Esto es principalmente correcto.
La fortaleza de la contraseña se mide por el tamaño del espacio de búsqueda para la contraseña dada (asumiendo que cada contraseña en el espacio de búsqueda es igualmente probable, más adelante). El espacio de búsqueda para una contraseña de un dígito es muy pequeño {0, 1, 2, 3, 4, 5, 6, 7, 8, 9} y un ataque de fuerza bruta (probando cada combinación) por un humano puede encontrar Su contraseña en unos cinco segundos. Una computadora rápida o especialmente diseñada puede hacerlo en menos de un nanosegundo.
Una contraseña que consta solo de dígitos de 100 dígitos proporciona un espacio de búsqueda mucho mayor. Hay 10 ^ 100 combinaciones posibles, por lo que un ataque de fuerza bruta necesitará, en promedio, probar la mitad de estas combinaciones para encontrar su contraseña. Esto llevará mucho, mucho tiempo, incluso si tiene una computadora que puede probar un millón de combinaciones por segundo.
Sin embargo, si elige su número de 100 dígitos de forma no aleatoria, por ejemplo. Si prefiere una combinación de 100 dígitos que consiste en alternar 1 y 0 porque es más fácil de recordar, el gran espacio de búsqueda no lo protegerá. Un atacante que tenga en cuenta el comportamiento humano programará su computadora para probar combinaciones como esta primero y, por lo tanto, encontrará su contraseña mucho más rápido que si hubiera elegido sus 100 dígitos al azar.
Por lo tanto, el proceso mediante el cual usted llega a su contraseña es relevante. Si no utiliza un proceso verdaderamente aleatorio, es probable que su contraseña sea débil y fácil de descifrar.
Si me da una contraseña para ver, a veces puedo determinar que es una contraseña incorrecta a la vez. Si su contraseña es "123456", o "contraseña", o cualquiera de las contraseñas más comunes que la gente usa en estos días, obviamente es una contraseña muy mala, y puedo determinarla solo mirando la contraseña, simplemente porque veo que No es aleatorio en absoluto. Pero si me das algo como "15-L-s-04-02", es más difícil para mí determinar si esta es una contraseña segura o no. Si tiene una hija llamada "Liv Sarah" que nació el 2 de abril de 2015, la contraseña es muy débil si estamos tratando con un atacante que lo conoce y lo apunta específicamente, aunque el espacio de búsqueda no sea tan malo ( dígitos, un carácter especial, minúsculas y mayúsculas, 12 caracteres de largo - > espacio de búsqueda de tamaño 2 ^ 73, o una fuerza de contraseña de 73 bits, que no es muy buena, pero sigue siendo bastante decente).
Por lo tanto: las contraseñas malas se pueden determinar simplemente mirando la contraseña. Es mucho más difícil determinar si una contraseña es buena simplemente mirándola, porque es importante saber si tiene algún tipo de significado para usted que otra persona pueda adivinar en última instancia.
Sin embargo, por lo general, podemos determinar si una contraseña es buena o mala solo con mirarla porque conocemos la mayoría de los hábitos de contraseña de las personas, por lo que incluso si no sé el nombre o el cumpleaños de su hija, todavía sé que muchos la gente usa los nombres, las iniciales y los componentes de fecha como parte de sus contraseñas, por lo que primero programaría mi computadora para probar algunos de los miles de contraseñas más comunes, luego intente combinaciones con componentes de fecha o iniciales, y luego mezclé estos componentes en diferentes combinaciones etc., y el "15-Ls-04-02" aún se encontraría mucho, mucho antes que si hubiera probado todas las combinaciones posibles de 12 caracteres.