¿Cómo transformar un hash en una contraseña utilizable?

Para un buen algoritmo de hash (y, a menos que haya hecho su propio hash, probablemente esté usando uno suficientemente bueno), todos los bits deben ser pseudoaleatorios.

Una contraseña de 20 caracteres es más débil que una contraseña de 60 caracteres, pero una contraseña de 20 caracteres es igual de segura que otra si son igualmente aleatorias. Combinar un hash de 60 caracteres en 20 caracteres no agregaría más aleatoriedad que solo tomar los primeros 20 caracteres.

Cuando se trata del diseño de contraseñas, las amenazas principales (adivinanzas estratégicas de su contraseña, fuerza bruta, prueba de su contraseña en todos sus perfiles en línea) se pueden mitigar simplemente usando una contraseña diferente, larga y aleatoria para cada sitio web. El nivel de aleatoriedad proporcionado al truncar una función de hash es suficiente.

Deja de agregar complejidad inútil

Esto solo agregaría un paso para construir la contraseña ...

En caso de fuerza bruta, el atacante podría usar la misma herramienta que has elegido para realizar este paso automáticamente.

De hecho, esto no agregará mucho trabajo para el atacante, pero al agregar un paso para los usuarios, incluso podrían contribuir a revelar la contraseña por error del usuario.

Use frases de contraseña en lugar de contraseñas siempre que sea posible.

Para empezar, no estoy convencido de las afirmaciones de PwdHash. La idea no es mala pero su implementación suena inestable. Le sugeriría crear su propia implementación específica para el sitio en lugar de usar una extensión de navegador que genere contraseñas para usted. Es fácil de hacer (lo hago yo mismo). El beneficio de esto es que no tiene que saltar a través de los aros para hacer que su contraseña sea compatible con los requisitos de complejidad. Además, no está bloqueado en el algoritmo que PwdHash elija usar. Si se te ocurre algo, siempre será menos predecible que PwdHash en principio.