Sé de una demostración modesta (febrero de 2012, enlace ) que reclamaba el poder de realizar 400 mil millones de conjeturas por segundo en un sistema de 25 GPU. En ese caso, una contraseña de 8 dígitos se soplaría en menos de 6 horas; Antes dependiendo del método de fuerza bruta. Pero eso supone que el atacante tiene acceso al archivo que almacena la contraseña cifrada. Y, francamente, eso es fácil de hacer, si tiene acceso a la computadora en sí. Incluso si no puedes acceder al disco duro, el atacante simplemente reemplazará el teclado con una computadora que enviaría "pulsaciones de teclado" mucho más rápido de lo que podrías escribir. Puede tomar más tiempo, debido a la velocidad de la conexión USB, pero la tasa de escritura humana no es una buena referencia en este asunto.
Como una nota al margen .....
En el tema de los caracteres utilizados en una contraseña, esto no es tan simple como la mayoría de las personas dicen. Lo que más importa es lo que el atacante espera tener que probar, no los personajes que elijas. En otras palabras, lo que más importa es qué utilizan TODOS los personajes del sistema, no solo usted. Por ejemplo, una secuencia aleatoria de 'X', 'Y' y 'Z' es tan difícil de adivinar como una secuencia aleatoria de todas las letras del alfabeto ... siempre y cuando los atacantes no sepan que prefieres X, Y, y Z. Pero si, a pesar de la disponibilidad de 100 dígitos, el atacante sabe que todos están usando solo X, Y y Z, entonces el atacante puede reducir el ataque de fuerza bruta y anular el beneficio de 100 dígitos. sistema de seguridad. El principal de esto es idéntico al del ataque del diccionario. Esta es la razón por la cual los administradores de sistemas pueden forzar a todos a usar diferentes tipos de caracteres; para asegurarse de que un intruso tiene que probar todas las permutaciones.
Esto no quiere decir que los caracteres específicos utilizados en una contraseña no afecten la velocidad a la que se rompe. Es decir, cuando alguien dice que "las contraseñas de 8 dígitos toman un descanso de 10 años", ese tiempo máximo es de 10 años. Una declaración más precisa sería: "se necesitan 10 años para probar todas las combinaciones de contraseñas de 8 dígitos". Pero el hecho es que algunas contraseñas se adivinarían mucho más rápido dependiendo de la selección de personajes y el método de ataque. Por ejemplo, si su contraseña es un sistema alfanumérico de 100 caracteres (por ejemplo, 0-9 ...... AZ), y el ataque de fuerza bruta usa suposiciones secuenciales, entonces una contraseña que comience con un '0' se romperá al menos 100x más rápido que una contraseña que comienza con el último carácter en esa secuencia (llamémosla 'Z'). Pero esto es difícil de manejar ya que nunca se puede saber qué orden puede usar el atacante. Por ejemplo, ¿el atacante considera A o 0 el primer dígito? ¿Y es Z o 9 el último dígito? O si el atacante sabe que todos usan contraseñas que comienzan con caracteres hacia el final del alfabeto, entonces pueden probar la fuerza bruta en secuencia inversa, y la contraseña que comienza con '0' será más segura.
Desafortunadamente, la velocidad a la que se rompen las contraseñas es tanto sobre la cantidad de dígitos como la predictibilidad del comportamiento humano.
