Estimador de tiempo para romper hashes de contraseña

Estimador de tiempo para romper hashes de contraseña

Estimar cuánto tiempo tardaría un atacante real en fuerza bruta un password protegido por un algoritmo específico de hashing. El estimador combina tasas de hashing de Hashcat con el espacio de claves de la composición de su contraseña elegida, y presenta un tiempo de crackeo en cuatro niveles de atacantes: un GPU de presupuesto, una sola RTX 4090, un cluster profesional de ocho GPUs y una red de botnet de escala nacional compuesta por mil aceleradores H100.

A diferencia de los medidores genéricos de fortaleza, esta herramienta entiende que no todos los hashes son iguales. Una contraseña de doce caracteres protegida por MD5 se rompe en segundos; la misma contraseña tras Argon2id con parámetros razonables puede resistir a recursos de estado nacional durante siglos. Elegir el algoritmo y sus parámetros de costo es a menudo más importante que añadir más caracteres.

Cómo Usar

1. Elige el algoritmo de hashing que utiliza tu aplicación para almacenar contraseñas.
2. Si es una función de derivación de claves, establece sus parámetros de costo. Para bcrypt es el factor de costo; para scrypt, el parámetro N; para Argon2id, la memoria en megabytes y el número de iteraciones; para PBKDF2, el número de iteraciones.
3. Introduce la longitud de la contraseña que deseas evaluar y el conjunto de caracteres de que se deriva.
4. Lee la fila del tiempo de crackeo para el nivel de atacante que te interesa. El banner de recomendación utiliza el nivel de cluster profesional como un límite realista para un atacante offline motivado.
5. Itera sobre el algoritmo, el costo, la longitud o el conjunto de caracteres hasta que el resultado se vuelva verde para el modelo de amenaza que estás defendiendo.

Características

• Ocho algoritmos — MD5, SHA-1, SHA-256, SHA-512, bcrypt, scrypt, Argon2id y PBKDF2-HMAC-SHA256, incluyendo sus variantes saladas, de alto consumo de memoria y de costo de iteración.
• Cuatro niveles de atacantes — GPU de presupuesto, una sola RTX 4090, un cluster profesional de ocho GPUs y una flota de escala nacional de H100s, cada uno calibrado contra las métricas publicadas de Hashcat 6.x.
• Escalado de funciones de derivación de claves consciente del costo — El factor de costo de bcrypt, el parámetro N de scrypt, la memoria y el tiempo de Argon2id, y las iteraciones de PBKDF2 se escalan en función de la tasa de hashing por nivel, de modo que cambiar un parámetro desplaza inmediatamente el resultado.
• Matemáticas logarítmicas — Maneja contraseñas largas y espacios de claves grandes sin que se sobrepase, de modo que una contraseña de treinta y dos caracteres con símbolos siga produciendo números significativos en lugar de infinito.
• Veredictos codificados por colores — Desde "rompida instantáneamente" hasta "excelente", cada fila obtiene una pastilla de veredicto que coincide con su intervalo de tiempo, además de una recomendación general basada en el nivel de cluster profesional.
• Seis conjuntos de caracteres — PINs con solo dígitos hasta el espacio completo de 94 caracteres ASCII imprimible, con el número de caracteres mostrado junto a cada opción para que sea claro lo que estás comprando con la diversidad adicional.