Generador de frases de contraseña

Cómo se calcula el resultado

1. Las palabras se sortean con la fuente criptográfica de aleatoriedad de tu navegador (crypto.getRandomValues). Cada palabra se elige con la misma probabilidad de toda la lista, y se descarta el sorteo que favorecería a algunas palabras.
2. Las palabras se sortean de forma independiente, por lo que una puede salir dos veces. Así todas las frases son igual de probables y su número es exactamente el tamaño de la lista elevado al número de palabras.
3. La fortaleza en bits es el logaritmo en base 2 de ese número, así que cada palabra añade los mismos bits: log2 del tamaño de la lista (11 bits con 2 048 palabras, unos 12,9 con 7 776). Un dígito sorteado añade unos 3,3 bits. El separador y las mayúsculas no añaden nada, porque son iguales cada vez.
4. El tiempo para adivinarla es la mitad de todas las posibilidades (la media) dividida por los intentos por segundo que logra un atacante, como en el generador de contraseñas.
5. Los tramos son nuestros, no una norma: por debajo de 60 bits débil, de 60 a 100 bits buena, desde 100 bits muy fuerte.

Supuestos y límites

• La fortaleza solo vale para una frase creada con este generador, no para una que hayas elegido o modificado a mano, y supone un atacante que conoce la lista y tus ajustes.
• Usamos solo listas de palabras con fuente pública y licencia libre: inglés (EFF) y checo, español y francés (BIP-39). Habrá más idiomas cuando exista una lista que podamos comprobar.
• Las velocidades son pruebas de una sola tarjeta gráfica. Un atacante puede usar muchas, y un servicio puede usar un hash más lento o limitar los intentos, así que el tiempo real puede ser mucho menor o mucho mayor.
• El generador no sabe si una frase se ha filtrado y no conoce las reglas de un sitio concreto, como una longitud máxima.
• Los ataques a la persona (phishing, software malicioso) no están en las cifras, y una frase fuerte no protege contra ellos.

La velocidad en línea (10 intentos por segundo) es nuestro ejemplo. Las velocidades sin conexión son pruebas publicadas: MD5 215,8 GH/s y bcrypt 255,3 kH/s en una NVIDIA RTX 5090 (hashcat v6.2.6). Las listas de palabras son la EFF Large Wordlist (inglés) y las listas BIP-39 (checo, español y francés).

Fuentes de datos y el periodo al que corresponden

Cada número con el que una calculadora empieza o con el que calcula procede de una de las fuentes de abajo. Los nombres de las series figuran tal como los da el editor. Cada fila muestra el periodo al que se refieren los datos y, donde lo registramos, el día en que los descargamos. Los datos oficiales pueden tener meses cuando se publican, así que compruebe la cifra actual antes de decidir.

Oficial

Publicado por un banco central, una oficina de estadística, la Unión Europea u otro organismo público.

Datos académicos o del sector

Un conjunto de datos de una universidad, un proveedor de índices, una asociación del sector o un proveedor de datos.

Según la prensa

Una cifra de un organismo oficial que solo conocemos por la prensa y no hemos comprobado en la fuente original. Tómela como aproximada.

Ejemplo

Un número redondo nuestro, no una estadística. Sustitúyalo por el suyo.