length — going from 89 possible characters down to just digits (10) only costs about 3.3 bits per character, while cutting the length in half costs 50+ bits. Length is doing almost all of the work.
Trasformare l'entropia in una stima del crack-time
Il tempo di crack mostrato accanto a ciascun risultato presuppone che un aggressore con forza bruta indovini 10 miliardi di combinazioni al secondo: un parametro di riferimento approssimativo e deliberatamente conservativo per attacchi offline contro un hash di password rubato su hardware compatibile. Non è una garanzia, solo un modo per far sembrare concreto un bit astratto.
Combinations = 2^entropy
Estimated seconds = Combinations ÷ 10,000,000,000
In pratica, la maggior parte delle violazioni degli account non deriva affatto dalla forzatura di una password complessa: proviene dal phishing, dal riutilizzo delle password esposte in una violazione non correlata o dal malware. Un punteggio di entropia elevato protegge da uno specifico modello di minaccia; non sostituisce le password univoche per account e l'autenticazione a più fattori laddove viene offerta.
Perché la forza della passphrase dipende fortemente dal conteggio delle parole
Una passphrase creata dall'elenco di parole di questo strumento segue la stessa logica di una password casuale, solo con parole invece di caratteri: entropia = numero di parole × log₂(dimensione dell'elenco di parole). Poiché l'elenco integrato ha poco più di 100 parole, ogni parola aggiuntiva aggiunge circa 6,7 bit, notevolmente meno per unità rispetto a un carattere casuale, motivo per cui le passphrase richiedono più parole di quanto una password casuale abbia bisogno di caratteri per raggiungere la stessa forza.
| Parole | ca. entropia | Fascia di forza |
|---|---|---|
| 4 | ~26.8 bits | Debole |
| 6 | ~40.2 bits | Giusto |
| 8 | ~53.6 bits | Discreto-buono |
Turning on "Add a number at end" tacks on roughly another 6.6 bits. If a passphrase is the login for something you'd rather keep locked down, lean toward 6-8 words rather than the shorter end of the range — a real diceware-style word list with thousands of entries would need fewer words for equivalent strength, but more words is the safe compensation with a smaller list.
Alcune abitudini che contano più di ogni singola password
- Non riutilizzare mai una password tra più account: un sito violato non dovrebbe essere in grado di sbloccare tutti gli altri account di tua proprietà.
- Utilizza un gestore di password. Ricordare dozzine di password complesse e uniche non è realistico; un manager li genera e li memorizza in modo da non doverlo fare tu.
- Attiva l'autenticazione a più fattori ovunque venga offerta: protegge un account anche se la password stessa viene esposta.
- Escludere i caratteri ambigui (0/O, l/I/1) è una comodità ragionevole per le password che potresti dover digitare a mano, ma saltalo quando fai copia-incolla da un gestore.