La razón por la que esta pregunta es más compleja de lo que parece es que las contraseñas elegidas por los usuarios están sujetas a factores humanos y, específicamente, a la costumbre de las personas a elegir contraseñas que sean memorables y tan simples como sea posible, incluso dados los requisitos de complejidad, es decir, los usuarios inteligente para encontrar contraseñas que cumplan con los requisitos de complejidad, pero en realidad son de un conjunto más fácil de adivinar.
Si proporciona mucha información acerca de por qué un intento de contraseña ha fallado, desde un punto de vista puramente matemático, puede superar esto al aumentar los requisitos de complejidad, pero esto no tiene en cuenta el comportamiento del usuario, lo que puede anular la información adicional. complejidad.
La fuerza bruta puede ser guiada, y aumentar (por ejemplo) la longitud de la contraseña no necesariamente proporciona el espacio clave aparente para la búsqueda porque las heurísticas todavía se aplican. También recuerde que los requisitos de complejidad pueden reducir el espacio clave del espacio máximo que se basa en la longitud, al menos heurísticamente. ¡Piense en el antiguo requisito de complejidad para usar al menos un dígito y los usuarios solo añaden un 1 al final de su contraseña favorita! Fácil de crear algoritmos de conjetura de contraseña basados en heurística, esto no aumenta el espacio de claves en un conjunto de caracteres adicional en la realidad.
Habiendo dicho esto, viviría con el riesgo si el aumento de complejidad fuera sustancial y los requisitos de complejidad no fueran demasiado simplistas o fáciles de eludir de alguna manera.